Hält Ihr Business Continuity Plan dem ersten Ernstfall stand?
Klare Rollen, realistische Wiederanlaufzeit (Recovery Time Objective, RTO) und maximal zulässiger Datenverlust (Recovery Point Objective, RPO) sowie geübte Notfallmassnahmen entscheiden. Dieser Beitrag zeigt, wie Sie einen praxistauglichen Business Continuity Plan erstellen, der kritische Geschäftsprozesse sichert, die Kommunikation steuert und mit dem Disaster Recovery Plan zusammenspielt – im Einklang mit ISO 22301 (Managementsysteme für Business Continuity) und ISO 27031 (IKT-Readiness für Business Continuity).
Blogserie: Business Continuity Management
Dieser Blogartikel ist der Leitartikel einer mehrteiligen Serie der sich an Entscheidungsträger und Fachverantwortliche aus BCM, Risikomanagement, IT und anderen Unternehmensbereichen richtet. Es gibt einen Überblick, wie die einzelnen Elemente des Business Continuity Management Systems aufgebaut sind und gemeinsam zur Stärkung resilienter Geschäftsprozesse beitragen.
Dies ist Teil 7 von 10 der Serie über die Erstellung eines Business Continuity Plan.
Teil 1: Der Aufbau eines Business Continuity Management Systems (BCMS)
Teil 2: Tipps zur Erstellung einer Business Impact Analyse (BIA)
Teil 3: Risikoanalyse: Checkliste zur Erstellung einer Risikoanalyse
Teil 4: BCM-Strategie: Ziele und Elemente der BCM-Strategie
Teil 5: Konzeption und Implementierung
Teil 6: Organisation und Prozesse
Teil 8: Tests, Reviews und Training
Teil 9: Pflege und Aktualisierung
Teil 10: Krisenmanagement
Ziel und Nutzen eines Business Continuity Plans (BCP)
Der Business Continuity Plan (BCP) ist das zentrale Instrument zur Umsetzung der BCM-Strategie im Ereignisfall. Er beschreibt konkrete Handlungsanweisungen zur Stabilisierung und Wiederherstellung kritischer Geschäftsprozesse und IT-Systeme.
Wesentliche Ziele eines BCP:
- Reaktion auf definierte Ausfallszenarien festlegen
- Fortführung bzw. Wiederherstellung kritischer Geschäftsprozesse sicherstellen
- Rollen, Ressourcen und Kommunikation im Krisenfall koordinieren
- Reaktionszeiten verkürzen und Unsicherheiten reduzieren
Ein BCP ist kein statisches Dokument. Er wird in regelmässigen Übungen und Tests überprüft und laufend aktualisiert, damit er in der Praxis funktioniert.
Der BCP baut auf den Ergebnissen der Business Impact Analyse (BIA) und der Risikoanalyse auf. Kritische Prozesse (inkl. RTO/RPO) sowie identifizierte Bedrohungen und Schwachstellen bilden die Grundlage für die Notfallpläne. Die BCM-Strategie liefert dazu die übergeordneten Leitplanken – der BCP setzt diese operativ um.
Dieses Vorgehen entspricht den Empfehlungen und Anforderungen von ISO 22301:2019, ISO 27031:2011 und dem BSI-Standard 200-4 sowie relevanten Regulatorien (z. B. FINMA, DORA, NIS2).
Die folgende Abbildung ordnet den BCP im BCMS-Zyklus ein – zwischen «Organisation & Prozesse» und «Tests, Reviews & Training». Sie zeigt: Der BCP baut auf den vorhergehenden Modulen auf und ist zugleich Voraussetzung für wirksame Tests und Schulungen.
Aufbau und Inhalt eines Business Continuity Plans (BCP)
Ein professioneller Business Continuity Plan ist modular aufgebaut und prozessspezifisch gegliedert. Je nach Branche und Organisation kann der Aufbau variieren – zentral sind Vollständigkeit, Praxistauglichkeit und Anwendbarkeit im Ereignisfall.
Elemente eines vollständigen BCP (BCP-Template)
- Allgemeine Informationen zum Dokument: Titel, Version, Erstellungsdatum, verantwortliche Stelle
Praxisbeispiel:
Kurze Beschreibung der Notfallsituation mit Hinweis, dass ein Brand in der Tiefgarage die Evakuation des gesamten Gebäudes erforderlich macht und die Arbeitsfähigkeit durch Homeoffice sichergestellt wird.
