{"id":11400,"date":"2022-06-24T10:20:20","date_gmt":"2022-06-24T08:20:20","guid":{"rendered":"https:\/\/www.ibi-systems.de\/?p=11400"},"modified":"2026-04-07T09:31:20","modified_gmt":"2026-04-07T07:31:20","slug":"bsi-standard-200-4-inhalt-und-umsetzung","status":"publish","type":"post","link":"https:\/\/www.ibi-systems.de\/de\/2022\/06\/bsi-standard-200-4-inhalt-und-umsetzung\/","title":{"rendered":"BSI-Standard 200-4 \u2013 Inhalt und Umsetzung"},"content":{"rendered":"\n

Management Summary<\/strong><\/span><\/h2><\/p>\n\n\n\n

Nachdem bislang der BSI-Standard 100-4 \u201eNotfallmanagement\u201c eine Hilfestellung f\u00fcr das Business Continuity Management (BCM) bietet, wird derzeit der BSI-Standard 200-4 \u201eBusiness Continuity Management\u201c als Modernisierung des bisherigen Standards aufbereitet. Der neue BSI-Standard 200-4 wird den BSI-Standard 100-4 abl\u00f6sen. Dieser soll als alleinstehender Standard anwendbar sein und den Aufbau und die Etablierung eines Business Continuity Management Systems (BCMS) mithilfe praxisnaher Anleitungen unterst\u00fctzen.<\/p>\n\n\n\n

Die umfassenden Neuerungen k\u00f6nnen bereits in der vorl\u00e4ufigen Version, die auf der Webseite des BSI heruntergeladen werden kann, eingesehen werden.<\/p>\n\n\n\n

Kerninhalte des BSI-Standards 200-4<\/strong><\/span><\/h2>\n\n\n\n

Anschlie\u00dfend m\u00f6chten wir Ihnen einen kurzen \u00dcberblick \u00fcber die Kerninhalte des BSI-Standards 200-4 geben.<\/p>\n\n\n\n

Planung des BCMS (Plan)<\/strong><\/span><\/h3>\n\n\n\n

In der ersten Phase \u201ePlanung des BCMS\u201c werden die Anforderungen relevanter Interessensgruppen an das BCMS analysiert, die Dokumentation wird n\u00e4her festgelegt und die Leitlinie verfasst.<\/p>\n\n\n\n

Umsetzung des BCMS (Do)<\/strong><\/span><\/h3>\n\n\n\n

Im Rahmen der zweiten Phase \u201eUmsetzung des BCMS\u201c wird die Besondere Aufbauorganisation (BAO) aufgebaut und bef\u00e4higt. Das hei\u00dft, dass sie im Krisen- und Notfall erreichbar und handlungsf\u00e4hig ist. Im Fokus dieser Phase stehen die Gesch\u00e4ftsprozesse. Sie sollen erfasst und angemessen abgesichert werden. Die Software ibi systems iris bietet hier umfassende Unterst\u00fctzungsm\u00f6glichkeiten, welche in einem der folgenden Kapitel aufgezeigt werden.<\/p>\n\n\n\n

\u00dcberpr\u00fcfung des BCMS (Check)<\/strong><\/span><\/h3>\n\n\n\n

Bei der \u201e\u00dcberpr\u00fcfung des BCMS\u201c wird anhand von Tests und \u00dcbungen \u00fcberpr\u00fcft, ob die in der Theorie beschriebenen Strukturen, Notfallpl\u00e4ne und im Besonderen die reaktiven Ma\u00dfnahmen auch in der Praxis wirksam sind. Dar\u00fcber hinaus wird mittels Leistungs\u00fcberpr\u00fcfungen untersucht, ob die Vorgaben des BCMS eingehalten und die Ziele erreicht werden.<\/p>\n\n\n\n

Korrektur und Verbesserung des BCMS (Act)<\/strong><\/span><\/h3>\n\n\n\n

In der vierten Phase \u201eKorrektur und Verbesserung des BCMS\u201c werden mithilfe der identifizierten Verbesserungsm\u00f6glichkeiten und Korrekturbedarfe konkrete Verbesserungs- und Korrekturma\u00dfnahmen entwickelt, umgesetzt und weiter nachverfolgt.<\/p>\n\n\n\n

Absicherung der Gesch\u00e4ftsprozesse mit der Software ibi systems iris nach BSI-Standard 200-4<\/strong><\/span><\/h2>\n\n\n\n

Im Folgenden wird aufgezeigt, welche Schritte zur angemessenen Absicherung der Gesch\u00e4ftsprozesse notwendig sind und wie Sie unsere Software ibi systems iris bei der Umsetzung der Schritte unterst\u00fctzen kann.<\/p>\n\n\n\n

\"\"<\/a>
Vorgehen zur Absicherung der Prozesse nach BSI-Standard 200-4<\/figcaption><\/figure>\n\n\n\n

Voranalyse<\/strong><\/span><\/h3>\n\n\n\n

Um die Anzahl an Gesch\u00e4ftsprozessen zu beschr\u00e4nken, die in der anschlie\u00dfenden Business Impact Analyse untersucht werden, kann im ersten Schritt eine Voranalyse durchgef\u00fchrt werden. Hierbei wird eine Vorauswahl getroffen, durch die auf die potenziell zeitkritischsten Prozesse eingegrenzt wird. Um auf zeitkritische Prozesse eingrenzen zu k\u00f6nnen, muss allerdings zuerst der Begriff \u201ezeitkritisch\u201c definiert werden. Dies geschieht, indem ein Untersuchungszeitraum (z.B. innerhalb von 7 Tagen), Schadensszenarien (z.B. negative Au\u00dfenwirkung) und Schadenskategorien (z.B. gering \u2013 sehr hoch) festgelegt werden. Durch ein Untragbarkeitsniveau wird dann in Form einer Schadenskategorie (z.B. hoch) die Grenze bestimmt, ab der die Auswirkungen durch den Ausfall eines Gesch\u00e4ftsprozesses nicht l\u00e4nger toleriert werden k\u00f6nnen. <\/p>\n\n\n\n

Aufbauend darauf k\u00f6nnen die potenziell zeitkritischsten Prozesse identifiziert werden, indem ausgew\u00e4hlte Organisationseinheiten dazu befragt werden, ob bei einem Ausfall der Gesch\u00e4ftsprozesse dieser Organisationseinheit z.B. innerhalb von 7 Tagen hohe Sch\u00e4den f\u00fcr die Institution zu erwarten sind.<\/p>\n\n\n\n

In der Software ibi systems iris k\u00f6nnen die bei der Voranalyse festgelegten Schadensszenarien und Schadenskategorien bereits als Vorarbeit f\u00fcr die anschlie\u00dfende BIA individuell f\u00fcr Sie konfiguriert werden. Alternativ steht Ihnen diesbez\u00fcglich aber auch eine Standardkonfiguration zur Verf\u00fcgung. Nachdem die zeitkritischsten Prozesse mittels der Befragungen bestimmt wurden, k\u00f6nnen diese in ibi systems iris bei den Prozessen erfasst und als kritisch vermerkt werden. In der Software werden alle Prozesse in einer filterbaren Listenansicht ausgegeben, wodurch mittels des Filters nach kritischen Prozessen eine schnelle \u00dcbersicht \u00fcber alle kritischen Prozesse m\u00f6glich ist.<\/p>\n\n\n\n

\"\"
Listenansicht kritischer Prozesse in iris<\/figcaption><\/figure>\n\n\n\n

Business Impact Analyse (BIA)<\/strong><\/span><\/h3>\n\n\n\n

Mittels der anschlie\u00dfenden Business Impact Analyse wird die Voranalyse verfeinert. Diesbez\u00fcglich wird untersucht, welche Gesch\u00e4ftsprozesse hinsichtlich des Analysebereichs zeitkritisch sind und ab wann es zu nicht tolerierbaren Auswirkungen durch deren Ausfall kommt.<\/p>\n\n\n\n

