Cybervize
BCM-Modul in OdySecure, der Sicherheitsplattform von Cybervize

BCM-Software für ISO 22301 und NIS-2, fokussiert auf den Mittelstand

Business-Continuity-Betrieb mit Business-Impact-Analyse, Kontinuitätsplänen, RTO-Validierung gegen reale BIA-Daten, Bedrohungsszenarien, Gap-Analyse und BCM-Tests. Alles in einer Plattform, die ihre Datenbasis mit ISMS, TPRM und Assessment teilt. Hosting in Deutschland.

Kostenlose Demo buchen

Was das BCM-Modul abdeckt

Das BCM-Modul setzt ISO 22301 als laufenden Betrieb um, nicht als Word-Notfallhandbuch, das nach dem Audit im Ordner verstaubt. Die Nachweise entstehen in den realen Prozess- und Asset-Daten, die das ISMS- und TPRM-Modul ohnehin pflegen.

Business-Impact-Analyse mit echten Abhängigkeiten

Geschäftsprozesse, maximal tolerierbare Ausfallzeit (MTPD), Ressourcenbedarf und Abhängigkeiten zu Anwendungen, Standorten und Lieferanten. Die BIA zieht das Asset-Inventar aus dem ISMS-Modul und die Lieferanten-Kritikalität aus dem TPRM-Modul, statt sie ein zweites Mal von Hand zu erfassen.

Kontinuitätspläne mit automatischer RTO-Validierung

Wiederanlaufpläne je kritischem Prozess mit definierten RTO- und RPO-Zielen. Die Plattform prüft jede Recovery Time Objective gegen das im BIA festgelegte Ziel des Prozesses und meldet einen Fehler, sobald der Plan dieses Ziel überschreitet. Aus statischen Plänen wird ein überprüfbarer Soll-Ist-Abgleich.

Bedrohungsszenarien und Gap-Analyse

Szenarienkatalog von Stromausfall über Ransomware und Lieferantenausfall bis Personal- und Gebäudeausfall, mit Gap-Analyse gegen die bestehenden Pläne. Kritische Lieferanten aus dem TPRM-Modul erzeugen automatisch passende Ausfallszenarien.

BCM-Tests vom Tabletop bis zum Volltest

Planung, Durchführung und Protokollierung von Übungen, vom Tabletop-Walkthrough bis zum Volltest, inklusive Lessons Learned und Maßnahmen-Rückfluss. Zusammenhängende Testhistorie als Nachweis für Auditoren und Versicherer.

Krisen- und Notfallmanagement

Alarmierungsketten, Krisenstab-Rollen, Eskalationsstufen und Kommunikationsvorlagen, verzahnt mit dem Incident Management des ISMS-Moduls. Ein Vorfall wird zur Krise eskaliert, ohne den Kontext neu aufzubauen.

Compliance Score und Management Review

Auto-befüllte KPIs aus dem laufenden BCM-Betrieb, Reifegrad-Score und Review-Vorlagen für Vorstand, Aufsichtsrat, Auditoren und Versicherer. Revisionssichere Snapshots dokumentieren den Stand zu jedem Stichtag.

So sieht die Gap-Analyse aus

Je Prozess: Schweregrad, Auswirkung, ob Plan, Strategie und Test vorliegen, und die Abweichung zum Wiederanlaufziel. Darüber der Verlauf über sechs Monate. Aus der Software, nicht nachgebaut.

Gap-Analyse in OdySecure: 48 Prozent Compliance-Score über acht Prozesse, Verlauf über sechs Monate und eine Tabelle mit Schweregrad, Plan, Strategie, Test und RTO-Gap je Prozess

Kein eigener CISO?

Im vCISO-Mandat arbeitet Ihr vCISO mit OdySecure, die Plattform ist enthalten. Ab 3.600 €/Monat.

