Was ist BCM — und was nicht?
Business Continuity Management bereitet ein Unternehmen systematisch auf Krisen vor, damit die wichtigsten Geschäftsprozesse auch im Ernstfall weiterlaufen. Es geht nicht darum, jeden Vorfall zu verhindern — das gelingt ohnehin nie vollständig —, sondern darum, die Folgen beherrschbar zu halten. Drei Phasen sind dabei zu unterscheiden.
01
vor dem Vorfall
Vorbereitung
In ruhigen Zeiten wird geklärt, welche Prozesse kritisch sind, welche Bedrohungen sie treffen und welche Notfall-Pläne greifen sollen. Wer erst im Ernstfall zu suchen beginnt, hat bereits verloren.
02
während des Vorfalls
Reaktion
Der Krisenstab tritt nach festem Plan zusammen, erfasst die Lage und leitet die vorbereiteten Sofortmaßnahmen ein. Die Kommunikation an Mitarbeitende, Kunden und Behörden läuft über benannte Rollen statt improvisiert.
03
nach dem Vorfall
Wiederherstellung
Die Prozesse laufen innerhalb der geplanten Zeitfenster wieder an, anschließend kehrt der Normalbetrieb schrittweise zurück. Eine Nachbereitung zeigt, was funktioniert hat und wo Pläne und Übungen nachzuschärfen sind.
Abgrenzung
BCM ist weder IT-Sicherheit noch reine Datenwiederherstellung. IT-Sicherheit soll verhindern, dass Vorfälle überhaupt entstehen; die technische Wiederherstellung von IT-Systemen ist nur ein Teil des Ganzen. BCM ist die übergeordnete Frage: Wenn ein Vorfall trotz aller Schutzmaßnahmen eintritt — wie bleibt das Unternehmen handlungsfähig?
Warum BCM heute zur Pflicht gehört.
Die Frage ist nicht, ob ein Vorfall eintritt, sondern wann. Cyber-Angriffe, IT-Ausfälle, der Ausfall von Schlüssel-Personal oder die Insolvenz eines wichtigen Lieferanten treffen den Mittelstand heute deutlich häufiger als noch vor zehn Jahren. Die folgende Kurve zeigt, welchen Unterschied gute Vorbereitung macht.
Mit BCM bricht die Geschäftsfähigkeit nur gedämpft ein. Der Wiederanlauf erfolgt planmäßig, die Rückkehr zum Normalbetrieb ist schnell.
Ohne BCM fällt der Betrieb tief unter die kritische Schwelle. Die Erholung ist langsam, oft unvollständig — und hinterlässt dauerhaften Schaden.
Cyber
Ransomware-Angriff
Die Produktiv-Systeme werden verschlüsselt, es folgt eine Erpressung. Ohne getrennte Backups und geübte Wiederanlauf-Pläne stehen Unternehmen oft wochenlang still.
IT-Ausfall
Cloud-Dienst fällt aus
Microsoft 365, AWS oder eine Branchen-Software sind nicht erreichbar. Ohne Ausweich-Prozess und Offline-Routinen liegt das Tagesgeschäft still.
Personal
Schlüssel-Person fällt aus
Die einzige Person, die einen kritischen Prozess beherrscht, fällt längerfristig aus oder kündigt. Ohne Vertretungs-Regelung und dokumentierte Abläufe droht Stillstand.
Versorgung
Lieferant insolvent
Ein kritischer Vorlieferant fällt aus, Alternativen sind nicht freigegeben. Bei knapper Lagerhaltung führt das binnen Wochen zum Produktionsstopp.
Sorgfaltspflicht, keine Kür
Die Geschäftsleitung ist gesetzlich zur Risiko-Vorsorge verpflichtet — nach § 91 Abs. 2 AktG, der entsprechenden Rechtsprechung zu § 43 GmbHG und seit 2021 dem StaRUG mit seinem Gebot zur Krisenfrüherkennung. „Wir hatten keinen Plan“ ist im Schadensfall keine Verteidigung mehr, sondern kann zur persönlichen Haftung führen. BCM ist damit keine Wahlleistung, sondern die strukturierte Erfüllung einer gesetzlichen Pflicht.
