Notfallkonzepte

Notfallkonzepte beantworten zwei Fragen, die im Ernstfall niemand mehr in Ruhe klären kann: Wie läuft das Geschäft weiter, solange der Normalbetrieb gestört ist – und wie kommen Sie zurück?

Erstgespräch vereinbaren

Zwei Pläne, zwei Zwecke

Der BSI-Standard 200-4 trennt sauber, was in der Praxis oft vermischt wird.

Der Geschäftsfortführungsplan regelt den Notbetrieb. Er beschreibt, wie ein kritischer Prozess mit eingeschränkten Mitteln weiterlaufen kann: mit welchem Mindestumfang, an welchem Ort, mit welchen Hilfsmitteln und wer welche Aufgabe übernimmt. Er greift, während die Störung andauert.

Der Wiederanlaufplan regelt die Rückkehr. Er beschreibt, in welcher Reihenfolge Systeme und Prozesse wieder hochgefahren werden – denn diese Reihenfolge ist nicht beliebig. Wer die Buchhaltung startet, bevor die zugrunde liegende Datenbank läuft, gewinnt nichts.

Dazu kommt die Notfallvorsorge: alles, was vorher getan wird, damit diese Pläne im Ernstfall überhaupt ausführbar sind – Alarmierungswege, Ausweichmöglichkeiten, gesicherte Datenbestände, Vertretungsregelungen.

Was ein brauchbares Notfallkonzept ausmacht

Der häufigste Fehler ist der Umfang. Ein Konzept, das im Ereignisfall erst gelesen werden muss, wird nicht gelesen. Was zählt, sind wenige Seiten, die jemand unter Druck ausführen kann – und die auch dann funktionieren, wenn die Person, die sie geschrieben hat, gerade nicht erreichbar ist.

Drei Anforderungen ergeben sich daraus:

  • Ausführbar ohne Vorkenntnisse. Wer den Plan anwendet, ist im Zweifel eine Vertretung.
  • Unabhängig von der gestörten Infrastruktur. Ein Notfallplan, der nur im ausgefallenen System liegt, ist wertlos.
  • Mit benannten Verantwortlichen, nicht mit Abteilungen. Im Notfall handeln Personen.

Grundlage ist die Business Impact Analyse: Sie bestimmt, für welche Prozesse überhaupt ein Plan nötig ist und wie schnell er greifen muss. Was ihn auslösen kann, sagt die Risikobewertung.

Wie wir vorgehen

Wir erstellen die Konzepte gemeinsam mit den Prozessverantwortlichen – nicht am Schreibtisch. Die Abläufe, die im Notbetrieb tragen, kennen die Menschen, die den Prozess täglich ausführen; unsere Aufgabe ist es, sie in eine Form zu bringen, die auch unter Druck funktioniert.

Für die Dokumentation nutzen wir die Vorlagensystematik des BSI-Standards 200-4. Das hat einen praktischen Vorteil: Kommt später ein Audit oder eine Zertifizierung nach ISO 22301, ist die Struktur bereits anschlussfähig.

Zusammengeführt werden die Einzelpläne im Notfallhandbuch. Für die IT-seitige Wiederherstellung tritt die Desaster-Recovery-Planung hinzu.

Warum Pläne veralten

Ein Notfallkonzept ist nur so gut wie seine letzte Prüfung. Personen wechseln, Telefonnummern ändern sich, Systeme werden abgelöst – und der Plan bleibt, wie er war.

Deshalb gehören zwei Dinge dazu: die regelmäßige Übung, die zeigt, ob der Plan trägt, und die Fortschreibung im Kreislauf des Managementsystems.

Kontakt

Sie haben Notfallpläne, die seit Jahren niemand angefasst hat? Dann lohnt sich zuerst ein Blick darauf, ob sie noch zu Ihrem Betrieb passen.