- Zielsetzung und Geltungsbereich: Kurzinformation zum Prozess (Departement, Beschreibung, Wichtigkeit, Zuordnung kritische Ressourcen etc.)
Praxisbeispiel:
Ziel ist es, die Sicherheit aller Mitarbeitenden zu gewährleisten und die Fortführung der kritischen Geschäftsprozesse durch Homeoffice sicherzustellen. Geltungsbereich umfasst alle Standorte und Mitarbeiter, die von der Evakuation betroffen sind.
- Szenarienbezug bzw. Problembeschreibung (je Szenario: was steht im Rahmen der Ereignisbewältigung im Vordergrund; was ist dringend zu beachten?)
Praxisbeispiel:
Brand in der Tiefgarage führt zur sofortigen Evakuation des Gebäudes. Mitarbeitende sammeln sich am Sammelplatz. Entscheidung fällt, dass vorerst keine Rückkehr ins Gebäude möglich ist, daher Weiterarbeit im Homeoffice.
- Verantwortlichkeiten und Organisation im Ereignisfall (Interne Schlüsselpersonen, externe Dienstleister, Behörden)
Praxisbeispiel:
Evakuationsbeauftragter koordiniert das sichere Verlassen des Gebäudes. IT-Support stellt sicher, dass alle betroffenen Mitarbeitenden Zugang zum VPN und Homeoffice-System erhalten.
- Notfallkommunikation: Kanäle, Templates, Freigabeprozesse für Mitteilungen (intern / extern)
Praxisbeispiel:
Alarmierung über Lautsprecher und Handys. Sammelplatz wird per SMS bestätigt. IT informiert via E-Mail und Chat über Homeoffice-Anmeldung. Kommunikationsvorlagen für interne Updates und externe Informationen (z.B. Lieferanten) sind vorbereitet.
- Notfallmassnahmen / Wiederanlaufverfahren: Sofortmassnahmen, Massnahmen mit Kurzbeschreibung, schrittweise Anleitungen für Reaktion, Umschaltung, Notbetrieb, allfällige Links auf weiterführende Dokumente / Checklisten u.a.
Praxisbeispiel:
Sofortige Evakuierung laut Evakuierungsplan. IT aktiviert Remote-Work-Prozesse. Fachabteilungen setzen Prioritäten für Homeoffice-Arbeiten. Support-Hotline für technische Probleme wird eingerichtet.
- Rückkehr in den Normalbetrieb (was muss beachtet werden bei der Rückkehr in die Normalorganisation?)
Praxisbeispiel:
Freigabe des Gebäudes. Rückkehr erst nach offizieller Freigabe durch Feuerwehr oder zuständige Sicherheitsbehörde.
Angebot von medizinischer Untersuchung oder Unterstützung bei möglichen Rauchbelastungen. Psychosoziale Betreuung, falls Mitarbeitende durch das Ereignis belastet sind.
- Wartung und Unterhalt des BCPs (inklusive Schulung)
Praxisbeispiel:
Regelmässige Evakuationsübungen simulieren das Szenario Brand in der Tiefgarage. Fachbereiche arbeiten regelmässig via Homeoffice. Regelmässige inhaltliche Überprüfung der BCPs. Verankerung der BCPs im IKS.
- Prüfung und Genehmigung des Dokuments
Praxisbeispiel:
Initial bzw. periodisch gemäss IKS.
- Anhänge (Listen / Kontakte u.a.)
Praxistipp:
Beginnen Sie mit einem sog. «One-Pager», auf welchem Sie die wichtigsten Fakten zusammenfassen. Darauf basierend können Sie den BCP sukzessive erweitern.
Erstellung und Pflege des Business Continuity Plans (BCP)
Wir empfehlen eine Vorgehensweise in 5 Schritten:
- Auswahl kritischer Prozesse – basierend auf BIA-Ergebnissen (inkl. RTO/RPO).
- Strukturelle Vorlage definieren – einheitliches BCP-Template mit Pflichtinhalten und klarer Versionierung.
- Beteiligte einbinden – Kick-off-Meeting mit Fachbereichen; Ziele, Hilfsmittel und Template erläutern.
- Inhalte dokumentieren – durch die Fachbereiche oder gemeinsam; bei Eigenerstellung sind 1–2 Statusmeetings sinnvoll.
- Qualitätssicherung und Freigabe – Review durch Vorgesetzte; Pflege durch Prozess- bzw. BCM-Verantwortliche im Fachbereich.
