Business Continuity Management: So läuft Ihr Business auch im Ernstfall erfolgreich weiter

Warum müssen vor allem KMU ihre Prozesse auf den Ernstfall vorbereiten?

Kleine und mittelständische Unternehmen (KMU) sind das Rückgrat der deutschen Wirtschaft. Sie beschäftigen etwa 60 Prozent aller Arbeitnehmer und leisten einen entscheidenden Beitrag zur Innovationskraft und Stabilität der Bundesrepublik. Gleichzeitig wird der Mittelstand zu einem immer beliebteren Ziel von Hackern.  

Das Problem: Der Mittelstand ist besonders verletzlich gegenüber externen und internen Störungen wie Cyberangriffen, Pandemien oder dem Ausfall kritischer IT-Systeme. Denn im Gegensatz zu großen Konzernen verfügen sie oft nicht über die notwendigen Rückstellungen, um Stillstandzeiten und Ausfälle zu überbrücken. Deshalb ist der Anteil von Insolvenzen nach Cyberangriffen wesentlich größer als bei den Top Playern.  

Viele KMUs glauben, zu klein und zu unbedeutend für Cyberangriffe zu sein. Das mag für einen gezielten Angriff richtig sein. Bei einem sogenannten „Gießkannen-Angriff“, unterscheidet der Angreifer nicht nach Unternehmensgröße. Hier versuchen automatisierte Softwaretools, Unternehmen in einem bestimmten Bereich in großer Summe anzugreifen. Die betroffenen TOP-Player werden dann vom Hacker weiter infiltriert und individuell angegriffen. Bei KMUs wird wesentlich schneller versucht, eine Ransomware-Verschlüsselung zu aktivieren und hohe Erpressungsgelder zu erhalten. Der ganze Prozess läuft meist voll automatisch und ohne jeden Kontakt zum Angreifer.

Bei solchen Angriffswellen sind auch immer wieder Einzelunternehmen betroffen, welche wirtschaftlich für Cyber-Erpressungsversuche gar nicht interessant sind. Daher ist der Schaden und die Auswirkung für das getroffene Unternehmen meist schlimmer, je kleiner das Unternehmen ist.

Daher ist ein BCM gerade für kleinere Unternehmen überlebenswichtig.

Was ist BCM?

Business Continuity Management oder betriebliches Kontinuitätsmanagement erlaubt es Unternehmen, ihre wichtigsten Geschäftsprozesse in Krisen oder bei Störungen weiterführen oder schnell wieder aufnehmen zu können. Es handelt sich bei BCM um eine Managementmethode, um potenzielle Risiken erkennen und geeignete Maßnahmen planen zu können.  

Von einem Business Continuity Management System spricht man, wenn Unternehmen beim BCM strukturiert und prozessorientiert vorgehen, sich an den Standards ISO 22301 und ISO 27031 orientieren und ihr BCM kontinuierlich verbessern.

Die wichtigsten Ziele von Business Continuity Management

Mit einem BCMS sind große und kleine Organisationen in der Lage, ihre Existenz abzusichern, indem sie wichtige Betriebsabläufe vor dem Totalausfall schützen. Sie legen frühzeitig fest, was im Ernstfall zu tun ist, zum Beispiel bei einem Hackerangriff. Zusammen mit Maßnahmen für die Stärkung der Informationssicherheit und für das Krisenmanagement bildet BCM damit eine wichtige Grundlage für Resilienz.

Auf welche Notfälle bereitet ein BCM-System vor?

Es gibt unterschiedliche Krisen, die Unternehmen jederzeit treffen können. Typische Notfälle, in denen Business Continuity Management Ihre Prozesse schützen kann, sind zum Beispiel

• IT-Ausfälle durch Netzwerkprobleme oder Cyberangriffe  

• Personalausfall durch Kündigung oder Pandemien

• Ausfall von Lieferanten

• Unterbrechungen in der Lieferkette

• Naturkatastrophen

• Stromausfälle

Welche Vorteile bringt ein BCMS für Unternehmen wie KMU?

