Business Continuity: Weiterarbeiten, wenn die IT steht

Business Continuity beantwortet eine andere Frage als der IT-Notfallplan. Dort geht es um Reaktion und technischen Wiederanlauf, hier um Fortführung: Was tut das Unternehmen in den Stunden oder Tagen, in denen ein System, ein Gebäude, ein Dienstleister oder ein Teil der Belegschaft nicht verfügbar ist? Wer darauf keine Antwort hat, steht still – auch wenn die Wiederherstellung technisch bestens vorbereitet ist.

Wo die Grenze zum IT-Notfallplan verläuft

Die Unterscheidung ist mehr als Begriffspflege, denn sie legt Zuständigkeiten fest. Den IT-Notfallplan schreibt die IT oder der Dienstleister; er beschreibt, wie Systeme eingedämmt, wiederhergestellt und wieder in Betrieb genommen werden. Die Business-Continuity-Planung verantwortet die Geschäftsleitung, erarbeitet wird sie von den Fachbereichen. Sie beschreibt, welche Ausfallzeit das Unternehmen verkraftet und wie Geschäftsprozesse auch ohne die gewohnten Systeme weiterlaufen. Außerdem betrachtet sie Szenarien, in denen die IT gar nicht die Ursache ist: Brand oder Wasserschaden, Ausfall eines Schlüssellieferanten, Krankheitswelle.

Verbunden sind beide Pläne über eine klare Schnittstelle. Die Business-Continuity-Planung legt fest, welche Prozesse wie schnell wieder laufen müssen; die IT leitet daraus Reihenfolge und Zeitziele für den Wiederanlauf ab. Fehlt die geschäftliche Seite, setzt die IT die Prioritäten nach eigener Einschätzung – ohne zu wissen, ob sie mit dem Bedarf des Geschäfts übereinstimmen.

Der Einstieg: kritische Prozesse und ihre Toleranz

Am Anfang steht keine Technik, sondern eine Liste. Welche Geschäftsprozesse dürfen wie lange stillstehen, bevor ernsthafter Schaden entsteht – finanziell, vertraglich, rechtlich oder im Ansehen bei Kunden? Fachleute sprechen von einer Business-Impact-Analyse und von der maximal tolerierbaren Ausfallzeit. Für den Mittelstand genügt am Anfang eine vereinfachte Form: ein Gespräch je Bereich, fünf Fragen, eine Tabelle.

Ein Beispiel mit angenommenen Werten, wie es in einem Handelsunternehmen aussehen könnte: Die Auftragsannahme muss spätestens nach vier Stunden wieder möglich sein, notfalls auf Papier. Der Versand verträgt einen Tag Pause, die Rechnungsstellung eine Woche, weil sich Rechnungen nachholen lassen. Die Lohnabrechnung ist die meiste Zeit unkritisch, in den Tagen vor dem Zahltermin aber zeitkritischer als fast alles andere. Aus einer solchen Tabelle ergibt sich unmittelbar, welche IT-Systeme beim Wiederanlauf Vorrang haben – und dass sich diese Reihenfolge im Laufe eines Monats ändern kann.

Liegt die realistische Wiederanlaufzeit eines Systems über der tolerierbaren Ausfallzeit des Prozesses, der davon abhängt, gibt es zwei Wege: in schnellere Wiederherstellung investieren oder einen Notbetrieb vorbereiten, der die Lücke überbrückt. Diese Abwägung zwischen Kosten und akzeptiertem Risiko ist eine Entscheidung der Geschäftsleitung, nicht der IT.

In dieselbe Tabelle gehören die Abhängigkeiten nach außen. Welche Lieferanten, Dienstleister und Cloud-Dienste braucht ein kritischer Prozess, und was sichern die Verträge im Störungsfall tatsächlich zu? Gibt es für einen unverzichtbaren Zulieferer eine Alternative, oder hängt die Produktion an einer einzigen Quelle? Ähnliches gilt für Personen: Wenn nur zwei Beschäftigte die Lohnabrechnung beherrschen, ist deren gleichzeitige Abwesenheit ein Szenario, das eine Vertretungsregel verdient.

Notbetrieb ist oft erstaunlich einfach

Notbetrieb bedeutet nicht, den Normalbetrieb nachzubilden. Es geht darum, das Wesentliche aufrechtzuerhalten und bewusst auf alles andere zu verzichten. Die Mittel dafür sind meist unspektakulär, müssen aber vorbereitet sein, bevor sie gebraucht werden.

Der letzte Punkt wird am häufigsten vergessen. Wer drei Tage auf Papier gearbeitet hat, steht danach vor Stapeln, die jemand erfassen muss, während der Normalbetrieb bereits wieder läuft. Wer das Nacherfassen einplant – mit Zuständigkeit, Reihenfolge und einer Kontrolle auf Vollständigkeit –, verhindert, dass aus einem Ausfall von Tagen ein Durcheinander von Wochen wird.

Wie viel Aufwand angemessen ist

Einen Rahmen bietet der BSI-Standard 200-4 zum Business Continuity Management. Er arbeitet mit einem Stufenmodell, dessen Einstiegsstufe sich zunächst auf die zeitkritischsten Geschäftsprozesse beschränkt und auf umfangreiche Vorabanalysen verzichtet; darauf aufbauend lässt sich das Vorgehen schrittweise erweitern. International ist ISO 22301 der Bezugsrahmen. Für Unternehmen, die unter das NIS2-Umsetzungsgesetz fallen, gehören die Aufrechterhaltung des Betriebs und das Krisenmanagement ausdrücklich zu den verpflichtenden Risikomanagementmaßnahmen.

Für die meisten mittelständischen Unternehmen genügen am Anfang wenige Seiten – vorausgesetzt, sie sind mit den Fachbereichen abgestimmt und nicht am Schreibtisch der IT allein entstanden. Erprobt wird die Planung am besten in einer gemeinsamen Runde von Geschäftsleitung, Bereichsleitungen und IT an einem konkreten Szenario. Die wichtigsten Erkenntnisse solcher Runden sind selten technischer Art. Meist geht es darum, wer im Notbetrieb entscheidet, wer Kunden informiert und wer das Ende des Notbetriebs erklärt.

Verwandte Themen: Wer hier weiterdenkt, liest bei IT-Notfallplan, Ausfallkosten und Georedundanz weiter.