BCM · Kontinuität des Geschäftsbetriebs und Notfallmanagement
BCM-03 Pläne zur betrieblichen Kontinuität
Geändert gegenüber C5:2020
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Restricted scope to business continuity plans.
Removed requirement that business continuity plans are based on established standards. Instead they are required to be documented in a consistent manner, and in accordance with applicable policies and instructions.
Extended aspects to covered by the business continuity plans by consistency over all locations, zones, regions and partitions.
Added requirement for the review of the business continuity plans.
Bullet points are now sorted to ease discussions about specific list items.
Wortlaut in C5:2020
Basiskriterium
Based on the business impact analysis, a single framework for operational continuity and business plan planning will be implemented, documented and enforced to ensure that all plans are consistent. Planning is based on established standards, which are documented in a "Statement of Applicability".
Business continuity plans and contingency plans take the following aspects into account:
- Defined purpose and scope with consideration of the relevant dependencies;
- Accessibility and comprehensibility of the plans for persons who are to act accordingly;
- Ownership by at least one designated person responsible for review, updating and approval;
- Defined communication channels, roles and responsibilities including notification of the customer;
- Recovery procedures, manual interim solutions and reference information (taking into account prioritisation in the recovery of cloud infrastructure components and services and alignment with customers);
- Methods for putting the plans into effect;
- Continuous process improvement; and
- Interfaces to Security Incident Management.
Ergänzende Information zu allen Unterkriterien
Obwohl unterschiedliche Partitionen kein gemeinsames IAM (und damit kein gemeinsames Personal für BCM) nutzen, können Pläne zur betrieblichen Kontinuität zwischen verschiedenen Partitionen geteilt werden, da dieselben Cloud-Dienste bereitgestellt werden.
Basiskriterium
Auf der Grundlage der Ergebnisse der Business Impact Analyse werden Pläne zur betrieblichen Kontinuität in konsistenter Weise und gemäß den anwendbaren Richtlinien und Verfahren dokumentiert.
Pläne zur betrieblichen Kontinuität berücksichtigen die folgenden Aspekte:
- Definierter Zweck und Umfang unter Berücksichtigung der relevanten Abhängigkeiten;
- Zugänglichkeit und Verständlichkeit der Pläne für Personen, die diese Pläne ausführen sollen;
- Eigentümerschaft durch mindestens eine benannte Person, die für die Überprüfung, Aktualisierung und Genehmigung zuständig ist;
- Definierte Kommunikationskanäle, Rollen und Verantwortlichkeiten einschließlich Benachrichtigung des Cloud-Kunden;
- Wiederherstellungsverfahren, manuelle Übergangslösungen und Referenzinformationen (unter Berücksichtigung der Priorisierung bei der Wiederherstellung von Cloud-Hardwareobjekten und Diensten sowie der Abstimmung mit Cloud-Kunden);
- Methoden zur Inkraftsetzung der Pläne;
- Kontinuierlicher Verbesserungsprozess der Pläne;
- Konsistenz über alle Standorte, Zonen, Regionen und Partitionen hinweg; und
- Schnittstellen zum Security Incident Management.
Die Pläne zur betrieblichen Kontinuität werden in regelmäßigen Abständen, mindestens einmal jährlich oder nach wesentlichen organisatorischen oder umgebungsbedingten Veränderungen, überprüft.
Korrespondierende Kriterien für Kunden
Was Cloud-Kunden auf ihrer Seite umsetzen.
Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass bei der Planung der betrieblichen Kontinuität und des Geschäftsplans die Ergebnisse ihrer Business Impact Analyse hinreichend berücksichtigt werden, um für die Auswirkungen eines Ausfalls des Cloud-Dienstes bzw. des Cloud-Anbieters vorzusorgen.
Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass die Verfügbarkeit des Cloud-Dienstes, seine Wiederherstellungszeit gemäß den Plänen zur betrieblichen Kontinuität und der Datenverlust des Cloud-Dienstes mit ihren eigenen Verfügbarkeitsanforderungen und tolerierbarem Datenverlust vereinbar sind.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen