Wenn das KIS steht, entscheidet der Plan — nicht die Improvisation
Die Aufrechterhaltung des Betriebs ist einer der zehn Massnahmenbereiche aus § 30 BSIG. Verlangt wird nicht ein Notfallhandbuch, sondern die nachvollziehbare Ableitung von der Business-Impact-Analyse bis zum geübten Wiederanlauf.
30 Tage kostenlos · BCM-Modul in Professional enthalten
Ausgangslage
Die Lücke zwischen Notfallhandbuch und Nachweis
Der Plan ohne Ableitung
Fast jedes Haus hat Notfallpläne. Was in der Prüfung fehlt, ist die Begründung: Warum vier Stunden Wiederanlaufzeit und nicht acht? Ohne Business-Impact-Analyse ist die Zahl eine Setzung, kein Nachweis.
Zwei Wahrheiten für denselben Prozess
ISMS und BCM getrennt geführt heisst: zwei Risikobewertungen, zwei Wiederanlaufzeiten, zwei Massnahmenlisten. Spätestens im Audit widersprechen sie sich.
Übungen ohne Spur
Die Tabletop-Übung hat stattgefunden, das Protokoll liegt im Mailpostfach des Krisenstabsleiters. Für den Nachweis der Wirksamkeit nach § 30 Abs. 2 Nr. 6 BSIG reicht das nicht.
Die Module
BCM nach BSI 200-4 — vollständig im ISMS
Business-Impact-Analyse
Zeitkritische Prozesse identifizieren, RTO und RPO definieren, Abhängigkeiten und Ressourcen erfassen. Stufenmodell nach BSI 200-4.
Notfall- und Wiederanlaufpläne
Digitale Notfallhandbücher, Besondere Aufbauorganisation, Krisenrollen, Kommunikationsbäume und Sofortmassnahmen — versioniert und freigegeben.
Stufenmodell und PDCA
Reaktiv-BCMS, Aufbau-BCMS, Standard-BCMS. Die Stufe Standard ist mit ISO 22301 kompatibel, der PDCA-Zyklus ist im System hinterlegt.
Übungen und Tests
Tabletop-Übungen dokumentieren, Szenarien hinterlegen, Ergebnisse verfolgen, Wirksamkeit prüfen — mit vollständigem Audit-Trail.
Krisenmanagement-Dashboard
Im Ernstfall: Sofortüberblick über alle Notfallpläne, Kontaktketten, Wiederanlaufzeiten und den Entscheidungsbaum.
Verknüpfung mit dem ISMS
BCM-Risiken hängen an den ISMS-Risiken, Massnahmen werden übernommen, Sicherheitsvorfälle rufen den passenden Notfallplan auf.
Ablauf
Vom leeren BCMS zum geübten Plan
- Geltungsbereich und Stufe festlegenWelche Standorte, welche Prozesse, welche Stufe nach BSI 200-4. Reaktiv-BCMS ist ein legitimer Startpunkt — wichtig ist, dass die Stufe bewusst gewählt und dokumentiert ist.Woche 1
- Business-Impact-AnalyseZeitkritische Prozesse erfassen, Auswirkung über die Zeit bewerten, RTO und RPO je Prozess ableiten, Abhängigkeiten zu IT-Systemen, Medizintechnik und Personal festhalten.Woche 2–5
- Notfallpläne erstellenAus der BIA folgen die Pläne, nicht umgekehrt. Krisenrollen besetzen, Kommunikationsbäume hinterlegen, Sofortmassnahmen je Szenario definieren.Woche 6–9
- Üben und nachweisenErste Tabletop-Übung durchführen, Ergebnisse dokumentieren, Verbesserungen als Massnahmen anlegen, BCM-Bericht als PDF für Geschäftsführung und Prüfer.Woche 10–12
Aus dem ISMShield-Monitor
Was ein realer Vorfall über Notfallvorsorge lehrt:
Einwände
Häufige Fragen zum BCM im Krankenhaus
Ist BCM wirklich eine NIS2-Pflicht?
Ja. § 30 Abs. 2 BSIG nennt die Aufrechterhaltung des Betriebs — Backup, Wiederherstellung und Krisenmanagement — ausdrücklich als einen der zehn Massnahmenbereiche. Für KRITIS-Häuser ist die Notfallvorsorge zusätzlich Bestandteil des B3S. BCM ist damit keine Kür, sondern nachweispflichtiger Teil der Umsetzung.
Reicht ein Notfallhandbuch im Ordner?
Für den Nachweis nicht. Verlangt wird die Ableitung: Welche Prozesse sind zeitkritisch, welche Wiederanlaufzeit ist definiert, worauf stützt sich diese Festlegung, wann wurde sie zuletzt geprüft? Ein Handbuch ohne Business-Impact-Analyse hat diese Ableitung nicht. In ISMShield hängen Notfallplan, BIA-Ergebnis und Testnachweis zusammen.
Was ist der Unterschied zwischen BSI 200-4 und ISO 22301?
BSI 200-4 ist der deutsche Standard für Business Continuity Management und arbeitet mit einem Stufenmodell: Reaktiv-BCMS, Aufbau-BCMS und Standard-BCMS. ISO 22301 ist die internationale Norm und zertifizierbar. Die Stufe Standard-BCMS nach BSI 200-4 ist mit ISO 22301 kompatibel. ISMShield bildet beide Wege ab, sodass Sie sich nicht am Anfang festlegen müssen.
Wie kommt man zu realistischen RTO- und RPO-Werten?
Über die Business-Impact-Analyse. Sie identifiziert die zeitkritischen Prozesse — im Krankenhaus typischerweise Notaufnahme, OP-Planung, Labor, Radiologie und Medikation — und ermittelt je Prozess, ab wann ein Ausfall die Versorgung gefährdet. Daraus folgen die Zielwerte, nicht umgekehrt. Das BIA-Modul führt durch diese Schritte und hält die Abhängigkeiten zwischen Prozessen und Ressourcen fest.
Müssen wir Übungen durchführen — und nachweisen?
Die Wirksamkeitsprüfung ist Teil sowohl von § 30 Abs. 2 Nr. 6 BSIG als auch von BSI 200-4. Praktisch heisst das mindestens: Tabletop-Übungen dokumentieren, Ergebnisse festhalten, Verbesserungen ableiten und den nächsten Termin setzen. Das Übungsmodul erzeugt dafür den Audit-Trail.
Wie hängt BCM mit dem ISMS zusammen?
Direkt. BCM-Risiken sind mit den ISMS-Risiken verknüpft, Massnahmen lassen sich aus dem ISMS übernehmen, und ein Sicherheitsvorfall kann den zugehörigen Notfallplan aufrufen. Getrennte Systeme erzeugen an dieser Stelle erfahrungsgemäss Widersprüche — zwei Wiederanlaufzeiten für denselben Prozess, aus zwei Quellen.
Bereit, es selbst zu sehen?
30 Tage kostenlos, mit Ihren echten Daten, ohne Kreditkarte. Wenn es nicht passt, exportieren Sie alles und sind wieder raus.