In der Software ibi systems iris kann dies \u00fcber die Schadensbewertung der Gesch\u00e4ftsprozesse ermittelt werden.<\/p>\n\n\n\n

\"\"<\/a>
BIA in ibi systems iris<\/figcaption><\/figure>\n\n\n\n

Hierbei wird das Schadenspotenzial (z.B. gering \u2013 sehr hoch) unterschiedlicher Schadensszenarien (z.B. negative Au\u00dfenwirkung) zu unterschiedlichen Zeiten (z.B. 24 Stunden \u2013 30 Tage) aufgezeigt. Daraus kann in Zusammenhang mit dem zuvor in der Voranalyse festgelegtem Untragbarkeitsniveau die maximal tolerierbare Ausfallzeit abgelesen und angegeben werden.<\/p>\n\n\n\n

F\u00fcr zeitkritische Gesch\u00e4ftsprozesse k\u00f6nnen zus\u00e4tzlich die Prozessabh\u00e4ngigkeiten, die zugrundeliegenden Ressourcen und Wiederanlaufzeiten in der Software erfasst werden.<\/p>\n\n\n\n

Soll-Ist-Vergleich<\/strong><\/span><\/h3>\n\n\n\n

Bei dem folgenden Soll-Ist-Vergleich werden die geforderte Wiederanlaufzeit und die erreichbare Wiederanlaufzeit gegen\u00fcbergestellt. Es wird \u00fcberpr\u00fcft, ob die Wiederanlaufzeit durch vorhandene organisatorische und technische Ma\u00dfnahmen erreicht werden kann.<\/p>\n\n\n\n

Um den Soll-Ist-Vergleich von Wiederanlaufzeiten in ibi systems iris durchf\u00fchren zu k\u00f6nnen, werden die entsprechenden Zeiten inkl. Notfallaktivit\u00e4ten bei den Prozessen eingetragen. <\/p>\n\n\n\n

F\u00fcr eine \u00dcbersicht des Vergleichs werden zuerst Notfallszenarien, die theoretisch eintreten k\u00f6nnten, mit Prozessen und Assets verkn\u00fcpft, deren Ausfall sie verursachen k\u00f6nnen. Aus einem Notfallszenario f\u00fcr betroffene Assets und Prozesse kann anschlie\u00dfend ein Notfallereignis als \u00dcbung abgeleitet werden, bei dem der Soll-Ist-Vergleich der Wiederanlaufzeiten zu sehen ist.<\/p>\n\n\n\n

\"\"
Soll-Ist-Vergleich in ibi systems iris<\/figcaption><\/figure>\n\n\n\n

Wird die geforderte Wiederanlaufzeit nicht erreicht, erm\u00f6glicht dies die Einsch\u00e4tzung m\u00f6glicher Risiken. Diese k\u00f6nnen in der Software ibi systems iris unter anderem mit betroffenen Prozessen und Assets verkn\u00fcpft werden.<\/p>\n\n\n\n

BCM-Risikoanalyse und Business-Continuity-Strategien und -L\u00f6sungen<\/strong><\/span><\/h3>\n\n\n\n

Die BCM-Risikoanalyse betrachtet die m\u00f6glichen Ursachen f\u00fcr den Ausfall des Gesch\u00e4ftsbetriebs. Es wird ermittelt, gegen welche Gef\u00e4hrdungen der Gesch\u00e4ftsbetrieb abgesichert werden soll, bzw. bei welchen Gef\u00e4hrdungen das Risiko so hoch ist, dass abgesichert werden soll. <\/p>\n\n\n\n

Um dies abzubilden, werden in ibi systems iris zuerst Risiken hinterlegt und mit den betroffenen Prozessen und Assets verkn\u00fcpft. Mithilfe des Widgets „Zuordnungen“ oder geeigneter Filter lassen sich die Verkn\u00fcpfungen \u00fcbersichtlich darstellen und einfach erkennen. Im Anschluss kann die Risikoeinsch\u00e4tzung und -bewertung hinsichtlich der Schadensh\u00f6he und Eintrittswahrscheinlichkeit eines Risikos anhand mehrerer alternativer Bewertungsmethoden (einfach, kategoriebasierte Bewertung mit Durchschnitt bzw. Maximalwert) durchgef\u00fchrt werden. Hierbei wird zuerst eine (IST-)Bewertung vorgenommen. Danach kann als rein kalkulatorischer Wert noch eine SOLL-Bewertung angegeben werden, die die gew\u00fcnschte Risikoentwicklung darstellt.<\/p>\n\n\n\n