Abgesehen davon, dass Organisationen ihre Betriebsabläufe im Krisenfall absichern können, profitieren sie mit einem Business-Continuity-Management-Konzept von weiteren wettbewerbsentscheidenden Vorteilen:

• Nachweisbare Krisenvorsorge stärkt das Image und das Vertrauen von Kunden, Partnern und Investoren

• Ohne ein aktives BCM ist der Abschluss einer Cyberversicherung für umfassenden Versicherungsschutz fast unmöglich.

• Mit einem BCMS, das Normen wie der ISO 22301 oder dem BSI‑Standard 200-4 BCMS entspricht, können Unternehmen Zertifikate erhalten, die häufig Voraussetzung in Ausschreibungen und Großkundenbeziehungen sind.

Welche rechtlichen Aspekte sprechen für die BCMS-Einführung?

Es gibt aktuell keine direkte gesetzliche Pflicht zur Einführung eines BCM. Aber viele Gesetze & Normen verlangen die Absicherung der Geschäftsprozesse gegen alle erdenklichen Störungen. Die Antwort auf diese Anforderungen ist ein BCM. Somit kann es durch die Hintertür doch als unumgängliche Notwendigkeit angesehen werden.

Die folgende Übersicht zeigt, in welchen Bereichen KMU von der Implementierung eines BCMS profitieren können.

Sorgfaltspflichten

Der Gesetzgeber verlangt von der Führungsebene besondere Sorgfalt im Umgang mit Risiken und ihren Pflichten gegenüber Vertragspartnern:

• § 347 HGB: Der „ordentliche Kaufmann“ ist zu vorausschauender Risiko­planung verpflichtet  

• § 280 BGB: Das Unterlassen präventiver Maßnahmen kann eine Pflichtverletzung darstellen und Schadensersatz nach sich ziehen, zum Beispiel wenn Vertragspflichten nicht eingehalten werden können  

• § 43 GmbHG: Geschäftsführung haftet persönlich, wenn sie Risiken nicht erkennt oder geeignete Maßnahmen unterlässt

Verantwortliche schaffen mit einem BCMS einen systematischen Rahmen, in dem BCM-Prozesse organisiert, dokumentiert, umgesetzt und regelmäßig verbessert werden. Damit sind sie auf Notfälle vorbereitet und können ihre Geschäfte auch im Krisenfall weiterführen und Umsatzverluste verhindern.  

Die BCM-Etablierung ermöglicht ihnen also einen vorausschauenden, präventiven Umgang mit Risiken und kann deshalb als Teil der kaufmännischen Sorgfalt interpretiert werden.

DSGVO-Anforderungen

Art. 32 DSGVO verpflichtet Unternehmen dazu, technische und organisatorische Maßnahmen (TOM) zu treffen, die unter anderem der „Wiederherstellung der Verfügbarkeit und des Zugangs zu personenbezogenen Daten bei einem physischen oder technischen Zwischenfall“ dienen.  

Ein BCMS unterstützt KMU dabei, indem es Notfall‑ und Wiederanlaufpläne liefert, um Bußgelder und Reputationsschäden zu vermeiden.

Cybersecurity-Anforderungen  

Die Bedrohungslage aus dem Cyberraum hat sich in den letzten Jahren so weit verschärft, dass die EU mit Richtlinien eingreifen muss, die Unternehmen zu mehr Resilienz verhelfen und insbesondere kritische Infrastrukturen besser schützen sollen.

In Deutschland sind für Unternehmen in diesem Zusammenhang unter anderem folgende Punkte relevant:  

• NIS2: Unternehmen brauchen resiliente Prozesse und Notfallstrategien, um die Widerstandsfähigkeit von Netzwerk‑ und Informationssystemen zu stärken

• IT-Sicherheitsgesetz und ISO/IEC 27001: Wer kritische Infrastrukturen betreibt oder personenbezogene Daten verarbeitet, muss die Sicherheit seiner IT-Infrastrukturen gewährleisten

Da ein BCMS mit den Anforderungen von NIS2 auf einer Linie liegt und eng mit Maßnahmen der IT-Sicherheit verknüpft ist, unterstützt es Unternehmen dabei, ihre Resilienz zu stärken.

