Praktische Umsetzung eines Business-Continuity-PlansÜbertragung der Theorie in die Praxis braucht Präzision

Viele Unternehmen haben bereits die Risiken identifiziert, die ihr Business bedrohen, tun sich aber schwer damit, die daraus abgeleitete Business-Continuity-Strategie umzusetzen. Der Grund: Die Übertragung der Theorie in die Praxis erfordert Koordination, Präzision und fortlaufende Anpassungen. Da der Fokus in der Regel auf der Erstellung eines BC-Plans liegt, kommt die Realisation oft zu kurz. Hilfreich ist es, die Umsetzung mittels konkreter Schritte und Verantwortlichkeiten zu strukturieren.

Für die meisten Experten lautet der erste Schritt im Bereich des Umsetzens eines BC-Plans das richtige Team zusammenzustellen. Denn die effektive Umsetzung eines Business-Continuity-Plans hängt davon ab, dass die richtigen Personen einbezogen werden. Eine funktionsübergreifende Gruppe aus Mitarbeitenden der Bereiche IT, Betrieb, Führung, Finanzen und HR stellt sicher, dass alle kritischen Funktionen berücksichtigt werden und jeder die Ziele der Business Continuity-Planung versteht. Das beudeutet im Detail:

• Für IT-Rollen: Systemadministratoren und Sicherheitsexperten einbinden, welche die Technologieumgebung des Unternehmens genau kennen.
• Für den Betrieb: Es sollte sich explizit eine Person darum kümmern, dass die täglichen Aufgaben überwacht werden, damit eine Betriebsunterbrechung frühzeitig erkannt wird.
• Für die Geschäftsführung: Die Geschäftsleitung sollte Prioritäten definieren und Notfallpläne genehmigen.

Im zweiten Schritt geht es darum, konkrete Ziele und deren Umfang zu definieren. Und das sollte alles in den Kontext der Risikomanagementanalyse gesetzt werden:

• Beispielsweise gilt es, die größten betrieblichen Bedrohungen (z. B. Ausfälle von Rechenzentren oder Unterbrechungen der Lieferketten) zu identifizieren und diese nach Wahrscheinlichkeit und potenziellen Auswirkungen zu ordnen.
• Zudem müssen spezifische Recovery Point Objectives (RPOs) und Recovery Time Objectives (RTOs) festgelegt werden. Dabei sind die RTO- und RPO-Ziele auf die betriebliche Resilienz auszurichten, sodass sich Investitionen priorisieren lassen. Es geht darum, dass die einzelnen Ziele im Katastrophenfall als Handlungsplan für die gesamte Organisation dienen – einschließlich der verschiedenen Abteilungen und Geltungsbereiche.

Schritt 3: Rollen und Verantwortlichkeiten festlegen

Entscheidend für den Erfolg ist es, sicherzustellen, dass jeder Mitarbeitende weiß, was wann zu tun ist:

• Es muss festgelegt werden, wer den Notfallwiederherstellungsprozess initiiert.
• Elementar ist, die Kontaktinformationen für wichtige Entscheidungsträger und externe Partner zu dokumentieren.
• Um Engpässe zu vermeiden, müssen im Vorfeld potenzielle Eskalationsstufen geklärt werden.

Unternehmen, die beispielsweise die Datenschutz- oder Replikationslösungen von Arcserve verwenden, können sich darauf verlassen, dass IT-Spezialisten beim Erreichen eines bestimmten Schwellenwerts ein automatisiertes Failover auslösen, sodass das Unternehmen weiterhin voll funktionsfähig bleibt.

Als vierten Schritt empfiehlt es sich, Handlungsschritte und Zeitpläne aufzusetzen. Denn nachdem die Rollen definiert sind, müssen sie auf konkrete Aufgaben ausgerichtet werden. Dafür sind die erforderlichen Ressourcen (Backup-Systeme, alternative Standorte, Virtualisierungs-Plattformen) sowie Fristen oder Prüfpunkte festzulegen. Detaillierte Zeitpläne bieten eine strukturierte Möglichkeit, Aufgaben während einer Krise schnell auszuführen.

Mit Arcserve UDP beispielsweise können viele Aspekte von der Sicherung über die Replikation und Wiederherstellung automatisieret werden, was u.a. die Zuordnung der Datenschutzstrategien zu den Zeitplänen erleichtert.

Schritt 5: Dokumentieren, Trainieren und Kommunizieren

Ein perfekter Plan ist nur dann wirksam, wenn er verstanden wird. Eine einfache und leicht zugängliche Dokumentation ist Voraussetzung dafür, dass alle den BC-Plan schnell verstehen und verinnerlichen. Daher gelten folgende Empfehlungen:

• Es empfiehlt sich, Schulungen durchzuführen, in denen erläutert wird, was bei einer Betriebsunterbrechung getan werden muss.
• Verständliche Referenzhandbücher oder Runbooks sollten für den schnellen Zugriff im Notfall bereitstehen.
• Über interne Kommunikationskanäle (E-Mail, Chat und Intranet) lassen sich wichtige Neuigkeiten zielgerichtet kommunizieren.

Die praktische Umsetzung eines Business-Continuity-Plans sorgt dafür, dass ein Unternehmen auch dann erfolgreich geschützt ist, wenn es unter Druck gerät. Die Auswahl eines funktionsübergreifenden Teams, die Festlegung klarer Ziele, Zuweisung von Verantwortlichkeiten sowie der Aufbau einer Kommunikations- und Lernkultur unterstützt Unternehmen dabei, anstehende Herausforderungen zu bewältigen. (rhh)

Arcserve