
Text: Lucia Ney
Cyberangriffe, geopolitische Spannungen oder regulatorische Anforderungen wie NIS-2: Für Unternehmen ist das Business Continuity Management (BCM) eine geschäftskritische Notwendigkeit, um in Krisensituationen handlungsfähig zu bleiben. Dennoch beginnt die Auseinandersetzung oft erst dann, wenn der Ernstfall bereits eingetreten ist, etwa nach einem Ransomware-Angriff. Unsicherheit, Zeitverlust und fehlende operative Handlungsfähigkeit sind die Folgen. BCM schafft die Grundlage dafür, auch in Krisensituationen strukturiert, priorisiert und wirksam zu handeln.
👉 in Kombination mit Prozessoptimierung = mehr Resilienz und Effizienz
Business Continuity Management (BCM) ist gemäß ISO 22301 ein systematischer Ansatz zur Sicherstellung der Geschäftsfähigkeit in Ausnahmesituationen. Im Kern geht es darum, kritische Geschäftsprozesse zu identifizieren, ihre Ausfallauswirkungen zu verstehen und Maßnahmen zu entwickeln, um den Betrieb bei einem Notfall schnellstmöglich wiederherzustellen. Oder einfacher formuliert: BCM beantwortet die Frage, was ein Unternehmen unbedingt aufrechterhalten muss und wie dies im Krisenfall gelingt. Business Continuity Management ist nicht mit dem IT-Sicherheit oder Incident Management gleichzusetzen.

Die Basis des BCM ist die Business Impact Analyse. Mit Hilfe dieser Methode wird ermittelt, welche Prozesse zeitkritisch für den Geschäftsbetrieb sind, wie lange deren Ausfall tolerierbar ist und welche Ressourcen zur Wiederherstellung benötigt werden. Die zentrale Leitfrage ist: Wie schnell eskalieren Schäden, wenn ein Prozess stillsteht?
Ein typischer Aha-Effekt: Viele Organisationen unterschätzen ihre Abhängigkeit von einzelnen Systemen oder Daten. Ein Beispiel aus der Praxis: Wenn eine zentrale Excel-Datei mit Lagerbeständen für 8.000 Lagerplätze ausfällt, ist zwar physisch nichts verloren, praktisch ist jedoch kein Zugriff mehr möglich. Die Folge ist ein Stillstand in Logistik und Produktion.

Aufbauend auf der Business Impact Analyse werden Strategien entwickelt, um im Notfall handlungsfähig zu bleiben. Das kann zum Beispiel bedeuten, alternative Standorte vorzubereiten, IT-Systeme redundant auszulegen oder klare Vertretungsregelungen für Schlüsselpersonen zu definieren. Ziel ist es, die wichtigsten Geschäftsprozesse auch unter erschwerten Bedingungen aufrechterhalten zu können.
Ein zentraler Bestandteil des BCM sind Notfall- und Wiederanlaufpläne. Diese enthalten konkrete Schritt-für-Schritt-Anweisungen für verschiedene Szenarien, etwa IT-Ausfälle, Lieferkettenprobleme oder physische Notfälle wie Brand oder Überschwemmung. Entscheidend dabei sind kontinuierliche Tests und Aktualisierungen der Pläne – Handlungsfähigkeit entsteht durch Training.
Ebenso wichtig ist die Organisation: BCM braucht klare Verantwortlichkeiten. Häufig gibt es ein dediziertes Krisenmanagement-Team, das im Ernstfall Entscheidungen trifft und die Maßnahmen koordiniert. Typische Rollen in einer effektiven Notfallorganisation sind eine Krisenstabsleitung mit Entscheidungsbefugnis sowie Vertreter aus IT, Kommunikation, HR, Recht, Finance und Fachbereichen.
Unternehmen ohne BCM riskieren im Krisenfall einen Kontrollverlust mit gravierenden Folgen. Wenn Prozesse, Abhängigkeiten und Prioritäten nicht klar sind, geht wertvolle Zeit verloren – und Entscheidungen werden unter Unsicherheit getroffen. Hier wirkt BCM als strukturierendes Element: Es schafft Transparenz, setzt klare Prioritäten und ermöglicht schnelles, koordiniertes Handeln. Damit wird es vom reinen Notfallkonzept zum strategischen Steuerungsinstrument. Der entscheidende Faktor ist die Anwendung: Resilienz entsteht durch Vorbereitung und Übung.
Die Business Impact Analyse ist ein zentrales Element im BCM. Was sind die größten Herausforderungen bei der BIA?
Die größte Herausforderung ist die konkrete Umsetzung. Oft fehlen belastbare Kennzahlen, um Auswirkungen realistisch bewerten zu können. Gleichzeitig werden Fachbereiche nicht ausreichend eingebunden oder sie unterschätzen die Kritikalität ihrer Prozesse. Zudem werden viele Abhängigkeiten nicht sichtbar. Prozesse wirken auf den ersten Blick stabil, hängen in Wahrheit aber stark von einzelnen Tools, Daten oder Personen ab. Entscheidend ist daher eine strukturierte Moderation durch erfahrene BCM-Verantwortliche. Nur so entstehen vergleichbare und belastbare Ergebnisse, die als echte Grundlage für Priorisierungen dienen können.
Was sind typische Fehler im Krisenfall und wie lassen sie sich vermeiden?
Der häufigste Fehler ist, dass Organisationen zwar Pläne haben, diese aber nie realistisch geübt wurden. Im Ernstfall führt das zu Unsicherheit, Kommunikationsproblemen sowie falschen technischen Entscheidungen mit hoher Folgewirkung. Etwa, wenn bei einem Ransomware-Angriff der Strom abgeschaltet wird, statt das System vom Netz zu trennen. Das verschärft die Situation massiv. Regelmäßige, praxisnahe Übungen sind deshalb unabdingbar. Nur wer Abläufe trainiert, Rollen kennt und Entscheidungen unter Druck erprobt hat, ist im Krisenfall handlungsfähig.
Was macht den Ansatz von Cassini beim BCM aus?
Unser Ansatz ist bewusst pragmatisch und umsetzungsorientiert. Wir kombinieren methodische Fundierung mit konkreter Anwendbarkeit im Unternehmensalltag. Das bedeutet: Wir arbeiten mit erprobten Templates, schaffen schnell Transparenz und kommen zügig zu belastbaren Ergebnissen. Gleichzeitig legen wir großen Wert auf den Wissenstransfer. Wir wollen Organisationen so befähigen, dass sie ihr BCM langfristig eigenständig weiterentwickeln können. Denn echte Resilienz entsteht durch gelebte Praxis.

Senior Consultant
Lucia Ney ist Senior Consultant bei Cassini Consulting in Berlin und berät mittelständische Unternehmen sowie öffentliche Institutionen im Business Continuity Management an der Schnittstelle von Geschäftsprozessen, IT und Organisation. Die Wirtschaftsinformatikerin startete nach ihrer Zeit als Werkstudentin 2022 als Associate bei Cassini und hat sich über Projekte in IT Services, Sourcing sowie im Dienstleister- und Vertragsmanagement zur Expertin für resiliente Betriebs- und Notfallstrukturen entwickelt.