# Wo der Business Continuity Plan an die Krise übergeben wird > Der Beitrag von Swiss GRC erklärt, warum Business Continuity Pläne im Ernstfall oft an der Übergabe zwischen Dokument und Krisenstab scheitern. Er richtet sich an Institute, die dem FINMA-Rundschreiben 2023/1 unterliegen, und zeigt, wie sich Schichtwechsel und Rollenübergaben prüfen lassen. - URL: https://swissgrc.com/business-continuity-plan-krise-uebergabe/ - Herausgeber: SwissGRC® - Veröffentlicht: 2026-09-02 - Zuletzt aktualisiert: 2026-09-11 ## Kernaussagen - Das FINMA-Rundschreiben 2023/1 schreibt Banken einen dokumentierten Business Continuity Plan samt Disaster-Recovery-Anteil vor, der mindestens jährlich überprüft wird. - Das Rundschreiben trat am 1. Januar 2024 in Kraft und sieht gestaffelte Übergangsfristen von bis zu zwei Jahren vor. - Tests bestätigen in der Praxis oft nur Existenz und Aktualität des Plans, nicht die Fähigkeit, ihn unter Druck auszuführen. - Übungen über zwei oder mehr Tage machen Schichtwechsel im Krisenmanagement und Übergaben in den Prozessen sichtbar. - Die ISO/IEC 27031 verlangt, dass Tests auch den Schutz von Assets und die Minimierung der Schadensauswirkungen einschliessen und nicht nur die Wiederherstellung von IKT-Services. - Für jeden Übergabepunkt im Krisenstab sollen eine namentlich verantwortliche Person und ein Auslöser dokumentiert werden. Der Business Continuity Plan liegt vor, ist von der Geschäftsleitung genehmigt und deckt die regulatorischen Anforderungen formal ab. Trotzdem versagt die operative Krisenbewältigung in vielen Organisationen nicht am fehlenden Plan, sondern an der Stelle, wo aus dokumentierten Massnahmen tatsächliches Handeln werden muss. Diese Übergabe zwischen Papier und Praxis ist selten explizit geprüft und bleibt in klassischen Tests oft aussen vor. Wo genau die Schnittstelle bricht, zeigt sich meist erst im Ernstfall selbst. Kurz zusammengefasst Die Übergabe zwischen dokumentiertem Business Continuity Plan und operativer Krisenbewältigung scheitert meist nicht am fehlenden Plan, sondern an Schichtwechseln und Rollenübergaben im Krisenstab, die klassische Tests selten simulieren. Regulatorische Vorgaben wie das FINMA-Rundschreiben 2023/1 verlangen zwar Tests anhand schwerwiegender, aber plausibler Szenarien, prüfen damit aber vorrangig die Existenz des Plans, nicht die tatsächliche Handlungsfähigkeit unter Zeitdruck. ## Was verlangt die Regulierung vom Business Continuity Plan? Das FINMA-Rundschreiben 2023/1 zu operationellen Risiken schreibt Banken einen dokumentierten Business Continuity Plan samt Disaster-Recovery-Anteil vor, der mindestens jährlich überprüft wird. Das Rundschreiben ersetzt die bisherigen ‚Recommendations for Business Continuity Management‘ der Schweizerischen Bankiervereinigung als Minimalstandard und trat am 1. Januar 2024 in Kraft, mit gestaffelten Übergangsfristen von bis zu zwei Jahren zur Sicherstellung der operationellen Resilienz. Im Rahmen der Business Impact Analyse identifiziert jedes Institut seine kritischen Prozesse mit Wiederherstellungszeit, Datenverlusttoleranz und den dafür nötigen Ressourcen. Die Umsetzung ist regelmässig mit Tests wie Table-Top-Übungen zu beurteilen, wobei sich der Testumfang auf schwerwiegende, aber plausible Szenarien bezieht. ## Wieso genügt ein vorliegender Plan allein nicht? Weil Tests in der Praxis oft nur die Existenz und Aktualität des Plans bestätigen, nicht aber die Fähigkeit der Organisation, ihn unter Druck tatsächlich auszuführen. Eine Fachanalyse zur praktischen Umsetzung von Business-Continuity-Plänen hält fest, dass viele Unternehmen ihre Risiken bereits identifiziert haben, sich aber schwertun, die daraus abgeleitete Strategie umzusetzen. Der Fokus liegt meist auf der Planerstellung statt auf der Realisierung, weil die Übertragung der Theorie in die Praxis Koordination, Präzision und fortlaufende Anpassung verlangt. ISO 22301 begegnet diesem Muster mit dem PDCA-Zyklus: In der Phase ‚Überprüfen‘ sind