BCM · Kontinuität des Geschäftsbetriebs und Notfallmanagement
BCM-01 Business Continuity- und Notfallmanagementsystem
Geändert gegenüber C5:2020
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Added requirement to operate a business continuity and emergency management system according to ISO or BSI standards. Further specified the policies and procedures to be defined as part of this system.
Wortlaut in C5:2020
Basiskriterium
The top management (or a member of the top management) of the Cloud Service Provider is named as the process owner of business continuity and emergency management and is responsible for establishing the process within the company as well as ensuring compliance with the guidelines. They must ensure that sufficient resources are made available for an effective process.
People in management and other relevant leadership positions demonstrate leadership and commitment to this issue by encouraging employees to actively contribute to the effectiveness of continuity and emergency management.
Basiskriterium
Der Cloud-Anbieter betreibt ein Business Continuity- und Notfallmanagementsystem (BCM) gemäß ISO 22301 und/oder BSI 200-4.
Ergänzende Information
Das Basiskriterium kann (muss aber nicht) durch eine Zertifizierung des BCM nach ISO/IEC 22301 erfüllt werden.
Richtlinien und Verfahren für das BCM des Cloud-Dienstes, einschließlich Strategie und Leitlinien, Business Impact Analysen und Plänen zur betrieblichen Kontinuität (engl. Business Continuity Plan (BCP)), sind in Bezug auf die folgenden Aspekte dokumentiert, kommuniziert und gemäß SP-01 verfügbar gemacht:
- Ziele des BCM;
- Rollen und Verantwortlichkeiten, Engagement des Managements;
- Festlegung des Anwendungsbereichs des BCM, Identifizierung relevanter Geschäftsprozesse;
- Schnittstellen, insbesondere zum Incident Management;
- Kommunikation mit relevanten Stellen und zuständigen Behörden;
- Methodik;
- Berücksichtigung von Risiken;
- Business Impact Analyse (BIA);
- Pläne zur betrieblichen Kontinuität;
- Ressourcenplanung (üblicherweise Teil des BCP);
- Tests von Plänen zur betrieblichen Kontinuität und regelmäßige Aktualisierungen der BCM-Dokumentation; und
- Kontinuierliche Verbesserung des BCM.
Ergänzende Information
Ein BCM kann in das Enterprise Risk Management (ERM) integriert werden, um mehr Effizienz zu erzielen und Management-Silos zu überwinden.
Die oberste Leitung des Cloud-Anbieters (oder ein Mitglied der obersten Leitung) ist als Prozesseigentümer des Business Continuity- und Notfallmanagements benannt und trägt die Verantwortung für die Etablierung des Prozesses im Unternehmen und die Einhaltung der Richtlinien. Sie sorgt dafür, dass ausreichende Ressourcen für einen effektiven Prozess bereitgestellt werden.
Ergänzende Information
Die Verantwortung der obersten Leitung kann von der obersten Leitung an eine andere Person delegiert werden, solange diese Person den Umfang, die Verantwortlichkeiten und die Fähigkeiten hat, die Cloud-dienst-weite Business-Continuity-Strategie und -Aktivitäten genauso zu steuern, wie die oberste Leitung dies könnte.
Personen in der Unternehmensleitung und anderen relevanten Führungspositionen demonstrieren Führung und Engagement in Bezug auf dieses Thema, indem sie beispielsweise das Personal dazu auffordern beziehungsweise ermutigen, zu der Effektivität des Business Continuity- und Notfallmanagements aktiv beizutragen.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen