EN
FR
Inhalt 5
Der Business Continuity Plan liegt vor, ist von der Geschäftsleitung genehmigt und deckt die regulatorischen Anforderungen formal ab. Trotzdem versagt die operative Krisenbewältigung in vielen Organisationen nicht am fehlenden Plan, sondern an der Stelle, wo aus dokumentierten Massnahmen tatsächliches Handeln werden muss. Diese Übergabe zwischen Papier und Praxis ist selten explizit geprüft und bleibt in klassischen Tests oft aussen vor. Wo genau die Schnittstelle bricht, zeigt sich meist erst im Ernstfall selbst.
Die Übergabe zwischen dokumentiertem Business Continuity Plan und operativer Krisenbewältigung scheitert meist nicht am fehlenden Plan, sondern an Schichtwechseln und Rollenübergaben im Krisenstab, die klassische Tests selten simulieren. Regulatorische Vorgaben wie das FINMA-Rundschreiben 2023/1 verlangen zwar Tests anhand schwerwiegender, aber plausibler Szenarien, prüfen damit aber vorrangig die Existenz des Plans, nicht die tatsächliche Handlungsfähigkeit unter Zeitdruck.
Was verlangt die Regulierung vom Business Continuity Plan?
Das FINMA-Rundschreiben 2023/1 zu operationellen Risiken schreibt Banken einen dokumentierten Business Continuity Plan samt Disaster-Recovery-Anteil vor, der mindestens jährlich überprüft wird.
Das Rundschreiben ersetzt die bisherigen ‚Recommendations for Business Continuity Management‘ der Schweizerischen Bankiervereinigung als Minimalstandard und trat am 1. Januar 2024 in Kraft, mit gestaffelten Übergangsfristen von bis zu zwei Jahren zur Sicherstellung der operationellen Resilienz.
Im Rahmen der Business Impact Analyse identifiziert jedes Institut seine kritischen Prozesse mit Wiederherstellungszeit, Datenverlusttoleranz und den dafür nötigen Ressourcen. Die Umsetzung ist regelmässig mit Tests wie Table-Top-Übungen zu beurteilen, wobei sich der Testumfang auf schwerwiegende, aber plausible Szenarien bezieht.
Wieso genügt ein vorliegender Plan allein nicht?
Weil Tests in der Praxis oft nur die Existenz und Aktualität des Plans bestätigen, nicht aber die Fähigkeit der Organisation, ihn unter Druck tatsächlich auszuführen.
Eine Fachanalyse zur praktischen Umsetzung von Business-Continuity-Plänen hält fest, dass viele Unternehmen ihre Risiken bereits identifiziert haben, sich aber schwertun, die daraus abgeleitete Strategie umzusetzen. Der Fokus liegt meist auf der Planerstellung statt auf der Realisierung, weil die Übertragung der Theorie in die Praxis Koordination, Präzision und fortlaufende Anpassung verlangt.
ISO 22301 begegnet diesem Muster mit dem PDCA-Zyklus: In der Phase ‚Überprüfen‘ sind Geschäftskontinuitätspläne zu testen und die Ergebnisse zu überwachen, nicht nur einmalig zu dokumentieren. Der Plan bleibt damit Mittel zur Zielerreichung, nicht Selbstzweck.
Wo genau bricht die Übergabe im Ernstfall?
An den Schichtwechseln und Rollenübergaben im Krisenstab, die bei länger andauernden Lagen unausweichlich werden.
Ein Fachbeitrag zu Übungen im Business Continuity Management hält fest, dass längere Übungen über zwei oder mehr Tage die realistischen Herausforderungen eines Notfalls besonders gut widerspiegeln, weil sie Schichtwechsel im Krisenmanagement und Übergaben in den Prozessen erfordern. Genau an diesen Übergaben zeigt sich, ob Verantwortlichkeiten, Informationsstand und Entscheidungsbefugnis tatsächlich weitergegeben werden oder ob mit jedem Wechsel Wissen verloren geht.
Die ISO/IEC 27031 verlangt deshalb, dass sich Tests und Übungen nicht auf die Wiederherstellung von IKT-Services beschränken, sondern auch den Schutz von Assets vor Störungen und die Minimierung der Schadensauswirkungen einschliessen. Ein Test, der nur die technische Wiederanlaufzeit misst, prüft nicht die Stelle, an der die Übergabe in der Praxis tatsächlich scheitert.
Wer trägt die Verantwortung für diese Übergabepunkte?
Die Geschäftsleitung verantwortet Implementierung und Dokumentation des Managements operationeller Risiken, während das Oberleitungsorgan dieses Management regelmässig genehmigt und überwacht.
