Business Continuity Management (BCM):

Business Continuity Management sichert den Betrieb, wenn Cyberangriffe, Naturereignisse oder technische Ausfälle Prozesse unterbrechen. Zwei Kräfte treiben den Aufbau eines BCM heute voran: neue gesetzliche Pflichten und die realen wirtschaftlichen Folgen von Ausfällen. Beide Faktoren zusammen machen BCM vom optionalen Vorsorgeprojekt zur unternehmerischen Notwendigkeit.

Der richtige BCM-Umfang hängt von Ihrer Risikoexposition, Ihrer Unternehmensgröße und den Anforderungen Ihrer Stakeholder ab. Nicht jedes Unternehmen benötigt ein vollständig zertifizierbares Managementsystem nach ISO 22301. Viele mittelständische Betriebe kommen mit einem schlanken, pragmatischen Ansatz weiter, solange dieser konsequent umgesetzt wird. 

Entscheidend ist die Frage, wer Nachweise von Ihnen verlangt:
Kundschaft, Aufsichtsbehörden, Versicherer oder der eigene Vorstand stellen unterschiedliche Anforderungen an Tiefe und Dokumentation.

Ein schlanker BCM-Ansatz eignet sich für Unternehmen ohne regulatorischen Zertifizierungsdruck und mit überschaubarer Prozesslandschaft. Der Fokus liegt auf den wichtigsten Geschäftsprozessen, nicht auf vollständiger Dokumentationstiefe. 

Typische Merkmale eines pragmatischen BCM:

• Reduzierter Geltungsbereich: Nur die kritischsten Geschäftsprozesse werden analysiert, nicht die gesamte Organisation.
• Vereinfachte Business-Impact-Analyse: Grobe Einschätzung von Ausfallfolgen statt detaillierter quantitativer Bewertung.
• Wenige, klar zugewiesene Rollen: Oft übernimmt eine Person mehrere BCM-Funktionen parallel.
• Fokus auf Notfallpläne statt Managementsystem: Konkrete Handlungsanweisungen für die wahrscheinlichsten Störfälle, ohne vollständigen PDCA-Zyklus. 

Dieser Ansatz passt zu kleinen und mittleren Unternehmen ohne Kundschaft aus regulierten Branchen. Er lässt sich mit begrenztem Personalaufwand innerhalb weniger Monate aufbauen. Die Grenze liegt dort, wo Kundschaft, Behörden oder Versicherer einen Nachweis in Form eines Zertifikats fordern.

Ein auditfähiges BCMS wird notwendig, sobald Dritte einen formalen Nachweis verlangen. Das betrifft vor allem Unternehmen mit vertraglichen Verpflichtungen gegenüber Großkunden oder gesetzlichen Vorgaben.

Typische Auslöser für ein zertifizierbares BCMS:

• Regulatorische Relevanz: Für Betreiber kritischer Infrastrukturen (KRITIS) und Unternehmen im Geltungsbereich der NIS2-Richtlinie ist Business Continuity Management Teil der geforderten Risikomanagementmaßnahmen; die konkrete Nachweispflicht sollte im Einzelfall geprüft werden.
• Vertragliche Anforderungen: Große Auftraggeber, insbesondere aus Finanzwesen und Industrie, fordern zunehmend ein zertifiziertes BCMS von ihren Lieferanten.
• Lieferkettenabsicherung: Ein Zertifikat schafft Vertrauen gegenüber Geschäftspartnern und reduziert Prüfaufwand in Ausschreibungen.
• Versicherungsanforderungen: Manche Cyber- und Betriebsunterbrechungsversicherer verlangen dokumentierte Kontinuitätsprozesse als Voraussetzung für Deckung oder günstigere Konditionen. 

Ein vollständiges BCMS nach ISO 22301 umfasst den gesamten PDCA-Zyklus: Planung, Umsetzung, Überprüfung und Verbesserung. Es erfordert eine dokumentierte Risikobewertung, regelmäßige Übungen und interne Audits. Der Aufbau dauert je nach Unternehmensgröße sechs bis 18 Monate.

Ein BCMS funktioniert nur mit klar zugewiesenen Rollen. Fehlt eine eindeutige Verantwortungsstruktur, bleiben Notfallpläne im Ernstfall häufig ungenutzt, weil niemand die Entscheidungsbefugnis hat. Die wichtigsten Rollen in einem BCMS:

BCM-Verantwortliche, Prozessverantwortliche und die Schnittstelle zur IT

BCM-Verantwortliche koordinieren das Managementsystem, sie ersetzen aber nicht das Fachwissen der Prozessverantwortlichen. Prozessverantwortliche kennen die Details ihres Bereichs am besten und schätzen realistisch ein, wie lange ein Prozessausfall toleriert werden kann.

Die Schnittstelle zur IT ist besonders kritisch, weil viele Geschäftsprozesse heute vollständig von IT-Systemen abhängen. ITSCM übersetzt die im BCM festgelegten Wiederanlaufzeiten in konkrete technische Maßnahmen. Ohne diese Abstimmung entstehen Lücken: Das BCM definiert etwa eine Wiederanlaufzeit von vier Stunden, während die IT-Infrastruktur tatsächlich zwei Tage für die Wiederherstellung benötigt.

In der Praxis zeigt sich, dass BCM-Verantwortliche regelmäßig mit IT-Leitung und Prozessverantwortlichen in gemeinsamen Workshops die Anforderungen abgleichen. Nur so bleiben die im BCMS dokumentierten Zeitvorgaben realistisch und umsetzbar.