Business Continuity, die Sie betreiben, nicht nur zertifizieren.

ISO 22301:2019 ist die internationale Norm für ein Business-Continuity-Managementsystem (BCMS): die Prozesse, mit denen eine Organisation ermittelt, welche ihrer Tätigkeiten am wichtigsten sind, wie schnell sie wiederhergestellt sein müssen, was sie tun wird, um sie aufrechtzuerhalten oder zurückzubringen, und wie sie nachweist, dass das funktionieren würde. Die Norm ist zertifizierbar, eine Zertifizierungsstelle kann das System also auditieren und ein Zertifikat ausstellen. Jede Organisation kann sie einführen, am häufigsten tun es aber Unternehmen, deren Kunden, Schemes oder Aufsichtsbehörden eine nachweisbare Kontinuitätsfähigkeit erwarten: Zahlungs- und E-Geld-Institute, Banken und Versicherer, Cloud- und Managed-Service-Anbieter, Betreiber wesentlicher Dienste und die Lieferanten all dieser Unternehmen.

Die Klauseln 4 bis 10 der Norm enthalten 45 Anforderungen, eine je nummerierter Klausel. Klausel 4 verlangt, den Kontext, die interessierten Parteien und die rechtlichen und vertraglichen Kontinuitätspflichten zu verstehen und den Geltungsbereich des Systems festzulegen. Klausel 5 legt Führung, eine Leitlinie und definierte Rollen in die Hände der obersten Leitung. Klausel 6 behandelt Kontinuitätsziele und die Planung von Änderungen. Klausel 7 umfasst Ressourcen, Kompetenz, Bewusstsein, Kommunikation und dokumentierte Information. Klausel 8 ist der operative Kern: die Business-Impact-Analyse und die Risikobeurteilung, die darauf gestützt gewählten Strategien und Lösungen, die Pläne und die Reaktionsstruktur, das Übungsprogramm und die Bewertung all dessen nach einem Test, einem Vorfall oder einer Änderung. Klausel 9 verlangt Leistungsmessung, interne Audits und Managementbewertung, Klausel 10 den Umgang mit Nichtkonformitäten und fortlaufende Verbesserung. Die Klauseln 1 bis 3 sind Anwendungsbereich, Verweise und Begriffe und begründen keine Pflichten; Anhänge hat die Norm nicht.

Für sich genommen nicht. Unternehmen führen die Norm ein, weil mehrere Regelwerke, die sie binden, eine funktionierende Business-Continuity-Fähigkeit voraussetzen, ohne zu sagen, wie man sie aufbaut. DORA verlangt von Finanzunternehmen eine übergreifende Business-Continuity-Leitlinie, eine Business-Impact-Analyse, mindestens jährlich getestete Kontinuitätspläne, eine Krisenmanagementfunktion und eine interne Revision der Reaktions- und Wiederherstellungspläne (Artikel 11 und 12). NIS2 Artikel 21 Absatz 2 Buchstabe c verlangt von wesentlichen und wichtigen Einrichtungen Business Continuity, Backup-Management, Wiederherstellung und Krisenmanagement und nennt internationale Normen als Maßstab für Angemessenheit. Die Controls A.5.29, A.5.30, A.8.13 und A.8.14 aus Anhang A der ISO 27001 setzen eine BIA und getestete IKT-Kontinuität voraus, die das ISMS selbst nicht definiert. Ein zertifiziertes BCMS ist der anerkannte Weg, einer Aufsicht oder einem Kunden zu zeigen, dass diese Fähigkeiten vorhanden sind.

