Was ist Geschäftskontinuität? Wie man für einen Notfall plant

Eine Unze Vorbereitung ist ein Pfund Heilung wert.

Unabhängig von der Größe Ihrer Organisation ist das Risiko einer Geschäftsunterbrechung real. Viele Gefahren können kritische Geschäftsabläufe stören, darunter physische oder Cyberangriffe, Naturkatastrophen, Pandemien und Auswirkungen auf die Lieferkette.

Geschäftskontinuität ist der Eckpfeiler der Fähigkeit Ihrer Organisation, auf Störungen zu reagieren. Sie adressiert wesentliche Geschäftsrisiken, die zu Unterbrechungen führen können, und hilft, die erwartete Reaktion zu planen.

Gängige technische Dienstleistungen, die auf Geschäftskontinuität ausgerichtet sind, umfassen Disaster Recovery as a Service (DRaaS) Software für Infrastrukturausfälle und verwaltete Sicherheitsrichtlinien, die gegen ausgeklügeltere Cyberangriffe schützen, unter anderem.

Da Geschäftskontinuität entscheidend ist, um Ihre IT-Infrastruktur während einer Katastrophe unter Kontrolle zu halten, sollte sie durch einen gut orchestrierten Prozess entwickelt werden.

Geschäftskontinuität hat zwei Aspekte:

1. Geschäftskontinuitätsplanung (BCP) definiert Risikomanagementprozesse und Techniken, um den Ausfall von geschäftskritischen Diensten zu verhindern und den vollen Betrieb so schnell und effizient wie möglich wieder aufzunehmen. Diese Pläne beinhalten oft Prozesse, manuelle Umgehungen und Backup-Verfahren, um mit dem Verlust von Arbeitsplätzen, Infrastruktur, Personal, Software und Anbietern umzugehen.
2. Geschäftskontinuitätsmanagement (BCM) ist ein ganzheitlicher Ansatz zur Risikobewertung und deren Auswirkungen auf betriebliche Prozesse. Es kombiniert Notfallreaktion, Krisenmanagement, Katastrophenwiederherstellung und Geschäftskontinuität.

Warum ist Geschäftskontinuität wichtig?

Jede Institution, von kleinen Unternehmen bis hin zu großen Konzernen, ist auf digitale Technologie angewiesen, um Einnahmen zu generieren, Dienstleistungen zu erbringen und Verbraucher zu unterstützen, die jederzeit Zugang zu Dienstleistungen und Daten wünschen. Kunden sind nicht die einzigen, die unter Störungen leiden. Ein Brand, eine Überschwemmung, ein Ransomware-Angriff oder andere Katastrophen können erhebliche finanzielle Verluste verursachen, das Image des Unternehmens schädigen und im schlimmsten Fall ein Unternehmen dauerhaft zur Schließung zwingen.

Organisationen betonen die Geschäftskontinuität, weil die Aufrechterhaltung lebenswichtiger Dienste während einer Krise oder Störung den Unterschied zwischen Erfolg und Misserfolg ausmachen kann. Wenn kritische Geschäftsfähigkeiten ausfallen, kann eine kurze Wiederherstellungszeit für die Systemwiederherstellung von großem Wert sein. 

Geschäftskontinuität kann:

• Die Sicherheit von Mitarbeitern, Auftragnehmern, Kunden und Besuchern gewährleisten
• Die Auswirkungen einer Unterbrechung durch Beschleunigung der Wiederherstellungsbemühungen verringern
• Das Image, die Prozesse und die Beziehungen zu den Stakeholdern eines Unternehmens schützen

Planung und Vorbereitung sind entscheidend für eine ganzheitliche Geschäftskontinuitätsstrategie. Fachleute können einem Unternehmen helfen, einen Resilienzplan zu entwickeln. Die Erstellung einer solchen Strategie ist ein zeitaufwändiger Prozess, der die Durchführung einer Business Impact Analysis (BIA) und Risikoanalyse sowie die Gestaltung von BC-Plänen, Tests, Übungen und Schulungen umfasst.