Wann ein BCM-Mandat sinnvoll ist.
BCM-Mandate entstehen meist aus einer konkreten externen Anforderung, seltener aus reiner Eigeninitiative. Vier Konstellationen führen Mandantinnen und Mandanten typischerweise zu uns. Trifft keine davon zu, ist oft der breitere Einstieg über die Notfall- und Krisenmanagement-Beratung der pragmatischere Weg.
Konzern oder Großkunde fordert es
Eine Konzernmutter, ein Großkunde im B2B-Geschäft oder ein Cyber-Versicherer verlangt den Nachweis eines zertifizierten BCMS nach ISO 22301. Lieferanten-Audits prüfen Wiederanlauf-Zeiten und Krisenstabs-Strukturen heute routinemäßig.
NIS2, DORA oder KRITIS
Für Einrichtungen unter der EU-Cybersicherheits-Richtlinie NIS2, für Finanzunternehmen unter DORA und für Betreiber kritischer Infrastrukturen ist BCM ein ausdrücklicher Pflichtbestandteil. Ein strukturiertes BCMS schafft den Nachweis gegenüber der Aufsicht.
Vorhandenes ISO 27001 ausbauen
Wer bereits ein ISO/IEC 27001-Zertifikat trägt, hat die methodische Brücke zum BCM schon gebaut. Die Norm nimmt die Schnittstelle zur Geschäftsfortführung ausdrücklich auf — der Schritt zum vollwertigen BCMS ist dann nah.
Cyber-Versicherer verlangt Nachweis
Für höhere Deckungssummen verlangen Cyber-Versicherer zunehmend einen nachweisbaren BCMS-Aufbau — mit geübten Krisenstabs-Strukturen und Recovery-Tests. Ohne dieses Niveau bleiben die Prämien hoch oder die Deckung wird begrenzt.
Drei Kennzahlen steuern jedes BCMS.
Am Ende der Analyse Ihrer kritischen Prozesse stehen drei einfache Fragen, deren Antworten alles Weitere bestimmen — von der Backup-Häufigkeit bis zur Recovery-Architektur.
vor dem Vorfall
RPO
Wie viel Datenverlust ist verkraftbar? Das Recovery Point Objective legt fest, wie häufig gesichert werden muss. Ein RPO von einer Stunde heißt: höchstens die letzte Stunde an Daten darf verloren gehen.
nach dem Vorfall
RTO
Wie schnell muss alles wieder laufen? Das Recovery Time Objective ist die längste tolerierbare Ausfallzeit. Je kürzer es ist, desto aufwendiger die technische Absicherung.
absolute Grenze
MTPD
Ab wann ist die Existenz gefährdet? Die Maximum Tolerable Period of Disruption ist die äußerste Grenze, bis zu der ein Prozess ausfallen darf. Das RTO liegt immer darunter.
Order-Management
ERP / Buchhaltung
Internes Wiki
In der Praxis
Diese Werte sind für jeden Prozess unterschiedlich. Ein Order-Management mit vier Stunden Wiederanlauf-Zeit braucht eine ganz andere technische Absicherung als ein internes Wiki mit drei Tagen. Wir leiten die Architektur konsequent aus den Geschäftsanforderungen ab und vermeiden so teure Überabsicherung dort, wo sie nicht nötig ist.
Wie wir mit Ihnen arbeiten.
Wir sind externe Berater, keine internen BCM-Beauftragten — die Verantwortung für das BCMS bleibt bei Ihrer Geschäftsleitung. Wir bringen die Methode und die Erfahrung aus vergleichbaren Mandaten und übernehmen auf Wunsch die unabhängige Audit-Funktion.
