WISSEN KOMPAKT
BSI Standard 200-4 – Neuer BCM-Standard für das Notfallmanagement
Das Umsetzungsrahmenwerk für das Notfallmanagement – kurz UMRA – unterstützte Organisationen bei der Umsetzung des damaligen BSI‑Standards 100‑4. Es stellte nicht nur Dokumentvorlagen bereit, sondern lieferte auch Ausfüllanleitungen, Leitfäden, Checklisten, Erhebungsbögen und Präsentationsvorlagen für den Aufbau eines Notfallmanagements.
Das frühere UMRA wird in dieser Form nicht fortgeführt. Stattdessen stellt das Bundesamt für Sicherheit in der Informationstechnik (BSI) ergänzende Hilfsmittel für die praktische Umsetzung eines Business-Continuity-Management Systems (BCMS) bereit. Die Hilfsmittel sind weit mehr als eine Sammlung einzelner Vorlagen. Richtig eingesetzt unterstützen sie dabei, BCM‑Strukturen aufzubauen, erforderliche Dokumente zu erstellen und den BCM-Prozess kontinuierlich weiterzuentwickeln.
Hilfsmittel des BSI für die BCM-Umsetzung
Der BSI-Standard 200-4 beschreibt, wie ein Business Continuity Management System aufgebaut und betrieben werden kann. Mehr zum aktuellen Standard erfahren Sie im Beitrag BSI-Standard 200-4: BCM-Standard für das Notfallmanagement.
Die dazugehörigen Hilfsmittel erleichtern die Umsetzung mit Musterinhalten, Tabellen, Beispielen und Arbeitshilfen.
Sie behandeln unter anderem folgende Themen:
- BCM-Leitlinie und BCM-Organisation,
- Business Impact Analyse (BIA),
- BC-Strategien,
- Notfallvorsorgekonzept,
- Notfallhandbuch,
- Geschäftsfortführungspläne,
- Wiederanlauf- und Wiederherstellungspläne,
- Notfall- und Krisenkommunikation,
- Übungs- und Testkonzept,
- Maßnahmenplanung und kontinuierliche Verbesserung,
- Outsourcing sowie Liefer- und Leistungsketten.
Die Hilfsmittel orientieren sich grundsätzlich am vollständigen Standard-BCMS. Je nach Ausgangslage können sie jedoch auch angepasst genutzt werden, wenn ein BCMS zunächst schrittweise aufgebaut wird.
Vorlagen sind ein Startpunkt – keine fertige Notfalldokumentation
Vorlagen sparen Zeit und sorgen für eine sinnvolle Grundstruktur. Sie ersetzen jedoch nicht die fachliche Auseinandersetzung mit der eigenen Organisation.
Jede Institution hat eigene Geschäftsprozesse, Verantwortlichkeiten, Standorte, IT‑Services, Dienstleister, Risiken und regulatorische Anforderungen. Deshalb müssen Vorlagen vor der Nutzung sorgfältig geprüft und angepasst werden. Insbesondere sind folgende Fragen zu beantworten:
- Welche Geschäftsprozesse sind für die Organisation zeitkritisch?
- Welche Ressourcen, Anwendungen, Daten, Personen und Dienstleister werden für ihre Fortführung benötigt?
- Wer darf einen Notfall ausrufen und wer übernimmt welche Aufgabe?
- Welche Kommunikationswege und Eskalationsregelungen gelten?
- Welche Maßnahmen sind im Notbetrieb tatsächlich umsetzbar?
- Wie werden Pläne getestet, gepflegt und verbessert?
Nicht benötigte Mustertexte müssen entfernt und allgemeine Formulierungen durch organisationsspezifische Regelungen ersetzt werden. Zudem benötigt jedes Dokument eindeutige Verantwortlichkeiten, eine geregelte Freigabe und eine regelmäßige Überprüfung.
Notfallhandbuch und Notfallpläne
Auch bei einem gut etablierten BCM bleibt ein Restrisiko. Für Schadenereignisse, die zeitkritische Geschäftsprozesse gefährden oder unterbrechen können, werden belastbare und anwendbare Notfallpläne benötigt.
Das Notfallhandbuch bündelt dabei die für die Notfallbewältigung wesentlichen Regelungen und Informationen. Abhängig von Organisation und Dokumentationskonzept kann es einzelne Pläne enthalten oder auf separat geführte Dokumente verweisen.
