C5-Themengebiet BCM: Kontinuität planen, testen und belegen

Diese Seite behandelt das Themengebiet BCM (Kontinuität des Geschäftsbetriebs und Notfallmanagement) des C5:2026, Abschnitt 5.14 des Katalogs. Wie Kriterien und Unterkriterien grundsätzlich aufgebaut sind, erklärt die Seite C5-Kriterienkatalog.

Worum geht es im Themengebiet BCM?

BCM verlangt, dass der Anbieter Ausfälle seines Dienstes vorab analysiert, Pläne dafür hat und diese Pläne regelmäßig testet. Mit vier Kriterien, BCM-01 bis BCM-04, ist es eines der kleinsten Themengebiete im C5:2026: zehn Basis-Unterkriterien und vier erweiternde Zusatz-Unterkriterien, verschärfende gibt es nicht. Kein BCM-Kriterium ist laut Änderungshistorie des BSI ohne Vorgänger in C5:2020. Die Wiederherstellungstests der Datensicherung stehen im Gebiet OPS (OPS-08), gehören aber inhaltlich dazu, weil sie belegen, ob Ihre Wiederanlaufziele erreichbar sind.

Ausgangssituation: ein SaaS-Anbieter, bei dem ein Ausfall sofort auffällt

Fiktives Beispiel, kein Kunde. Ein Anbieter betreibt eine Warenwirtschaft mit Kassenanbindung für Apotheken als SaaS. Die Apotheken bestellen darüber beim Großhandel, verbuchen Wareneingänge und verkaufen an der Kasse; Notdienstapotheken arbeiten auch nachts. Der Dienst läuft auf einer Cloud-Plattform in einer Region mit mehreren Verfügbarkeitszonen, die Datensicherung geht täglich in eine zweite Region. Ein Notfallhandbuch gibt es, einen vollständigen Wiederanlauf in der zweiten Region hat das Team noch nie geprobt. Kunden fragen in Ausschreibungen nach dem C5-Testat und nach den Wiederanlaufzeiten.

Wer ist wofür verantwortlich: Anbieter, Plattform, Kunde?

Der Anbieter verantwortet die Kontinuität seines Dienstes, auch wenn die Plattform einen Teil der Ausfallsicherheit liefert. Kunden müssen ihrerseits einen Ausfall des Dienstes einplanen; dazu nennt der Katalog bei BCM-02, BCM-03 und BCM-04 korrespondierende Kriterien für Kunden.

Setzt Ihr Dienst solche Vorkehrungen beim Kunden voraus, beschreiben Sie sie als korrespondierende Kundenkontrollen (CUEC) in der Systembeschreibung; die korrespondierenden Kriterien für Kunden im Katalog sind allgemeine Hinweise. Mehr dazu auf der Seite Korrespondierende Kriterien.

Wie hängen die vier BCM-Kriterien zusammen?

Als Kette von der Analyse zum Test, die mindestens jährlich durchlaufen wird. Die Liste ist unsere Kurzfassung; verbindlich ist der Wortlaut der Kriterien im Katalog.

• BCM-01, das System: Ein Business Continuity- und Notfallmanagementsystem nach ISO 22301 und/oder BSI-Standard 200-4, mit dokumentierten Richtlinien. Ein Zertifikat nach ISO 22301 kann das Basiskriterium erfüllen, ist aber nicht nötig. Die oberste Leitung oder ein Mitglied ist als Prozesseigentümer benannt; delegieren darf sie an eine Person, die die Business-Continuity-Strategie für den ganzen Dienst ebenso steuern kann.
• BCM-02, die Analyse: Die Business-Impact-Analyse bestimmt unter anderem kritische Produkte, Abhängigkeiten einschließlich Dienstleistern, die maximal tolerierbare Ausfallzeit, Wiederanlaufziel (RTO) und maximal zulässigen Datenverlust (RPO). Überprüfung mindestens jährlich oder nach wesentlichen Änderungen.
• BCM-03, die Pläne: Aus der Analyse entstehen Pläne mit benannten Eigentümern, Kommunikationswegen einschließlich Benachrichtigung der Kunden, Wiederherstellungsverfahren und Übergangslösungen. Die Pläne müssen für die Menschen zugänglich sein, die sie ausführen sollen.
• BCM-04, die Tests: Die Pläne werden mindestens jährlich oder nach wesentlichen Änderungen getestet, dokumentiert und ausgewertet. Betroffene Kunden und relevante Dritte, etwa Dienstleister, sind beteiligt.

