Was ist Business Continuity Management (BCM)?
Zuletzt aktualisiert:
Kurz erklärt: Business Continuity Management (BCM), auf Deutsch betriebliches Kontinuitätsmanagement, ist der ganzheitliche Managementprozess, der sicherstellt, dass ein Unternehmen seine geschäftskritischen Abläufe auch während und nach einer schweren Störung fortführen oder rasch wiederaufnehmen kann. BCM umfasst die Analyse kritischer Prozesse (Business Impact Analyse), die Planung von Notfall- und Wiederanlaufmaßnahmen, das Krisenmanagement sowie regelmäßige Übungen. Die maßgebliche internationale Norm ist ISO 22301; in Österreich ist die Betriebsaufrechterhaltung eine Pflicht aus NISG 2026 § 32 und NIS2 Art. 21.
Business Continuity Management (BCM) — auf Deutsch betriebliches Kontinuitätsmanagement — ist der ganzheitliche Managementprozess, der sicherstellt, dass ein Unternehmen seine geschäftskritischen Abläufe auch während und nach einer schweren Störung aufrechterhalten oder schnell wiederaufnehmen kann. BCM denkt über den einzelnen IT-Vorfall hinaus: Es geht um die Fortführung des Geschäfts als Ganzes — von der Produktion über die Logistik bis zur Kommunikation. Die maßgebliche Norm ist ISO 22301.
Foundational Facts
- Bedeutung: Business Continuity Management / betriebliches Kontinuitätsmanagement
- Geltungsbereich: alle geschäftskritischen Prozesse, nicht nur IT
- Maßgebliche Norm: ISO 22301 (BCM-Managementsystem)
- Praxis-Standard (DE): BSI-Standard 200-4
- Rechtlicher Bezug: NISG 2026 § 32 Abs. 4 lit. c (Aufrechterhaltung des Betriebs)
Die Bausteine des BCM
Business Continuity Management ist kein einzelnes Dokument, sondern ein Zyklus aus aufeinander aufbauenden Schritten:
| Baustein | Aufgabe |
|---|---|
| Business Impact Analyse | kritische Prozesse und Wiederanlaufziele bestimmen |
| Risikobewertung | Bedrohungen für diese Prozesse einschätzen |
| Strategie | Optionen zur Aufrechterhaltung festlegen |
| Pläne | Notfall-, Wiederanlauf- und Disaster-Recovery-Pläne |
| Übung | Pläne regelmäßig testen und verbessern |
Am Anfang steht immer die Business Impact Analyse — ohne sie weiß ein Unternehmen nicht, welche Prozesse es überhaupt zuerst schützen muss.
BCM, Notfallhandbuch und Krisenstab
BCM ist der Rahmen, in den sich die operativen Elemente einfügen: Das Notfallhandbuch bündelt die Pläne, der Krisenstab steuert die Bewältigung im Ernstfall, und die Disaster Recovery kümmert sich um die technische Wiederherstellung. BCM sorgt dafür, dass diese Teile zusammenpassen und auf gemeinsame, aus der Business Impact Analyse abgeleitete Ziele einzahlen.
BCM als NIS2-Pflicht
NISG 2026 § 32 (Umsetzung von NIS2 Art. 21) macht die Aufrechterhaltung des Betriebs zur ausdrücklichen Pflicht — und nennt dabei Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement explizit. Ein strukturiertes BCM ist die Antwort auf diese Anforderung. Eingebettet ist es idealerweise in das ISMS, sodass Informationssicherheit und Geschäftskontinuität demselben Steuerungsrahmen folgen.
Bedeutung für den Mittelstand
BCM klingt nach Großkonzern, ist aber gerade für KMU existenziell: Ein mehrtägiger Ausfall der Kernsysteme bedroht kleine Unternehmen oft stärker als große. Der pragmatische Einstieg ist schlank — eine Business Impact Analyse der wichtigsten Prozesse, daraus abgeleitete Wiederanlaufziele und ein in einer Tabletop Exercise geprüfter Notfallplan. Das ersetzt kein zertifiziertes Managementsystem, schafft aber die entscheidende Grundlage.
Weiterführende Links
Häufige Fragen
- Was ist der Unterschied zwischen BCM und Disaster Recovery?
- Business Continuity Management ist der übergeordnete, geschäftsweite Ansatz; es geht um die Fortführung aller kritischen Geschäftsprozesse — auch der nicht-technischen wie Logistik, Kommunikation oder Personal. Disaster Recovery ist der spezifischere, IT-fokussierte Teil davon; die Wiederherstellung von IT-Systemen und Daten nach einem Ausfall. Disaster Recovery ist damit eine Komponente innerhalb des BCM, nicht dessen Synonym.
- Welche Norm regelt BCM?
- Die maßgebliche internationale Norm ist ISO 22301, der Standard für Business-Continuity-Managementsysteme. Sie beschreibt einen managementbasierten Ansatz mit Business Impact Analyse, Risikobewertung, Strategie, Plänen und regelmäßiger Übung. In Deutschland ist zusätzlich der BSI-Standard 200-4 verbreitet, der BCM praxisnah für die IT-Grundschutz-Methodik aufbereitet.
- Verlangt NIS2 ein Business Continuity Management?
- Ja, sinngemäß. NISG 2026 § 32 Abs. 4 lit. c nennt die Aufrechterhaltung des Betriebs — ausdrücklich einschließlich Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement — als verpflichtende Risikomanagement-Maßnahme. Das ist die rechtliche Grundlage für ein Business Continuity Management, ohne dass das Gesetz eine bestimmte Norm vorschreibt.
- Wo beginnt ein KMU mit BCM?
- Mit der Business Impact Analyse. Bevor man Pläne schreibt, muss klar sein, welche Prozesse wirklich geschäftskritisch sind und wie lange sie ausfallen dürfen. Aus dieser Analyse ergeben sich die Wiederanlaufziele, an denen sich alle weiteren Maßnahmen ausrichten. Erst danach folgen Notfallpläne, Disaster Recovery und die Übung in einer Tabletop Exercise.