WISSEN KOMPAKT
BSI Standard 200-4 – BCM-Standard für das Notfallmanagement
Der BSI-Standard 200-4 beschreibt ein systematisches Vorgehen zum Aufbau und Betrieb eines Business Continuity Management Systems (BCMS). Ziel ist es, Organisationen auf schwerwiegende Störungen und Notfälle vorzubereiten und sicherzustellen, dass zeitkritische Geschäftsprozesse auch unter außergewöhnlichen Bedingungen fortgeführt oder innerhalb festgelegter Zeiträume wieder aufgenommen werden können.
Mit seiner Veröffentlichung im Juni 2023 löste der Standard den bisherigen BSI-Standard 100-4 zum Notfallmanagement ab. Die Überarbeitung verdeutlicht einen grundlegenden Perspektivwechsel: Im Mittelpunkt steht nicht mehr allein die Bewältigung von Notfällen, sondern die Sicherstellung der Geschäftskontinuität auf Ebene der gesamten Organisation.
Für die IT-Dokumentation bedeutet dies, dass technische Wiederherstellungsverfahren mit den geschäftlichen Anforderungen und der übergreifenden BCM-Dokumentation verknüpft werden müssen.
Vom Notfallmanagement zum Business Continuity Management
Der BSI-Standard 100-4 war über viele Jahre ein bewährtes Regelwerk für die organisatorische und technische Notfallvorsorge. Mit dem Nachfolgestandard 200-4 wurde das Regelwerk an die veränderten Anforderungen angepasst und stärker auf ein organisationsweites Business Continuity Management ausgerichtet.
Dabei geht es nicht ausschließlich um IT-Ausfälle. Auch fehlendes Personal, nicht verfügbare Gebäude oder Störungen bei Dienstleistern können die Geschäftstätigkeit gefährden. Insbesondere durch Cloud-Dienste, Outsourcing und digitale Geschäftsmodelle entstehen zusätzliche Abhängigkeiten, die bei der Notfallvorsorge berücksichtigt werden müssen.
Entwicklung des BSI-Standards 200-4
Die Überarbeitung erfolgte in einem mehrjährigen Prozess unter Beteiligung von Fachleuten aus unterschiedlichen Organisationen. Das BSI veröffentlichte mehrere Community Drafts, darunter Fassungen aus den Jahren 2021 und 2022, um Rückmeldungen aus der Praxis einzubeziehen.
Ich habe diesen Prozess als Mitglied des Expertenkreises zum BSI-Standard 200-4 begleitet. Ein wesentliches Anliegen war es, ein praxisnahes Regelwerk zu schaffen, das Organisationen mit unterschiedlichen Voraussetzungen einen angemessenen Einstieg in das BCM ermöglicht.
Zeitkritische Geschäftsprozesse im Mittelpunkt
Ausgangspunkt des BCM sind die Geschäftsprozesse einer Organisation und die Frage, wie lange deren Unterbrechung toleriert werden kann. Als zeitkritisch gelten Prozesse, deren Ausfall innerhalb eines bestimmten Zeitraums zu nicht mehr hinnehmbaren Schäden führen würde.
Die Grundlage für diese Bewertung bildet die Business Impact Analyse (BIA). Sie untersucht die Auswirkungen von Prozessunterbrechungen und ermittelt die Anforderungen an die Wiederaufnahme der betroffenen Geschäftsprozesse. Daraus lassen sich die Anforderungen an benötigte Ressourcen wie Personal, Standorte, IT-Services und externe Dienstleister ableiten.
Für die IT-Notfallplanung bedeutet dies, dass nicht alle Systeme mit derselben Priorität wiederhergestellt werden müssen. Maßgeblich sind vielmehr die Anforderungen der zeitkritischen Geschäftsprozesse, die durch diese Systeme unterstützt werden.
