BCM · Kontinuität des Geschäftsbetriebs und Notfallmanagement
BCM-04 Testen der betrieblichen Kontinuität
Geändert gegenüber C5:2020
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Restricted scope of the first requirement to business continuity plans.
Zusatzkriterium
Added requirements regarding the information cloud service customers receive about the tests and exercises.
Added requirement for the existing alarm and notification plan to be reviewed after a completed exercise.
Wortlaut in C5:2020
Basiskriterium
The business impact analysis, business continuity plans and contingency plans are reviewed, updated and tested on a regular basis (at least annually) or after significant organisational or environmental changes. Tests involve affected customers (tenants) and relevant third parties. The tests are documented and results are taken into account for future operational continuity measures.
Zusatzkriterium
In addition to the tests, exercises are also carried out which, among other things, have resulted in scenarios from security incidents that have already occurred in the past.
Basiskriterium
Pläne zur betrieblichen Kontinuität werden regelmäßig (mindestens jährlich) oder nach wesentlichen organisatorischen oder umgebungsbedingten Änderungen getestet. An den Tests sind betroffene Cloud-Kunden und relevante Dritte (z.B. Service-Organisationen) beteiligt.
Ergänzende Information
Gilt auch für 01AC
Tests finden in erster Linie auf operativer Ebene statt und richten sich an operative Zielgruppen. Dazu gehören z. B.:
- Test technischer vorsorglicher Schutzmaßnahmen;
- Funktionstests; und
- Plan-Review.
Übungen finden zusätzlich auf taktischer und strategischer Ebene statt. Dazu gehören z. B.:
- Planbesprechung;
- Personalübung;
- Stabsrahmenübung;
- Kommunikations- und Alarmierungsübung;
- Simulation von Szenarien; und
- Ernstfall- oder Vollübung.
Relevante Dritte sind insbesondere Service-Organisationen des Cloud-Anbieters, die zur Entwicklung oder zum Betrieb des Cloud-Dienstes beitragen (vgl. Basiskriterien SSO-02 und SSO-06). Ein Cloud-Kunde ist betroffen (im Sinne dieses Kriteriums), wenn der Test oder die Übung zu einer Dienstherabstufung außerhalb des im SLA definierten Niveaus führt oder wenn die Wirksamkeit der Pläne nur getestet werden kann, wenn der Cloud-Kunde Maßnahmen selbst handeln muss.
Die Tests werden dokumentiert, und die Ergebnisse werden zur Überprüfung der Pläne zur betrieblichen Kontinuität und für zukünftige Business-Continuity-Maßnahmen berücksichtigt.
Zusatzkriterium
BCM-04.01AC
Zusatz, erweiterndZusätzlich zu den Tests werden auch Übungen durchgeführt, die u.a. Szenarien aus in der Vergangenheit bereits aufgetretenen Sicherheitsvorfällen hervorgegangen sind.
Ergänzende Information
Gilt auch für 01B
Tests finden in erster Linie auf operativer Ebene statt und richten sich an operative Zielgruppen. Dazu gehören z. B.:
- Test technischer vorsorglicher Schutzmaßnahmen;
- Funktionstests; und
- Plan-Review.
Übungen finden zusätzlich auf taktischer und strategischer Ebene statt. Dazu gehören z. B.:
- Planbesprechung;
- Personalübung;
- Stabsrahmenübung;
- Kommunikations- und Alarmierungsübung;
- Simulation von Szenarien; und
- Ernstfall- oder Vollübung.
Relevante Dritte sind insbesondere Service-Organisationen des Cloud-Anbieters, die zur Entwicklung oder zum Betrieb des Cloud-Dienstes beitragen (vgl. Basiskriterien SSO-02 und SSO-06). Ein Cloud-Kunde ist betroffen (im Sinne dieses Kriteriums), wenn der Test oder die Übung zu einer Dienstherabstufung außerhalb des im SLA definierten Niveaus führt oder wenn die Wirksamkeit der Pläne nur getestet werden kann, wenn der Cloud-Kunde Maßnahmen selbst handeln muss.
BCM-04.02AC
Zusatz, erweiterndDer Cloud-Anbieter verfügt über Verfahren, um sicherzustellen, dass Cloud-Kunden rechtzeitig über geplante Aktivitäten im Zusammenhang mit Business-Continuity-Tests und -Übungen informiert werden, die die Informationssicherheit des Cloud-Dienstes beeinträchtigen könnten (z. B. hinsichtlich seiner Verfügbarkeit). Diese Informationen umfassen den geplanten Zeitrahmen für die Maßnahmen sowie eine Beschreibung der durchzuführenden Arbeiten.
BCM-04.03AC
Zusatz, erweiterndDer Cloud-Anbieter stellt Cloud-Kunden eine Bewertung der potenziellen Auswirkungen dieser Tests und Übungen hinsichtlich der Informationssicherheit des Cloud-Dienstes sowie Angaben zur Kontaktaufnahme mit dem Cloud-Anbieter zur Verfügung.
BCM-04.04AC
Zusatz, erweiterndNach einer abgeschlossenen Übung wird der bestehende Alarm- und Benachrichtigungsplan überprüft und (falls erforderlich) angepasst.
Ergänzende Information
Der Begriff 'Alarm- und Benachrichtigungsplan' bezieht sich auf das dokumentierte Verfahren zur Alarmierung und Benachrichtigung verantwortlicher Personen und Stakeholder im Falle von Vorfällen oder Störungen.
Korrespondierende Kriterien für Kunden
Was Cloud-Kunden auf ihrer Seite umsetzen.
Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass die Maßnahmen zur Vorsorge der Auswirkungen eines Ausfalls des Cloud-Dienstes bzw. des Cloud-Anbieters regelmäßig überprüft, aktualisiert, getestet und geübt werden. Der Cloud-Anbieter wird gemäß den vertraglichen Vereinbarungen in die Tests und Übungen einbezogen.
Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass die Ergebnisse der BCM-Tests und -Übungen des Cloud-Anbieters in das eigene BCM einfließen und hinsichtlich der Sicherstellung der betrieblichen Kontinuität des Cloud-Kunden umfassend gewürdigt werden.
Bei Tests und Übungen, die den Cloud-Kunden mit einbeziehen und daher eigene Maßnahmen auf Kundenseite bedingen, stellen Cloud-Kunden durch geeignete Kontrollen aus ihrem BCM sicher, dass die entsprechenden Maßnahmen zur Bewältigung gemäß Szenario geübt und getestet werden.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen