Der News Blog zu Business Continuity Management und IT Service Continuity Management
Im Rahmen der bundesweiten Strahlenschutzübung INTREX 12 übt Österreich eine Woche lang das Krisen- und Katastrophenmanagement. Beübt wird der GAU eines Kernkraftwerks nahe der österreichischen Grenze.
Von unserem Auslandskorrespondenten Christoph Müller aus Österreich.
Die Blockupy-Proteste im Bankenviertel Frankfurts vom 16. bis 19. Mai haben nicht die gefürchteten Folgen für die Einzelhändler und Banken gehabt. Nach den gewaltsamen Ausschreitungen am 31. März bei den Anti-Kapitalismus-Demonstrationen in Frankfurt war dies zu befürchten. Die Verbote fast aller Veranstaltungen durch die Stadt Frankfurter, darunter auch die Veranstaltung “Banken fluten” am 18. Mai sowie ein massives Polizeiaufgebot von rund 5.000 Polizisten haben die Lage nicht eskalieren lassen. Aber auch die Demonstranten auf der anderen Seite waren friedlich und es kam zu keinen nennenswerten Ausschreitungen. Viele der Banken in Frankfurt haben vorsorglich ihre repräsentativen Wahrzeichen an dem Brückentag geschlossen und die kritischen Geschäftsprozesse an Ausweichlokationen oder Remote-Arbeitsplätze verlagert. Für das Business Continuity Management wurden diese Tage zu einer idealen Live-Übung, in der die Abläufe und Technik unter realen Bedingungen getestet werden konnten. Durch den Brückentag relativierte sich die Belastung, da viele Mitarbeiter ohnehin nicht anwesend waren. Nachdem die Ereignisse nun vorüber und das Medienecho wieder abgeflaut sind, gilt es in Ruhe die hektischen Tage aufzuarbeiten. Was ist gut gelaufen, wo liegen die Optimierungspotentiale, welches sind konkrete Maßnahmen zur Optimierung des BCM. Information und Kommunikation sind dabei zum Beispiel immer Standardthemen, mit denen man eigentlich nie fertig wird. Wie die Geschäftsfortführungsplanung sollte auch der Lessons Learned-Prozess zu einem Standardverfahren des BCM gehören. Nichts ist schlimmer, als wenn nach einem Ereignis alle Beteiligten müde, erschöpft und vielleicht sogar frustriert auseinanderrennen in der Hoffnung, diese Situation möge so schnell nicht wiederkommen. Dann bleiben viele Potentiale verborgen und möglicherweise entstandener Frust oder Ärger setzt sich erst so richtig fest. Daher sollte zeitnah ein Lessons Learned Prozess aufgesetzt werden. Der neue ISO Standard zu Tests und Übungen ISO 22398 sieht dies im Übrigen unter dem Punkt “Improvement” explizit vor. After action review, Evaluation, Afteraction report, Management review, Corrective action und Implementation follow-up sind die benannten Aktivitäten nach der Durchführung einer Übung. Sehr hilfreich ist es übrigens, sich der Unterstützung der Kollegen von der Personalentwicklung zu bedienen. Die Mitarbeiter des BCM selbst sind ja auch Teil des Geschehens. Eine unabhängige Moderation hilft den Lesson learned-Prozess zielgerichtet und ohne gegenseitige Schuldzuweisungen durchzuführen. In moderierten Gruppenarbeiten der Beteiligten lassen sich interaktiv die Abläufe noch einmal strukturiert aufarbeiten und die Ergebnisse als Maßnahmenkataloge identifizieren. Das BCM hat damit eine wertvolle Grundlage für die Optimierung. Ein weiterer wichtiger Punkt nach der Live-Übung ist die Dokumentation. Natürlich ist sie lästig. Aber für Auditoren, Revisoren und Wirtschaftsprüfer gilt nur das geschriebene Wort! Ausserdem schärfen sich beim Schreiben oftmals noch einmal die Gedanken. Und für das Management gibt es eine Dokumentation für das im ISO-Standard geforderte Management-Review. Eine gute Gelegenheit, das BCM in den Köpfen des Managements wieder präsent zu machen.
So sollte ein Notfalltest nicht enden:
Kalifornien verliert Daten von 800.000 Bürgern | Security | News | ZDNet.de.