Gemeinsam
Methode und Aufbau aus einer Hand
Wir bringen die analytische Basis mit — von der Prozess- und Risiko-Analyse über die Doku-Vorlagen bis zu den Notfall-Plan-Mustern — und entwerfen das Management-System gemeinsam mit Ihrem Team. Sie liefern das Prozess-Wissen und die Entscheidungen, wir die Methode und die Struktur.
- Prozess- und Risiko-Analyse mit erprobten Schablonen
- BCMS-Aufbau nach ISO 22301 oder BSI 200-4
- Notfall- und Wiederanlauf-Pläne für den Ernstfall
Unabhängig
Internes Audit und Begleitung zum Zertifikat
Die Norm verlangt ein internes Audit durch Personen, die nicht am Aufbau beteiligt waren — intern ist das im Mittelstand selten darstellbar. Wir übernehmen diese Rolle, finden Schwächen vor der externen Prüfung und begleiten Ihr Team bis zur Zertifikats-Erteilung.
- Internes Audit als unabhängige Prüfung
- Vorbereitung auf die Dokumenten- und Prozess-Prüfung
- Begleitung der Auditor-Termine bis zum Zertifikat
Was wir konkret leisten.
Unsere Beratung deckt den gesamten Weg von der ersten Bestandsaufnahme bis zur Zertifizierungs-Reife ab. Welche Bausteine in Ihrem Mandat sinnvoll sind, ergibt sich aus dem Reifegrad, dem gewählten Standard und dem äußeren Anforderungs-Druck.
01
Analyse
Prozess- und Risiko-Analyse
Wir erheben die kritischen Prozesse, ihre Abhängigkeiten und die tolerierbaren Ausfall-Zeiten und bewerten die Bedrohungen. Das ist die analytische Grundlage des gesamten BCMS.
02
Aufbau
BCMS und Notfall-Pläne
Wir bauen das Management-System auf — mit Geltungsbereich, BCM-Politik, Verantwortlichkeiten und Verfahren — und schreiben Notfall-Pläne, die auch um drei Uhr morgens im Krisenstab verständlich bleiben.
03
Organisation
Krisenstabs-Strukturen
Wir stellen den Krisenstab auf — mit benannten Rollen, Vertretungs-Regelungen und klaren Schnittstellen zu Geschäftsleitung, Behörden und Versicherern.
04
Übung
Tabletop- und Voll-Übungen
Wir üben den Ernstfall — vom Planspiel am Tisch bis zur Voll-Übung mit echter IT-Wiederherstellung — und werten die Ergebnisse dokumentiert aus. Nur geübte Pläne tragen wirklich.
05
Prüfung
Internes Audit
Als unabhängige Auditoren prüfen wir das fertige BCMS auf Abweichungen — in mittelständischen Unternehmen ist diese Trennung intern selten darstellbar. Auch ohne Zertifizierungs-Absicht ein wertvoller Reife-Test.
06
Begleitung
Zertifizierungs-Audit
Wir bereiten Ihr Team auf die Dokumenten- und Prozess-Prüfung der akkreditierten Stelle vor, begleiten die Auditor-Termine und arbeiten offene Punkte ab — bis zum Zertifikat.
Was nicht enthalten ist
Wir leisten Beratung und Methode — keine technische Soforthilfe im akuten Cyber-Vorfall, keine Verhandlung mit Versicherern im Schadensfall, keine Beschaffung von Hardware oder Lizenzen und keine ständige Bereitschaft an Ihrer Stelle. Diese Leistungen liegen bei spezialisierten Dienstleistern oder bei Ihnen selbst; auf Wunsch vermitteln wir geeignete Partner.
Zwei Wege zur Zertifizierung.
ISO 22301 und der BSI-Standard 200-4 sind inhaltlich gleichwertig und unterscheiden sich vor allem im Zugang. ISO 22301 ist der direkte Pfad zur international anerkannten Zertifizierung. BSI 200-4 bietet ein Drei-Stufen-Modell für einen schrittweisen Aufbau und ist am Ende ebenfalls nach ISO 22301 zertifizierbar. Welcher Weg passt, hängt von Ihrer Ausgangslage und dem Zeit-Horizont ab.
Weg 1
ISO 22301
International, direkt zertifizierbar. Die richtige Wahl, wenn ein Konzern, Großkunde oder Versicherer ein anerkanntes Zertifikat verlangt.
Vollständiger Aufbau
Das BCMS wird direkt nach den Anforderungen der ISO 22301 aufgebaut.
Internes Audit
Prüfung durch unabhängige Auditoren vor dem externen Audit.
Externes Audit
Dokumenten- und Prozess-Prüfung durch die akkreditierte Stelle.
Zertifikat
International anerkannt, drei Jahre gültig.
Weg 2
BSI-Standard 200-4
Pragmatisch durch das Drei-Stufen-Modell — geeignet für Unternehmen, die ohne sofortigen Zertifizierungs-Druck schrittweise aufbauen wollen.
Reaktiv-Stufe
Einstieg mit Notfall-Plänen und Krisenstab als Basis.
Aufbau-Stufe
Mittlere Reife mit Prozess-Analyse und BCM-Politik.
Standard-Stufe
Volle Tiefe, konform zur ISO 22301.
Zertifikat
Über die Standard-Stufe nach ISO 22301 zertifizierbar.
Beratung, nicht Zertifizierung
Wir beraten zur Zertifizierung, zertifizieren aber nicht selbst — beides darf aus Gründen der Unabhängigkeit nicht aus einer Hand kommen. Das Zertifikat erteilt eine akkreditierte Stelle wie DEKRA, DQS oder TÜV. Die Wahl treffen Sie; wir vermitteln den Kontakt und bereiten Sie auf das Audit vor.
Vom Start zur Zertifizierungs-Reife.
Vom Projekt-Start bis zur Zertifizierungs-Reife vergehen typischerweise sechs bis zwölf Monate. Mandanten mit vorhandenem ISO-27001-Mandat erreichen den unteren Rand; beim gestuften BSI-Aufbau ist auch ein längerer Pfad über mehrere Jahre möglich.
Status & Standards-Wahl
Bestandsaufnahme, Entscheidung zwischen ISO 22301 und BSI 200-4, Festlegung des Geltungsbereichs.
2–4 Wochen
Prozess-Analyse
Erhebung der kritischen Prozesse, Festlegung der Kennzahlen und der Recovery-Anforderungen.
4–8 Wochen
BCMS & Pläne
Aufbau des Management-Systems, Krisenstab-Aufstellung und Notfall-Pläne pro Szenario.
8–12 Wochen
Übungen & Awareness
Erste Tabletop-Übung mit dem Krisenstab, Schulung der Beteiligten, Auswertung und Plan-Anpassung.
2–4 Wochen
Internes & externes Audit
Internes Audit, Behebung der Abweichungen, Begleitung der externen Prüfung bis zum Zertifikat.
4–8 Wochen
Was Mandanten häufig fragen.
Antworten auf die Fragen, die uns vor einem BCM-Mandat am häufigsten erreichen — von der Standards-Wahl über die Dauer bis zu den Kosten. Ist Ihre Frage nicht dabei, klären wir sie im Erstgespräch.
ISO 22301 oder BSI 200-4 — was passt zu uns?
Verlangt ein Konzern, Großkunde oder Versicherer ein international anerkanntes Zertifikat, führt der Weg über ISO 22301 — nur sie ist direkt zertifizierbar. BSI 200-4 ist die pragmatische Alternative ohne sofortigen Zertifizierungs-Druck: Der gestufte Aufbau erlaubt einen Einstieg auf niedriger Stufe und einen späteren Sprung zur vollen, nach ISO 22301 zertifizierbaren Reife. Als Faustregel empfehlen wir ISO 22301 bei externer Anforderung und BSI 200-4 bei Eigeninitiative.