Erstgespräch vereinbaren vCISO im Detail
Mehr zum BCM-Modul

Standards und Frameworks im BCM-Modul

Das BCM-Modul deckt die ISO-22301-Familie ab und integriert die für DACH relevanten Komplementärstandards. Keine fragmentierte Multi-Tool-Architektur, sondern eine Datenbasis für ISMS, BCM und TPRM.

  • ISO 22301:2019 als Hauptstandard für Business-Continuity-Management-Systeme (BCMS)
  • ISO 22313 als Umsetzungsleitfaden zu ISO 22301
  • ISO/IEC 27031 für IKT-Bereitschaft für Business Continuity
  • BSI-Standard 200-4 (Business Continuity Management) mit Stufenmodell Reaktiv, Aufbau, Standard
  • NIS-2-Anforderungen an Aufrechterhaltung des Betriebs und Krisenmanagement nach § 30 BSIG
  • DORA-Anforderungen an IKT-Geschäftsfortführung und Wiederherstellung für Finanzdienstleister
  • Mapping zu ISO 27001:2022 Anhang A (A.5.29 Informationssicherheit bei Störungen, A.5.30 IKT-Bereitschaft)
50Rahmenwerke als Katalog in der Plattform:Normen und Frameworks, regulatorische Vorgaben, Anforderungsdatensätze je Eintrag.Zur vollständigen Übersicht

Für wen das BCM-Modul gebaut ist

Drei Konstellationen, in denen das BCM-Modul das Word-Visio-Notfallhandbuch wirtschaftlich ablöst und die Pläne dauerhaft aktuell hält.

Mittelständler mit NIS-2-BCM-Pflicht

NIS-2 verlangt Aufrechterhaltung des Betriebs und Krisenmanagement. Ein Notfallhandbuch in Word besteht das Audit nicht, wenn die Pläne nie getestet und nie gegen reale Daten validiert wurden. Ohne eigene BCM-Praxis: Im vCISO-Mandat führt ein Senior-CISO die Einführung der BCM-Anforderungen aus NIS-2 und arbeitet dabei mit diesem Modul, die Plattform ist im Mandat enthalten. BIA und Pläne entstehen aus echten Prozessdaten, audit-fähig statt theoretisch.

Zum vCISO-Mandat

Konzern mit BCM ohne Datenanbindung

Bestehendes BCM in Word und Visio, BIA-Daten veraltet, RTOs nie gegen tatsächliche Wiederanlaufzeiten geprüft. Die Plattform verknüpft die BIA mit dem Asset-Inventar aus dem ISMS und der Lieferanten-Kritikalität aus dem TPRM, sodass die Pläne aktuell bleiben, ohne dass jemand sie jährlich von Hand nachzieht.

Finanzdienstleister unter DORA

DORA fordert getestete IKT-Geschäftsfortführung und Wiederherstellung. Das BCM-Modul liefert Szenarien, Tests und revisionssichere Nachweise, abgestimmt mit dem TPRM-Modul für kritische IKT-Drittparteien und dem ISMS-Modul für die zugrunde liegenden Controls.