Im Rahmen der Vorbereitung auf die olympischen Spiele finden in London und Umgebung eine ganze Reihe an Tests und Übungen statt. Die erste öffentlichkeitswirksame Übung wird heute im Herzen von London durchgeführt. In der Übung wird ein terroristischer Anschlag auf die Londoner U-Bahn während der olympischen Sommerspiele simuliert.
Indien gehört zu den am meisten durch Erdbeben gefährdete Regionen auf der Erde. 2001 gab es ein Erdbeben der Stärke 7,6 mit über 20.000 Toten, 1993 ein Beben der Stärke 6,2 mit nahezu 10.000 Toten. Viele der gefährdeten Megastädte wie Istanbul verdrängen jedoch dieses Risiko [Zeit: Metropolen am Abgrund]. In Neu Dehli findet heute erstmalig eine große Übung statt, die die Bevölkerung auf eine solche Katastrophe vorbereiten soll. Simuliert wird ein Erdbeben der Stärke 7 mit Beschädigungen der Verkehrseinrichtungen, Krankenhäuser und öffentliche Gebäude. An der Übung, die so erstmalig in Indien stattfindet, nehmen 242 Schulen, 31 Universitäten, 22 Krankenhäuser und 13 Regierungsgebäude teil. Es wird Evakuierungen geben und Dummy-Verletzte stellen die Lage dar.
Die in englisch bereits vorliegende Zusammenfassung des Untersuchungsberichts zu Fukushima legt schwerwiegende Mängel in der Notfallvorsorge und im Krisenmanagement offen.
Fehlende Notfallvorsorge für Tsunamis und Stromausfälle:
Aus Berechnungen war TEPCO mindestens seit 2008 bekannt, dass im Fall eines Tsunamis die Höhe der Wellen mehr als 15 Meter betragen kann. TEPCO hat die Berechnungen allerdings nicht ernst genommen und keine entsprechende Vorsorge getroffen.
Für den Ausfall der Stromversorgung gab es keine Notfallpläne, die Mitarbeiter hatten keine Ausbildung hierfür und notwendiges Equipment war nicht vor Ort vorhanden.
Vorsorge für das Krisenmanagement:
Die Krisenstabsräume vor Ort waren nicht auf ein Zusammentreffen von Erdbeben und Reaktorunfall vorbereitet und waren daher bei dem Unglück nicht nutzbar. Die Gebäude waren nicht strahlensicher ausgelegt, obwohl sie für den Einsatz bei einem Nuklearunfall vorgesehen waren.
Versagen der Aufsichtsorgane:
Die Einhaltung adäquater Vorsorgemaßnahmen für Katastrophen durch TEPCO wurden von den Aufsichtsbehörden gar nicht oder nur unzulänglich überprüft.
Information und Kommunikation im Rahmen des Krisenmanagements:
Information und Kommunikation nach Eintritt der Katastrophe im Rahmen des Krisenmanagements hat offensichtlich völlig versagt. Durch den Stromausfall fiel die Kommunikationsinfrastruktur aus, da es auch keine Notstromversorgung gab. Organisatorisch versagte die Kommunikation zwischen zwischen dem strategischen und taktischen Krisenstab im Ministerium, obwohl sich beide Krisenstäbe im gleichen Gebäude befanden. Zwischen diesen Krisenstäen und dem Einsatzstab vor Ort funktionierte die Kommunikation ebenfalls nicht. Mit der Folge, dass der Krisenstab vor Ort selbständig Entscheidungen zum weiteren Vorgehen treffen musste. Das fehlende Lagebild sowie die Information der Öffentlichkeit wird im Zwischenbericht als “major concern” bezeichnet.
Fehlbedienungen der Reaktoren nach dem Unglück:
Auf Grund fehlender oder fehlerhafter Informationen des Bedienungspersonals über die aktuelle Lage kam es zu Fehlbedienungen bei der Steuerung der Wasserversorgung des Reaktors, was die Lage weiter verschlimmert hat.
Die Ergebnisse des Untersuchungsberichts machen auf mich den Eindruck, dass hier grob fahrlässig mit existentiellen Risiken umgegangen wurde. Bei den eingetretenen Risiken handelt es sich keineswegs um “schwarze Schwäne”, mit denen nicht zu rechnen war. Im Gegenteil, die Risiken waren sehr gut bekannt. Die Kombination der fehlenden Vorsorge von TEPCO mit einem völligen Versagen der Aufsichtsbehörden hat diese Katastrophe erst möglich gemacht. Eine einzige Übung mit diesem Szanario hätte genügt diese Mängel rechtzeitig aufzudecken. Aber von einer Übung ist im Zwischenbericht nicht die Rede.
