Wenn's brennt, muss der Plan schon liegen.
Business Continuity Management: Playbooks für den Ernstfall, klare Rollen, geübte Wiederanlaufpläne. Damit im Angriffsfall nicht erst gesucht wird, wer wen anruft.
Backup ist kein Plan.
Ein Backup rettet Daten. Ein BCM rettet den Betrieb. Alternative Prozesse, Kommunikation, Personal, Standorte – all das steht auf einem Blatt, das ein Backup nicht abdeckt.
Im Ernstfall zählen Minuten.
Wenn der Krisenstab erst googelt, was RTO bedeutet, ist die Krise schon verloren. Playbooks statt Improvisation – und geübt, bevor sie gebraucht werden.
Compliance kommt gratis mit.
ISO 22301, ISO 27001 (A.5.29 / A.5.30), DORA und KRITIS – wer BCM sauber aufsetzt, hat die Nachweise automatisch dabei. Keine parallele Zertifizierungs-Bürokratie nötig.
Business Impact Analyse (BIA)
Welche Prozesse sind wirklich kritisch? Wie lange dürfen sie stillstehen (MTPD)? Was ist die maximale Wiederherstellungszeit (RTO) und der akzeptable Datenverlust (RPO)?
Risikoanalyse
Was bedroht diese Prozesse konkret? Ransomware, Stromausfall, Hochwasser, Ausfall Schlüsselperson, Lieferantenpleite. Wir bringen alle relevanten Szenarien auf den Tisch.
Strategie-Entwicklung
Was tun wir dagegen? Geo-Redundanz, Cloud-Backups, Home-Office-Regelungen, Papier-Workarounds, Kooperationsvereinbarungen. Passend zu Ihrem Risikoappetit und Budget.
Notfallpläne (BCP)
Handlungsorientierte Action Cards statt seitenweise Prosa. Wer im Ernstfall liest, hat schon verloren. Jede Rolle bekommt ihre eigene Checkliste – ausgedruckt, nicht in der Cloud.
Üben & Testen
Ein Plan, der nie geübt wurde, funktioniert nicht. Tabletop-Übungen für den Krisenstab, Wiederanlauf-Tests für die IT, Vollproben für kritische Szenarien.
Evaluierung
Nach jeder Übung: Was hat gehakt, was war unklar, welche Rolle fehlte? Anpassen und nächste Runde. Kontinuierlicher Verbesserungsprozess statt Einmal-Projekt.
RTO & RPO
Recovery Time Objective: die maximal akzeptable Wiederherstellungszeit. Recovery Point Objective: der maximal akzeptable Datenverlust. Wir definieren beides realistisch – nicht per Bauchgefühl.
Notfallhandbuch
Keine Romane, sondern Action Cards. Im Ernstfall hat niemand Zeit zu lesen – Sie brauchen handlungsorientierte Checklisten pro Rolle, ausgedruckt und redundant gelagert.
Krisenstab & Presse
Wer spricht mit Presse, Kunden, Behörden, Aufsichtsrat? Wer entscheidet? Schlechte Kommunikation macht aus einem Vorfall einen Skandal – wir schulen Ihren Krisenstab, bevor er gebraucht wird.
Key-Person-Risk
Technik ist ersetzbar, Know-how nicht. Vertretungsregelungen für Schlüsselrollen, dokumentierte Verantwortlichkeiten und Rollenkarten, damit auch die zweite Reihe handlungsfähig ist.
Ein Plan, der im Ernstfall funktioniert – nicht einer, der beruhigend im Regal steht.
Am Ende steht ein Notfallhandbuch, das Ihr Krisenstab in fünf Minuten durchhat, und Wiederanlaufpläne, die schon einmal probeweise gelaufen sind. Alles handlungsorientiert, alles rollenbezogen, alles offline verfügbar.
Wenn wir gehen, hat Ihr Team die Playbooks im Kopf und im Zugriff. Sie brauchen keinen Berater mehr, um zu wissen, wer wen anruft.
- Ergebnis 01
- BIA MTPD · RTO · RPO
- Ergebnis 02
- Notfallhandbuch Action Cards pro Rolle
- Ergebnis 03
- Krisenstab Rollen · Sprachregelung
- Übergabe
- Tabletop geübter Wiederanlauf
Ist BCM nicht das Gleiche wie Disaster Recovery?
Nein. Disaster Recovery bringt die IT wieder ans Netz. BCM sorgt dafür, dass das Unternehmen weiterläuft – auch wenn die IT tagelang steht. BCM enthält DR als Baustein, geht aber deutlich weiter: alternative Prozesse, Kommunikation, Personal, Standorte.
Wie lange dauert der Aufbau eines BCM?
Der erste Grundplan lässt sich für ein mittleres Unternehmen in drei bis sechs Monaten aufsetzen. Ein reifes, geübtes BCM-System entsteht über ein bis zwei Jahre. Wir starten mit BIA und den zwei bis drei kritischsten Prozessen – Sie haben schnell etwas in der Hand.
Brauche ich BCM für ISO 27001, DORA oder KRITIS?
Ja, in allen drei Fällen. ISO 27001 fordert BCM in A.5.29–A.5.30, DORA verlangt operative Resilienz mit dokumentierten Plänen und Tests, KRITIS ebenfalls. Wer BCM richtig aufsetzt, deckt diese Anforderungen implizit mit ab.
Bevor's brennt, nicht danach.
Ein Erstgespräch reicht, um Ihre zwei bis drei kritischsten Prozesse zu identifizieren – und einen ersten Aufwandsrahmen einzuschätzen. Unverbindlich, ohne Verkaufsdruck.