BCM und ISMS: gemeinsame Klammer, getrennte Schutzziele

Problem in der Praxis

Häufig entstehen Business-Continuity-Management und Informationssicherheitsmanagement getrennt: das eine beim Business-Continuity-Beauftragten, das andere beim CISO, ohne regelmäßigen Austausch. Dieselbe Ressource, etwa ein Rechenzentrum oder eine Kernanwendung, wird dann zweimal unabhängig bewertet, mit unterschiedlichen Ergebnissen und unterschiedlichen Prioritäten.

Die Gegenbewegung ist die vorschnelle Verschmelzung: eine gemeinsame Managementbewertung ohne getrennte Tagesordnung, in der die Frage nach Wiederherstellungszielen im Notbetrieb unter Kennzahlen zur Informationssicherheit im Regelbetrieb verschwindet. Ähnlich häufig ist ein gemeinsames Maßnahmenregister ohne Fachkennzeichnung, in dem nicht mehr erkennbar ist, welche Entscheidung zu welchem Schutzziel gehört.

Ein drittes Muster betrifft Übungen: Ein Vorfallszenario berührt in der Praxis fast immer beide Systeme, ein Ransomware-Vorfall etwa sowohl die Informationssicherheit als auch die Verfügbarkeit zeitkritischer Prozesse. Werden Übungen dennoch getrennt geplant, entstehen doppelte Vorbereitung und Ergebnisse, die nicht wechselseitig genutzt werden.

CISO-Einordnung

Die gemeinsame Klammer lässt sich an vier Stellen konkret nutzen. Ein Ressourcen- und Asset-Inventar kann als einzige Quelle geführt werden; die Business Impact Analyse nach ISO 22301 (vertieft in iso22301-003) filtert daraus die zeitkritischen Prozesse und Ressourcen, statt eine zweite, unabhängige Erhebung zu starten. Eine Risikomanagement-Methodik kann für beide Systeme dieselbe Systematik für Eintrittswahrscheinlichkeit und Auswirkung nutzen, auch wenn die Bewertungsmaßstäbe je Schutzziel unterschiedlich bleiben. Übungen und Tests können gemeinsam geplant und aus beiden Blickwinkeln ausgewertet werden. Und eine Managementbewertung kann als gemeinsamer Termin mit getrennten Tagesordnungspunkten und getrennt protokollierten Entscheidungen geführt werden.

Diese Logik ist im Korpus nicht neu: Für das Zusammenspiel von Qualitätsmanagement und Informationssicherheit beschreibt iso9001-005 ein ausführliches Betriebsmodell für genau dieses Muster, gemeinsame Systemmechanik bei getrennten Fachinhalten. Dieselbe Grundidee trägt auch das Verhältnis von BCM und ISMS, auch wenn die beteiligten Rollen, Register und Schutzziele andere sind.

Getrennt bleiben muss dagegen die inhaltliche Bewertung. Ein Reifegrad im Informationssicherheitsmanagement erlaubt keinen Rückschluss auf die BCM-Reife und umgekehrt: Eine Organisation kann ein ausgereiftes Informationssicherheitsmanagement und ein unausgereiftes Business-Continuity-Management haben oder umgekehrt. Bei einem Cybervorfall zeigt sich das Zusammenspiel besonders deutlich: Das Informationssicherheitsmanagement steuert Erkennung, Reaktion und Bereinigung der betroffenen IT, während das Business-Continuity-Managementsystem den Geschäftsbetrieb parallel in einen geregelten Notbetrieb bringt. Beide Vorgänge laufen nebeneinander und brauchen eine definierte Schnittstelle, nicht eine gemeinsame Entscheidung.

Diese Abgrenzung wird hier bewusst auf der Ebene der internationalen Normen selbst gezogen, nicht auf der Ebene einer nationalen Umsetzungsanleitung. Die deutschsprachige Umsetzung über den BSI-Standard 200-4 mit der dortigen Unterscheidung von allgemeiner und besonderer Aufbauorganisation bleibt bei gs-bcm-007; die Grundlagen des Informationssicherheitsmanagements selbst stehen bei ciso-isms-001. Die IKT-Bereitschaftsschicht nach ISO/IEC 27031, die zwischen beiden Systemen vermittelt, vertieft iso22301-005.

Umsetzungsperspektive

Der erste Schritt ist ein gemeinsames Ressourcen- und Asset-Inventar, das bewusst um BCM-relevante Ressourcen erweitert wird, die im Informationssicherheitsmanagement sonst nicht auftauchen, etwa physische Standorte, Schlüssellieferanten oder Personalabhängigkeiten.

Der zweite Schritt ist eine gemeinsam genutzte, aber getrennt kalibrierte Risikomanagement-Methodik: dieselbe Systematik für Wahrscheinlichkeit und Auswirkung, aber getrennt bewertet, was ein Ausfall für die Informationssicherheit im Regelbetrieb und was er für die Geschäftsfortführung im Notbetrieb bedeutet.

