BCM — Business Continuity Management
Policy & Governance
BCM-Rahmenwerk: Richtlinien, Verantwortlichkeiten, Gremienstruktur und Dokumentationspflichten für das Business Continuity Management.
BCM-Policy
Die BCM-Policy definiert die Grundsätze, Ziele und den Geltungsbereich des Business Continuity Managements. Sie wird vom Vorstand verabschiedet und jährlich überprüft.
- · Geltungsbereich: Alle kritischen und wichtigen Geschäftsprozesse, IT-Systeme, Standorte und Drittdienstleister
- · Ziele: Sicherstellung der Geschäftskontinuität bei Störungen, Minimierung von Ausfallzeiten und -kosten
- · Prinzipien: Risikobasierter Ansatz, Verhältnismäßigkeit, kontinuierliche Verbesserung
- · DORA Art. 11(3): IKT-Contingency-Richtlinie muss regelmäßig getestet und aktualisiert werden
- · MaRisk BTO 1.3: Notfallmanagement als integraler Bestandteil des Risikomanagements
Rollen & Verantwortlichkeiten
- BCM-Beauftragter: Strategische Steuerung, Reporting an Vorstand, Koordination der BCM-Prozesse
- Fachbereichsverantwortliche: BIA für eigene Prozesse, Umsetzung von Maßnahmen, Teilnahme an Übungen
- IT-Notfallorganisation: Technische Wiederherstellung, IT-SC, Systemwiederanlauf
- Krisenstab: Entscheidungen bei Großstörungen, Kommunikation, Eskalation
- Interne Revision: Prüfung der BCM-Wirksamkeit, Einhaltung der Richtlinien
Gremien & Rhythmen
- BCM-Steuerungskreis: Quartalsweise — Status BCM, Übungsplanung, Risikotrends
- BCM-Review: Jährlich — Policy-Update, BIA-Update, Übungsauswertung, Management-Review
- Krisenstab-Sitzung: Ad-hoc bei Vorfällen — Entscheidungen, Ressourcenallokation
- Vorstands-Reporting: Halbjährlich — BCM-Kennzahlen, Übungsergebnisse, Audit-Findings
- Aufsichtsrechtliche Meldung: Bei erheblichen Störungen — DORA Art. 19, BaFin-Meldung
Dokumentationspflichten
Die BCM-Dokumentation muss folgende Elemente umfassen (DORA Art. 11(6), MaRisk BTO 1.3):
- · BCM-Richtlinie (vom Vorstand verabschiedet, mit Versionierung)
- · BIA-Dokumentation (kritische Prozesse, RTO/RPO, Ressourcenbedarf)
- · Notfallhandbuch (Krisenstab, Kommunikationsmatrix, Workaround-Prozesse)
- · Übungsplanung und -auswertung (Tabletop, Vollübung, Lessons Learned)
- · Prüfpfad für Aufsichtsbehörden (Änderungshistorie, Freigaben, Audit-Trail)