Business-Continuity-Plan erstellen: Was Auditoren prüfen

Ein Business-Continuity-Plan ist kein Dokument, das im Regal steht – es ist ein getesteter Prozess mit messbaren Ergebnissen. Dieser Artikel zeigt, was ISO 27001, NIS-2 und DORA konkret fordern und welche Evidence-Dokumente ein Auditor sehen will.

Was Auditoren konkret prüfen

Bei einer Prüfung von Business Continuity fragt der Auditor nicht nach dem Vorhandensein einer Richtlinie, sondern nach dem Nachweis der Wirksamkeit. Das BAM-Objekt NIS2-BC-01 definiert im Evidence-Feld, was konkret vorgelegt werden muss.

Häufige Fehler

• Backup vorhanden, aber nie getestet
• RTO definiert, aber nicht gemessen
• Krisenplan existiert, aber Mitarbeitende kennen ihn nicht
• Business-Impact-Analyse fehlt

Typische Implementierungsreihenfolge

Erfahrungsgemäß folgt die Implementierung einem wiederkehrenden Muster: Zuerst wird eine Richtlinie geschrieben, dann werden Maßnahmen umgesetzt, dann wird kurz vor dem Audit festgestellt, dass der Nachweis fehlt. Der richtige Ansatz: Evidence-Anforderung zuerst klären, dann die Maßnahme so implementieren, dass sie automatisch Evidence erzeugt. Das BAM-Objekt beginnt deshalb mit dem Evidence-Feld, nicht mit dem Requirement.

Verbindung zu anderen Kontrollen

In der Praxis steht keine Kontrolle isoliert. Dieser Bereich ist typischerweise mit Risk Register verknüpft (das Risiko, das die Kontrolle adressiert), mit Audit Trail (der technische Nachweis der Wirksamkeit) und mit Remediation (der Plan für offene Gaps). BAM bildet diese Verknüpfungen im Cross-Framework-Objektmodell ab.

Die strategische Einordnung – warum Business Continuity langfristig mehr als ein Compliance-Pflichtprogramm ist – findet sich auf Ebene 3.