Der dritte Schritt ist die gemeinsame Planung von Übungen bei getrennter Auswertung, wie sie iso22301-004 für das BCMS selbst vertieft: ein Szenario einmal durchspielen, aber sowohl aus der Perspektive der Informationssicherheit, Erkennung, Reaktion, Bereinigung, als auch aus der Perspektive der Geschäftsfortführung, Wiederanlauf und Notbetrieb, protokollieren.

Der vierte Schritt ist eine gemeinsame Managementbewertung mit getrennten Tagesordnungspunkten, damit Entscheidungen über Wiederherstellungsziele im Notbetrieb nicht unter Kennzahlen zur Informationssicherheit im Regelbetrieb verschwinden. Wer diese vier Schritte konsequent umsetzt, folgt im Kern demselben Betriebsmodell, das iso9001-005 für Qualitätsmanagement und Informationssicherheit beschreibt, übertragen auf BCM und ISMS.

Typische Fehler

1. BCM und ISMS erheben dieselbe Ressource zweimal unabhängig, mit widersprüchlichen Ergebnissen.
2. Eine gemeinsame Managementbewertung ohne getrennte Tagesordnung lässt Entscheidungen zum Notbetrieb unter Kennzahlen des Regelbetriebs verschwinden.
3. Übungen werden getrennt geplant, obwohl ein Szenario in der Praxis fast immer beide Systeme berührt.
4. Die Schutzzieldifferenz wird ignoriert: ISMS-Reife wird fälschlich als BCM-Reife gelesen oder umgekehrt.
5. Die gemeinsame Klammer wird zur Verschmelzung ausgebaut, bis nicht mehr erkennbar ist, welche Entscheidung zu welchem Schutzziel gehört.

Risiken und Trade-offs

Eine zu enge Verschmelzung riskiert, dass die BCM-spezifische Frage nach Verfügbarkeit im Notbetrieb unter einer breiteren, auf den Regelbetrieb ausgerichteten Agenda verschwindet. Eine zu strikte Trennung verdoppelt dagegen Aufwand für Risikoanalyse, Asset-Erhebung und Übungen, ohne dass daraus ein Erkenntnisgewinn entsteht.

Eine Personalunion von Business-Continuity-Beauftragtem und CISO kann die Koordination vereinfachen, macht aber Zielkonflikte zwischen beiden Schutzzielen leichter unsichtbar, wenn keine getrennten Entscheidungswege bestehen. Wer diese Rollen zusammenlegt, sollte die Eskalation zwischen den Schutzzielen ausdrücklich regeln.

Ein gemeinsames Asset-Inventar spart Aufwand, birgt aber das Risiko, dass eine für die Informationssicherheit nachrangige, für die Kontinuität aber zentrale Ressource, etwa ein physischer Standort oder ein Schlüssellieferant, untergeht, wenn das Inventar nicht bewusst um die BCM-Perspektive erweitert wird.

Entscheidungspunkte

• Führen wir ein gemeinsames Ressourcen- und Asset-Inventar, und wer stellt sicher, dass es sowohl ISMS- als auch BCM-relevante Ressourcen abdeckt?
• Nutzen wir eine gemeinsame Risikomanagement-Systematik mit getrennten Bewertungsmaßstäben, oder zwei getrennte Verfahren?
• Wie werden Übungen gemeinsam geplant und aus beiden Schutzzielperspektiven getrennt ausgewertet?
• Führen wir die Managementbewertung als gemeinsamen Termin mit getrennten Tagesordnungspunkten, und wer stellt sicher, dass Entscheidungen zum Notbetrieb sichtbar bleiben?
• Wer verantwortet die Schnittstelle zwischen Business-Continuity-Beauftragtem und CISO, und wo werden Zielkonflikte entschieden?

Praktische Empfehlungen

1. Führen Sie ein gemeinsames Ressourcen- und Asset-Inventar und erweitern Sie es bewusst um BCM-relevante Ressourcen, die im ISMS sonst nicht auftauchen.
2. Nutzen Sie eine gemeinsame Risikomanagement-Systematik mit getrennten Bewertungsmaßstäben für Regelbetrieb und Notbetrieb.
3. Planen Sie Übungen gemeinsam und werten Sie sie aus beiden Schutzzielperspektiven getrennt aus.
4. Halten Sie die Managementbewertung als gemeinsamen Termin mit getrennten Tagesordnungspunkten und dokumentierten Entscheidungen je Schutzziel ab.
5. Klären Sie die Schnittstelle zwischen Business-Continuity-Beauftragtem und CISO ausdrücklich und benennen Sie eine Eskalationsstelle für Zielkonflikte.
6. Übertragen Sie das für Qualitätsmanagement und Informationssicherheit beschriebene Betriebsmodell für integrierte Managementsysteme sinngemäß auf BCM und ISMS, statt es neu zu erfinden.

Relevante Normreferenzen

• ISO 22301:2019: zertifizierbares Business-Continuity-Managementsystem, Schutzziel Verfügbarkeit im Notbetrieb (Referenz).
• ISO/IEC 27031:2025: IKT-Bereitschaftsschicht innerhalb eines BCM-Programms, vertieft in iso22301-005 (Referenz).
• ISO/IEC 27001: Informationssicherheits-Managementsystem, Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit im Regelbetrieb, Grundlagen bei ciso-isms-001 (Referenz).