CIOs müssen Notfallpläne laufend anpassen

Die digitale Revolution hat alle Branchen erfasst. Mega-Trends wie Big Data, Industrie 4.0 oder mobiles Internet verändern das Geschäftsumfeld rasant. Die Anpassung der Geschäftsmodelle – sei es durch die Digitalisierung von Produkten, die Erschließung neuer Kundenkanäle oder die Automatisierung der Prozesse – erfordert zuverlässige IT-Services. In diesem Zusammenhang gewinnen Szenarien wie Risk Management, Security Management und Business Continuity Management (BCM) noch mehr an Bedeutung. Vereinfacht gesagt gilt es, Bedrohungen im Zusammenhang mit den neuen Geschäftsmodellen zu identifizieren und ihnen effizient zu begegnen.

Es gilt aber nicht nur, geeignete Kontinuitätspläne zu ent­wickeln, sondern diese auch laufend zu aktualisieren und zu testen. Die Einbettung in einen geeigneten Managementkreislauf stellt sicher, dass Notfallpläne kontinuierlich ak­tuell gehalten und kommuniziert werden. BCM versteht sich dabei nicht als eigene Disziplin, sondern als Teil der strate­gischen, taktischen und operativen Transformationsprozesse. Dadurch können Zeit, Geld und Ressourcen gespart werden.

Die internationale Norm ISO 22301 ist einer der Standards, die die Anforderungen an ein solches Managementsystem spezifizieren. Weitere Hilfen finden sich in der ISO-27000-Normenreihe. Business Continuity und Notfallplanung sind immanenter Bestandteil der IT-Services. Prominente Frameworks und Standards, etwa TOGAF für Enterprise Architecture Management, ITIL für IT Service Management und COBIT für IT Governance, schenken dem Thema viel Beachtung.

Um BCM-relevante Risiken besser einschätzen zu können, muss unter anderem klar sein, in welchen Unternehmens­prozessen IT-Services genutzt werden und wie kritisch diese für das operative Geschäft sind. Diese Einschätzung muss gemeinsam mit den Risikoexperten, den Fachbereichen und letztlich durch die Unternehmensführung erfolgen. Ist die Bedeutung der IT-Services erst einmal bekannt, können die Kritikalitätseinschätzungen auf die Anwendungslandschaft übertragen werden, wobei Anwendungen, deren Schnittstellen untereinander und die zugrundeliegenden IT-Infrastrukturen genauer analysiert werden müssen. Große Wichtigkeit kommt dabei auch den Geschäftsobjekten zu – den wesentlichen Datenelementen, die in der IT-Landschaft bearbeitet werden.