Es sind die drei Zeitwerte, die die Business-Impact-Analyse für jede priorisierte Tätigkeit liefert. Die maximal tolerierbare Unterbrechungsdauer (MTPD) ist der Zeitpunkt, ab dem die Auswirkung des Ausfalls für das Unternehmen untragbar wird: die äußere Grenze. Das Wiederanlaufzeitziel (RTO) ist die Zielzeit, innerhalb derer die Tätigkeit mit einer minimal akzeptablen Kapazität wieder aufgenommen wird, und es muss mit Reserve innerhalb der MTPD liegen, denn man braucht Zeit, um die Unterbrechung zu bemerken und die Reaktion zu beschließen. Das Wiederherstellungspunktziel (RPO) ist der maximal akzeptable Datenverlust, der das Backup-Intervall und die Replikationsverzögerung für jeden Datenbestand bestimmt, von dem die Tätigkeit abhängt. Zwei Regeln machen die Analyse prüfbar: Das RTO ist bei jeder Tätigkeit kürzer als die MTPD, und kein unterstützendes System, kein Lieferant und kein Standort hat ein Wiederherstellungsziel, das länger ist als das RTO der Tätigkeiten, die davon abhängen. Venvera erfasst alle drei Werte je Tätigkeit und prüft die Regeln.

ISO 27001 ist das Informationssicherheits-Managementsystem, ISO 22301 das Business-Continuity-Managementsystem. Beide teilen dieselbe High-Level-Struktur (Kontext, Führung, Planung, Unterstützung, Betrieb, Leistungsbewertung, Verbesserung), ein integriertes Managementsystem kann also mit einem Leitliniensatz, einem Auditprogramm und einer Managementbewertung beide bedienen. Der Inhalt ist verschieden: ISO 27001 schützt Vertraulichkeit, Integrität und Verfügbarkeit von Informationen, ISO 22301 hält das Geschäft am Laufen, wenn etwas es stoppt. Vier Controls aus Anhang A der ISO 27001 (Informationssicherheit bei Störungen, IKT-Bereitschaft für Business Continuity, Backup und Redundanz) verweisen auf eine BIA und getestete Kontinuitätsvorkehrungen, die nur ein BCMS liefert; deshalb fragen ISO-27001-Auditoren regelmäßig nach der BIA und den Ergebnissen der IKT-Kontinuitätstests. In der Kreuztabelle von Venvera steht die Anforderung der ISO 22301 an die Pläne neben A.5.29 und A.5.30; Backup und Redundanz sind nicht verknüpft, eine Aufzeichnung, die tatsächlich beiden Normen genügt, wird deshalb an jede der Anforderungen angehängt.

Die Norm sagt „in geplanten Abständen“ und legt keine Häufigkeit fest, die Zertifizierungspraxis erwartet aber mindestens jährliche Übungen, bei denen jedes Reaktionsteam, jede priorisierte Tätigkeit und jede Kontinuitätslösung innerhalb eines definierten Zyklus validiert wird, sowie zusätzliche Übungen nach wesentlichen Änderungen. Eine Planübung validiert Entscheidungsfindung; nur ein technischer Test validiert ein Failover oder eine Rücksicherung, ein Programm ohne technische Tests hat seine IKT-Lösungen also nicht belegt. Jede Übung muss einen formalen Bericht mit Ergebnissen, Empfehlungen und Maßnahmen hervorbringen, und das Unternehmen muss auf die Ergebnisse reagieren. Für ein Finanzunternehmen kommt mit DORA Artikel 11 Absatz 6 ein fester jährlicher Test der IKT-Kontinuitäts- sowie Reaktions- und Wiederherstellungspläne hinzu, einschließlich Cyberangriffs- und Umschaltszenarien, und ein erneuter Test nach wesentlichen Änderungen. Venvera führt das Übungsprogramm, den IKT-Wiederherstellungstest und die Planüberprüfung als Kalenderpflichten mit Verantwortlichen und Terminen.

Eine Zertifizierungsstelle auditiert das BCMS in zwei Stufen gegen die Klauseln: zunächst eine Dokumentenprüfung, dann ein Audit vor Ort oder aus der Ferne, bei dem der Auditor die oberste Leitung und die Verantwortlichen der Tätigkeiten befragt, Stichproben der BIA zieht, einen Faden von einem BIA-Ergebnis über die Strategie, den Plan und die Übung bis zur daraus folgenden Korrekturmaßnahme verfolgt und prüft, ob die Aufzeichnungen zeigen, dass die Prozesse laufen und nicht nur beschrieben sind. Feststellungen werden als wesentliche oder geringfügige Nichtkonformitäten und Beobachtungen eingestuft; eine wesentliche Nichtkonformität braucht einen Korrekturmaßnahmenplan, bevor ein Zertifikat ausgestellt wird. Das Zertifikat gilt drei Jahre mit jährlichen Überwachungsaudits. Die Fragen, die der Auditor tatsächlich stellt, sind die Ermessensentscheidungen, die die Norm dem Unternehmen überlässt: Liegt das RTO innerhalb der MTPD, hat das Business die BIA validiert, könnte ein Stellvertreter den Plan befolgen, wurden die Maßnahmen aus den Übungen geschlossen. Aus genau diesen Fragen ist die Gap-Bewertung von Venvera aufgebaut.

