Business Continuity Management aus CISO-Sicht: warum Kontinuität Führungsaufgabe ist

Problem in der Praxis

In vielen Organisationen ist BCM entweder ein IT-Thema oder niemandes Thema. Im ersten Fall wird Kontinuität mit Backup und Wiederanlauf von Systemen gleichgesetzt, und die Leitung überlässt die inhaltliche Ausgestaltung vollständig der IT. Im zweiten Fall existiert ein Notfallordner, aber niemand hat je verbindlich entschieden, welcher Ausfall für welchen Prozess noch tragbar ist; die Entscheidung wird faktisch beim nächsten Vorfall improvisiert.

Beide Muster teilen einen Kern: Die Leitung trifft die eigentliche Entscheidung nicht, sondern nimmt nur Berichte zur Kenntnis oder genehmigt ein Budget, ohne den Trade-off zwischen Ausfallzeit und Investition wirklich zu verstehen. Das zeigt sich erst im Ernstfall, wenn eine Entscheidung unter Zeitdruck fällig wird, für die es keine vorbereitete Leitlinie gibt.

Ein drittes Muster betrifft die Schnittstelle zur Informationssicherheit: Ein Cyberangriff ist heute einer der häufigsten Auslöser für einen BCM-Notfall, aber ISMS und BCM sind oft getrennt aufgebaut, mit eigenen Plänen, eigenen Eskalationswegen und eigenen Verantwortlichen, die sich vorher nie abgestimmt haben. Im Vorfall zeigt sich die fehlende Abstimmung als Reibungsverlust genau dann, wenn Geschwindigkeit am wichtigsten ist.

CISO-Einordnung

BCM liegt organisatorisch meist nicht beim CISO. Verantwortlich ist typischerweise ein Business-Continuity-Beauftragter oder eine vergleichbare Resilienzfunktion, getragen von der Geschäftsführung, die die Letztverantwortung für Kontinuität trägt. Der CISO ist deshalb Mitgestalter, nicht Alleinverantwortlicher, aber mit einem eigenen, gewichtigen Anteil: Ein erheblicher Teil der Szenarien, die ein BCMS auslösen, sind Informationssicherheitsvorfälle, und die Methodik, mit der Risiken und Abhängigkeiten bewertet werden, überlappt stark mit der des ISMS.

Für die Einordnung beider Normen genügt an dieser Stelle die Katalogebene, ohne Klauselinhalte auszulegen. ISO 22301 beschreibt ein vollständiges Managementsystem für Business Continuity; sie ist eine anforderungstragende Norm und lässt sich zertifizieren. ISO/IEC 27031 ergänzt sie um die IKT-Bereitschaftsschicht, ist selbst aber keine Anforderungsnorm und nicht eigenständig zertifizierbar; ihr Titel enthält, anders als der der ISO 22301, das Wort "Requirements" nicht. Diese Einordnung ist im Korpus bereits an anderer Stelle etabliert: gs-bcm-007 führt beide Normen im selben Abschnitt als komplementäre Referenzen.

Was ISO 22301 als Managementsystem im Einzelnen an Aufbau, Politik, Ressourcen und Rollen vorsieht, vertieft iso22301-002. Was ISO/IEC 27031 für die IKT-Bereitschaft bedeutet, vertieft iso22301-005. Wie sich BCM und ISMS zueinander verhalten, gemeinsame Klammer und getrennte Schutzziele, vertieft iso22301-006.

Umsetzungsperspektive

Der erste Schritt für einen CISO ist eine Bestandsaufnahme der Zuständigkeit: Wer trägt BCM in der Organisation, in welchem Reifegrad, und wie ist die Schnittstelle zum ISMS heute tatsächlich organisiert, nicht nur auf dem Papier.

Der zweite Schritt ist, die eigene Rolle explizit zu klären: Der CISO bringt Risikomethodik, Abhängigkeitswissen und die Erfahrung aus echten Sicherheitsvorfällen ein, übernimmt aber nicht automatisch die Eigentümerschaft für Kontinuität insgesamt. Wo diese Grenze liegt, sollte benannt und nicht stillschweigend unterstellt sein.

Der dritte Schritt ist, die zentrale Führungsentscheidung sichtbar zu machen: Welcher Ausfall ist für welchen Prozess tragbar, und wer entscheidet das verbindlich. Diese Entscheidung gehört auf die Ebene der Geschäftsführung, nicht in ein Fachkonzept, das nachträglich zur Kenntnis genommen wird.

Manche Organisationen sind zusätzlich gesetzlich zur Kontinuitätsvorsorge verpflichtet, etwa nach dem KRITIS-Dachgesetz oder im Rahmen von DORA. Dieser Track erklärt diese Pflichten nicht selbst; er behandelt die Normen ISO 22301 und ISO/IEC 27031. Wie eine Umsetzung nach diesen Normen auf solche Pflichten einzahlen kann, behandelt iso22301-007.

