Geschäftskontinuitätsplan

Die Geschäftskontinuitätsplanung (Business Continuity Planning, BCP) erfasst, wie ein Unternehmen während und nach einer Störung kritische Abläufe aufrechterhält oder schnell wieder aufnimmt. Zu den BCP-Nachweisen gehören Geschäftskontinuitätspläne (aufgezeichnete Verfahren zur Aufrechterhaltung von Abläufen, Kommunikationsplänen, Ressourcenanforderungen und Wiederherstellungsprioritäten), Notfallwiederherstellungspläne (IT-orientierte Wiederherstellungsverfahren, die Systemwiederherstellung, Datenwiederherstellung, Betrieb an alternativen Standorten und Failover abdecken), Geschäftsauswirkungsanalysen (systematische Bewertungen potenzieller Auswirkungen von Störungen unter Ermittlung von Wiederherstellungszeitzielen und Wiederherstellungspunktzielen) sowie BCP-Übungs- und Testaufzeichnungen (Tischübungen, Walkthrough-Tests, vollständige Simulationen und Verbesserungspläne). BCP ist von DORA, CSRD und branchenspezifischen Vorschriften für Finanzdienstleistungen, kritische Infrastruktur und Gesundheitswesen erforderlich.

Regulierungsbehörden verlangen zunehmend dokumentierte Resilienzfähigkeiten und nicht nur ehrgeizige Aussagen. DORA schreibt ein umfassendes IKT-Risikomanagement einschließlich Geschäftskontinuität für Finanzunternehmen vor. CSRD erfordert die Offenlegung wesentlicher Risikomanagementprozesse, einschließlich Geschäftskontinuitätsfunktionen. Die EU-Richtlinie zur Widerstandsfähigkeit kritischer Einrichtungen (CER) erfordert eine Kontinuitätsplanung für wesentliche Dienste. Versicherungsrahmen erfordern einen Nachweis der Geschäftskontinuität als Bedingung für den Versicherungsschutz. Über die Einhaltung gesetzlicher Vorschriften hinaus wird die Fähigkeit zur Geschäftskontinuität von Unternehmenskäufern und -investoren zunehmend als Maß für die Reife einer Organisation bewertet. Die aufgezeichneten BCP-Nachweise mit regelmäßigen Übungsaufzeichnungen zeigen, dass Belastbarkeit nicht nur aufgezeichnet, sondern getestet und validiert wird.

Business Continuity Plans (BCPs) umfassen anlagenkritische Funktionen, Wiederherstellungsprioritäten, Ressourcenanforderungen, Kommunikationsprotokolle und Eskalationsverfahren zur Aufrechterhaltung des Betriebs bei Störungen. Disaster Recovery Plans (DRPs) konzentrieren sich auf die Wiederherstellung von IT und Technologie – Systemwiederherstellungsverfahren, Datensicherung und -wiederherstellung, Betrieb an alternativen Standorten und Technologie-Failover-Prozesse. Business Impact Analysen (BIAs) bewerten systematisch potenzielle Auswirkungen von Störungen auf Betrieb, Umsatz, Compliance und Reputation und ermitteln dabei Recovery Time Objectives (RTOs), Recovery Point Objectives (RPOs) und Kritikalitätsrankings für jeden Geschäftsprozess. BCP-Übungs- und Testaufzeichnungen umfassen Tabletop-Übungen, Komplettlösungen, vollständige Simulationen und Verbesserungspläne nach der Übung – ein Beweis dafür, dass Kontinuitätspläne validiert wurden und weiterhin wirksam sind.

BCPs, DRPs, BIAs und Übungsaufzeichnungen werden auf Sustalium hochgeladen und mit den relevanten Compliance-Frameworks verknüpft. Resilienznachweise stellen eine Verbindung zu den IKT-Risikomanagement-Frameworks von DORA (Artikel 11–13 Anforderungen für IKT-Risikomanagement, Tests und Berichterstattung), CSRD-Risikooffenlegungen (ESRS G1-Governance und Risikomanagement) und ISO 22301-Compliance-Aufzeichnungen (gesellschaftliche Sicherheit und Geschäftskontinuitätsmanagement) her. Sustalium verfolgt BCP-Überprüfungstermine, Trainingspläne und Verbesserungsmaßnahmen aus Berichten nach dem Training. Für Organisationen, die Kontinuität über mehrere Einheiten oder Gerichtsbarkeiten hinweg verwalten, bietet Sustalium eine konsolidierte Ansicht der Resilienzfähigkeit im gesamten Unternehmen.

DORA (Digital Operational Resilience Act) verlangt von Finanzunternehmen die Einhaltung von Geschäftskontinuitätsrichtlinien, IKT-Reaktions- und Wiederherstellungsplänen sowie aufgezeichneten Testprogrammen. Die EU-Richtlinie zur Widerstandsfähigkeit kritischer Unternehmen (CER) fordert die Fähigkeit zur Geschäftskontinuität für wesentliche Dienste, einschließlich Energie, Transport, Bankwesen, Gesundheit und digitale Infrastruktur. Die CSRD-Standards zur Nachhaltigkeitsberichterstattung (ESRS G1) erfordern die Offenlegung wesentlicher Risikomanagementprozesse, einschließlich der Geschäftskontinuität. ISO 22301 (Gesellschaftliche Sicherheit und Geschäftskontinuitätsmanagement) erfordert aufgezeichnete BCP-, BIA- und Übungsprogramme. Die Grundsätze der operativen Belastbarkeit des Basler Ausschusses verlangen von Finanzinstituten, dass sie ihre Geschäftskontinuitätsfähigkeit aufrechterhalten. Das EU-KI-Gesetz schreibt Risikomanagement und Notfallplanung für Anbieter von KI-Systemen mit hohem Risiko vor. Branchenspezifische Vorschriften für das Gesundheitswesen, Finanzdienstleistungen und kritische nationale Infrastruktur stellen zusätzliche Anforderungen an die Geschäftskontinuität.