Profile der Domäne BSI 200-4 (DE)

Für die Domäne BCM gibt es zwei Profile zum einen das Profil Beispieldaten für die Domäne BSI 200-4 (DE), zum anderen steht Ihnen das BCM-Profil für Hochschulen vom ZKI zur Verfügung.

Beispieldaten für die Domäne BSI 200-4 (DE)

Das Profil Beispieldaten für die Domäne BSI 200-4 (DE) stellt eine Organisation mit Beispielobjekten zur Abbildung eines BCMS nach BSI-Standard 200-4 dar. Es beinhaltet einen vorkonfigurierten BCMS-Geltungsbereich mit typischen Interessengruppen, Rollen, Prozessen, Ressourcen, Ausfallszenarien und BIA-Ergebnissen.

Anhand zeitkritischer Musterprozesse erfahren Sie, wie MTPD, RTO und RPO ermittelt werden und als Basis für Geschäftsfortführungs- (GFP) sowie Wiederanlaufpläne (WAP) dienen. Dazu wurden beispielhafte BC-Strategien, BC-Lösungen aus Notfallmaßnahmen sowie Verbesserungsmaßnahmen erfasst. Ergänzend illustriert ein Grundanforderungskatalog die Compliance-Überprüfung externer Dienstleister (am Beispiel eines IT-Hardware-Recovery-Anbieters). Zudem kann der offizielle BSI-Anforderungskatalog direkt auf den Geltungsbereich angewendet werden, um den Reifegrad des BCMS strukturiert zu überprüfen.

Vordefinierte Objektverknüpfungen sowie beispielhafte Pläne (GFP für den Prozess „Transaktionen“, WAP/WHP für den „Hardwareserver“) ermöglichen es Ihnen, die verinice-Funktionen und Reports für Notfallhandbuch, GFP und WAP/WHP direkt in der Praxis zu testen.

Inhalt des Profils "Beispieldaten für die Domäne BSI 200-4 (DE)"

1. Institution:

• Erfassung einer Beispielinstitution inkl. Adresse und Kontaktinformationen.
• Verknüpfungen (unter dem Reiter Teile): Beinhaltet den BCMS-Geltungsbereich, Organisationseinheiten, notfallrelevante Ressourcen sowie das Dokumenten-Objekt des Notfallhandbuchs (notwendig für die automatisierte Report-Generierung).

2. BCMS-Geltungsbereich:

• Vollständig befülltes Formular inklusive Betrachtungszeitraum, BCM-Leitlinie und verknüpfter BCM-Beauftragung (BCB).
• Im Reiter Controls ist exemplarisch eine Korrekturmaßnahme hinterlegt (Basis für den BCM-Maßnahmenplan).
• Zudem dient dieser Bereich als Ansatzpunkt für die Anwendung der BSI-200-4-Anforderungskataloge zur Erfassung des Umsetzungsstands.

3. Interessengruppen:

• Erfassung relevanter interner und externer Interessengruppen inklusive Erwartungen, Anforderungen sowie Einflussbewertung auf das BCMS.
• Notfallkommunikation: Vordefinierte Parameter zur Regelung der Kommunikationswege, Intervalle und Zuständigkeiten im Krisenfall.

4. Externe Dienstleister:

• Muster-Dienstleister inklusive verknüpftem BCM-Grundanforderungskatalog (Reiter Controls) zur Überprüfung der Lieferanten-Compliance.

5. Organisationseinheiten:

• Bilden die organisatorische Zuordnung für die modellierten Prozesse ab.

6. Geschäftsprozesse:

• Modelliert auf Basis des BSI-Hilfsmittels BIA-Auswertungsbogen mit Angaben zu Organisationseinheit, MTPD (inkl. Begründung), ausschlaggebende Schadensszenarien, Notbetriebsniveau sowie Prozess- und Ressourcenabhängigkeiten.
• Use Case „Transaktionen“: Vollständiges Beispiel für einen Geschäftsfortführungsplan (GFP). Szenarien sind mit BC-Lösungen und abgeleiteten Notfallmaßnahmen verknüpft.

7. Ressourcen:

• Gliederung der Ressourcenkategorien über Composites in IT, Personal, Infrastruktur, Dienstleistungen, Maschinen/Anlagen, Betriebsmittel und Informationen & Daten.
• Use Case „Hardware Server & Storage“: Vollständiger Wiederanlauf- und Wiederherstellungsplan (WAP/WHP) inklusive RTO/RPO-Werten, zugeordneter BC-Lösung und dokumentierten Vorgaben zur Dokumentenlenkung.