Verhältnis zur ISO 22301 und zu anderen Managementsystemen
Der BSI-Standard 200-4 ist mit der internationalen Norm ISO 22301:2019 kompatibel. Während die ISO 22301 Anforderungen an ein BCMS formuliert und eine Zertifizierung ermöglicht, bietet der BSI-Standard zusätzliche methodische Hilfestellungen für die praktische Umsetzung.
Darüber hinaus bestehen zahlreiche Schnittstellen zum Informationssicherheitsmanagement (ISMS), IT-Service-Management und Risikomanagement. Bestehende Informationen zu IT-Assets, Risiken, Verantwortlichkeiten und Sicherheitsmaßnahmen können gemeinsam genutzt werden. Voraussetzung dafür sind klar geregelte Zuständigkeiten und konsistent gepflegte Informationsbestände.
Störung, Notfall und Krise – ein verändertes Begriffsverständnis
Mit dem BSI-Standard 200-4 wurden auch die Begriffe Störung, Notfall und Krise überarbeitet. Anders als beim früheren Standard werden die Ereignisse nicht mehr vorrangig anhand der Schadenshöhe unterschieden. Entscheidend ist insbesondere, ob die verfügbaren organisatorischen Strukturen und Verfahren ausreichen, um die Situation rechtzeitig zu bewältigen.
Störung:
Prozesse oder Ressourcen stehen nicht wie vorgesehen zur Verfügung. Die Behebung erfolgt üblicherweise im Normalbetrieb durch die Allgemeine Aufbauorganisation (AAO) mit den dafür vorgesehenen Verfahren.
Notfall:
Eine schwerwiegende Unterbrechung oder Beeinträchtigung lässt sich nicht mehr rechtzeitig mit den üblichen Mitteln des Normalbetriebs bewältigen. Besondere organisatorische Strukturen und Maßnahmen werden erforderlich.
Krise:
Eine außergewöhnliche Situation ist durch erhebliche Unsicherheit und einen besonderen Koordinations- und Entscheidungsbedarf gekennzeichnet. Die Bewältigung erfordert ein situationsangepasstes Krisenmanagement.
Abgrenzung im Überblick:
Merkmal | Störung | Notfall | Krise |
|---|---|---|---|
Bewältigung | Normalbetrieb | Besondere Aufbauorganisation | Situatives Krisenmanagement |
Vorhandene Pläne | Prozesse zur Störungsbeseitigung | Geeignete oder anpassbare Notfallpläne | Keine oder nur eingeschränkt anwendbare Pläne |
Zeitkritische Prozesse | Können betroffen sein | Mindestens ein zeitkritischer Prozess betroffen oder gefährdet | Schwerwiegende Auswirkungen auf die Organisation |
Eine wesentliche Aufgabe des BCM besteht darin, geeignete organisatorische Strukturen und Notfallpläne vorzubereiten. Im Schadensereignis muss festgestellt werden, ob zeitkritische Geschäftsprozesse betroffen sind und ob vorhandene Notfallpläne angewendet oder angepasst werden können.
Ein Notfall kann auch bereits ausgerufen werden, bevor es tatsächlich zu einer Unterbrechung des Geschäftsbetriebs kommt. Voraussetzung ist, dass die Gefahr einer entsprechenden Unterbrechung besteht.
Das Stufenmodell des BSI-Standards 200-4
Eine wesentliche Neuerung ist das dreistufige Vorgehensmodell. Es ermöglicht Organisationen, ein BCMS entsprechend ihren Voraussetzungen schrittweise aufzubauen und weiterzuentwickeln.
Das Reaktiv-BCMS konzentriert sich auf grundlegende organisatorische Voraussetzungen zur Notfallbewältigung. Das Aufbau-BCMS erweitert die BCM-Aktivitäten systematisch, während das Standard-BCMS einen umfassenden und dauerhaft betriebenen Managementansatz beschreibt.
Dokumentation als Grundlage eines wirksamen Business Continuity Managements
Ein wirksames BCMS benötigt eine strukturierte und aktuelle Dokumentation. Sie muss einerseits organisatorische Vorgaben, Verantwortlichkeiten und Vorsorgemaßnahmen nachvollziehbar festlegen. Andererseits muss sie im Notfall konkrete Handlungsanweisungen bereitstellen, die auch unter erschwerten Bedingungen unmittelbar nutzbar sind.
