Häufig gestellte Fragen

Business Continuity Management (BCM) ist die Disziplin, Bedrohungen zu identifizieren, die eine Organisation beeinträchtigen könnten, und die Auswirkungen dieser Beeinträchtigungen auf ihre Geschäftstätigkeit zu analysieren. Darauf aufbauend werden die Fähigkeiten entwickelt, kritische Aktivitäten aufrechtzuerhalten und eine schnelle Wiederherstellung zu gewährleisten. BCM bietet einer Organisation eine erprobte und wiederholbare Reaktionsfähigkeit, die ihre Mitarbeiter, Stakeholder, ihren Ruf und ihre wertschöpfenden Aktivitäten schützt. Der international anerkannte Standard ist ISO 22301.

Eine effektive Geschäftskontinuität reicht über die eigenen Unternehmensgrenzen hinaus bis in die Lieferkette, sodass der Ausfall eines wichtigen Lieferanten nicht zum Ausfall des eigenen Service führt.

Risikomanagement und Business Continuity Management ergänzen sich und überschneiden sich teilweise, beantworten aber unterschiedliche Fragestellungen. Risikomanagement ordnet Bedrohungen in einer Risikomatrix zu und legt fest, wie jede einzelne Bedrohung minimiert wird. Business Continuity Management geht noch einen Schritt weiter: Es identifiziert kritische Aktivitäten, plant und testet diese, sodass das Unternehmen im Ernstfall bereits genau weiß, was zu tun ist.

Kurz gesagt, baut Business Continuity auf dem Fundament des Risikomanagements auf und wandelt die Vorbereitung in eine einstudierte Reaktion um.

Ein Notfallplan ist ein Dokument. Für sich genommen ist er nur so gut wie die Menschen und Prozesse, die ihn umsetzen. Ein Notfallmanagementsystem ist der lebendige Rahmen, der diese Fähigkeit etabliert, betreibt, überwacht, überprüft, aufrechterhält und kontinuierlich verbessert.

Ein Plan ist der erste Schritt zu mehr Resilienz. Ein zertifiziertes Managementsystem ist eine kontinuierliche Verpflichtung, die alle Bereiche der Organisation betrifft und die sichtbare Unterstützung des Top-Managements erfordert.

Nicht unbedingt. Disaster Recovery beschreibt, wie Sie den Betrieb nach einer Störung wiederaufnehmen, sei es ein Großschadensereignis oder ein lokales Problem wie ein Softwareausfall oder ein Stromausfall. Eine solide Disaster-Recovery-Strategie hilft Ihnen, zum Tagesgeschäft zurückzukehren, ohne zu viele Kunden oder Ihren Ruf zu stark zu schädigen.

Resilienz ist etwas anderes. Sie bezeichnet die Fähigkeit, Störungen zu überstehen, ohne dass es von vornherein zu nennenswerten oder gar keinen Betriebsunterbrechungen kommt. Die Wiederherstellung nach Katastrophen ist ein Bestandteil der Resilienz, kein Ersatz dafür.

Organisatorische Resilienz ist die Fähigkeit einer Organisation, schrittweise Veränderungen und plötzliche Störungen vorherzusehen, sich darauf vorzubereiten, darauf zu reagieren und sich anzupassen, um zu überleben und erfolgreich zu sein. Sie vereint Geschäftskontinuität, Krisenmanagement, Risikomanagement, Informations- und Cybersicherheit sowie eine ausgeprägte Risikokultur zu einer einzigen koordinierten Fähigkeit anstatt zu einer Reihe isolierter Pläne.

Ja. ISO 22301 ist der international anerkannte Standard für Business-Continuity-Management-Systeme. Er unterstützt Unternehmen dabei, die für ihr Geschäft relevanten Bedrohungen und die kritischen Funktionen, die von diesen Bedrohungen betroffen sein könnten, zu identifizieren und im Vorfeld Maßnahmen zu ergreifen, um einen Geschäftsstillstand zu verhindern. Er gilt für Störungen jeglicher Art, von Extremwetterereignissen, Bränden und Überschwemmungen bis hin zu IT-Ausfällen, Lieferantenausfällen und Cyberangriffen.

Ja. ISO 22301 ermöglicht es einer Organisation, eine unabhängige Zertifizierung ihres Business-Continuity-Management-Systems durch Dritte zu erhalten. Die Zertifizierung signalisiert Kunden, Lieferanten, Mitarbeitern, Investoren und Aufsichtsbehörden, dass Sie Vorfälle bewältigen und Störungen minimieren können.

Auch im kommerziellen Bereich kann es ein Alleinstellungsmerkmal sein, da es die Gewissheit bietet, dass die Produkte und Dienstleistungen, auf die sich Ihre Kunden verlassen, verfügbar sind, wenn sie diese benötigen. Es wird zudem zunehmend in Ausschreibungen gefordert.

Die beiden Normen behandeln unterschiedliche, sich ergänzende Aspekte. ISO 27001 ist die Norm für Informationssicherheitsmanagement und konzentriert sich auf den Schutz der Vertraulichkeit, Integrität und Verfügbarkeit von Informationen. ISO 22301 ist die Norm für Geschäftskontinuität und konzentriert sich darauf, kritische Abläufe auch bei Störungen aufrechtzuerhalten und schnell wiederherzustellen.