8. Personen & Dokumente:

• Personen: Abbildung von BCM-Rollen und Rollen der Besonderen Aufbauorganisation (BAO) inklusive Stellvertretungsregelungen, Aufgaben und Verantwortlichkeiten.
• Dokumente: Zentral hinterlegte Vorlagen und Referenzdokumente für Notfallpläne und das Notfallhandbuch.

9. Controls: Folgende Control-Subtypen sind beispielhaft befüllt:

• Anforderungskatalog: Benutzerdefinierter Grundanforderungskatalog. Der BCM-Anforderungskatalog vom BSI kann ebenfalls angewendet werden.
• Anforderungen: BCM-Anforderungen (z. B. zur Überwachung externer Dienstleister und Lieferketten), oder zur Bewertung seines eigenen BCMS .
• Sofortmaßnahmen: Zwei szenariospezifische Beispiele (bei Ausfall IT & Ausfall Personal).
• Notfallmaßnahmen: Einzelne Aktivitäten, die Teil der Pläne (GFP, WAP/WHP) sind.
• BC-Strategien und BC-Lösungen: Strukturierte Strategien nach BSI-Methodik (geordnet nach Ressourcenkategorien) und ausgearbeitete BC-Lösungen für Prozesse und Ressourcen.
• Korrektur- und Verbesserungsmaßnahmen: Beispielmaßnahmen zur kontinuierlichen Pflege, verknüpft mit dem Geltungsbereich oder spezifischen BC-Lösungen.

10. Szenarien:

• Gefährdungen/Notfallszenarien: Verknüpfung der IT-Grundschutz-Gefährdung G 0.1 (Feuer) mit Notfallszenarien (Auswirkungsszenarien), um den methodischen Übergang von Ursache zu BC-Strategie aufzuzeigen.

11. Ereignis:

• Schadensereignis-Muster (z. B. INC-1) mit integrierten Checklisten zur Schadensbewältigung und Rückführung in den Normalbetrieb.

BCM-Profil für Hochschulen in verinice

Hochschulen stehen vor der Herausforderung, ihre Handlungsfähigkeit auch in Krisensituationen aufrechtzuerhalten. Ziel der Fachexpert:innen des BSI und des ZKI e. V. ist es daher, ein praxistaugliches Muster für den Notbetrieb an Hochschulen zu etablieren – den sogenannten „Plan B“. Angetrieben durch das Projekt „BCM-Profil für Hochschulen“ wird seit 2023 ein praxistaugliches Notfallmanagement entwickelt, das den typischen Kernaufgaben in Forschung und Lehre gerecht wird.

Als methodisches Fundament dient der modernisierte BSI-Standard 200-4. Er bietet eine anwendungsnahe Anleitung zum Aufbau eines Business Continuity Management Systems (BCMS), nutzt Synergien mit der Informationssicherheit sowie dem Krisenmanagement und bildet damit einen zentralen Baustein für die organisatorische Resilienz.

Ein zentrales Werkzeug bilden dabei die Business-Impact-Analysen (BIA):

• Entscheidungsgrundlage: Sie ermitteln die konkreten Folgen störender Ereignisse (z. B. finanzielle Schäden oder Ressourcenbedarfe) und liefern der Hochschulleitung belastbare Grundlagen.

• Kollaboration: In moderierten Gruppenarbeiten entwickeln und erproben Expert:innen des ZKI-Arbeitskreises Informationssicherheit gemeinsam mit BSI-Fachleuten Notfallprozesse, MTAs sowie plattformgestützte Workflows.

Das vorliegende BCM-Profil dient als flexible Schablone für die eigene Hochschule. Es bietet eine konkrete Basis für ein Reaktiv-BCM-Konzept und erleichtert durch die Betrachtung ausgewählter Kernaspekte den schrittweisen Weg hin zu einem vollständigen Aufbau- bzw. Standard-BCMS.