Wie lange dauert der Aufbau?
Sechs bis zwölf Monate vom Start bis zur Zertifizierungs-Reife, abhängig von Geltungsbereich und vorhandener Reife. Mandanten mit einem ISO-27001-Mandat erreichen den unteren Rand, weil viele Bausteine bereits stehen. Beim gestuften BSI-Aufbau sind auch Pfade über zwei bis drei Jahre möglich, mit der ersten Stufe als belastbarer Zwischenreife.
Wir haben bereits ISO 27001 — was ändert das?
Einiges. ISO 27001 nimmt die Schnittstelle zur Geschäftsfortführung ausdrücklich auf, sodass Sie die methodische Brücke bereits gebaut haben. Risiko-Methodik, Geltungsbereich und Audit-Routinen lassen sich übernehmen; Aufwand und Dokumentations-Last sinken spürbar gegenüber einem Aufbau von Null. Auf Wunsch entwerfen wir ein integriertes System, das beide Normen unter einem gemeinsamen Dach führt.
Wer führt das interne Audit durch?
Wir — als externe Auditoren, die unabhängig vom Aufbau sind. Die Norm verlangt eine Bewertung durch nicht am Aufbau beteiligte Personen; in mittelständischen Unternehmen ist diese Trennung intern oft schwer darstellbar. Das interne Audit ist zugleich die wertvollste Reife-Probe vor der externen Prüfung, weil typische Schwächen hier auffallen und behoben werden, bevor sie als größere Abweichung gewertet werden.
Welche Zertifizierungsstelle empfehlen Sie?
DEKRA, DQS, TÜV SÜD, TÜV Rheinland und TÜV NORD sind die in Deutschland am häufigsten gewählten, bei der DAkkS akkreditierten Stellen für ISO 22301. Wir haben mit allen zusammengearbeitet und vermitteln den Kontakt zur passenden Stelle — oft sinnvoll gebündelt mit einer bereits genutzten Stelle für ISO 27001 oder ISO 9001. Die Wahl treffen Sie unabhängig von uns, da Beratung und Zertifizierung getrennt bleiben müssen.
Was kostet ein BCMS-Aufbau-Mandat?
Wir arbeiten mit Pauschalpreisen nach Geltungsbereich, vorhandener Reife und gewähltem Standard. Bei einem typischen mittelständischen Unternehmen mit drei bis fünf kritischen Prozessen und vorhandenem ISMS liegt ein Aufbau-Mandat im mittleren bis höheren fünfstelligen Bereich. Beim gestuften BSI-Aufbau verteilt sich der Aufwand auf mehrere Abschnitte. Eine konkrete Größenordnung nennen wir im Erstgespräch.
Was, wenn wir BCM brauchen, aber kein Zertifikat?
Ein häufiger Fall. Viele Mandanten brauchen ein gelebtes BCMS — als Pflicht der Geschäftsführung, als Versicherer-Anforderung oder als interne Vorsorge — ohne den Aufwand einer formalen Zertifizierung. Dann bauen wir das System konform auf, führen das interne Audit durch und übergeben an Sie. Die Zertifikats-Option bleibt offen. Geht es eher um pragmatische Krisen-Vorsorge ohne vollen BCMS-Aufbau, ist die Notfall- und Krisenmanagement-Beratung der passendere Einstieg.
Jetzt Beratungsgespräch vereinbaren!
Wir beraten Sie gerne zum Thema BCM-Beratung. Kontaktieren Sie uns einfach per E-Mail oder Telefon oder nutzen Sie unser Kontaktformular!
Lieber telefonisch? +49 8912414 9000
Vielen Dank — Ihre Anfrage ist bei uns eingegangen. Wir melden uns zeitnah bei Ihnen.