Viele Organisationen setzen beides ein, um Informationen zu schützen und den Geschäftsbetrieb aufrechtzuerhalten. Wir beraten und unterstützen Sie bei der Zertifizierung für beide Systeme.

NIS2 ist die EU-Richtlinie zur Netz- und Informationssicherheit. Sie erweitert den Anwendungsbereich der früheren NIS-Richtlinie erheblich, deckt mehr als wesentlich oder wichtig eingestufte Sektoren ab und legt die Anforderungen an Risikomanagement, Meldung von Vorfällen und Verantwortlichkeit des Managements höher, untermauert durch wirksame Sanktionen.

Wenn Ihr Unternehmen in einem betroffenen Sektor tätig ist oder Dienstleistungen für diesen erbringt, ist NIS2 wahrscheinlich relevant, auch für Unternehmen mit Sitz außerhalb der EU, die dort Dienstleistungen anbieten. Wir unterstützen Unternehmen dabei, ihre Pflichten zu ermitteln und bestehende Lücken durch unsere Beratungsleistungen.

DORA (Digital Operational Resilience Act) ist die EU-Verordnung zur operativen Resilienz im Finanzsektor. Sie legt Anforderungen für das IKT-Risikomanagement, die Meldung von Vorfällen, Resilienztests einschließlich bedrohungsbasierter Penetrationstests und die Aufsicht über kritische Drittanbieter von IKT-Dienstleistungen fest.

Es gilt für eine breite Palette von Finanzinstituten und bestimmte IT-Dienstleister, die diese unterstützen. Wir helfen Unternehmen und ihren Zulieferern bei der Vorbereitung.

Das ist möglich. Obwohl es sich um EU-Instrumente handelt, fallen Schweizer Organisationen häufig durch ihre Aktivitäten in der EU, durch in der EU ansässige Kunden und Konzerngesellschaften oder durch vertragliche Weitergabe von Kunden, die selbst in den Anwendungsbereich fallen, in den Anwendungsbereich. Schweizer Finanzinstitute arbeiten zudem parallel zu den FINMA-Vorgaben zur operativen Resilienz.

Die praktische Antwort hängt von Ihrer Marktpräsenz und Ihrem Kundenstamm ab. Wir analysieren Ihre aktuelle Situation und prüfen, ob und gegebenenfalls welche Maßnahmen erforderlich sind.

Nein. Je eher die Empfehlungen umgesetzt werden, desto eher sind Sie geschützt. Budget und Ressourcen erlauben jedoch selten alles auf einmal. Wir verfolgen daher einen stufenweisen Ansatz und priorisieren die Arbeiten nach Dringlichkeit und verfügbarem Budget, sodass die wichtigsten Lücken zuerst geschlossen werden.

Das hängt von der Größe und Komplexität der Organisation ab. Kleine und mittlere Unternehmen ohne eigenes internes Team können mit professioneller Unterstützung in der Regel innerhalb von 12 bis 18 Monaten eine Zertifizierung beantragen. Bei größeren, international tätigen Organisationen mit sichtbarem Engagement der Führungsebene kann sich dieser Zeitraum auf 18 bis 24 Monate verlängern.

Nein. Die Notwendigkeit, erreichbar zu bleiben, ist für Organisationen jeder Größe und Branche relevant. Kleinere Organisationen verfügen möglicherweise über weniger Zeit, Geld und Ressourcen zur Vorbereitung, doch die Kosten einer unvorhergesehenen Störung können gravierend sein. Es ist wesentlich einfacher, Resilienz von Anfang an in eine wachsende Organisation einzubauen, als sie später nachträglich zu verbessern. Wir unterstützen regelmäßig kleinere Organisationen beim Aufbau ihrer Resilienz, und ein erstes unverbindliches Gespräch ist selbstverständlich kostenlos.

Wir betreuen Kunden in der gesamten Schweiz, der Europäischen Union und den Vereinigten Arabischen Emiraten. Unsere Branchenerfahrung umfasst unter anderem Bank- und Finanzdienstleistungen, Technologie und Telekommunikation, Gesundheitswesen, öffentliche Verwaltung, Energie und kritische Infrastrukturen, Fertigung, Transport und Logistik, Schifffahrt, Einzelhandel und Gastgewerbe. Sehen Sie sich die von uns bedienten Branchen.

Es beginnt mit einem kurzen, vertraulichen Gespräch über Ihre aktuelle Situation und Ihre Ziele – kostenlos und unverbindlich. Anschließend legen wir gemeinsam den Umfang, einen Stufenplan und klare Ziele fest. Vereinbaren Sie jetzt einen Beratungstermin oder kontaktieren Sie uns direkt.

We deliver accredited and bespoke training across business continuity, crisis management and cyber resilience, from executive briefings through to professional certification. Programmes include DRI International accredited courses, our Critical Infrastructure Resilience Professional certification, crisis management masterclasses and top team exercises, and training on the 7A Risk Management Framework.

Den vollständigen Katalog finden Sie in unserem Schulungsprogramm

Ja. Unsere akkreditierten Programme sind von DRI International anerkannt, und die Schulungen werden von erfahrenen Praktikern durchgeführt, die Organisationen in denselben Fachgebieten beraten und unter anderem für große Institutionen und bei Großveranstaltungen tätig sind. Dadurch bleiben die Inhalte praxisnah und nicht nur theoretisch.