Typische Bestandteile sind:
- Alarmierung und Eskalation,
- Aufgaben und Befugnisse der Notfallorganisation,
- Notfall- und Krisenkommunikation,
- Sofortmaßnahmen,
- Geschäftsfortführungspläne für den Notbetrieb,
- Wiederanlauf- und Wiederherstellungspläne für IT‑Services, Anwendungen, Infrastruktur und Daten,
- Kontaktdaten sowie weitere einsatzrelevante Informationen.
Entscheidend ist nicht, ob alle Inhalte in einem einzigen Dokument oder in mehreren abgestimmten Dokumenten verwaltet werden. Sie müssen im Notfall schnell verfügbar, verständlich, aktuell und praktisch nutzbar sein.
Hilfsmittel nutzen und dauerhaft pflegen
Nicht jede Organisation muss ein BCMS sofort im maximalen Umfang aufbauen. Der BSI-Standard 200-4 ermöglicht einen angemessenen und stufenweisen Einstieg:
- Reaktiv-BCMS: Konzentration auf die Fähigkeit, ausgewählte Notfälle zu bewältigen.
- Aufbau-BCMS: schrittweise und risikoorientierte Erweiterung der BCM-Maßnahmen.
- Standard-BCMS: vollständiges BCMS für den festgelegten Geltungsbereich.
Die Hilfsmittel können in jeder dieser Stufen Orientierung geben. Wichtig ist, die Reihenfolge an der eigenen Risikolage und den zeitkritischen Geschäftsprozessen auszurichten.
Ihr Nutzen entsteht jedoch erst durch die konsequente Pflege, Übungen und Verbesserungen.
Dokumente sollten daher nicht nur erstellt, sondern auch:
- fachlich geprüft und freigegeben,
- für die zuständigen Rollen zugänglich gemacht,
- in Übungen und Tests erprobt,
- nach Änderungen und Ereignissen aktualisiert sowie
- regelmäßig auf Aktualität und Umsetzbarkeit überprüft werden.
Ihr Vorteil: Eine wirksame Notfalldokumentation stellt im Ernstfall die richtigen Informationen für jede Rolle bereit – vom IT-Betrieb bis zum Notfallstab. Wir unterstützen Sie dabei, Ihre vorhandenen Unterlagen zu bewerten, fehlende Dokumente gezielt zu ergänzen und eine modulare, praxistaugliche Dokumentationsstruktur aufzubauen. Dazu gehören beispielsweise Notfallhandbuch, Kommunikations- und Notfallpläne sowie Wiederanlaufpläne für IT-Systeme.
Mehr über unsere Unterstützung bei der IT-Notfalldokumentation erfahren …
FAQs zu BSI-Hilfsmittel und Notfallmanagement
Was ist eine Business Impact Analyse (BIA)?
Die Business Impact-Analyse identifiziert zeitkritische Geschäftsprozesse und bewertet die Folgen ihres Ausfalls. Sie bildet die Grundlage, um Wiederanlaufzeiten, Ressourcenabhängigkeiten und erforderliche Notfallvorsorgemaßnahmen festzulegen.
Wie hängen Notfallvorsorgekonzept und Notfallhandbuch zusammen?
Das Notfallvorsorgekonzept beschreibt Strategien, organisatorische Regelungen und Maßnahmen zur Vorbereitung auf Notfälle. Das Notfallhandbuch enthält die Informationen und konkreten Handlungsanweisungen für die Bewältigung eines eingetretenen Notfalls. Beide Dokumente ergänzen sich und bilden zusammen das BC-Konzept beziehungsweise Notfallkonzept.
Was unterscheidet Wiederanlaufpläne von Wiederherstellungsplänen?
Wiederanlaufpläne beschreiben, wie zeitkritische Prozesse oder IT-Services nach einem Ausfall zunächst im Notbetrieb wieder aufgenommen werden.
Wiederherstellungspläne regeln anschließend die Rückkehr zum vollständigen Regelbetrieb – etwa durch Ersatz beschädigter Ressourcen oder die Wiederherstellung der ursprünglichen.
In der Praxis werden die Begriffe „Wiederanlaufplan“ und „Wiederherstellungsplan“ häufig vermischt oder sogar synonym verwendet – insbesondere in kleineren Organisationen oder wenn die Notfalldokumentation historisch gewachsen ist.