Compliance-Lexikon · Grundbegriff
Business Continuity
[ˈbɪznɪs kɒntɪˈnjuːɪti] · auch: Geschäftskontinuität, BCM
Business Continuity bezeichnet die Fähigkeit eines Unternehmens, kritische Geschäftsprozesse während und nach einem Störereignis aufrechtzuerhalten oder innerhalb definierter Fristen wiederherzustellen – auf Basis dokumentierter Pläne, getesteter Prozesse und gesicherter Ressourcen.
Warum Business Continuity wichtig ist
Business Continuity ist mehr als Backup. Es ist die organisatorische und technische Vorbereitung auf den Ernstfall – mit definierten Wiederherstellungszielen (RTO, RPO), klaren Verantwortlichkeiten und nachgewiesener Wirksamkeit durch Tests.
Wo Business Continuity gefordert wird
| Framework | Referenz | Anforderung |
|---|---|---|
| ISO 27001:2022 | A.5.29–5.30 | Business-Continuity- und IT-Continuity-Planung mit definierten Wiederherstellungszielen und Test-Pflicht. |
| NIS-2 / BSIG | § 30 Abs. 2c | BCM, Backup-Management und Notfall- und Krisenmanagement als eigenständige Mindestmaßnahme. |
| DORA | Art. 11 | Detaillierte BCM-Anforderungen für Finanzunternehmen mit Testpflicht und Berichtspflicht. |
| ISO 22301 | vollständig | Internationale Norm für Business-Continuity-Managementsysteme – Referenzrahmen für BCM. |
BAM-Objektreferenz
Häufige Audit-Fehler
- Backup vorhanden, aber nie getestet
- RTO definiert, aber nicht gemessen
- Krisenplan existiert, aber Mitarbeitende kennen ihn nicht
- Business-Impact-Analyse fehlt
Praxisbeispiel
Ein mittelständisches Unternehmen mit 150 Mitarbeitenden steht vor seiner ersten NIS-2-Prüfung. Der Auditor fragt nach dem Nachweis. Was in den meisten Fällen fehlt: ein datiertes, vollständiges Evidence-Dokument zur Wirksamkeit. Genau diese Lücke schließt das BAM-Objekt durch ein strukturiertes Evidence-Feld, das definiert, was konkret vorliegen muss – bevor der Audit stattfindet, nicht danach.
Abgrenzung und Zusammenhang
Dieser Begriff ist nicht isoliert zu betrachten. Er steht in direkter Verbindung zu Evidence (Was muss nachgewiesen werden?), Gap Analysis (Wo liegt die Lücke?) und Remediation (Wie wird die Lücke geschlossen?). Im BAM-Objektmodell sind alle vier Dimensionen im selben Objekt verankert – Requirement, Gap-Check, Remediation und Evidence bilden eine zusammenhängende Einheit statt verteilter Dokumente.
Nächste Ebene
Business-Continuity-Plan erstellen: Was Auditoren prüfen
Welche Nachweise NIS-2, DORA und ISO 27001 für Business Continuity fordern – Restore-Test-Protokoll, RTO-Messung und Krisenplan.