Zum Beispiel kann die Wiederherstellung massiver Datensätze aus einem Backup schmerzhaft lange dauern. Daher ist ein Failover zu einem entfernten Rechenzentrum eine bevorzugte Alternative für Unternehmen mit großen Datensätzen.

Ein Notfallplan kann die letzte Alternative sein, wenn Resilienz- und Wiederherstellungsbemühungen scheitern oder ein unerwartetes Ereignis eintritt. Ein Notfallplan enthält einen geübten Ansatz und eine Strategie für Notfälle. Diese Bedürfnisse können von der Suche nach Unterstützung durch Dritte bis hin zur Suche nach einem zweiten Standort für dringend benötigten Büroraum oder Remote-Backup-Server reichen.

Arten von Geschäftskontinuitätsrisiken

Geschäftskontinuitätsrisiken betreffen Organisationen erheblich. Die Auswirkungen der Covid-19-Pandemie auf Unternehmen weltweit sind vielleicht das beste Beispiel für Geschäftskontinuitätsrisiken. 

Unternehmen erlitten schwere Verluste, da sie dauerhaft geschlossen wurden, und Kunden gezwungen waren, während der Lockdowns in ihren Häusern zu bleiben. Viele Mitarbeiter wurden entlassen, da Unternehmen Schwierigkeiten hatten, Löhne und Mieten zu zahlen.

Ein Geschäftskontinuitätsplan kann helfen, solche potenziellen Bedrohungen zu verhindern und einen reibungslosen und effektiven Betrieb aufrechtzuerhalten. Schauen wir uns fünf primäre Geschäftskontinuitätsrisiken an, die ein Unternehmen überwachen und managen sollte:

1. Cyberangriffe sind ein großes Anliegen. Cyberkriminelle können den Ruf und die Finanzen eines Unternehmens schädigen, indem sie Netzwerke und Systeme beschädigen. Zum Beispiel traf im Oktober 2020 Clop-Ransomware die Software AG, ein deutsches Technologieunternehmen. Die Cyberkriminellen drohten, Kundendaten (wie Kontaktinformationen und andere persönlich identifizierbare Informationen (PII)) zu veröffentlichen, wenn das Unternehmen kein Lösegeld von 23 Millionen Dollar zahlt.
2. Datenverletzungen treten auf, wenn wesentliche, private und sensible Informationen an eine unzuverlässige Person oder Umgebung weitergegeben oder offengelegt werden. Datenverletzungen umfassen den Verlust von USB-Laufwerken, mobilen oder Computergeräten, Laptops und Computernetzwerken. Solche Verletzungen können kritische Unternehmens- und Kundeninformationen unbekannten Personen zugänglich machen und dem Unternehmen erheblichen Schaden zufügen.
3. Terrorismus bedroht ein Land oder eine Gemeinschaft. Es verbreitet Angst und Unsicherheit in der Öffentlichkeit. Mitarbeiter und Sicherheitskräfte in einem Unternehmen sind schlecht gerüstet, um mit Terroranschlägen umzugehen. Die sichtbarsten Folgen des Terrorismus sind die Zerstörung von Eigentum und die Unterbrechung des Geschäftsbetriebs. Darüber hinaus sind Tourismus und das tägliche Leben nach einem Terroranschlag stark betroffen. Es dauert einige Zeit, bis Unternehmen ihre normalen Aktivitäten wieder aufnehmen.
4. Brände treten typischerweise plötzlich und ohne Vorwarnung auf. Alles kann sie verursachen, um Geschäftseigentum zu beschädigen oder organisatorische Werkzeuge und Geräte zu missbrauchen, wie fehlerhafte oder überhitzte Informationstechnologie (IT)-Setups. Die Aufrechterhaltung einer Feuerkontrollstrategie, die Feuerwehren, Alarme und Feuerlöscher als vorbeugende Maßnahme zur Verhinderung und Bekämpfung von Bränden umfasst, ist für alle Arten von Unternehmen notwendig.
5. Unterbrechung der Lieferkette: Unternehmen sollten auch vorsichtig mit Unterbrechungen der Lieferkette sein. Naturkatastrophen wie Überschwemmungen, Hurrikane, Erdbeben, Tsunamis und Stürme verursachen häufig solche Unterbrechungen. Infolgedessen bricht das Vertriebssystem zwischen Unternehmen und Anbietern zusammen, und die Lieferkette leidet.