Praxistipp:
Kommunizieren Sie früh einen Termin für den BCP-Test. Starten Sie mit einem Walkthrough und führen Sie später praktische Tests durch. Hinweise zur Organisation des Walkthroughs finden Sie im Anhang.
Typische Fallstricke bei der BCP-Erstellung
Im Folgenden typische Schwierigkeiten – und wie sie sich vermeiden lassen:
- Keine Verankerung im Management / unklare Zuständigkeiten
Risiko: Der BCP bleibt ein Papierdokument.
Best Practice: Offiziellen Auftrag sichern, Bezug zur BCM-Policy herstellen, Ressourcen allozieren. - Fehlender Szenarienbezug
Risiko: Pläne sind zu allgemein und im Ernstfall wenig hilfreich.
Best Practice: Auf BIA, Risikoanalyse und BCM-Strategie abstützen; konkrete Ausfallszenarien definieren. - Lücken zwischen BCP, IT-Notfall- und Krisenplänen
Risiko: Redundanzen, Zuständigkeitslücken.
Best Practice: BCP mit Disaster Recovery Plan (DRP) und Krisenorganisation verzahnen; Übergaben klar beschreiben. - Unklare Rollen und Eskalation
Risiko: Zeitverlust in der Krise.
Best Practice: AKV-Prinzip (Aufgaben, Kompetenzen, Verantwortung) anwenden; Stellvertretungen und Eskalationswege festlegen. - Keine Tests und Übungen
Risiko: Schwachstellen werden zu spät erkannt.
Best Practice: Regelmässige Tests/Übungen einplanen (Walkthrough → Teil-/Praxistests); Mitarbeitende schulen. - Veraltete oder überfrachtete Inhalte
Risiko: Kontaktdaten, Systeme, Prozesse stimmen nicht; Pläne werden im Ereignisfall nicht genutzt.
Best Practice: Fixen Review-Zyklus etablieren, Verantwortlichkeiten für Pflege definieren; Checklisten statt Textwüsten.
BCP vs. DRP: Gemeinsamkeiten und Unterschiede
Die nachfolgende Tabelle zeigt die Gemeinsamkeiten und Unterschiede von BCP und DRP auf:
| Aspekt | BCP – Business Continuity Plan | DRP – Disaster Recovery Plan |
|---|---|---|
| Zielsetzung | Aufrechterhaltung von Geschäftsprozessen im Notfall | Wiederherstellung von IT-Systemen und Daten |
| Fokus | Prozesse, Organisation, Personal, Kommunikation | IT-Systeme, Daten, Infrastruktur |
| Typische Inhalte | Notfallorganisation, Ersatzprozesse, Kommunikationspläne | Backup-/Recovery-Prozeduren, Server-/Netzwerk-Wiederanlaufpläne |
| Zuständige Rollen | BCM, Fachbereiche, Krisenstab, Kommunikation | IT-Fachabteilungen (Engineering, Betrieb, Systemadministration) |
| Startzeitpunkt | Ab Ausbruch eines Ereignisses (sofortige Reaktion erforderlich) | Nach IT-Ausfall / zu Testzwecken oder teils im Rahmen von Wartungsarbeiten |
| Dauer des Einsatzes | Kann über Tage oder Wochen gehen | Kurzfristig: Fokus auf technische Wiederherstellung |
| Normen/Standards | ISO 22301, BSI 200-4, DORA, FINMA | ISO 27031, NIST 800-34, ISO 27001/27005 |
Merksatz: Der BCP ist das Dach, unter dem der DRP als technischer Wiederherstellungsplan angesiedelt ist.