Deshalb unterscheidet der BSI-Standard 200-4 zwischen Dokumenten für die Notfallvorsorge und solchen für die Notfallbewältigung.
Vorsorgedokumentation und Dokumentation zur Notfallbewältigung
Das Notfallvorsorgekonzept beschreibt die organisatorischen und methodischen Grundlagen des BCM. Dazu gehören insbesondere Strategien, Zuständigkeiten, Verfahren und Vorsorgemaßnahmen. Ergänzende Konzepte und Prozessbeschreibungen konkretisieren diese Vorgaben.
Das Notfallhandbuch enthält hingegen die Informationen zur Bewältigung konkreter Notfälle. Dazu zählen Melde- und Eskalationswege, Zuständigkeiten, Maßnahmen zur Aufrechterhaltung zeitkritischer Geschäftsprozesse sowie Wiederanlauf- und Wiederherstellungspläne.
Beide Dokumentationsbereiche bilden gemeinsam das übergreifende BC-Konzept. Dieses muss nicht als zusätzliches eigenständiges Dokument geführt werden.
Modularer Aufbau der Notfalldokumentation
Für die praktische Umsetzung empfiehlt sich ein modularer Aufbau. Anstelle eines umfangreichen, in sich geschlossenen Notfallhandbuchs werden die Informationen in fachlich zusammengehörigen Dokumentationsbausteinen verwaltet und miteinander verknüpft.
Ein solcher Aufbau erleichtert die Pflege, da einzelne Dokumentationsbestandteile unabhängig voneinander aktualisiert werden können. Der BSI-Standard 200-4 schreibt hierfür keine starre Dokumentenstruktur vor. Entscheidend ist, dass alle erforderlichen Inhalte abgebildet werden und die Informationen im Notfall verfügbar sind.
Integration der IT-Betriebsdokumentation
Viele Informationen, die im Notfall benötigt werden, liegen bereits in Betriebskonzepten, Systemdokumentationen, Architekturübersichten oder ITSM-Werkzeugen vor. Dazu gehören technische Abhängigkeiten, Systemkonfigurationen, Dienstleisterinformationen und Wiederherstellungsverfahren.
Diese Informationen sollten möglichst nicht redundant in eigenständigen Notfalldokumenten gepflegt werden. Sinnvoller ist eine gezielte Verknüpfung mit den vorhandenen Informationsquellen.
Wichtig für die praktische Umsetzung
Die Integration der Betriebsdokumentation erfordert auch ein Verfügbarkeitskonzept. Informationen, die im Notfall benötigt werden, müssen selbst dann zugänglich sein, wenn zentrale IT-Systeme ausfallen.
Pflege und Erprobung der Notfalldokumentation
Die Notfalldokumentation muss regelmäßig an organisatorische und technische Veränderungen angepasst werden. Deshalb sollte ihre Pflege in die bestehenden Änderungs- und Betriebsprozesse integriert sein.
Ergänzend dienen Übungen und Tests dazu, die Wirksamkeit der beschriebenen Maßnahmen zu überprüfen. Dabei erkannte Lücken und Schwachstellen müssen anschließend in die Dokumentationspflege zurückgeführt werden.
Hilfsmittel und Vorlagen des BSI
Das BSI stellt zum Standard 200-4 verschiedene Hilfsmittel bereit, darunter Dokumentvorlagen, Beispieltexte und Tabellen. Sie knüpfen teilweise an das frühere Umsetzungsrahmenwerk (UMRA) an und unterstützen unter anderem folgende BCM-Aufgaben:
Die Vorlagen erleichtern die Einführung eines BCMS, müssen jedoch an die organisatorischen Anforderungen und die vorhandene Dokumentationslandschaft angepasst werden.
Manuela Reiss · Fachbeitrag · Aktualisiert: Oktober 2026