\"\"<\/a>
Risikobewertung mit ibi systems iris<\/figcaption><\/figure>\n\n\n\n

Mittels einer Risikomatrix kann die erfolgte (IST-)Bewertung \u00fcbersichtlich dargestellt und der weitere Handlungsbedarf im Sinne der Risikobehandlungsstrategie (z.B. Risikoreduktion) abgeleitet und der Software hinterlegt werden. <\/p>\n\n\n\n

\"\"<\/a>
Risikomatrix in ibi systems iris<\/figcaption><\/figure>\n\n\n\n

Die abgeleiteten Handlungsbedarfe bilden die Grundlage der weiteren Notfallplanung. Folglich m\u00fcssen die Handlungsbedarfe mit Business-Continuity-Strategien und -L\u00f6sungen behandelt werden.<\/p>\n\n\n\n

Hierf\u00fcr k\u00f6nnen in ibi systems iris m\u00f6gliche Ma\u00dfnahmen mit den Risiken verkn\u00fcpft werden. Nachdem eine Ma\u00dfnahme umgesetzt und das Risiko behandelt wurde, erfolgt eine Neubewertung des Risikos in Form einer neuen (IST-)Bewertung. <\/p>\n\n\n\n

Dieser iterative Vorgang wird solange wiederholt, bis das Risiko auf einem Niveau ist, welches so hingenommen werden kann (Risikobehandlung = Risikoakzeptanz).<\/p>\n\n\n\n

Gesch\u00e4ftsfortf\u00fchrungs-, Wiederanlauf- und Wiederherstellungsplanung<\/strong><\/span><\/h3>\n\n\n\n

Die Gesch\u00e4ftsfortf\u00fchrungs- Wiederanlauf- und Wiederherstellungspl\u00e4ne bilden zusammen mit den Informationen aus dem Aufbau und der Bef\u00e4higung der BAO die Inhalte des Notfallhandbuchs, welches die zentrale Dokumentensammlung zur erfolgreichen Notfallbew\u00e4ltigung ist. <\/p>\n\n\n\n

In der Software ibi systems iris gibt es die M\u00f6glichkeit anhand von Berichten einen Wiederanlauf- und Wiederherstellungsplan zu erstellen. Ersterer baut beispielsweise auf den hinterlegten Notfallaktivit\u00e4ten hinsichtlich der Wiederanlaufzeit bei den Prozessen auf. Des Weiteren k\u00f6nnen auch bei den Notfallszenarien Notfallaktivit\u00e4ten hinterlegt und durch einen Bericht ausgegeben werden.<\/p>\n\n\n\n

\"\"
Wiederanlaufplan mit ibi systems iris<\/figcaption><\/figure>\n\n\n\n

Fazit zum BSI-Standard 200-4 mit ibi systems iris<\/strong><\/span><\/h2>\n\n\n\n

Die Software ibi systems iris kann Ihnen also bei den Schritten zur Umsetzung der angemessen Absicherung der Gesch\u00e4ftsprozesse nach BSI-Standard 200-4 behilflich sein. Kommen Sie bei Interesse daran oder offenen Fragen gerne jederzeit auf uns zu.<\/p>\n\n\n\n

 <\/p>\n\n\n\n

Haben wir Ihr Interesse geweckt?<\/p>\n<\/div>

Kontaktieren Sie uns!<\/span><\/a><\/div><\/div>\n\n\n\n

 <\/p>\n\n\n\n

Zur\u00fcck zur \u00dcbersicht<\/a><\/strong><\/p>\n\n\n\n

____________________<\/p>\n