Eine typische Situation: Im Rahmen einer Prüfung oder eines Audits bei der IT-Organisation wird festgestellt, dass ein Notfallhandbuch respektive Notfallpläne fehlen oder nicht wirklich brauchbar sind. Dies wird als Feststellung im Prüfungsbericht vermerkt, mit der Auflage, die Dokumente bis zur nächsten Prüfung zu erstellen. Viele IT-Organisationen in dieser Situation sehen sich damit einem Berg an Arbeit gegenüber, allerdings ohne wirklich zu wissen, was zu dokumentieren oder zu tun ist und wie man am besten beginnt. Im Beitrag zeigen wir Ihnen, was bei einem Notfallhandbuch für IT-Notfälle zu beachten ist.
Grundsätzlich gilt: Ein Notfallhandbuch muss alle Informationen enthalten, um im Notfall die erforderlichen Maßnahmen zur Wiederaufnahme der unterbrochenen kritischen Geschäftsprozesse durchführen zu können (wie man die kritischen Geschäftsprozesse ermitteln kann, stellen wir im Beitrag Wann wird aus einer Störung ein Notfall? vor). Denn trotz aller noch so sorgfältig geplanten und eingerichteten Notfallvorsorgemaßnahmen bleibt immer ein Restrisiko bestehen. Und für diese aus dem Restrisiko resultierenden Notfälle wird ein Notfallhandbuch benötigt. Dieses unter anderem die Notfallorganisation beschreiben, die im Notfall auszuführenden Verfahren definieren, Melde- und Eskalationswege festlegen und den Notbetrieb regeln. Hierbei muss es trotz der umfangreichen Anforderungen und der notwendigen Komplexität einfache und vollständige Handlungsanweisungen bieten. Der letzte Punkt ist deshalb besonders wichtig, damit in der Stresssituation eines Notfalls keine wichtigen Arbeitsschritte vergessen oder fehlinterpretiert werden.
Modularer Aufbau ist wichtig
Alle genannten Punkte nun aber in einem allumfassenden Notfallhandbuch zu beschreiben, ist aus verschiedenen Gründen nicht sinnvoll:
- Im Notfall müssen alle relevanten Informationen für die jeweilige Situation komprimiert zur Verfügung stehen. Ein hundert seitiges Notfallhandbuch hilft im konkreten Fall wenig.
- Bei jeder Änderung (etwa einer Änderung bei der Wiederherstellung spezifischer Daten) muss das komplette Handbuch angefasst und ggf. freigegeben werden.
- Es ist keine individuelle Berechtigungsvergabe auf die verschiedenen Informationen möglich. Neben allgemein zu veröffentlichen Informationen, wie die Informationen zum Ausweichstandort, werden auch vertrauliche Informationen, wie die ggf. sogar privaten Telefonnummern der Notfallkontakte benötigt. Letztere müssen zwingend besonders geschützt werden und dürfen beispielsweise nur dem Notfallstab zugänglich sein.
Wichtig ist deshalb ein modularer Aufbau der Dokumentation für die Notfallbewältigung. Hierbei bildet das Notfallhandbuch das zentrale Steuerungsdokument, das auf die weiteren Dokumente verweist. Das nachstehende Bild aus unserem Praxisbuch IT-Dokumentation zeigt die erforderlichen Bestandteile der Dokumentation für die Notfallbewältigung in Anlehnung an den Notfallstandard 100-4.
Inhalte des Notfallhandbuchs
Das eigentliche Notfallhandbuch muss vor allem organisatorische Regelungen enthalten und die folgenden Fragen beantworten:
- Wer hat welche Verantwortlichkeiten und Aufgaben?
- Welche Notfallbewältigungsmaßnahmen sind durchzuführen und welche Pläne sind dafür anzuwenden?
Diese Punkte sind organisationsweit zu regeln. Abhängig vom Unternehmen kann es aber auch sinnvoll respektive notwendig sein, ein gesondertes Notfallhandbuch für die IT-Organisation zu erstellen.
- Notfallorganisation
- Notfallorganisation (Notfallstab, Notfallteams u. a.)
