In einem Satz. Der BSI-Standard 200-4 (veröffentlicht 2023, löst den alten Standard 100-4 ab) ist das aktuelle deutsche Rahmenwerk für Business Continuity Management Systems (BCMS) — von Business Impact Analyse (BIA) über Wiederanlaufpläne, Notfallorganisation und Krisenstab bis zu regelmäßigen Übungen.
Wichtige Punkte
- BSI 200-4 ersetzte 2023 den Standard 100-4 (Notfallmanagement) und ist erweitert.
- Drei BCMS-Stufen: Reaktiv-BCMS, Aufbau-BCMS, Standard-BCMS.
- BIA mit Bestimmung von MTPD, RTO, RPO, MBCO pro Geschäftsprozess.
- Notfallhandbuch und Wiederanlaufpläne als zentrale Artefakte.
- Pflicht-Übungen mindestens jährlich (Tabletop, Funktional, Voll).
1. Vom 100-4 zum 200-4: Was ist neu?
Der Standard 100-4 stammte aus 2008. 200-4 (2023) ergänzt:
- Stufenmodell für KMU
- Engere Integration mit BSI 200-1 (ISMS)
- Erweitertes Krisenmanagement
- Lessons-Learned und kontinuierliche Verbesserung
2. Drei BCMS-Stufen
| Stufe | Reifegrad | Anwender |
|---|---|---|
| Reaktiv-BCMS | Minimum, Soforthilfe | Kleinunternehmen, Pilotphase |
| Aufbau-BCMS | Mittel, dokumentiert | Mittelstand |
| Standard-BCMS | Vollständig, auditfähig | KRITIS, Großunternehmen |
Wahl orientiert sich an Größe, Komplexität, regulatorischen Anforderungen.
3. Business Impact Analyse (BIA)
Kern jeder BCMS-Implementierung. Pro Geschäftsprozess werden bestimmt:
| Kennzahl | Bedeutung |
|---|---|
| MTPD | Maximum Tolerable Period of Disruption — absolute Ausfallgrenze |
| RTO | Recovery Time Objective — angestrebte Wiederanlaufzeit |
| RPO | Recovery Point Objective — maximaler Datenverlust |
| MBCO | Minimum Business Continuity Objective — Mindestleistung im Notbetrieb |
Beispiel Onlineshop: MTPD 24h, RTO 4h, RPO 15min, MBCO 50% Bestellkapazität.
4. Risiko- und Bedrohungsanalyse
Analyse möglicher Notfallszenarien:
- Naturkatastrophen (Hochwasser, Sturm)
- Technische Ausfälle (RZ-Brand, Stromausfall)
- Cyberangriffe (Ransomware, DDoS)
- Personalausfall (Pandemie, Streik)
- Lieferanten-/Dienstleisterausfall
Zu jedem Szenario gehört eine passende Wiederanlaufstrategie. Die häufigsten Kombinationen aus der Praxis:
| Szenario | Primäre Auswirkung | Bewährte Strategie |
|---|---|---|
| Ransomware / IT-Totalausfall | Datenverlust, Systemstillstand | Georedundante, offline gehaltene Backups + getesteter Restore |
| Rechenzentrumsausfall | Verfügbarkeit | Zweitstandort / Cloud-Failover |
| Personalausfall (Pandemie) | Know-how, Kapazität | Vertreterregelung, Cross-Training, Homeoffice-Fähigkeit |
| Dienstleisterausfall | Lieferkette | Zweitlieferant, vertragliche SLAs, Exit-Konzept |
| Stromausfall | Betrieb | USV + Notstromaggregat, priorisierter Lastabwurf |
Der Ransomware-Fall verdient besondere Aufmerksamkeit: Ohne ein vom Produktivsystem getrenntes (offline oder immutable) Backup nützt die beste RTO nichts, wenn die Verschlüsselung auch die Sicherung erfasst hat. Die BIA muss deshalb nicht nur “Backup vorhanden?” fragen, sondern “Restore in RTO nachweislich getestet?”.
5. Notfallvorsorge-Konzept
Maßnahmen zur Vermeidung und Begrenzung:
- Redundante RZ, georedundante Backups
- USV, Notstromaggregate
- Lieferantenredundanz
- Mitarbeiter-Cross-Training
- Cyberversicherung
Wie redundante Rechenzentren konkret ausgelegt werden, zeigt unser Leitfaden zur Hochverfügbarkeit im Rechenzentrum.
6. Notfallhandbuch
Zentrales Dokument mit:
- Alarmierungs- und Eskalationsschema
- Rollen und Verantwortungen (Krisenstab, BCM-Beauftragter, Notfallteams)
- Wiederanlaufpläne pro Geschäftsprozess
- Kommunikationsvorlagen (intern, extern, Behörden, Presse)
- Checklisten für die ersten 60/120/240 Minuten
Entscheidend ist die Verfügbarkeit im Ernstfall: Ein Notfallhandbuch, das nur im verschlüsselten Fileshare liegt, ist bei einem Ransomware-Angriff wertlos. Es gehört zusätzlich in eine offline verfügbare Form (gedruckt beim Krisenstab, auf einem separaten, gehärteten System). Ebenso müssen Kontaktdaten von Dienstleistern, Versicherung und Aufsichtsbehörde außerhalb der betroffenen Systeme greifbar sein. In geübten Organisationen liegt beim BCM-Beauftragten und bei den Krisenstabsmitgliedern jeweils eine aktuelle “Notfallmappe” — Papier schlägt im Krisenfall jede Cloud.
7. Notfallorganisation und Krisenstab
Klare Strukturen:
- BCM-Beauftragter — operative Verantwortung
- Krisenstab — strategische Entscheidungen, Geschäftsleitung
- Notfallteams — fachliche Wiederherstellung (IT, HR, Kommunikation)
- Beobachter/Protokoll — Dokumentation und Lessons Learned
8. Übungen und Tests
Pflicht für Standard-BCMS, mindestens jährlich:
| Übungstyp | Aufwand | Erkenntnistiefe |
|---|---|---|
| Tabletop | gering | Konzeptprüfung |
| Funktional | mittel | Einzelne Wiederanlaufpläne |
| Voll | hoch | Gesamtszenario |
Nach jeder Übung: Protokoll, Verbesserungsmaßnahmen, Nachverfolgung. Die Übungsprotokolle sind zugleich der stärkste Nachweis gegenüber Aufsichtsbehörde, Versicherung und Kunden — sie belegen, dass die Pläne nicht nur auf dem Papier existieren, sondern funktionieren. Eine Vollübung, die zeigt, dass der Restore aus dem Backup die RTO tatsächlich einhält, ist im Schadensfall mehr wert als jede Zertifikatsurkunde. Empfehlenswert ist ein rollierendes Programm: jährlich mindestens eine Tabletop-Übung für den Krisenstab plus eine funktionale Übung für die kritischsten Wiederanlaufpläne, ergänzt alle zwei bis drei Jahre um eine Vollübung.
9. Der Aufbauprozess Schritt für Schritt
Ein BCMS nach 200-4 entsteht nicht in einem Wurf. Der Standard beschreibt einen PDCA-Zyklus, der sich in der Praxis in klar abgrenzbare Etappen gliedert:
- Initiierung. Leitlinie zum Notfallmanagement, Mandat der Geschäftsleitung, Benennung des BCM-Beauftragten und Festlegung der angestrebten BCMS-Stufe.
- Voranalyse. Grober Überblick über kritische Prozesse und offensichtliche Einzelrisiken — Basis für die Stufenwahl.
- Business Impact Analyse. Ermittlung von MTPD, RTO, RPO und MBCO je Prozess; Ableitung der zeitkritischen Ressourcen (IT-Systeme, Personal, Dienstleister, Standorte).
- Risikoanalyse. Bewertung der Bedrohungen gegen die kritischen Ressourcen, verzahnt mit der Risikoanalyse nach BSI 200-3.
- Strategie und Vorsorge. Auswahl von Kontinuitätsstrategien (Redundanz, Ausweichstandort, manueller Notbetrieb) und Umsetzung der Vorsorgemaßnahmen.
- Notfallbewältigung. Erstellung von Notfallhandbuch, Wiederanlauf- und Geschäftsfortführungsplänen.
- Test und Übung. Planung und Durchführung des jährlichen Übungsprogramms.
- Aufrechterhaltung. Reviews, Lessons Learned, Anpassung an Organisationsänderungen.
Wer diese Reihenfolge einhält, vermeidet den häufigsten Fehler — Wiederanlaufpläne zu schreiben, bevor die BIA überhaupt zeigt, welche Prozesse wirklich zeitkritisch sind.
10. 200-4 und DSGVO Artikel 32
Artikel 32 fordert “Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen” — der genaue Wortlaut steht in Art. 32 Abs. 1 lit. b und c des DSGVO-Volltextes auf EUR-Lex. 200-4 ist der direkte technisch-organisatorische Nachweis dieser Anforderung — insbesondere die Wiederanlaufpläne und Übungsprotokolle. Bei einer Datenpanne durch Ausfall (etwa Ransomware) prüft die Aufsicht regelmäßig, ob RTO/RPO definiert waren und die Wiederherstellung geübt wurde. Fehlt die BIA, gilt die Verfügbarkeit faktisch als nicht “nach dem Stand der Technik” gesichert.
11. 200-4 und NIS2
NIS2 verlangt in Art. 21 explizit Business-Continuity- und Backup-Management sowie Krisenmanagement. 200-4 erfüllt diese Anforderung für die deutschen NIS2-Adressaten (KRITIS, wesentliche und wichtige Einrichtungen). Der Audit-Nachweis erfolgt im Rahmen der BSI-Prüfungen; die Meldepflichten bei Vorfällen behandelt separat unser Leitfaden zur NIS2-Meldepflicht ans BSI innerhalb von 24 Stunden.
12. Tool-Unterstützung
Fazit
200-4 hebt deutsches Notfallmanagement auf ISO-22301-Niveau und macht es zugleich KMU-tauglich. Wer beim nächsten Ransomware-Vorfall keine BIA-Tabelle vorlegen kann, hat ein Erklärungsproblem — gegenüber Aufsichtsbehörde, Kunden und Versicherung.
FAQ
Ist BSI 200-4 verpflichtend?
Für KRITIS-Betreiber faktisch ja, für andere ein anerkannter Standard. NIS2 erhöht den Druck deutlich.
Wie unterscheidet sich 200-4 von ISO 22301?
200-4 ist konkreter (Stufenmodell, BSI-Methodik), ISO 22301 international zertifizierbar. Häufig parallel implementiert.
Was kostet ein BCMS-Aufbau nach 200-4?
Standard-BCMS für Mittelstand: 60-150k Euro externe Kosten, 1-2 Personenjahre intern, je nach Komplexität.
Wie oft sind Übungen Pflicht?
Standard-BCMS: mindestens jährlich, kritische Prozesse häufiger. Empfehlung: gemischter Mix aus Tabletop und Funktionalübungen.
Wer ist im Krisenstab?
Geschäftsführung, BCM-Beauftragter, IT-Leitung, Kommunikation, HR, Rechtsabteilung. Bei Großunternehmen plus Werkschutz, Compliance.
Was ist der Unterschied zwischen RTO und MTPD?
MTPD (Maximum Tolerable Period of Disruption) ist die absolute Obergrenze, ab der ein Ausfall existenzbedrohend wird. Die RTO (Recovery Time Objective) ist die angestrebte Wiederanlaufzeit und muss immer kürzer als die MTPD sein — der Puffer zwischen beiden ist die Sicherheitsreserve.
Muss ich für 200-4 alle drei Stufen durchlaufen?
Nein. Die Stufen sind Zielniveaus, keine Pflichtabfolge. Ein Mittelständler kann direkt ein Aufbau-BCMS anstreben; KRITIS-Betreiber brauchen das auditfähige Standard-BCMS. Das Reaktiv-BCMS ist vor allem Einstieg oder Übergangslösung.