Herausgegeben vom Vorstand des ZKI e. V. | Community Draft 2025.0.0, (Quelle/Kontext: ZKI-Arbeitskreis Informationssicherheit)

Inhalt des Profils BCM-Profil für Hochschulen in verinice

Das BCM-Profil für Hochschulen beschreibt den BCMS-Geltungsbereich. Die wesentlichen Kernprozesse an Hochschulen wurden im Rahmen einer Business-Impact-Analyse (BIA) identifiziert. Ausgewählte Kapitel des BCM-Profils für Hochschulen des ZKI stehen in verinice als Profil bereit. Dies ermöglicht Hochschulen einen effizienten Einstieg und die zielgerichtete Weiterentwicklung des BCMS. Die Inhalte der folgenden Kapitel wurden abgebildet:

• Kapitel 5 – BCM-Geltungsbereich: Der definierte Scope wurde als BCMS-Geltungsbereich übertragen

• Kapitel 6 – Interessengruppenanalyse: Relevante interne und externe Interessengruppen wurden übernommen, deren Anforderungen erfasst und unter dem Control-Tab modelliert. Zudem wird deren Einfluss auf die Kommunikation im Not- und Krisenfall berücksichtigt.

• Kapitel 7.1 – Stabsstruktur und Notfallteams: Typische Stabs- und Teamstrukturen (Besondere Aufbauorganisation / BAO, inkl. Krisenstab und Bewältigungsteams) sind als Personen-Objekte hinterlegt.

• Kapitel 7.3 – Sofortmaßnahmen: Exemplarische Sofortmaßnahmen wurden für zentrale Szenarien integriert – unter anderem zur Gebäuderäumung sowie zur Deaktivierung des Internetzugangs.

• Kapitel 8 & 9 – BIA (sowie Anhang Kap. 17): Die Ergebnisse der Business-Impact-Analyse wurden vollständig eingepflegt. Insgesamt wurden 35 Ressourcen und 117 Geschäftsprozesse aus der BIA in verinice integriert. Die zeitkritischen und existenziellen Geschäftsprozesse (Kap. 9 + 17.1) beinhalten (sofern im Original-Profil definiert) folgende Angaben:

• Prozesskontinuität und kritischste Zeiträume

• Maximal tolerierbare Ausfallzeiten (MTA/MTPD): Zur besseren Handhabung wurden die kritischen Zeiträume wie folgt in verinice überführt:

  • MTA/MTPD 2 – 3 Tage -> 60 Stunden
  • MTA/MTPD 1 Woche -> 7 Tage
  • MTA/MTPD 1 Monat -> 30 Tage

• Ausschlaggebende Schadensszenarien:

  • Verstoß gegen Gesetze / Vorschriften / Verträge
  • Beeinträchtigung der Aufgabenerfüllung
  • Finanzielle Auswirkungen
  • Beeinträchtigung / Auswirkung auf Folgeprozesse
  • Beeinträchtigung der persönlichen Unversehrtheit
  • Negative Innen- oder Außenwirkung

• Beschreibung des Prozesses / Begründung der Schadensbewertung

• Verknüpfungen zu notwendigen Ressourcen für den Notbetrieb unter Angabe des Recovery Point Objective (RPO): Neben den Geschäftsprozessen wurden auch die für den Notbetrieb benötigten Ressourcen (Kap. 9) – wie Personal, Infrastruktur, IT und Dienstleister – systematisch erfasst. Zur besseren Übersichtlichkeit wurden den Objekten Abkürzungen zugewiesen.

• Kapitel 10 – Notfallplanung im Reaktiv-BCMS: Da ein Reaktiv-BCMS primär auf schnell umsetzbare, pragmatische Lösungen fokussiert, sind entsprechende Notfallmaßnahmen („Quickwins“) als BC-Lösungen abgebildet. Diese enthalten direkte Verknüpfungen zu den jeweils benötigten Ressourcen. Die vorgeschlagenen Notfalllösungen stellen erste Überlegungen dar, die von der jeweiligen Hochschule zu umfangreichen Notfalllösungen weiterentwickelt werden sollten, um darauf aufbauend Geschäftsfortführungs- und Wiederanlaufpläne zu erstellen.

• Für folgende Punkte wurden Dokumenten-Objekte als Vorlage/ Platzhalter angelegt:

  • Kontaktwege und Kommunikationskanäle
  • Alarmierungs- und Eskalationspfade
  • Grundsätze und Geschäftsordnung des Stabs
  • Verhaltenskodex des IT-Krisenstabs der Hochschule
  • Vorgaben zur Notfall- und Krisenkommunikation (NUK)