Anhänge
Anhang 1 – Der BCP in internationalen Standards:
Weitere Informationen zur Durchführung einer Risikoanalyse finden Sie in verschiedenen internationalen Standards:
ISO/IEC 22301:2019 – Security and resilience – Business continuity management systems – Requirements
- Internationaler BCM-Standard für Business Continuity Management (BCM)
- Kapitel 8 – Operation: Umsetzung von Business Continuity Plänen
- BCP als strukturierter Prozess zur Sicherstellung der Fortführung kritischer Geschäftsprozesse bei Störungen
- Planung und Kontrolle von BCP auf Basis der Business Impact Analysis (BIA) und Risikoanalyse
- Regelmässige Tests und Übungen der BCP zur Wirksamkeitssicherung
- Ziel: Verantwortlichkeiten und Zuständigkeiten für BCP sind klar definiert
ISO 22313:2020 – Security and Resilience – Business Continuity Management Systems – Guidance
- Leitfaden zur ISO 22301 mit praxisorientierten Empfehlungen
- Kapitel 7 & 8: Planung, Entwicklung und Umsetzung von BCP
- Einbindung von BCP in das BCM-Managementsystem
- Erläuterung der Notfallstrategien und Wiederanlaufverfahren
- Beschreibung des PDCA-Zyklus für BCP
- Deutscher BCM-Standard vom Bundesamt für Sicherheit in der Informationstechnik (BSI)
- Kapitel 8 & 9: Entwicklung und Durchführung der Risikoanalyse als Basis für BCP
- Verknüpfung von BIA, Schutzbedarfsfeststellung und BCM-Szenarien
- Detaillierte Vorgaben zur Entwicklung, Implementierung und Prüfung von BCP
- Betonung von Übungen, Dokumentation und fortlaufender Verbesserung
- Geeignet für öffentliche Verwaltungen und Unternehmen jeder Grösse
ISO/IEC 27031:2011 – Guideline for ICT readiness for business continuity
- Schwerpunkt auf IT- und Telekommunikationsaspekten von BCP
- Kapitel 5-7: Anforderungen an IT-Notfallpläne, Wiederherstellung und IT-BCP-Management
- Rollen und Verantwortlichkeiten im IT-BCP
- Schnittstellen zu IT-Sicherheitsmanagement und IT-Service-Management
- Ziel: Minimierung von Ausfallzeiten kritischer IT-Dienste
FINMA-Rundschreiben 2023/1 – «Operationelle Risiken und Resilienz – Banken»
- Anforderungen der Schweizer Finanzmarktaufsicht an BCP und Resilienz für Banken und Versicherer in der Schweiz
- Ziffer 13-14: Identifikation kritischer Geschäftsprozesse und Ressourcen
- Ziffer 34-35: Szenarioanalysen und Notfallplanungen
- Implizite Verpflichtung zur Dokumentation, Prüfung und regelmäßigen Aktualisierung der BCP
- Weiterführender Link: https://www.finma.ch/de/dokumentation/dossier/dossier-cyberrisiken/auf-einen-blick-cyberrisiken/
ENISA Guidelines (EU) – für kritische Informationsinfrastrukturen
- EU-weite Leitlinien der European Union Agency for Cybersecurity (ENISA)
- Kapitel 4 & 5: Entwicklung, Implementierung und Testen von BCP
- Risikoidentifikation, Schutzmassnahmen und Wiederherstellung
- Best Practices für Krisenmanagement und Kommunikation
- Grundlage für sektorübergreifende Resilienzmassnahmen
EU NIS-2 – Richtlinie über Massnahmen für ein hohes gemeinsames Sicherheitsniveau (seit Okt. 2024)
- Richtlinie für Betreiber kritischer und wichtiger Einrichtungen in der EU
- Verpflichtung zur Implementierung und regelmäßigen Aktualisierung von BCP
- Artikel 21: Technische und organisatorische Maßnahmen, inklusive Risikoanalysen und BCP
- Anforderungen an Mitarbeiterschulungen und Übungen
Relevant für Energie, Gesundheit, Wasser, Transport, Finanzwesen, digitale Infrastruktur, öffentliche Verwaltung, Krypto Anbieter, ICT-Dienstleister u.v.m
EU DORA – Digital Operational Resilience Act (seit 2025 vollständig wirksam)
- Verordnung zur Stärkung der operationellen Resilienz für Finanzunternehmen in der EU
- Verordnung zur Stärkung der operationellen Resilienz von Finanzunternehmen
- Artikel 5-10, 15: Anforderungen an ICT-Risikomanagement einschließlich BCP
- Risikoidentifikation, Prävention, Detektion, Reaktion und Wiederherstellung
- Regelmässige Tests und Dokumentation der BCP-Massnahmen
- Relevant für Banken, Versicherungen, Krypto Anbieter, ICT-Dienstleister
CRA – Cyber Resilience Act (EU, seit Dezember 2024 in Kraft, gültig ab 2027)
- EU-weit gültige Verordnung zur Cyberresilienz von Produkten mit digitalen Elementen
- Artikel 13: Anforderungen an Risikobewertung und technische Dokumentation, inkl. BCP-Aspekte
- Kontinuierliche Überwachung und Verbesserung der Schutzmaßnahmen
- Schutz der Betriebsfähigkeit während des gesamten Produktlebenszyklus
Anhang 2 – Überprüfung eines BCPs mittels Walkthrough
Ziel
Das Ziel des Walkthroughs ist es, den BCP in einer strukturierten Sitzung mit allen relevanten Stakeholdern durchzugehen, um sicherzustellen, dass Inhalte vollständig, verständlich und realistisch sind.
