Was ist ein Geschäftsfortführungsplan (BCP)?

Das Hauptziel des Geschäftsfortführungsplans ist es, den Schutz und, falls erforderlich, die Wiederherstellung von Vertrauenswürdigkeit, Integrität und Verfügbarkeit der Unternehmensfunktionen, IT-Assets und Unterstützungsprozesse zu gewährleisten. Der BCP sorgt dafür, dass auch im Falle eines unvorhergesehenen Ereignisses das Unternehmen so schnell wie möglich wieder in den Normalbetrieb zurückkehren kann.

Bedeutung der Zusammenarbeit

Die Erstellung und Implementierung eines BCP erfordert eine enge Zusammenarbeit zwischen verschiedenen internen und externen Akteuren. Dies betrifft nicht nur die Führungsebene, sondern auch Abteilungen wie IT, Compliance, Recht, und Sicherheit sowie externe Dienstleister und Partner.

Die wichtigsten Bestandteile eines BCP

1. Identifikation von Risiken

Der erste Schritt bei der Erstellung eines BCP besteht darin, die Risiken zu identifizieren, die das Unternehmen gefährden könnten. Dies umfasst nicht nur technische Risiken wie IT-Ausfälle, sondern auch naturbedingte Katastrophen (z. B. Überschwemmungen, Erdbeben), rechtliche Risiken (z. B. neue gesetzliche Regelungen) und wirtschaftliche Risiken (z. B. Marktkrisen).

2. Business Impact Analyse (BIA)

Die Business Impact Analyse (BIA) dient der Bewertung der Auswirkungen von Störungen auf kritische Geschäftsprozesse. Sie hilft dabei, die zeitkritischen Aktivitäten und Prozesse zu identifizieren, deren Ausfall katastrophale Folgen für das Unternehmen haben könnte. Diese Analyse ist die Grundlage für die Priorisierung der Wiederherstellungsmaßnahmen.

3. Wiederherstellungsstrategien

Auf Basis der Ergebnisse der BIA entwickelt das Unternehmen Wiederherstellungsstrategien. Diese Strategien legen fest, wie das Unternehmen nach einer Störung oder Katastrophe schnellstmöglich wieder in den Normalbetrieb zurückkehrt. Dabei werden sowohl technologische Lösungen als auch personelle und organisatorische Maßnahmen definiert.

4. Testen und Üben

Ein BCP muss nicht nur entwickelt, sondern auch regelmäßig getestet und geübt werden. Hierbei kommen Notfallszenarien zum Einsatz, um die Wirksamkeit des Plans zu überprüfen und sicherzustellen, dass alle Beteiligten wissen, was im Ernstfall zu tun ist.

5. Kommunikation

Die Kommunikation im Notfall ist ebenso wichtig wie die technischen Maßnahmen. Der BCP sollte klare Kommunikationskanäle festlegen, um im Krisenfall eine schnelle und koordinierte Reaktion sicherzustellen. Dies betrifft sowohl die interne Kommunikation innerhalb des Unternehmens als auch die externe Kommunikation mit Kunden, Lieferanten und Behörden.

6. Überwachung und Verbesserung

Ein BCP ist ein lebendes Dokument, das regelmäßig überprüft und aktualisiert werden muss. Dies beinhaltet die Überwachung der Risikosituation sowie die Evaluierung der Wirksamkeit der Wiederherstellungsstrategien nach jedem Test oder echten Vorfall. Bei Bedarf wird der Plan angepasst, um mit sich ändernden Rahmenbedingungen Schritt zu halten.

• Kernanforderung von DORA:
  DORA verpflichtet Unternehmen im Finanzsektor (z.B. Banken, Versicherungen, Zahlungsdienstleister), ihre digitale Betriebsresilienz systematisch und nachweisbar zu gewährleisten. Ein zentrales Element dabei ist die Fähigkeit, bei schwerwiegenden IT-Störungen oder Cybervorfällen die Geschäftsprozesse möglichst ohne Unterbrechung weiterzuführen.

• BCP als Pflichtbestandteil:
  Unter DORA ist das Vorhalten und regelmäßige Testen eines Geschäftsfortführungsplans verpflichtend. Der BCP muss darlegen, wie kritische Funktionen und Dienstleistungen auch während und nach schwerwiegenden Störungen fortgeführt werden – und dies mit spezifisch auf digitale Risiken zugeschnittenen Maßnahmen.

• Konkrete Vorgaben:
  DORA schreibt unter anderem vor:

  • Identifikation kritischer Geschäftsprozesse und IT-Systeme,

  • regelmäßige Risikoanalysen und Szenariotests (z.B. Cyberattacken, Systemausfälle),

  • Notfallkommunikationspläne und Meldepflichten gegenüber Behörden,

  • klare Wiederherstellungsziele (RTO, RPO) und Ressourcenplanung,

  • laufende Überarbeitung und Anpassung des BCP an neue Bedrohungslagen.

Fazit:
Mit DORA wird der Geschäftsfortführungsplan für Finanzunternehmen zu einer gesetzlichen Vorgabe. Ein effektiver BCP stellt sicher, dass digitale operative Risiken beherrscht werden und der Geschäftsbetrieb auch in Krisensituationen aufrechterhalten werden kann. Er ist damit ein zentrales Instrument zur Erfüllung der digitalen Resilienzpflichten nach DORA.

Sichere jetzt die Zukunft deines Unternehmens: Melde dich zum S+P Lehrgang „Resilience Officer: Krisenmanagement im S+P Lehrgang“ an und werde zur Schlüsselfigur für Resilienz und Krisenmanagement! Profitiere von praxisnahen Tools, modernem Fachwissen und wertvollen Networking-Möglichkeiten – jetzt informieren und Platz sichern!