Diese Zuordnung klärt formal, wer für den Plan als Dokument zuständig ist. Sie beantwortet aber nicht, wer im Ernstfall die Übergabe zwischen den Schichten im Krisenstab verantwortet oder wer entscheidet, wann eine Eskalation an die nächste Ebene erfolgt.
Auch bei Drittparteien, deren Ressourcen in die Business Impact Analyse einfliessen, braucht es eine benannte Stelle, die im Ernstfall die Übergabe koordiniert. Ohne diese Zuordnung bleibt die Verantwortung dort, wo sie im Dokument steht, und nicht dort, wo sie im Ereignis gebraucht wird.
Wie lässt sich die Übergabe konkret prüfen und schliessen?
Indem die nächste Testübung gezielt einen Schichtwechsel oder eine Rollenübergabe simuliert und dokumentiert, wer die Verantwortung zu welchem Zeitpunkt übernimmt.
Ein erster Schritt: Bei der nächsten jährlichen Überprüfung des Business Continuity Plans legt die verantwortliche Stelle fest, welche Übergabepunkte im Krisenstab bestehen, und ordnet jedem Punkt einen Namen und einen Auslöser zu. Diese Zuordnung wird als expliziter Bestandteil des Plans dokumentiert, nicht nur als Beobachtung aus der letzten Testübung. Eine ähnliche Lücke zwischen dem, was ein Dokument vorschreibt, und dem, was operativ bereits stehen muss, zeigt sich auch bei anderen regulatorischen Fristen wie der ISG-ISMS-Pflicht.
Vom Plan zur geübten Übergabe
Die Lösung für Business Continuity dokumentiert kritische Prozesse, Ressourcen und Übungsergebnisse an einem Ort. Sie hält fest, wer welchen Übergabepunkt im Krisenstab verantwortet.
Business ContinuityHäufige Fragen
Welche Frist gilt für die Umsetzung des FINMA-Rundschreibens 2023/1?
Das FINMA-Rundschreiben 2023/1 trat am 1. Januar 2024 in Kraft und ersetzt die bisherigen BCM-Empfehlungen der Schweizerischen Bankiervereinigung als Minimalstandard. Für die Umsetzung gelten gestaffelte Übergangsfristen von bis zu zwei Jahren, innerhalb derer Institute ihre Business Impact Analyse, ihren Business Continuity Plan und die dazugehörigen Tests an die neuen Anforderungen anpassen müssen.
Warum reicht ein getesteter Business Continuity Plan nicht automatisch aus?
Tests bestätigen in der Praxis oft nur, dass ein Business Continuity Plan existiert und aktuell ist, nicht aber, dass die Organisation ihn unter Zeitdruck tatsächlich ausführen kann. Der Fokus liegt häufig auf der Planerstellung statt auf der Realisierung, weil die Übertragung in die Praxis Koordination und laufende Anpassung verlangt.
Welche Rolle spielen Schichtwechsel im Krisenstab bei der Krisenbewältigung?
Bei Übungen über zwei oder mehr Tage werden Schichtwechsel im Krisenstab unausweichlich. Genau an diesen Übergaben zeigt sich, ob Verantwortlichkeiten, Informationsstand und Entscheidungsbefugnis tatsächlich weitergegeben werden oder ob mit jedem Wechsel Wissen verloren geht, was die eigentliche Belastbarkeit der Krisenbewältigung offenlegt.
Wer ist laut FINMA für das Management operationeller Risiken zuständig?
Die Geschäftsleitung verantwortet Implementierung und Dokumentation des Managements operationeller Risiken, einschliesslich des Business Continuity Plans. Das Oberleitungsorgan genehmigt und überwacht dieses Management regelmässig. Wer im Ernstfall die Übergabe zwischen Schichten im Krisenstab konkret koordiniert, ist damit formal aber noch nicht geklärt.
Was verlangt ISO/IEC 27031 zusätzlich zu Wiederherstellungstests?
ISO/IEC 27031 verlangt, dass Tests und Übungen sich nicht auf die Wiederherstellung von IKT-Services beschränken. Sie sollen auch den Schutz von Assets vor Störungen und die Minimierung von Schadensauswirkungen einschliessen, damit nicht nur die technische Wiederanlaufzeit geprüft wird, sondern auch die tatsächliche Handlungsfähigkeit der Organisation.
- FINMA-Rundschreiben 2023/1 zu operationellen Risiken und ResilienzFINMA
- Principles for Operational ResilienceBank for International Settlements (BIS)