Geschäftskontinuitätspläne zu testen und die Ergebnisse zu überwachen, nicht nur einmalig zu dokumentieren. Der Plan bleibt damit Mittel zur Zielerreichung, nicht Selbstzweck. ![Business Impact Analyse in der SwissGRC Plattform](https://swissgrc.com/wp-content/uploads/2026/08/BIA-1024x582-1.png) Übungen und Tests in der SwissGRC Plattform ## Wo genau bricht die Übergabe im Ernstfall? An den Schichtwechseln und Rollenübergaben im Krisenstab, die bei länger andauernden Lagen unausweichlich werden. Ein Fachbeitrag zu Übungen im Business Continuity Management hält fest, dass längere Übungen über zwei oder mehr Tage die realistischen Herausforderungen eines Notfalls besonders gut widerspiegeln, weil sie Schichtwechsel im Krisenmanagement und Übergaben in den Prozessen erfordern. Genau an diesen Übergaben zeigt sich, ob Verantwortlichkeiten, Informationsstand und Entscheidungsbefugnis tatsächlich weitergegeben werden oder ob mit jedem Wechsel Wissen verloren geht. Die ISO/IEC 27031 verlangt deshalb, dass sich Tests und Übungen nicht auf die Wiederherstellung von IKT-Services beschränken, sondern auch den Schutz von Assets vor Störungen und die Minimierung der Schadensauswirkungen einschliessen. Ein Test, der nur die technische Wiederanlaufzeit misst, prüft nicht die Stelle, an der die Übergabe in der Praxis tatsächlich scheitert. ## Wer trägt die Verantwortung für diese Übergabepunkte? Die Geschäftsleitung verantwortet Implementierung und Dokumentation des Managements operationeller Risiken, während das Oberleitungsorgan dieses Management regelmässig genehmigt und überwacht. Diese Zuordnung klärt formal, wer für den Plan als Dokument zuständig ist. Sie beantwortet aber nicht, wer im Ernstfall die Übergabe zwischen den Schichten im Krisenstab verantwortet oder wer entscheidet, wann eine Eskalation an die nächste Ebene erfolgt. Auch bei Drittparteien, deren Ressourcen in die Business Impact Analyse einfliessen, braucht es eine benannte Stelle, die im Ernstfall die Übergabe koordiniert. Ohne diese Zuordnung bleibt die Verantwortung dort, wo sie im Dokument steht, und nicht dort, wo sie im Ereignis gebraucht wird. ## Wie lässt sich die Übergabe konkret prüfen und schliessen? Indem die nächste Testübung gezielt einen Schichtwechsel oder eine Rollenübergabe simuliert und dokumentiert, wer die Verantwortung zu welchem Zeitpunkt übernimmt. Ein erster Schritt: Bei der nächsten jährlichen Überprüfung des Business Continuity Plans legt die verantwortliche Stelle fest, welche Übergabepunkte im Krisenstab bestehen, und ordnet jedem Punkt einen Namen und einen Auslöser zu. Diese Zuordnung wird als expliziter Bestandteil des Plans dokumentiert, nicht nur als Beobachtung aus der letzten Testübung. Eine ähnliche Lücke zwischen dem, was ein Dokument vorschreibt, und dem, was operativ bereits stehen muss, zeigt sich auch bei anderen regulatorischen Fristen wie der ISG-ISMS-Pflicht. Passend dazu ### Vom Plan zur geübten Übergabe Die Lösung für Business Continuity dokumentiert kritische Prozesse, Ressourcen und Übungsergebnisse an einem Ort. Sie hält fest, wer welchen Übergabepunkt im Krisenstab verantwortet. [Business Continuity](https://swissgrc.com/bcm-software/) Für die Praxis ## Das Wichtigste in Kürze - Institute prüfen, ob ihr Business Continuity Plan Übergabepunkte im Krisenstab explizit benennt, nicht nur kritische Prozesse und Ressourcen. - Testübungen simulieren gezielt Schichtwechsel über mehrere Tage, da genau dort Wissen und Entscheidungsbefugnis verloren gehen können. - Tests decken gemäss ISO/IEC 27031 mehr als die IKT-Wiederherstellung ab und schliessen den Schutz von Assets und die Schadensminimierung ein. - Für jeden Übergabepunkt wird eine namentlich verantwortliche Person mit klarem Auslöser dokumentiert, nicht nur die Geschäftsleitung als Gesamtverantwortliche. - Die jährliche Überprüfung des Plans nach FINMA-Rundschreiben 2023/1 wird genutzt, um Übergabepunkte zu ergänzen, nicht nur RTO und RPO zu aktualisieren. FAQ ## Häufige Fragen Welche Frist gilt für die Umsetzung des FINMA-Rundschreibens 2023/1? Das FINMA-Rundschreiben 2023/1 trat am 1. Januar 2024 in Kraft und ersetzt die bisherigen BCM-Empfehlungen der Schweizerischen Bankiervereinigung als Minimalstandard. Für die Umsetzung gelten gestaffelte Übergangsfristen von bis zu zwei Jahren, innerhalb derer Institute ihre Business Impact Analyse, ihren Business Continuity Plan und die dazugehörigen Tests an die neuen Anforderungen anpassen müssen. Warum reicht ein getesteter Business Continuity Plan nicht automatisch aus? Tests bestätigen in der Praxis oft nur, dass ein Business Continuity Plan existiert und aktuell ist, nicht aber, dass die Organisation ihn unter Zeitdruck tatsächlich ausführen kann. Der Fokus liegt häufig auf der Planerstellung statt auf der Realisierung, weil die Übertragung in die Praxis Koordination und laufende Anpassung verlangt. Welche Rolle spielen Schichtwechsel im Krisenstab bei der Krisenbewältigung? Bei Übungen über zwei oder mehr Tage werden Schichtwechsel im Krisenstab unausweichlich. Genau an diesen Übergaben zeigt sich, ob Verantwortlichkeiten, Informationsstand und Entscheidungsbefugnis tatsächlich weitergegeben werden oder ob mit jedem Wechsel Wissen verloren geht, was die eigentliche Belastbarkeit der Krisenbewältigung offenlegt. Wer ist laut FINMA für das Management operationeller Risiken zuständig? Die Geschäftsleitung verantwortet Implementierung und Dokumentation des Managements operationeller Risiken, einschliesslich des Business Continuity Plans. Das Oberleitungsorgan genehmigt und überwacht dieses Management regelmässig. Wer im Ernstfall die Übergabe zwischen Schichten im Krisenstab konkret koordiniert, ist damit formal aber noch nicht geklärt. Was verlangt ISO/IEC 27031 zusätzlich zu Wiederherstellungstests? ISO/IEC 27031 verlangt, dass Tests und Übungen sich nicht auf die Wiederherstellung von IKT-Services beschränken. Sie sollen auch den Schutz von Assets vor Störungen und die Minimierung von Schadensauswirkungen einschliessen, damit nicht nur die technische Wiederanlaufzeit geprüft wird, sondern auch die tatsächliche Handlungsfähigkeit der Organisation. Quellen 1. [FINMA-Rundschreiben 2023/1 zu operationellen Risiken und Resilienz](https://www.finma.ch/en/news/2022/12/20221213-mm-anh-rs-op-risks/)FINMA 2. [Principles for Operational Resilience](https://www.bis.org/press/p210331a.htm)Bank for International Settlements (BIS) ## Häufige Fragen ### Wann trat das FINMA-Rundschreiben 2023/1 in Kraft? Das FINMA-Rundschreiben 2023/1 trat am 1. Januar 2024 in Kraft. Es gelten gestaffelte Übergangsfristen von bis zu zwei Jahren. Es ersetzt die bisherigen BCM-Empfehlungen der Schweizerischen Bankiervereinigung als Minimalstandard. ### Warum reicht ein getesteter Business Continuity Plan nicht aus? Tests bestätigen oft nur, dass der Plan existiert und aktuell ist. Ob die Organisation ihn unter Zeitdruck tatsächlich ausführen kann, zeigen sie meist nicht. Der Fokus liegt häufig auf der Planerstellung statt auf der Umsetzung. ### Wo scheitert die Übergabe vom Business Continuity Plan an die Krise? Die Übergabe scheitert meist an Schichtwechseln und Rollenübergaben im Krisenstab. Dort zeigt sich, ob Verantwortlichkeiten, Informationsstand und Entscheidungsbefugnis weitergegeben werden oder ob Wissen verloren geht. ### Wer ist für das Management operationeller Risiken verantwortlich? Die Geschäftsleitung verantwortet Implementierung und Dokumentation des Managements operationeller Risiken. Das Oberleitungsorgan genehmigt und überwacht dieses Management regelmässig. Wer im Ernstfall die Übergabe im Krisenstab koordiniert, ist damit nicht geklärt. ### Wie lässt sich die Übergabe im Krisenstab prüfen? Die nächste Testübung simuliert gezielt einen Schichtwechsel oder eine Rollenübergabe und dokumentiert, wer wann die Verantwortung übernimmt. Bei der jährlichen Überprüfung werden die Übergabepunkte mit Name und Auslöser im Plan festgehalten.