Typische Fehler

1. BCM wird mit IT-Wiederanlauf gleichgesetzt und faktisch bei der IT-Abteilung abgeladen.
2. Die Leitung genehmigt ein Budget, ohne die zentrale Frage des tragbaren Ausfalls selbst zu entscheiden.
3. ISMS und BCM laufen als getrennte Welten, bis ein realer Vorfall die fehlende Abstimmung offenlegt.
4. Der CISO hält sich für nicht zuständig, weil BCM formal bei einer anderen Rolle liegt, und bringt sein Risikowissen nicht ein.
5. Ein Notfallordner wird mit einem gelebten Managementsystem verwechselt.
6. Die beiden Normen werden als Konkurrenz statt als Ergänzung wahrgenommen, weil niemand ihre Arbeitsteilung erklärt hat.

Risiken und Trade-offs

Wird BCM zu eng bei der IT verortet, fehlen Personal, Standort, Lieferkette und die eigentliche Prozesssicht; die Absicherung wirkt vollständig, ist es aber nicht. Wird BCM dagegen völlig getrennt von der Informationssicherheit geführt, entstehen doppelte Strukturen und, schlimmer, widersprüchliche Entscheidungen im selben Vorfall.

Die Frage, wie eng CISO und Business-Continuity-Beauftragter zusammenarbeiten, ist selbst ein Trade-off: Enge Verzahnung spart Aufwand und Reibung, verlangt aber Governance-Disziplin, damit die unterschiedlichen Schutzziele beider Disziplinen nicht verschwimmen. Diesen Punkt vertieft iso22301-006.

Schließlich kostet Kontinuität real Geld, unabhängig davon, wie sie organisiert ist. Wer die Führungsentscheidung über den tragbaren Ausfall vermeidet, verschiebt die Kosten nicht, sondern verlagert sie unkontrolliert in den nächsten tatsächlichen Vorfall.

Entscheidungspunkte

• Wer trägt die BCM-Verantwortung in unserer Organisation, und wie ist sie zur CISO-Rolle abgegrenzt?
• Welchen Ausfall ist die Geschäftsführung bereit zu akzeptieren, und ist diese Entscheidung dokumentiert?
• Wie sind ISMS und BCM heute tatsächlich verzahnt, und wo bestehen Lücken zwischen den Eskalationswegen?
• Deckt unser Kontinuitätsprogramm die IKT-Bereitschaft im Sinne von ISO/IEC 27031 bewusst mit ab?
• Bestehen gesetzliche Zusatzpflichten zur Kontinuität, und wer verantwortet deren Verhältnis zu unserer Normumsetzung?

Praktische Empfehlungen

1. Klären Sie zuerst, wer BCM in Ihrer Organisation verantwortet, und suchen Sie das Gespräch, bevor Sie eigene Strukturen aufbauen.
2. Bringen Sie Ihr Risiko- und Abhängigkeitswissen aktiv in die BCM-Arbeit ein, ohne die Eigentümerschaft dafür zu übernehmen.
3. Machen Sie die Frage des tragbaren Ausfalls zu einer expliziten, dokumentierten Entscheidung der Geschäftsführung.
4. Prüfen Sie die Schnittstelle zwischen ISMS- und BCM-Eskalation, bevor ein realer Vorfall sie ungeplant testet.
5. Behandeln Sie ISO 22301 und ISO/IEC 27031 als Ergänzung, nicht als Alternative: eine für das Managementsystem, eine für die IKT-Bereitschaft darin.
6. Beobachten Sie den Normstand: Stand 2026-08-03 gilt ISO 22301:2019 einschließlich Amd 1:2024 und ISO/IEC 27031:2025; Einzelheiten zur Aktualität behandelt iso22301-002.

Relevante Normreferenzen

• ISO 22301:2019 (Security and resilience - Business continuity management systems - Requirements): zertifizierbare Anforderungsnorm für das Business-Continuity-Managementsystem, aktuelle Ausgabe (Referenz).
• ISO 22301:2019/Amd 1:2024 (Climate action changes): geltende Ergänzung der ISO 22301:2019 (Referenz).
• ISO/IEC 27031:2025 (Cybersecurity - Information and communication technology readiness for business continuity): nicht zertifizierbare Rahmennorm für IKT-Bereitschaft, aktuelle Ausgabe, vertieft in iso22301-005 (Referenz).
• ISO/IEC 27001: strukturelles Gegenstück auf ISMS-Seite, vertieft in iso22301-006 (Referenz).