Vorbereitung
- Einladung aller relevanten Beteiligten (BCM-Verantwortliche, Fachbereichsleiter, IT, Kommunikation, Sicherheitsbeauftragte etc.)
- Verteilung der aktuellen BCP-Version vorab
- Definition der Agenda und der zu prüfenden Kapitel
Ablauf des Walkthroughs
1. Begrüssung und Zielsetzung
Kurzvorstellung der Teilnehmer und Erläuterung des Zwecks und Ablaufs des Walkthroughs.
2. Kapitelweises Durchgehen des BCP
Abschnitt für Abschnitt gemeinsam lesen und besprechen:
- Sind die Zuständigkeiten klar?
- Sind die Notfallmassahmen realistisch und nachvollziehbar?
- Sind die Kommunikationswege definiert?
- Gibt es fehlende Informationen?
3. Identifikation von Lücken und Unklarheiten
Alle offenen Punkte, Unklarheiten und mögliche Risiken werden dokumentiert.
4. Diskussion von Verbesserungsvorschlägen
Vorschläge zur Anpassung, Ergänzung oder Vereinfachung werden gesammelt.
5. Festlegung der nächsten Schritte
Verantwortlichkeiten für die Nacharbeitung von Änderungen und Festlegung eines Zeitplans für die Überarbeitung.
6. Abschluss und Zusammenfassung
Kurze Zusammenfassung der Ergebnisse und Dank an die Teilnehmer.
Nachbereitung
- Protokollierung aller besprochenen Punkte und Aufgaben
- Verteilung des Protokolls an alle Teilnehmer
- Integration der Änderungen in den BCP
Anhang 3 – Glossar
Business Continuity Management BCM
BCM ist ein Managementsystem mit dem Ziel, die Widerstandsfähigkeit einer Organisation gegenüber schwerwiegenden Störungen zu erhöhen und die Fortführung kritischer Geschäftsprozesse sicherzustellen.
Business Impact Analyse BIA
Die BIA ist ein Verfahren zur Identifikation kritischer Geschäftsprozesse, ihrer Abhängigkeiten und der Auswirkungen von Ausfällen. In der BIA werden Auswirkungskennzahlen wie maximale Wiederanlaufzeiten (RTO) und der maximale Datenverlust (RPO) bestimmt.
Business Continuity Plan BCP
Der BCP ist die dokumentierte Umsetzung der BCM-Strategie für definierte Ausfallszenarien. Er enthält detaillierte Notfallverfahren, Verantwortlichkeiten, Kommunikationswege und Massnahmen zur Wiederherstellung, inklusive Übergaben an DisasterRecoveryPläne, um kontrollierte Reaktionen sicherzustellen.
Internes Kontrollsystem IKS
Ein vom Unternehmen eingerichtetes System aus Verfahren und Maßnahmen zur Sicherstellung der Einhaltung von Vorschriften, Schutz des Vermögens, Verlässlichkeit der Berichterstattung sowie zur Förderung effizienter und regelkonformer Geschäftsprozesse.
Recovery Time Objective RTO
Das RTO ist der maximal tolerierbare Zeitraum, innerhalb dessen ein Prozess oder System nach einem Ausfall wieder einsatzfähig sein muss. Es wird prozessspezifisch festgelegt, basierend auf den Ergebnissen der BIA (z. B. Wiederherstellung innerhalb 4 Stunden)
Recovery Point Objective RPO
Das RPO beschreibt die maximal zulässige Datenverlustspanne im Falle eines Ausfalls – d. h. wie weit zurück (z. B. eine Stunde) Daten wiederhergestellt werden müssen, um den Betrieb fortzusetzen. Auch dieser Wert wird prozessabhängig über die BIA bestimmt.
Risikoanalyse RA
Die Risikoanalyse ist der strukturierte Prozess zur Identifikation, Bewertung und Priorisierung von Risiken, die sich aus potenziellen Bedrohungen und Schwachstellen ergeben. Ziel ist es, fundierte Entscheidungen über Schutzmassnahmen, Vorsorge und Risikobehandlung zu ermöglichen.
Walkthrough
Systematische Durchsicht eines Prozesses oder einer Kontrolle, bei der Abläufe Schritt für Schritt nachvollzogen und geprüft werden, um das Verständnis zu sichern und mögliche Schwachstellen zu identifizieren.