Venvera bringt das gesamte BCMS in einen Arbeitsbereich, statt in ein Plandokument, eine BIA-Tabelle, einen Übungskalender in irgendeinem Postfach und eine Mailkette zu Lieferanten. Die 45 Klauselanforderungen tragen jeweils Verantwortliche, einen Status, eigene Nachweise und eigens verfasste Hinweise dazu, was ein Zertifizierungsauditor akzeptiert und was zurückgewiesen wird. Eine Gap-Bewertung mit 43 Fragen bewertet die Ermessensentscheidungen in acht Bereichen. Die vierzehn wiederkehrenden Pflichten eines BCMS (BIA-Überprüfung, Risikobeurteilung, Strategieüberprüfung, Übungsprogramm, IKT-Wiederherstellungstest, Planüberprüfung, Lieferantenzusicherung, Bewusstsein, Leistungsbericht, internes Audit, Managementbewertung, Leitlinie und Ziele, Kontext und Geltungsbereich) landen mit Verantwortlichen, Terminen und Erinnerungen im Compliance-Kalender. Zehn Richtlinienvorlagen decken die Dokumente ab, die das System braucht, von der Leitlinie selbst bis zum Verfahren zur Managementbewertung. In der Kreuztabelle steht die Anforderung an die Business-Continuity-Pläne neben den Kontinuitätsanforderungen aus DORA, NIS2, ISO 27001, SOC 2, NIST und weiteren Regelwerken, Kompetenz und Übungen sind mit NIST SP 800-53 verknüpft, und ein Vorstandsbericht fasst die Lage für die oberste Leitung zusammen.

Für ein Zahlungs- oder E-Geld-Institut, eine Bank oder einen Versicherer in der EU ist die DORA-Akte zur IKT-Kontinuität eine Teilmenge der BCMS-Akte: Die übergreifende Business-Continuity-Leitlinie aus Artikel 11 Absatz 1, die BIA aus Artikel 11 Absatz 5, die Pläne aus Artikel 11 Absätze 2 und 4, der jährliche Test aus Artikel 11 Absatz 6, die Krisenmanagementfunktion aus Artikel 11 Absatz 7, die Backup- und Wiederherstellungsverfahren aus Artikel 12 und die interne Revision der Pläne nach Artikel 11 Absatz 3 entstehen alle aus den Klauseln der ISO 22301. Ein Unternehmen mit zertifiziertem BCMS hat diese Nachweise als Nebenprodukt; eines ohne baut meist eine reine IKT-Vorkehrung, die an der Prämisse der „übergreifenden Business-Continuity-Leitlinie“ aus Artikel 11 Absatz 1 scheitert. Für ein APRA-reguliertes Unternehmen verlangt CPS 230 Operational Risk Management einen glaubwürdigen Business-Continuity-Plan, Toleranzwerte für kritische Operationen (die MTPD, das RPO und das Mindestserviceniveau der ISO-BIA unter anderen Namen), eine jährliche Übung und die Meldung einer Unterbrechung außerhalb der Toleranz binnen 24 Stunden; ein ISO-22301-BCMS erfüllt die Struktur und ergänzt nur die APRA-spezifischen Punkte. In der Kreuztabelle von Venvera ist die Anforderung an die Pläne mit der DORA-Anforderung an die Kontinuitätspläne verknüpft; die übrigen DORA-Verknüpfungen stellt das Unternehmen selbst her, indem es dieselben Nachweise anhängt, und Venvera führt die Kontinuitätspflichten neben den DORA-Pflichten.