Notfallmanagement nach ISO 22301
Notfallmanagement für Resilienz des Unternehmen
Krisensicher aufgestellt: Praktisches Notfallmanagement & Business Continuity (BCM) – von der Analyse bis zum wirksamen Notfallplan für Unternehmen jeder Größe.
Genaue Handlungsanweisungen geben Sicherheit für Mitarbeiter und reduzieren die Auswirkungen von Störungen. Wir helfen Ihnen die wesentlichen Risiken zu identifizieren und geeignete Maßnahmen für Ihre Abläufe zu entwickeln
Notfallmanagement und BCM – was bedeutet das überhaupt und wofür wird es benötigt?
Notfallmanagement (Business Continuity Management) ist ein spezieller Bereich des Risikomanagements und sorgt dafür, dass Unternehmen auch in Krisenzeiten handlungsfähig bleiben. Durch richtige Planung und Beachtung etablierter Standards, wie z.B. ISO 22301, BSI 200-4 oder KRITIS, werden Abläufe widerstandsfähig gestaltet und aktuelle Anforderungen, bspw. zur NIS-2 Umsetzung erfüllt.
Notfallmanagement, auch Business Continuity Management genannt, ist in der heutigen Zeit wichtiger denn je – besonders in Nach-Corona-Zeiten. Doch was genau steckt dahinter? Es geht darum, Unternehmen so vorzubereiten, dass sie auch in kritischen Situationen wie Notfällen oder Krisen handlungsfähig bleiben. Das Ziel ist, den Geschäftsbetrieb trotz Störungen oder ungeplanter Ereignisse möglichst reibungslos aufrechtzuerhalten oder schnell wiederherzustellen.
Diese Vorbereitung gehört zum Risikomanagement und umfasst verschiedene Maßnahmen, die helfen, Risiken frühzeitig zu erkennen und darauf zu reagieren. Dabei spielen etablierte Standards wie der BSI-Standard 200-4 oder die ISO 22301 eine wichtige Rolle. Sie geben klare Richtlinien vor, wie Notfall- und Krisenmanagement im Unternehmen erfolgen soll.
In der Praxis zeigt sich oft, dass der Übergang von einer kleinen Störung zu einem Notfall oder sogar einer Katastrophe fließend ist. Ein kleiner Fehler kann durch unglückliche Umstände zu großen Problemen führen. Deshalb ist es sinnvoll, nicht nur extreme Notfälle, sondern auch mögliche Störungen frühzeitig mit einzuplanen.
Wer ist für das Notfallmanagement verantwortlich?
Nur mit einer zentralen Koordination und übergreifenden Zusammenarbeit wird Notfallmanagement wirklich wirksam. So bleibt Ihr Unternehmen auch in kritischen Situationen handlungsfähig – und alle wissen genau, was zu tun ist. Denn Sicherheit entsteht, wenn alle gemeinsam an einem Strang ziehen.
Unternehmen und Organisationen gehen sehr unterschiedlich mit dem Thema Notfallmanagement um. Häufig finden Initiativen zum Umgang mit Gefahrensituationen in unterschiedlichsten Abteilungen statt:
- Die IT kümmert sich um den Ausfall von IT-Systemen, Informationstechnik und Rechenzentren
- Die Immobilienabteilung oder Gebäudetechnik entwickelt Checklisten zur Meldung von Schäden in der Klimatechnik oder trifft Vorkehrungen für den Gebäudeschutz
- In der Arbeitssicherheit und im Gesundheitsschutz werden Maßnahmen für Krankheiten oder Betriebsunfälle definiert
- Die Kommunikationsabteilung und Öffentlichkeitsarbeit legt Vorgehensweisen für den Umgang mit der Presse oder die Reaktionen beim nächsten „Shitstorm“ fest
- Reisesicherheit auf Dienstreisen ist Sache der Personalabteilung
- „Irgendwo in der Verwaltung“ existieren Notfallpläne aus längst vergangener Zeit
Hinzu kommen individuelle Checklisten und Maßnahmen in einzelnen Fachabteilungen, zum Beispiel für Störungen in Logistik, Produktion oder Vertrieb. Das Problem dabei: Die Methoden, die Detaillierung und der Grad der Aktualität unterscheiden sich stark. Oft sind die Pläne veraltet, die zuständigen Ansprechpartner nicht mehr im Unternehmen – und im Ernstfall weiß niemand mehr, was zu tun ist.g.
