Use Case:
BCM-Aufbau und reale Wiederanlauf-Übung zur Erfüllung von §30 Abs. 1 Nr. 3 BSIG
Die Aufrechterhaltung und Wiederherstellung des Betriebs zählt zu den Kernanforderungen aus §30 BSIG. In der Praxis ist Business Continuity Management bei mittelständischen Unternehmen häufig formal mit einem Backup-Konzept abgedeckt. Der Wiederanlauf wird angenommen, aber selten unter realen Bedingungen erprobt. Ein belastbares BCM entsteht erst durch die Verbindung methodischer Analyse, dokumentierter Wiederanlauf-Pläne und der Übung dieser Pläne unter realistischen Voraussetzungen. Diese Substanz entsteht nicht aus BCM-Templates, sondern aus methodischer Erfahrung mit realen Wiederanlauf-Szenarien, wie sie in Rechenzentrumsumzügen und IT-Outsourcing-Transitionen regelmäßig zum Projektkern gehören. Im Audit-Fall trägt nur Substanz, nicht Annahme.
Herausforderung des Kunden
Im Rahmen einer NIS-2-Standortbestimmung war für das Unternehmen die Maßnahme nach § 30 zur Aufrechterhaltung und Wiederherstellung des Betriebs als extern empfohlen markiert worden. Vorhanden war ein etabliertes Backup-Konzept mit definierten Sicherungsroutinen und regelmäßiger Verifikation der Sicherungsintegrität. Eine Business Impact Analyse lag nicht vor. Zeitkritische Geschäftsprozesse waren nicht systematisch identifiziert, Wiederanlauf-Reihenfolgen nicht dokumentiert, Recovery Time Objectives und Recovery Point Objectives nicht abgeleitet und nicht getestet.
Die IT-Abteilung verfügt über fundiertes Betriebs- und Infrastrukturwissen sowie über erprobte Backupverfahren. Die methodische Erfahrung im Aufbau eines belastbaren BCM, strukturierte BIA, Notfallhandbuch entlang BSI-Standard 200-4 als Referenz, Übungs-Drehbuch und Lessons-Learned-Verfahren bestand intern nicht. Die Geschäftsführung sah die Anforderung aus §30 Abs. 1 Nr. 3 noch nicht als wirksam erfüllt und benötigte einen nachweisbaren Wiederanlaufbeweis, der über Dokumentation hinausgeht.
Zielsetzung und Anforderungen
Ziel war der Aufbau eines verbindlichen Business Continuity Management nach §30 Abs. 1 Nr. 3 BSIG als integrierter Baustein der unternehmerischen Sicherheitsarchitektur. Anforderung waren eine vollständige Business Impact Analyse, eine dokumentierte Wiederanlaufreihenfolge für die geschäftskritischen Prozesse, ein in der Organisation verankertes Notfallhandbuch und eine reale Wiederanlaufübung mit belastbarem Erkenntniswert.
Wesentliche Voraussetzung war eine Beratung, deren Vorgehen nicht auf BCM-Templates beruht, sondern auf praktischer Erfahrung mit Wiederanlaufszenarien unter Produktivbedingungen geprägt aus Rechenzentrumsumzügen und IT-Outsourcing-Transitionen, in denen Schwenks geplant, durchgeführt und auf Lessons Learned ausgewertet werden. Die Beratung sollte zudem so erfolgen, dass die Kunden-IT in jedem Schritt eingebunden bleibt.
Der einmalige Aufbau wird extern getragen, die anschließende Pflege und die Durchführung weiterer Übungen verbleibt in der Verantwortung der internen Mannschaft. Befähigung statt Abhängigkeit war für das Engagement leitendes Prinzip.
Ergebnisse und Erfolge
In einer strukturierten Business Impact Analyse wurden gemeinsam mit den Fachbereichen die zeitkritischen Geschäftsprozesse identifiziert und nach maximal tolerierbarer Ausfallzeit klassifiziert. Aus der Analyse wurden Recovery Time Objectives und Recovery Point Objectives je Prozess abgeleitet und gegen die Leistungsfähigkeit der bestehenden Backup- und Infrastrukturlandschaft gespiegelt. Die identifizierten Lücken wurden priorisiert und in konkrete Maßnahmen überführt.
