# BCM-04 Testen der betrieblichen Kontinuität

- Bereich: BCM – Kontinuität des Geschäftsbetriebs und Notfallmanagement
- Gegenüber C5:2020: geändert
- Webseite: https://c5.patrickscheid.de/bcm-04/

## Basiskriterium

### BCM-04.01B

Pläne zur betrieblichen Kontinuität werden regelmäßig (mindestens jährlich) oder nach wesentlichen organisatorischen oder umgebungsbedingten Änderungen getestet. An den Tests sind betroffene Cloud-Kunden und relevante Dritte (z.B. Service-Organisationen) beteiligt.

**Ergänzende Information (zu 01B, 01AC):**

Tests finden in erster Linie auf operativer Ebene statt und richten sich an operative Zielgruppen. Dazu gehören z. B.:

1. Test technischer vorsorglicher Schutzmaßnahmen;
2. Funktionstests; und
3. Plan-Review.

Übungen finden zusätzlich auf taktischer und strategischer Ebene statt. Dazu gehören z. B.:

1. Planbesprechung;
2. Personalübung;
3. Stabsrahmenübung;
4. Kommunikations- und Alarmierungsübung;
5. Simulation von Szenarien; und
6. Ernstfall- oder Vollübung.

Relevante Dritte sind insbesondere Service-Organisationen des Cloud-Anbieters, die zur Entwicklung oder zum Betrieb des Cloud-Dienstes beitragen (vgl. Basiskriterien SSO-02 und SSO-06). Ein Cloud-Kunde ist betroffen (im Sinne dieses Kriteriums), wenn der Test oder die Übung zu einer Dienstherabstufung außerhalb des im SLA definierten Niveaus führt oder wenn die Wirksamkeit der Pläne nur getestet werden kann, wenn der Cloud-Kunde Maßnahmen selbst handeln muss.

### BCM-04.02B

Die Tests werden dokumentiert, und die Ergebnisse werden zur Überprüfung der Pläne zur betrieblichen Kontinuität und für zukünftige Business-Continuity-Maßnahmen berücksichtigt.

## Zusatzkriterium

### BCM-04.01AC (Zusatz, erweiternd)

Zusätzlich zu den Tests werden auch Übungen durchgeführt, die u.a. Szenarien aus in der Vergangenheit bereits aufgetretenen Sicherheitsvorfällen hervorgegangen sind.

### BCM-04.02AC (Zusatz, erweiternd)

Der Cloud-Anbieter verfügt über Verfahren, um sicherzustellen, dass Cloud-Kunden rechtzeitig über geplante Aktivitäten im Zusammenhang mit Business-Continuity-Tests und -Übungen informiert werden, die die Informationssicherheit des Cloud-Dienstes beeinträchtigen könnten (z. B. hinsichtlich seiner Verfügbarkeit). Diese Informationen umfassen den geplanten Zeitrahmen für die Maßnahmen sowie eine Beschreibung der durchzuführenden Arbeiten.

### BCM-04.03AC (Zusatz, erweiternd)

Der Cloud-Anbieter stellt Cloud-Kunden eine Bewertung der potenziellen Auswirkungen dieser Tests und Übungen hinsichtlich der Informationssicherheit des Cloud-Dienstes sowie Angaben zur Kontaktaufnahme mit dem Cloud-Anbieter zur Verfügung.

### BCM-04.04AC (Zusatz, erweiternd)

Nach einer abgeschlossenen Übung wird der bestehende Alarm- und Benachrichtigungsplan überprüft und (falls erforderlich) angepasst.

**Ergänzende Information:**

Der Begriff 'Alarm- und Benachrichtigungsplan' bezieht sich auf das dokumentierte Verfahren zur Alarmierung und Benachrichtigung verantwortlicher Personen und Stakeholder im Falle von Vorfällen oder Störungen.

## Korrespondierende Kriterien für Kunden

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass die Maßnahmen zur Vorsorge der Auswirkungen eines Ausfalls des Cloud-Dienstes bzw. des Cloud-Anbieters regelmäßig überprüft, aktualisiert, getestet und geübt werden. Der Cloud-Anbieter wird gemäß den vertraglichen Vereinbarungen in die Tests und Übungen einbezogen.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass die Ergebnisse der BCM-Tests und -Übungen des Cloud-Anbieters in das eigene BCM einfließen und hinsichtlich der Sicherstellung der betrieblichen Kontinuität des Cloud-Kunden umfassend gewürdigt werden.

Bei Tests und Übungen, die den Cloud-Kunden mit einbeziehen und daher eigene Maßnahmen auf Kundenseite bedingen, stellen Cloud-Kunden durch geeignete Kontrollen aus ihrem BCM sicher, dass die entsprechenden Maßnahmen zur Bewältigung gemäß Szenario geübt und getestet werden.

## Änderungen gegenüber C5:2020

Aus der BSI C5:2026 Änderungshistorie, die das BSI bisher nur auf Englisch veröffentlicht.

**Basiskriterium:**

Restricted scope of the first requirement to business continuity plans.

**Zusatzkriterium:**

Added requirements regarding the information cloud service customers receive about the tests and exercises.

Added requirement for the existing alarm and notification plan to be reviewed after a completed exercise.

---

Quelle: BSI C5:2026, maschinenlesbare Fassung v1.1.0, © Bundesamt für Sicherheit in der Informationstechnik (BSI) 2026, unverändert wiedergegeben unter CC BY-ND 4.0 (https://creativecommons.org/licenses/by-nd/4.0/deed.de). Änderungshinweise: BSI C5:2026 Änderungshistorie, © BSI 2026, CC BY-ND 4.0. Inoffizielle Darstellung, ohne Verbindung zum BSI.