Aber wer ist denn wirklich verantwortlich? Wer kümmert sich um die Vereinheitlichung? Und wer stellt sicher, dass die Pläne im Ernstfall auch aktuell und
auffindbar sind?
Die wichtigste Erkenntnis: Notfallmanagement ist eine Aufgabe für das ganze Unternehmen, keine Einzelperson und keine einzelnen Abteilungen können das allein stemmen. Damit alle Bereiche nahtlos zusammenarbeiten und die Pläne im Ernstfall wirklich greifen, empfehlen wir, einen zentralen Verantwortlichen zu benennen. Diese Person sorgt dafür, dass die Notfallpläne in allen Abteilungen einheitlich erarbeitet, regelmäßig aktualisiert, nach klar definierten Standards (wie ISO 22301 oder BSI-Standard 200-4) ausgerichtet und bei Bedarf schnell auffindbar sind. Nur so wird die übergreifende Zusammenarbeit sichergestellt. Es geht nur gemeinsam.
Wie funktioniert BCM und was ist ein sinnvoller Prozess?
Für jedes Unternehmen ist es wichtig, sich rechtzeitig mit elementaren Gefahren und Risiken auseinanderzusetzen und die Auswirkungen auf Abläufe zu analysieren. Zu Beginn eins BCM-Projekts gilt es Zuständigkeiten und Verantwortlichkeiten zu klären. Eine sorgfältige Bestandsanalyse und die Definition der Schnittstellen sind in jedem Fall hilfreich. Die gängigen Standards von ISO (z.B. 22301) oder der BSI Grundschutz 200-4 sind sicherlich gute Orientierung und für die Erschließung des Themas hilfreich. Sie enthalten eine gute Hilfestellung bei der Einführung des Business Continuity Management System (BCMS).
Dennoch gilt es die Empfehlungen kritisch zu prüfen und für das eigene Unternehmen passend zu machen. Gutes Notfallmanagement hilft dem Unternehmen – und lähmt es nicht. Zu erfolgreichen Projekten gehört auch der Mut Dinge wegzulassen oder möglichst „schlank“ zu gestalten. Die besten, umfangreichsten, sichersten Systeme sorgen nicht immer für größten Nutzen bei den Fachabteilungen. Gute Lösungen müssen nicht kompliziert sein.
Der Weg zu einem erfolgreichen Business Continuity Management System
Im ersten Schritt wird das Projekt aufgesetzt und ein für das Unternehmen passende Vorgehen erarbeitet. Die Methoden, der Umfangund der Schwerpunktdes Projektes werden festgelegt. Stakeholder sind ziel-gruppenspezifisch einzubinden. Diese Phase ist entscheidend für den Projekterfolg. Folgende Fragen helfen dabei:
- Was sind unsere Ziele?
- Was gibt es schon?
- Wer ist verantwortlich für Methode, Ausgestaltung und Umsetzung?
- Welche Bereiche sollen betrachtet werden?
- Wer wird benötigt und wie setzen wir das Projekt auf?
Im zweiten Schritt werden die kritischen Prozesse identifiziert. Mit Hilfe von einfachen Kriterien wird eine Risikobewertung vorgenommen:
- Was sind die kritischen Prozesse?
- Was in der Theorie einfach klingt scheitert in der Praxis häufig schon daran, dass kein verlässliches Prozessmodell existiert. Aber auch hier gibt es einfache Lösungen.