Auf dieser Grundlage wurde eine dokumentierte Wiederanlaufreihenfolge erarbeitet. Abhängigkeiten zwischen Systemen, Datenflussvoraussetzungen und Kommunikationswege im Notfall wurden systematisch erfasst. Das resultierende Notfallhandbuch orientiert sich strukturell an BSI-Standard 200-4 und ist als Arbeitsdokument für die operative Anwendung im Ereignisfall ausgelegt, nicht als Compliance-Artefakt.
Die methodische Grundlage der Übungsvorbereitung stammt aus IT-Outsourcing-Transitionen und Rechenzentrumsumzügen, in denen Wiederanlauf- und Schwenkszenarien regelmäßig unter Produktivbedingungen durchlaufen werden. Die dort etablierten Verfahren — Drehbuch-Struktur, definierte Eskalations- und Kommunikationswege, Trennung von technischer Steuerung und Geschäftsentscheidung, strukturierte Lessons-Learned-Auswertung — wurden auf den BCM-Kontext des Unternehmens übertragen und mit den Beteiligten geprobt.
Im Anschluss wurde eine reale technische Wiederanlaufübung an einem produktionsnahen System durchgeführt. Definierte Ausfallszenarien wurden ausgelöst, der Wiederanlauf nach Notfallhandbuch vollzogen und alle Schritte protokolliert. Tatsächliche Wiederanlaufzeiten wurden gegen die zugrundeliegenden RTO bewertet. Wesentliche Abweichungen zwischen Plan und Realität wurden identifiziert. Abhängigkeiten, die im Notfallhandbuch nicht erfasst waren, sowie Korrekturen der Reihenfolge. Die Erkenntnisse flossen unmittelbar in eine überarbeitete Version der Wiederanlaufdokumentation ein.
Die Kunden-IT war in alle Schritte von der BIA bis zur Übungsdurchführung als gleichberechtigte Beteiligte eingebunden. Methodik, Dokumentationsstruktur und Übungsverfahren wurden bewusst übertragbar gestaltet, sodass die nächste Übung intern getragen werden kann.
Zusätzlicher Mehrwert
Das Unternehmen verfügt nun über ein BCM, das die Anforderungen aus § 30 Abs. 1 Nr. 3 BSIG nicht nur formal, sondern materiell erfüllt. Die Wiederanlauffähigkeit ist nicht angenommen, sondern dokumentiert geprüft. Für den Auditfall liegen nachvollziehbare Übungsprotokolle, eine BIA mit abgeleiteten RTOs und RPOs sowie ein im Ereignisfall arbeitsfähiges Notfallhandbuch vor.
Für die Geschäftsführung entsteht mit Blick auf § 38 BSIG eine belastbare Position: Die Sorgfalt der Leitungsverantwortung in einer zentralen NIS-2-Maßnahme ist dokumentiert und nachweisbar. Die IT-Leitung gewinnt nicht nur eine erfüllte Complianceanforderung, sondern operative Resilienz, die im realen Ereignis trägt.
Die BCM-Methodik stützt sich auf über 25 Jahre praktische Wiederanlauferfahrung aus Rechenzentrumsumzügen und Transitionen im IT-Outsourcing. Dadurch unterscheidet sich das Engagement von rein konzeptionellen oder vorlagenbasierten BCM-Beratungen. Die Belastbarkeit der Ergebnisse beruht nicht auf Templates, sondern auf diszipliniertem Design: Verfahren, die in realen Schwenks erprobt wurden, mit dokumentierten Fehlerfällen und nachvollziehbarer Methodik. Diese Tiefe wird im Mittelstand selten angeboten und ist in vielen standardisierten NIS-2-Beratungen nicht abgedeckt.
Die Pflege des BCM und künftige Übungen liegen in der Verantwortung der Kunden-IT. Das externe Engagement zielte auf Befähigung, nicht auf Bindung. Die Wiederanlauffähigkeit ist damit nicht nur einmalig getestet, sondern als dauerhafte Steuerungs- und Nachweisfähigkeit in der Sicherheitsarchitektur verankert. BCM steht als integrierter Baustein neben den übrigen Maßnahmen nach § 30 BSIG — methodisch konsistent, im Ernstfall belastbar und im Auditfall dokumentiert. Bei Bedarf wird dies durch eine externe Compliancebegleitung im laufenden Betrieb flankiert.
