Business Continuity Management

Resilienz als Führungsentscheidung. Warum Wiederanlaufziele allein nicht genügen

Kurzfassung

Resilienz wird häufig an der Geschwindigkeit der Wiederherstellung gemessen. Die tatsächlich erreichte Wiederanlaufzeit ist jedoch das Ergebnis früherer Entscheide: welche Leistungen Vorrang haben, welche Vorkehrungen getroffen und welche Mittel dafür bereitgestellt wurden.

Die Anforderungen, die aus diesen Entscheiden folgen, werden über Anwendungen und Infrastruktur bis zum Dienstleister weitergegeben. Ob sie tatsächlich erfüllt werden, muss in der Gegenrichtung geprüft werden, von unten bis zurück zur Führung: zuerst, ob die Zusagen zu den Anforderungen passen, dann, ob sie tatsächlich erfüllt werden. Diesen Weg nennt das Whitepaper den Rückweg. Fehlt er, bleibt ein Wiederanlaufziel eine Absichtserklärung, auch wenn es genehmigt ist.

Das Whitepaper leitet aus ISO 22301 fünf Führungsentscheide ab und zeigt, an welchen drei Stellen der Nachweis typischerweise bricht. Es behandelt den Wiederanlauf-Entscheid im Kompromittierungsfall, den Notbetrieb als Kontinuitätsstrategie und Übungen als Wirksamkeitsnachweis. Konkrete Prüfnachweise und Leitfragen für Leitungs- und Aufsichtsgremien unterstützen die Standortbestimmung.

Stuft eine Business-Impact-Analyse nahezu alle Geschäftsprozesse als kritisch ein, hat die eigentliche Priorisierung nicht stattgefunden.

Kernaussagen

Am Anfang steht ein Führungsentscheid: wie lange und in welchem Ausmass eine Leistung ausfallen darf. Die Business-Impact-Analyse liefert die Grundlage, die Grenze legt die Leitung fest.
Wiederanlaufziele werden bis zum Dienstleister weitergegeben. Belastbar sind sie erst, wenn in der Gegenrichtung zuerst abgeglichen wird, ob die Zusagen passen, und dann nachgewiesen wird, dass sie erfüllt werden (der «Rückweg»).
Zu unterscheiden sind das Wiederanlaufziel der Tätigkeit, das technische Wiederanlaufziel der Anwendung und die Tragfähigkeit des Notbetriebs. Nach einer Kompromittierung macht erst ein tragfähiger Notbetrieb den Wiederanlauf zur echten Wahl.
Übungen liefern Nachweise für die tatsächlich geprüften Fähigkeiten. Wiederkehrende Lücken verlangen Entscheide über Ressourcen, Architektur, Verträge oder, soweit vertretbar, die Ziele.

Zielgruppe

Leitungs- und Aufsichtsgremien sowie Verantwortliche in Business Continuity, Risiko, IT, Informationssicherheit, Beschaffung und Compliance.