Was umfasst Geschäftskontinuität?

Geschäftskontinuität befasst sich mit der Planung und Vorbereitung, die notwendig sind, um ein Unternehmen zu stärken und auszustatten, um während einer Krise wesentliche Geschäftsdienste durchzuführen. Es bestimmt, plant und entwickelt:

• Die Teams, die notwendig sind, um Notfälle zu managen
• Wie man mit Kunden, Anbietern und anderen Vermittlern kommuniziert, um genaue Informationen und Unterstützung bereitzustellen
• Die Reihenfolge und den Zeitpunkt, die notwendig sind, um den Betrieb wiederherzustellen
• Wie man sicherstellt, dass Kunden weiterhin Dienstleistungen oder Produkte erhalten
• Die wesentliche Technik, um Geschäftsabläufe zu unterstützen
• Wie man Mitarbeiter unterstützt im Falle eines Notfalls
• Wo und wie man interne Stakeholder bewegt, wenn Geschäftsstätten betroffen oder nicht verfügbar sind
• Umgehungsverfahren, die in Kraft treten, wenn Prozesse nicht verfügbar sind
• Regelmäßige Übungen, um sicherzustellen, dass Pläne und Maßnahmen Standards erfüllen und während eines tatsächlichen Vorfalls funktionieren
• Dokumentation der Geschäftsprozesse und notwendigen Schritte

Eine ordnungsgemäße Geschäftskontinuität umfasst verschiedene Klassen von Reaktionen. Da nicht alles geschäftskritisch ist, ist es wichtig, zu unterscheiden, was am wichtigsten ist, um weiterzulaufen, und was etwas länger warten kann. Es ist wichtig, unvoreingenommen über Wiederherstellungszeitziele (RTOs) und Wiederherstellungspunktziele (RPOs) zu sein.

Komponenten eines Geschäftskontinuitätsplans

Ein Geschäftskontinuitätsplan hat drei Hauptkomponenten: Resilienz, Wiederherstellung und Notfallplanung.

Die Resilienz einer Organisation verbessert sich, wenn sie wesentliche Dienste und Infrastrukturen unter Berücksichtigung mehrerer Krisenszenarien plant, wie z.B. Personalrotationen, Datenredundanz und Kapazitätsüberschuss. Die Sicherstellung der Resilienz gegen verschiedene Situationen kann Unternehmen auch helfen, wesentliche Dienste vor Ort und außerhalb ohne Unterbrechung aufrechtzuerhalten.

Schnelle Wiederherstellung ist entscheidend, um Dienste nach einer Katastrophe wiederherzustellen. Die Festlegung von Wiederherstellungszeitziele für verschiedene Systeme, Netzwerke oder Apps kann bestimmen, welche Komponenten zuerst wiederhergestellt werden müssen. Andere Wiederherstellungsoptionen umfassen Ressourceninventare, Partnerschaften mit Drittunternehmen zur Übernahme von Geschäftsabläufen und modifizierte Einrichtungen für geschäftskritische Operationen.

Ein Notfallplan umfasst Techniken für eine Reihe von externen Ereignissen und eine Hierarchie, die Aufgaben innerhalb eines Unternehmens verteilt. Diese Aufgaben können auch den Austausch von Hardware, die Beschaffung von Notfallbüroflächen, die Schadensbewertung und die Beauftragung von Drittanbietern umfassen.

