Übungen, Tests und die Verbesserungsschleife im BCMS

Problem in der Praxis

Häufigstes Muster: Pläne existieren, detailliert und aktuell dokumentiert, wurden aber nie geübt. Im Ernstfall zeigt sich dann, dass ein Plan auf dem Papier funktioniert und im Handeln nicht, weil niemand ihn je durchgespielt hat.

Wo geübt wird, geschieht es oft immer nach demselben Muster: dasselbe einfache, gut beherrschte Szenario, während unbequeme oder seltene Szenarien nie an der Reihe sind. Ebenso häufig üben nur die operativen und technischen Ebenen; Entscheidungsträger, deren Urteil im Ernstfall gefragt ist, nehmen nie selbst teil und werden im echten Vorfall erstmals mit der Entscheidungssituation konfrontiert.

Ein drittes Muster ist die Übung ohne Konsequenz: Ein Übungsbericht dokumentiert Schwächen sorgfältig, die Managementbewertung nimmt ihn zur Kenntnis, aber niemand verantwortet die tatsächliche Umsetzung der Befunde. Beim nächsten Vorfall treten dieselben Schwächen erneut auf.

CISO-Einordnung

ISO 22301 verlangt von der Organisation, ihre Kontinuitätsfähigkeit durch Übung zu erproben und aus den Ergebnissen fortlaufend zu lernen; Häufigkeit, Umfang und Nachweisform im Einzelnen sind der Originalnorm zu entnehmen. Für die Einordnung genügt an dieser Stelle eine Unterscheidung auf Konzeptebene, ohne eine normersetzende Übungscheckliste zu erzeugen: von einfachen Besprechungsübungen, die einen Ablauf gedanklich durchspielen, über Übungen einzelner Komponenten oder Verfahren bis zu umfassenderen Simulationen, die eine Ausweichlösung tatsächlich aktivieren.

Wesentlich ist, wer an einer Übung teilnimmt: Eine Übung, die nur die technische Ebene testet, prüft nicht, ob die Geschäftsführung unter Zeitdruck tatsächlich die richtige Entscheidung träfe. Genau diese Entscheidungsfähigkeit ist Teil dessen, was ein BCMS abzusichern soll, und lässt sich nur testen, wenn Entscheidungsträger selbst mitüben.

Auch ein realer Vorfall ist, ungewollt, ein Test. Seine Lehren gehören in denselben Verbesserungsprozess wie ein geplanter Übungsbefund; behandelt man beide getrennt, entsteht doppelte Struktur ohne zusätzlichen Nutzen. Wie diese Verbesserungsschleife an die Managementsystem-Ebene aus iso22301-002 anschließt, mit ihrer Politik, ihren Rollen und ihrem Regelkreis, und wie sie auf die Strategieentscheidungen aus iso22301-003 zurückwirkt, ist der eigentliche Zusammenhang, den dieser Artikel herstellt.

Umsetzungsperspektive

Der erste Schritt ist ein Übungsportfolio statt einer Einzelübung: über die Zeit verschiedene, auch unbequeme Szenarien abdecken, statt dasselbe einfache Szenario zu wiederholen.

Der zweite Schritt ist, Entscheidungsträger aktiv einzubinden: Mindestens ein Teil des Übungsprogramms sollte die Entscheidungssituation selbst testen, nicht nur die technische Wiederherstellung.

Der dritte Schritt ist ein klarer Weg vom Befund zur Umsetzung: jeder Übungsbefund mit einem Verantwortlichen und einem Termin, nachverfolgt bis zur tatsächlichen Anpassung von Plan, Ressource oder Strategie.

Der vierte Schritt ist, echte Vorfälle in dieselbe Schleife einzuspeisen wie geplante Übungen: eine Nachbereitung, die dieselben Konsequenzen nach sich zieht wie ein Übungsbefund.

Typische Fehler

1. Pläne existieren nur auf Papier und wurden nie geübt.
2. Geübt wird immer dasselbe einfache Szenario; unbequeme oder seltene Szenarien bleiben außen vor.
3. Nur die technische Ebene übt; Entscheidungsträger nehmen nie an einer Übung teil.
4. Übungsbefunde werden dokumentiert, aber nicht bis zur tatsächlichen Umsetzung nachverfolgt.
5. Die Managementbewertung nimmt Befunde zur Kenntnis, ohne dass sich Pläne oder Strategien danach wirklich ändern.
6. Lehren aus echten Vorfällen werden getrennt von Übungsbefunden behandelt, statt in denselben Verbesserungsprozess einzufließen.

Risiken und Trade-offs

Realistischere Übungen liefern belastbarere Erkenntnisse, kosten aber mehr Zeit, Aufwand und Beteiligung von Führungskräften; zu seltene oder zu einfache Übungen sind günstiger, erzeugen aber ein trügerisches Sicherheitsgefühl. Die richtige Übungstiefe ist eine bewusste Abwägung, keine Formalie.

Eine sehr realistische Übung, etwa ein tatsächlicher Failover auf eine Ausweichlösung, birgt zudem ein eigenes Betriebsrisiko: Sie kann selbst eine Störung auslösen. Dieses Risiko ist gegen den Erkenntnisgewinn abzuwägen und sollte vorher bewusst begrenzt werden, nicht erst im Nachgang auffallen.

Wird die Verbesserungsschleife nicht konsequent geschlossen, verliert das gesamte Übungsprogramm seinen Wert: Aufwand entsteht, ohne dass sich die tatsächliche Kontinuitätsfähigkeit verbessert, und Übungen werden zur reinen Nachweispflicht.

Entscheidungspunkte

• Nehmen Entscheidungsträger selbst an Übungen teil, oder wird nur die technische Ebene getestet?
• Deckt unser Übungsprogramm über die Zeit auch unbequeme oder seltene Szenarien ab?
• Wie ist der Weg von einem Übungsbefund zu einer tatsächlichen Plan- oder Strategieänderung organisiert, und wer verantwortet ihn?
• Fließen Erkenntnisse aus echten Vorfällen in denselben Verbesserungsprozess wie geplante Übungsbefunde?
• Wie wird das eigene Betriebsrisiko einer realistischen Übung gegen ihren Erkenntnisgewinn abgewogen?

Praktische Empfehlungen

1. Bauen Sie ein Übungsportfolio auf, das über die Zeit auch unbequeme Szenarien abdeckt, statt ein einzelnes Szenario zu wiederholen.
2. Binden Sie Entscheidungsträger aktiv in einen Teil des Übungsprogramms ein, nicht nur die operative und technische Ebene.
3. Verfolgen Sie jeden Übungsbefund mit einem Verantwortlichen und einem Termin bis zur tatsächlichen Umsetzung nach.
4. Behandeln Sie Lehren aus echten Vorfällen im selben Verbesserungsprozess wie geplante Übungsbefunde.
5. Begrenzen Sie das Betriebsrisiko realistischer Übungen bewusst im Vorfeld, statt es erst im Nachgang zu bemerken.
6. Machen Sie die Verbesserungsschleife zu einem festen Tagesordnungspunkt der Managementbewertung, nicht zu einer reinen Kenntnisnahme.

Relevante Normreferenzen

• ISO 22301:2019 (Security and resilience - Business continuity management systems - Requirements): macht Übung, Test und kontinuierliche Verbesserung zum festen Bestandteil des Managementsystems, aktuelle Ausgabe (Referenz).
• BSI-Standard 200-4: deutschsprachige Übungsempfehlung im Kontext des Stufenmodells, siehe gs-bcm-007 (Referenz).