„Betroffen“ ist ein Kunde nach den ergänzenden Informationen zu BCM-04 dann, wenn der Test den Dienst unter das im SLA vereinbarte Niveau drückt oder wenn sich die Pläne nur testen lassen, indem der Kunde selbst handelt. Nach unserem Verständnis braucht ein Test in einer getrennten Umgebung, der die Kunden weder einschränkt noch ihr Handeln erfordert, deshalb keine Kundenbeteiligung. Mit Dienstleistern verzahnt ist BCM zusätzlich über SSO-06: Ausstiegsstrategien für Dienstleister mit sehr hoher Abhängigkeit sind mit den Plänen zur betrieblichen Kontinuität abzustimmen.

Wiederanlauf- und Restore-Nachweise: BCM-04 und OPS-08 im Zusammenspiel

Belege, dass die Ziele aus der Business-Impact-Analyse im Test erreicht wurden, mit Messwerten. Zwei Testarten ergänzen sich:

Das erweiternde Zusatz-Unterkriterium OPS-08.02AC verlangt, dass Wiederherstellungstests Teil des BCM sind; auch ohne dieses Zusatzkriterium empfehlen wir, beide Tests in einem Testplan zu führen. Ist die Datensicherung nicht vertraglich mit den Kunden vereinbart, ist OPS-08 nicht anwendbar; das stellen Sie in der Systembeschreibung dar. Richtlinie und Überwachung der Datensicherung (OPS-06, OPS-07) behandelt die Seite OPS.

Bei einer Erstprüfung kann ein noch nicht durchgeführter Disaster-Recovery-Test auch über Nachweise der Planung oder über Vorlagen für die Dokumentation belegt werden (Abschnitt 3.4.11); siehe Typ 1 oder Typ 2. Ihre Wiederanlaufparameter wie RTO, RPO und Notbetriebsniveau stellen Sie sachverständigem Personal der Kunden außerdem auf Anfrage bereit, und die Systembeschreibung gibt an, wo diese Angaben zu finden sind (Rahmenbedingung GC-03). Wurden im Typ-2-Zeitraum vertragliche Verfügbarkeiten verfehlt oder griff die Datensicherung nicht, gehört das als wesentliches Ereignis in die Systembeschreibung, siehe Wesentliche Änderungen und Ereignisse.

Beispiel-Kontrollbeschreibung zu BCM-04

So könnte der jährliche Wiederanlauftest im Beispiel beschrieben sein; das Muster ist eine eigene Formulierung, kein Katalogtext. Die Werte für RTO und RPO sind erfunden.

Welche Nachweise der Prüfer sehen will

Dokumente, die aufeinander verweisen, und Testprotokolle mit Messwerten. Unsere Übersicht für das Beispiel:

Wie Sie diese Belege in einem Register führen, zeigt die Seite Nachweise und Dokumentation.

Mögliche Lücken: Ursache, Wirkung, Abhilfe

Die Lücken leiten wir aus den Anforderungen des Katalogs ab; sie sind keine Prüferfeststellungen.

Alle Kriterien des Themengebiets BCM

Titel nach der deutschen Fassung 1.1.0, Zählung der Unterkriterien nach Abschnitt 5 (B = Basis, AS = verschärfend, AC = erweiternd). Die Spalte „Worum es geht“ ist unsere eigene Kurzbeschreibung, kein Katalogtext; verbindlich ist der Wortlaut der Kriterien im Katalog.

Eng verbunden, aber in anderen Gebieten: Datensicherung und Wiederherstellung OPS-06 bis OPS-09 (OPS), Ausstiegsstrategien SSO-06 (SSO) und die Angaben zu Wiederanlaufparametern in der Rahmenbedingung GC-03. Für den Umgang mit Sicherheitsvorfällen gilt das Gebiet SIM.

Bezug zu ISO/IEC 27001:2022 Anhang A

Die folgende Zuordnung ist unsere eigene, nicht amtliche Einordnung nach Thema. Das BSI hat für C5:2026 noch keine Kreuzreferenz veröffentlicht, und auch eine amtliche Tabelle zeigt nach dem Katalog nur thematische Nähe, keine Erfüllung (Abschnitt 3.3). Die Kurzbezeichnungen sind unsere, keine Titel aus der Norm. BCM-01 verweist selbst auf ISO 22301 und BSI-Standard 200-4; ISO/IEC 27001 deckt Kontinuität nur aus Sicht der Informationssicherheit ab.