Geschäftskontinuität vs. Katastrophenwiederherstellung

Geschäftskontinuität und Katastrophenwiederherstellung (DR) sind eng miteinander verbunden und helfen einer Organisation, nach einer Katastrophe aktiv zu bleiben. Die Integration von Geschäftskontinuität und Katastrophenwiederherstellung in einen einzigen Begriff, BCDR, resultiert aus einem wachsenden Verständnis, dass Geschäfts- und Technologieverantwortliche eng zusammenarbeiten sollten, um Krisenlösungen vorzubereiten, anstatt Strategien isoliert zu entwickeln. BCDR zielt darauf ab, Risiken zu reduzieren und eine Organisation so schnell wie möglich nach einem ungeplanten Ausfall wieder in Betrieb zu nehmen.

Geschäftskontinuität ist proaktiver und bezieht sich auf das Management von geschäftskritischen Systemen und Prozessen, um den fortlaufenden Betrieb während und nach einer Krise sicherzustellen. Es umfasst eine gründlichere Planung, die auf langfristige Bedrohungen für den Geschäftserfolg abzielt. Geschäftskontinuität konzentriert sich typischerweise auf organisatorische Prozesse.

Katastrophenwiederherstellung ist reaktiver und umfasst spezifische Maßnahmen, die ein Unternehmen nach einer Störung ergreifen muss, um den Betrieb wieder aufzunehmen. Die Katastrophenwiederherstellung erfolgt nach der Katastrophe, mit Reaktionszeiten von Sekunden bis Tagen. DR befasst sich mit der technischen Infrastruktur.

Im Gegensatz zu Geschäftskontinuitätsplänen können Katastrophenwiederherstellungsstrategien auch zusätzliche Sicherheitsvorkehrungen für Mitarbeiter wie Feuerübungen oder Notfallvorräte umfassen. Die Kombination der beiden hilft einem Unternehmen, sich gleichzeitig auf den Betrieb und die Sicherheit der Mitarbeiter zu konzentrieren.

Katastrophenwiederherstellung ist ein wesentlicher Bestandteil von Geschäftskontinuitätsprogrammen, die Daten nach einer Katastrophe zugänglich machen. Dieser Aspekt ist in BC enthalten, berücksichtigt jedoch auch Risikomanagement und andere Vorbereitungen, die ein Unternehmen benötigt, um während eines Notfalls über Wasser zu bleiben.

Geschäftskontinuität und Katastrophenwiederherstellung haben einige Parallelen. Sie berücksichtigen beide verschiedene unvorhergesehene Ereignisse, wie Cyberangriffe, menschliche Fehler und Naturkatastrophen. Sie konzentrieren sich auf die Wiederherstellung des Geschäfts, insbesondere für geschäftskritische Anwendungen. In vielen Situationen arbeitet dasselbe Team sowohl an BC als auch an DR.

Erfolgreiche Geschäftskontinuitätspläne reduzieren die Betriebsunterbrechung, während effektive Katastrophenwiederherstellungspläne abnormale oder ineffiziente Systemfunktionen reduzieren. Unternehmen können sich nur durch die Integration der beiden Strategien vollständig auf Notfälle vorbereiten.

Geschäftsresilienz vs. Geschäftskontinuität

Während Geschäftskontinuitätspläne für den Erfolg in einer unvorhersehbaren Welt entscheidend sind, geht die Geschäftsresilienz über Pläne hinaus, um eine agile Kultur zu fördern.

Geschäftsresilienz ist die Bereitschaft einer Organisation, sich an Situationen anzupassen und effizient zu funktionieren angesichts externer oder interner Risiken oder Veränderungen. Resiliente Unternehmen können sich anpassen und mit Bedrohungen in Bezug auf Sicherheit, Risiko, Vorbereitung und Überleben umgehen.

Geschäftsresilienz reagiert auf Risiken und umfasst Geschäftskontinuität und Krisenmanagement. Es umfasst auch die Fähigkeit eines Unternehmens, sich an neue Umgebungen anzupassen und mehrere Disziplinen in ein einziges Set integrierter Verfahren zu integrieren. Es ist ein strategischerer Ansatz zum Risikomanagement. Geschäftsresilienz ist für jedes Unternehmen maßgeschneidert, da verschiedene Unternehmen unterschiedliche Bedürfnisse haben.

