Business Continuity Plan: Was ein BCP für KMU enthalten muss

Business Continuity ist kein umfangreiches Handbuch, sondern die Antwort auf eine einzige Frage: Was tun wir, wenn ein kritisches System morgen nicht funktioniert? Für ein KMU reicht ein gut vorbereitetes, zehnseitiges Dokument aus, das jeder kennt.

TL;DR — Die wichtigsten Punkte

• Definieren Sie für jeden kritischen Prozess RTO (wie lange wir durchhalten) und RPO (wie viele Daten wir verlieren dürfen).
• Der Plan muss Namen und Telefonnummern enthalten, nicht nur Rollenbezeichnungen.
• Manuelle Ersatzverfahren sind oft die kostengünstigste Lösung.
• Ein ungetesteter Plan ist lediglich eine Vermutung.

Was der Plan enthalten muss

Ein guter BCP beginnt mit einer Business Impact Analyse: Welche Prozesse generieren Umsatz oder unterliegen gesetzlichen Pflichten und wie lange dürfen sie stillstehen. Daraus leiten wir technische Ziele ab — RTO und RPO für jedes System — und wählen erst dann die passenden Lösungen.

Es folgen die Szenarien: Internetausfall, Serverausfall, Ransomware, Unzugänglichkeit der Geschäftsräume, Ausfall eines Schlüssel-Lieferanten. Für jedes Szenario notieren wir die ersten drei Schritte, die Verantwortlichen und die Ersatzverfahren.

Warum es sich auch für kleine Unternehmen lohnt

Kleinere Unternehmen haben weniger Reserven, weshalb sie ein Ausfall härter trifft.

• Auftraggeber und Ausschreibungen fordern immer häufiger den Nachweis eines Notfallplans.
• Versicherungen prüfen bei der Schadensabwicklung die Vorbereitung des Unternehmens.
• Klare Schritte verkürzen die Ausfallzeit um Stunden.
• Ein Plan deckt Abhängigkeiten auf, von denen niemand wusste.

Vorgehensweise — der empfohlene Prozess

1. Listen Sie Schlüsselprozesse und deren IT-Abhängigkeiten auf.
2. Legen Sie RTO und RPO für jeden Prozess gemeinsam mit der Geschäftsführung fest.
3. Prüfen Sie, ob bestehende Lösungen diese Ziele erreichen.
4. Notieren Sie Szenarien, Schritte und Kontakte auf einer Seite pro Szenario.
5. Führen Sie einmal jährlich eine Trockenübung und einen Wiederherstellungstest durch.
6. Übertragen Sie die Erkenntnisse in den Plan und aktualisieren Sie diesen.

Beispiel für RTO- und RPO-Ziele

Häufige Fehler

Der am häufigsten gemachte Fehler ist die Festlegung einer RTO, ohne zu prüfen, ob die bestehende Lösung dies überhaupt ermöglicht. Ein Ziel von vier Stunden ist bei einem nächtlichen Backup auf Band nicht erreichbar.

Ein weiterer Fehler ist ein Plan, der ausschließlich auf dem Server gespeichert ist, der vom Ausfall betroffen sein könnte. Eine Kopie muss ausgedruckt bei den verantwortlichen Personen vorliegen.

Wie wir bei VitalIT unterstützen

Bei VitalIT erstellen wir die Wirkungsanalyse, den Plan und führen Übungen durch. Informieren Sie sich über IT-Beratung und IT-Infrastruktur.

Verwandte Themen: Ransomware: Wiederherstellungsplan und 3-2-1 Backup.

Häufig gestellte Fragen (FAQ)

Wie lang sollte ein BCP sein?

Für KMU sind 10 bis 20 Seiten ausreichend; die Praxistauglichkeit ist wichtiger als der Umfang.

Wer ist für den Plan verantwortlich?

Die Geschäftsführung genehmigt ihn, die IT bereitet den technischen Teil vor, und die Prozesseigentümer den geschäftlichen Teil.

Wie oft sollte der Plan aktualisiert werden?

Mindestens einmal pro Jahr sowie nach jeder größeren Änderung an den Systemen oder der Organisation.

Was ist eine Trockenübung (Tabletop Exercise)?

Eine Simulation eines Szenarios am Tisch, bei der das Team die Schritte ohne tatsächlichen Systemausfall durchgeht — kostengünstig und sehr effektiv.

Benötigen wir einen Ersatzstandort?

Selten. Dank Cloud-Lösungen und Homeoffice sind die meisten Szenarien ohne zusätzliche physische Standorte abgedeckt.