- Wie definieren wir kritisch?
- Welche Auswirkung hat eine Störung im Ablauf? (z.B. finanziell, rechtlich, Image, betrieblich)?
- Welche Ressourcen werden für die korrekten Abläufe benötigt (Personal, Informationen, IT, Dienstleistungen,)?
In Zusammenarbeit mit dem Risikomanagement, dem Controlling, der Fachabteilung oder einem externen Dienstleister werden die Risiken und Gefährdungen ermittelt. Mit Blick auf Gefährdungen der IT liefert auch hier der Grundschutzkatalog des Bundesamt für die Sicherheit in der Informationstechnologie (BSI) eine gute Hilfestellung.
- Welche Gefahren und Gefährdungsszenarien sind relevant?
- Welche Maßnahmen sind bereits implementiert?
- Was ist Ursache? Was ist Wirkung?
Im Anschluss an die Risikoanalyse werden Notfallpläne für relevante Gefährdungs- und Bedrohungs-Szenarien erstellt. So wird ein möglichst reibungsloser Notbetrieb und die Rückkehr in den Normalbetrieb geplant. Vorbeugende Strategien zur Vermeidung des Risikos werden erarbeitet.
Wichtig ist die jeweilige Empfängergruppe im Blick zu behalten und die Verfügbarkeit der Pläne auch im Notfall sicherzustellen. Zur Vereinfachung werden einzelne Szenarien zusammengefasst sowie übergreifende Kommunikations- und Entscheidungsszenarien festgelegt.
- Wer macht was?
- Wer muss informiert werden (z. B. Unternehmenskommunikation, Behörden, Vorgesetze, Zentrale)?
- Wer kann unterstützen?
- Wer trifft Entscheidungen?
- Wie sind die Abläufe?
Abgestimmte Pläne helfen bei der Vorbereitung und Prävention, sorgen für Sicherheit bei den Mitarbeitern und sind nahezu unerlässlich dafür auch in Stresssituationen
richtig und rechtssicher zu agieren.
Nur in der Schublade liegende Notfallpläne helfen keinem weiter. Pläne müssen allen Beteiligten bekannt und kommuniziert sein. Über Tests wird sichergestellt, dass diese auch außerhalb der regulären Bürozeiten und am Wochenende funktionieren.
- Wie ist die Erreichbarkeit sichergestellt?
- Welche Infrastruktur wird für den Notbetrieb benötigt?
- Welche Fallback-Lösungen gibt es, wenn im Notfall weder Strom- noch Telefonnetze zur Verfügung stehen?
Durch Kommunikation und Schulung des BCM-Konzepts werden Mitarbeiter der einzelnen Fachabteilungen auf die Notfall-Themen sensibilisiert. Übungen und Tests helfen dabei Unklarheiten und Unstimmigkeiten in den Abläufen aufzudecken und noch einfachere Lösungen zu finden.
Feedback aus der Praxis, Erfahrungen aus Tests aber auch die „lessons learned „aus Live-Vorfällen sind zu dokumentieren und in die Pläne einzuarbeiten. Kontinuierliche Verbesserung gehört zum Notfallmanagement – wie zu jedem guten Managementsystem.
Wer zudem sein Notfallmanagement zertifiziert ist nicht nur gut vorbereitet. Er ist auch in der Lage die robusten und sicheren Prozesse auch gegenüber Externen nachzuweisen. So steigert eine Zertifizierung das Vertrauen von Geschäftspartner, Kunden und Versicherungen. Die Leistungsfähigkeit des Unternehmens wird sichergestellt und bestätigt.
Notfallmanagement- Aufbau von Resilienz und Prozessicherheit
Unsere Erfahrungen
Mit unserer Erfahrung unterstützen wir Sie gezielt dabei, Notfallmanagement praktikabel zu gestalten und unternehmensweit umzusetzen. So bleibt ihr Unternehmen und ihre Prozesse robust und resilient.