Einfach ausgedrückt, geht es darum, einen Schlag zu absorbieren und sich davon zu erholen. Für ein Unternehmen bedeutet dies, dass im Falle einer Störung Maßnahmen vorhanden sind, um die Auswirkungen zu absorbieren, ohne Ihre Aktivitäten erheblich zu unterbrechen. Unternehmen müssen bestimmte Prinzipien befolgen, um einen Rahmen für erfolgreiche organisatorische Resilienz zu schaffen.

Resilienz erfordert in der Regel:

• Verhalten, das mit einer gemeinsamen Vision und einem gemeinsamen Ziel übereinstimmt
• Ein aktuelles Verständnis der Unternehmensumgebung
• Die Fähigkeit, Veränderungen effektiv zu absorbieren, sich anzupassen und darauf zu reagieren
• Gute Führung und Management
• Koordination über Managementdisziplinen hinweg und Beiträge von technischen und wissenschaftlichen Experten

Standards für Geschäftskontinuität

Standards für Geschäftskontinuität fördern die Einheitlichkeit in einem bestimmten Ansatz zur Geschäftskontinuität. Die Einhaltung von Normen und festgelegten Prozessen ermöglicht es Unternehmen, schnelle Turnarounds zu erreichen.

• ISO 22301:Dieser BC-Standard etabliert eine Struktur für Reaktionstaktiken und Wiederherstellungsmethoden über ein definiertes Managementsystem. Es umfasst strategische Planung, Design, Implementierung, Benutzerfreundlichkeit, Überwachung, Bewertung, Management und rechtzeitige Upgrades.
• ISO 22313:Dieses Protokoll ist eine Erweiterung von ISO 22301, die bestimmte regulatorische Klauseln hervorhebt.
• ISO 27001: Diese Strategie konzentriert sich auf Informationssicherheitsmanagementsysteme (ISMS). Es umfasst das Design, die Implementierung, das Management und die Förderung einer Kultur der kontinuierlichen Verbesserung.
• ISO 22320: Dieser BC-Standard definiert Bedingungen für die Reaktion auf Vorfälle und einen grundlegenden Ansatz für die Befehlsstruktur, operative Informationen und das Engagement mit Vorfallreaktionsgruppen.
• ISO 31000: Dies ist ein allgemeiner Rahmen für das Risikomanagement, der an jedes Unternehmen angepasst werden kann, unabhängig von Art, Größe oder Komplexität seiner Aktivitäten. Es umfasst Risikomanagement und effektive Ressourcenzuweisung.
• ISO 27000: Dies ist eine Reihe von regulatorischen Regeln, die auf ISMS anwendbar sind. Es konzentriert sich auf die Sicherheit von Informationssystemen, einschließlich Finanzdaten, Personalprofilen, Kundendaten und Datenbanken von Drittanbietern.
• ISO 28000: Dieser Standard beschreibt die Anforderungen an ein Sicherheitsmanagementsystem aus der Perspektive des Lieferkettenmanagements.
• NFPA 1600: Es ist eine Referenzquelle, die erklärt, wie man sich auf Katastrophen vorbereitet, sie angeht und sich davon erholt.
• NFPA 72: Dieser Standard bietet bewährte Verfahren für den Einsatz von Brandmelde-, Signal-, Alarm-, Massenbenachrichtigungs-, Wettermanagement- und ähnlichen Benachrichtigungssystemen, um Geschäftskontinuitätsteams über potenzielle Gefahren zu informieren.

Werkzeuge für Geschäftskontinuität

Sie können aus einer Vielzahl von Werkzeugen für Geschäftskontinuität wählen, die jeweils über einen eigenen Funktionsumfang verfügen:

• Backup: Datensicherung ist eine der grundlegendsten Techniken, um Geschäftskontinuität sicherzustellen. Während die Speicherung von Daten außerhalb des Standorts oder auf einem entfernten Laufwerk eine gewisse Geschäftskontinuität gewährleistet, sind andere Systeme erforderlich, um die IT-Infrastruktur zu sichern und im Falle einer Katastrophe betriebsbereit zu halten. Backup-Software schützt Unternehmensdaten, indem sie Daten von Servern, Datenbanken, Desktops und anderen Geräten repliziert, wenn menschliche Fehler, beschädigte Dateien oder physische Katastrophen wesentliche Daten unzugänglich machen.
• Backup as a Service (BaaS): Backup as a Service ist vergleichbar mit der Sicherung von Daten an einem entfernten Standort, wird jedoch von einer Drittquelle durchgeführt. Wieder einmal werden die Daten gesichert, und die IT-Infrastruktur nicht.
• DRaaS: DRaaS migriert die Datenverarbeitung einer Organisation auf eine Cloud-Plattform. DRaaS-Anbieter bieten ein Abonnement- oder Pay-per-Use-Modell für Unternehmen an, um den Dienst zu nutzen. Ein Vorteil von DRaaS ist, dass Unternehmen weiterhin normal vom Standort des Anbieters aus arbeiten können, selbst wenn ihre Server nicht verfügbar sind. Die Nutzung eines lokalen DRaaS-Anbieters führt zu geringerer Latenz, aber wenn die Server des Anbieters zu nahe am Katastrophenort sind, könnten ihre Server von derselben Krise betroffen sein.

Vorteile der Geschäftskontinuität

Unerwartete Ereignisse können eine Organisation jederzeit aus der Bahn werfen. Ob das Ereignis eine Naturkatastrophe oder ein Unfall, ein absichtlicher Rückschlag oder ein Angriff ist, die Auswirkungen auf Ihr Unternehmen können schwerwiegend sein. Wenn Sie nicht für einen solchen Notfall planen, können die Folgen viel schwerwiegender sein.

Geschäftskontinuitätsstrategien können Ihnen helfen:

• Sicherstellen, dass Ihr Unternehmen während und nach einem Ereignis weiterläuft
• Den Ruf Ihres Unternehmens schützen
• Den Betrieb so schnell wie möglich nach einer Unterbrechung wiederherstellen
• Die Kosten für den Umgang mit Geschäftsausfall reduzieren
• Die Risiken und die Auswirkungen von Risiken auf Ihr Unternehmen senken
• Das Vertrauen und die Zuversicht der Kunden erhöhen

Herausforderungen der Geschäftskontinuität

Mit der Geschäftskontinuität, die all die oben genannten Vorteile bietet, könnte es kontraintuitiv erscheinen, anzunehmen, dass die Einführung einer Geschäftskontinuitätsstrategie Nachteile haben könnte. Vielleicht ist "Einschränkungen" ein besserer Begriff, wenn es um Nachteile geht. Während die Planung der Geschäftskontinuität mehrere Vorteile bietet, kann sie Unternehmen ein falsches Sicherheitsgefühl geben und zu unzureichender Vorbereitung führen.

Hier sind einige häufige Herausforderungen der Geschäftskontinuität:

• Es ist ein zeitaufwändiger Prozess. Die Entwicklung einer Geschäftskontinuitätsstrategie erfordert Zeit. Auch die Etablierung als wesentlicher Bestandteil der Unternehmenskultur ist nicht ganz einfach.
• Es gibt finanzielle Einschränkungen. Ein Geschäftskontinuitätsplan kann zu erheblichen wirtschaftlichen Verlusten führen, wenn er falsch ausgeführt wird.

Planen Sie für das Schlimmste

Es hat wenig Sinn, Katastrophenwiederherstellungs- und Geschäftskontinuitätspläne zu organisieren, wenn Sie sie nicht auf dem neuesten Stand halten. Überprüfen Sie regelmäßig die Annahmen, auf denen Ihr Programm basiert. Entwickeln Sie mehr als ein Wiederherstellungsszenario, um die am besten geeignete Lösung für jede Situation auszuwählen. Schließlich identifizieren Sie kritische Systeme und Daten, um sie schnell und gründlich wiederherzustellen.

Möchten Sie Geschäftsrisiken bewerten und planen? Sehen Sie, wie Business Continuity Management Software Unternehmen hilft, betriebliche Ausfälle zu identifizieren und sich davon zu erholen.