- Alarmierungs- und Eskalationspläne bzw. Verweise auf Kommunikationspläne
- Alle erforderlichen Kontaktdaten auch von Dienstleistern
- Verweise auf zusätzlich erforderliche Informationen (z. B. Netzwerkpläne oder Raumpläne)
- Vorgaben und Vorlagen für die Dokumentation während der Notfall
- Notfallbewältigung
- Verweise auf die Geschäftsfortführungspläne beispielsweise für spezifische Szenarien, einschließlich Wiederanlaufpläne
- Wiederherstellungspläne für kritische Systeme (für den Notbetrieb und den Normalbetrieb)
Der Grad der Detaillierung muss sich dabei an der jeweiligen Zielgruppe orientieren und so gestaltet sein, dass ein sachverständiger Dritter ohne Kenntnis von den spezifischen Systemen in der Lage ist, die Aufgaben durchzuführen.
Ihr Vorteil: Sie wünschen sich eine Dokumentation für Ihren IT-Betrieb, die auch in einem möglichen Notfall alle erforderlichen Informationen bereitstellt. Wir zeigen Ihnen, wie Sie beide Anforderungen miteinander verbinden können. Mehr erfahren …
Wichtig ist es auch die Rollen für die Notfallbewältigungsorganisation eindeutig festzulegen und zu dokumentieren. In der Praxis wird sich zwar die Notfallorganisation einer IT-Abteilung kaum von derjenigen des Tagesgeschäftes unterscheiden, doch ist in Notfällen häufig eine zeitlich befristete Veränderung oder Erweiterung von Befugnissen erforderlich, die zu definieren und zu dokumentieren sind. So ist zu berücksichtigen, dass möglicherweise Mitarbeiter in Aufgaben des übergeordneten Notfallmanagements eingebunden sind und daher den IT-Notfallteams nicht zur Verfügung stehen.
Zusätzlich zu dem eigentlichen Notfallhandbuch werden eine Reihe zusätzlicher Pläne benötigt, zu denen u. a. der Notfall- und Krisenkommunikationsplan, die Geschäftsfortführungspläne und die Wiederanlauf- und Wiederherstellungspläne zählen als separate Dokumente verwaltet werden (mit Verweisen im Notfallhandbuch).
Die Rolle der IT-Betriebsdokumentation
Die IT-Notfalldokumentation besteht jedoch nicht nur aus den explizit für das Notfallmanagement erstellten Dokumenten. Eine zentrale Rolle spielt auch die Dokumentation für den IT-Systembetrieb. Hierzu sollte die Systemdokumentation neben den Daten beispielsweise für die Serversysteme auch Angaben zum Standort, zu den Verantwortlichkeiten und den Vertragsdaten wie Lizenzen, Garantien, Service-Level-Agreements oder Wartungsabkommen beinhalten. Hinzu kommen Anforderungen an die Abbildung der Beziehungen zwischen den verschiedenen Systemen. Hier sollte die Dokumentation insbesondere die folgenden Fragen beantworten können:
- Welche Prozesse sind betroffen, wenn System XY ausfällt?
- Welche Systeme werden für die Bereitstellung des Service XY benötigt?
- Wie sehen die Datenströme für den Prozess XY aus?
- Auf welchen Systemen läuft die Anwendung XY?
Außerdem sollte die Systemdokumentation Informationen zum möglichen Notbetrieb der jeweiligen Systeme liefern.
Nachfolger des Standard 100-4 als Community Draft veröffentlicht
Die Ausführungen des Beitrags beziehen sich auf den aktuell gültigen Standard 100-4. Das BSI hat Anfang 2021 einen Community Draft Version des Nachfolgers 200-4 veröffentlicht. Ein weiterer Community Draft 2.0 des Standards 200-4 wird geplant im Winter 2021/2022 veröffentlicht. Wir stellen Ihnen den neuen Standard im Beitrag BSI Standard 200-4 – Neuer BCM-Standard für das Notfallmanagement vor.
Manuela Reiss dokuit®