Häufige Fragen zum BCM-Modul

Was ist der Unterschied zwischen einem BCM-Tool und einer BCM-Plattform?▼
Ein BCM-Tool ist eine eigenständige Software, die nur das Business Continuity Management abdeckt. Eine BCM-Plattform integriert das BCM mit verwandten Disziplinen wie ISMS, TPRM und Assessment in einer Datenbasis. Vorteil: Die BIA nutzt das Asset-Inventar aus dem ISMS, kritische Lieferanten aus dem TPRM erzeugen automatisch Ausfallszenarien, und ein Vorfall im Incident Management wird im selben System zur Krise eskaliert. Bei einem reinen BCM-Tool entstehen diese Verknüpfungen nur über manuelle Synchronisation oder gar nicht, und die BIA-Daten veralten zwischen den Jahres-Reviews.
Welchen Standard setzt das BCM-Modul um?▼
ISO 22301:2019 als Hauptstandard für Business-Continuity-Management-Systeme, mit ISO 22313 als Umsetzungsleitfaden und ISO/IEC 27031 für die IKT-Bereitschaft. Für den deutschen Kontext ist der BSI-Standard 200-4 mit seinem Stufenmodell abgebildet. Die Controls sind auf ISO 27001:2022 Anhang A gemappt, damit BCM und ISMS keinen Doppel-Aufwand erzeugen.
Wie validiert das BCM-Modul die RTOs?▼
Jede Recovery Time Objective in einem Kontinuitätsplan wird automatisch gegen die hinterlegten BIA-Daten geprüft. Überschreitet sie das dort festgelegte Ziel des betroffenen Prozesses, meldet die Plattform das als Fehler; ein Plan, der länger braucht als die BIA erlaubt, lässt sich so nicht speichern. Der Plan kann damit nicht mehr versprechen als die Analyse hergibt, statt ein Wunschwerts im Word-Dokument.
Unterstützt das BCM-Modul DORA und NIS-2 konkret?▼
Ja. Die NIS-2-Anforderungen an Aufrechterhaltung des Betriebs und Krisenmanagement nach § 30 BSIG sind als Pflichtelemente vorkonfiguriert. Für Finanzdienstleister bildet das Modul die DORA-Anforderungen an IKT-Geschäftsfortführung, Wiederherstellung und Tests ab, abgestimmt mit dem TPRM-Modul für kritische IKT-Drittparteien. Maßgeblich für die rechtliche Bewertung der Betroffenheit bleibt eine Kanzlei; das BCM-Modul liefert die operative Umsetzung und die Nachweise.
Wie werden BCM-Tests dokumentiert?▼
Von der Tabletop-Übung bis zum Volltest werden Planung, Durchführung, Beobachtungen und Lessons Learned strukturiert erfasst. Abgeleitete Maßnahmen fließen zurück in die Kontinuitätspläne. Es entsteht eine zusammenhängende, revisionssichere Testhistorie, statt dass jemand sie nachträglich aus E-Mails rekonstruiert. Übungen, deren Ergebnis als Klauselnachweis dient, sind gegen Löschung geschützt.
Wo wird das BCM gehostet?▼
Hosting der Plattform und die Verarbeitung Ihrer Daten darin ausschließlich in Rechenzentren in Deutschland, bei einem europäischen Anbieter ohne US-Mutterkonzern, der nach derzeitiger Rechtslage nicht dem US CLOUD Act unterliegt. KI-Modelle werden im Sovereign-Mode selbst betrieben, ohne Datenweitergabe an externe Modellanbieter; im Modus BYOK binden Sie einen eigenen Anbieter an, und die an ihn gesendeten Inhalte verlassen diesen Rahmen. DSGVO-konform mit JSON-Datenexport, der seine Grenzen selbst ausweist und terminierter Datenlöschung.

BCM ist ein Modul von OdySecure

Das BCM-Modul teilt Datenbasis, Berechtigungsmodell und Audit-Trail mit den Modulen ISMS (Informationssicherheit nach ISO 27001), TPRM (Third-Party Risk Management) und Assessment (OSCAL-Import und eigene Kataloge). Die BIA zieht Assets aus dem ISMS, kritische Lieferanten aus dem TPRM erzeugen Bedrohungsszenarien im BCM. Pflicht-Module gibt es nicht: Lizenzierung modular, Module bauen aufeinander auf, ohne sich gegenseitig zu erzwingen.

Komplette Plattform-Übersicht

Grundlagen in der Wissensbasis

Vertiefung ohne Verkaufsabsicht: die Fachgrundlagen aus der Cybervize-Wissensbasis.

Mitgliedschaften, Programme und Partnerschaften

  • BSI Allianz für Cyber-Sicherheit
  • CISPA Helmholtz-Zentrum für Informationssicherheit
  • TeleTrusT - Bundesverband IT-Sicherheit
  • IT Security Made in Germany - TeleTrusT