BCMS im Unternehmen implementieren: So gehen KMU vor

Der Aufbau eines BCM, eingebettet in ein ISMS und unterstützt von IT-Servicemanagement Prozessen, ist ein komplexes Projekt. Insbesondere KMU mangelt es häufig an  

• fehlendem Fachpersonal mit ausreichender Praxiserfahrung

• methodisch erprobtem Vorgehen

• ausreichenden Ressourcen, um die vielfältigen Anforderungen eines BCMs umzusetzen

• erprobten Best Practice Ansätzen

Für KMU empfiehlt es sich deshalb, mit externer Unterstützung in das Thema BCM einzusteigen. Erfahrene BCM-Experten kennen die Hebel, um Ihr Unternehmen besser abzusichern, damit Sie gesetzliche Anforderungen sicher erfüllen können. Die folgenden drei Beispiele zeigen, bei welchen Business-Continuity-Management-Aufgaben unsere Experten Sie unterstützen.

Risikobasierter Ansatz

Was sind die wirklich kritischen Geschäftsprozesse? Welche Ressourcen werden im Notfall als erstes gebraucht und wo kommen diese her? Wer managt den Notfall und wer unterstützt? Diese und weitere Fragen klären unsere erfahrenen Experten mit der Geschäftsführung und beraten mit Augenmaß und angemessenem Vorgehen.

Mit der Sicht von außen fällt es Unternehmen leichter, komplexe Anforderungen an ihre Prozesse zu verstehen und effizient umzusetzen. Darüber hinaus sind externe Experten stets über aktuelle rechtliche Entwicklungen informiert und wissen, was zu tun ist.

Methodisches Vorgehen mit Best Practice Ansatz

Ein BCM-System muss so an das Unternehmen angepasst sein, dass es im Alltag optimal unterstützt und im Notfall schnell zur Wiederherstellung des Normalzustands führt. Das schließt die Einbindung der im Notfall notwendigen Mitarbeitenden und gegebenenfalls externen Dienstleister, mit ein. Hierfür bringen unsere Spezialisten das notwendige Fachwissen und Erfahrungen mit.

Beispiele für methodisches Vorgehen:

• Klare, transparente und erprobte Notfallprozesse

• Durchführung von Notfallübungen

• Erstellung von Notfall- und Wiederherstellungs-Prozessen und Dokumenten.

Ganzheitliches Rollout

BCM betrifft das gesamte Unternehmen. Deshalb beziehen unsere Berater bei der BCMS-Implementierung alle relevanten Abteilungen und Stakeholder ein:  

• Geschäftsführung

• Rechtsabteilung

• Produktion / Logistik

• Verwaltung / Buchhaltung

• IT-Team (intern / extern)

• Security-Verantwortliche

• (externer) Datenschutzbeauftragter

Wer ist für das Business Continuity Management verantwortlich?  

Auch wenn BCM ein Gemeinschaftsprojekt ist: Verantwortlich im Sinne der genannten Normen und Gesetze ist immer die oberste Leitung. Diese haftet für mangelnde Resilienz des Unternehmens. Deshalb ist ein BCM Chefsache und unverzichtbar für die Minimierung von Haftungsrisiken.

Jetzt BCMS implementieren und auf den Fall der Fälle vorbereit sein  

Gesetzliche Vorgaben wie BGB, HGB, aber auch NIS2 und die DSGVO verlangen von Unternehmen ein vorausschauendes und verantwortungsvolles Handeln. Ein BCM-System unterstützt Sie dabei, diesen Anforderungen gerecht zu werden. Damit ist es insbesondere für KMU in Deutschland keine Luxusinvestition, sondern im Gegenteil eine sinnvolle und zunehmend notwendige Maßnahme zur Risikominimierung, Existenzsicherung und rechtlichen Absicherung.  

Sie möchten Ihren Sorgfaltspflichten kompromisslos nachkommen und Ihr Unternehmen und seine Verantwortlichen vor Haftungsrisiken schützen? Sie möchten auf einen möglichen Cyberangriff gut vorbereitet sein? Dann sprechen Sie mit unseren erfahrenen BCM-Spezialisten und lassen Sie sich unverbindlich beraten.