Am 30.11.2011 startet die 5. strategische Krisenmanagement-Übung von Bund und Ländern LÜKEX 2011 ( Länderübergreifende Krisenmanagement-Übung/EXercise). Das Szenario sieht dieses Jahr eine Cyber-Attacke gegen kritische Infrastrukturen vor. Bund, Länder und Unternehmen der kritischen Infrastrukturen üben gemeinsam an zwei Tagen im Rahmen eines gemeinsamen Drehbuchs. Damit soll die Zusammenarbeit zwischen den Organisationen gestärkt werden. Bereits die Vorbereitungen auf die Übung haben durch das Kennenlernen und Zusammenarbeiten einiges bewirkt. Die Übung wird diesen Effekt noch verstärken. Zwei lange spannende Tage warten auf uns.
BBK und BSI bieten im Rahmen dieser Veranstaltung eine Pressekonferenz und begleitende Foren an.
Am 3. Juni 2012 wird nach sechsjähriger Bauzeit der neue Flughafen Berlin Brandenburg in Betrieb genommen. Zuvor gilt es jedoch den Normalbetrieb und Notfallsituationen zu simulieren. Der Probebetrieb startet im November 2011. Alle normalen Abläufe wie Check-In, Gepäckabfertigung und die Sicherheitsprozesse werden mit Komparsen getestet. Auch Notfallsituationen werden simuliert. Wenn Sie als Komparse am Probebetrieb teilnehmen wollen und den neuen Flughafen vor der Inbetriebnahme hautnah erleben wollen, können Sie sich hier melden.
Das Bundesamt für Bevölkerungsschutz und Katastrophenvorsorge BBK hat seinen Web-Auftritt überarbeitet und modernisiert. Das am 1. Mai 2004 nach den Ereignissen vom 11. September gegründete Bundesamt ist für den zivilen Bevölkerungsschutz zuständig. Neben umfangreichen Informationen zu den Aufgaben des Bundesamtes gibt es in der Rubrik “Tipps für den Notfall” hilfreiche Hinweise für die Notfallvorsorge und das Verhalten im Notfall.
Die Aufgaben des BBK:
Am 30. November und 1. Dezember 2011 findet wieder die LÜKEX statt. LÜKEX steht für Länder Übergreifende Krisenmanagement Übung / Exercise. Es handelt sich hierbei um eine Stabsrahmenübung, die alle zwei Jahre durchgeführt wird. Initiiert wurde die LÜKEX durch die Ereignisse von 09/11. Hier wurde schlagartig bewusst, dass ein funktionsfähiges ressort- und länderübergreifendes Krisenmanagement erforderlich ist, um solche Lagen zu bewältigen. Die föderalen Strukturen in Deutschland sind allerdings zunächst einmal keine gute Ausgangsbasis für eine übergreifende Zusammenarbeit. Daher sind gemeinsame Übungen unerlässlich. Bislang gab es vier LÜKEX-Übungen mit unterschiedlichen Szenarien (2004: Stromausfall/Terror; 2005: WM 2006; 2007: Pandemie; 2009/2010: schmutzige Bombe). Dieses Jahr kommt das Szenario aus dem Themenbereich IT-Sicherheit. Stabsrahmenübung bedeutet, dass die Krisenstäbe von Bund, Ländern, Behörden und Unternehmen der kritischen Infrastrukturen üben. Dies erfolgt nach einem zentralen Drehbuch mit Ausgangslagen für die Übung und Einspielungen über die zwei Übungstage verteilt. Ziel ist die Krisenstabsarbeit der Stäbe, aber auch die übergreifende Zusammenarbeit zu beüben. Beobachter unterstützen die Stäbe bei der Auswertung. Die Vorbereitungen der Übung, an der bis zu 3.000 Personen teilnehmen, sind sehr umfangreich. In zahlreichen Workshops und Sitzungen werden mit Vertretern der Branchen die spezifischen Drehbuchteile erarbeitet, die aufeinander abgestimmt das Drehbuch der Übung ergeben. Ein Schwerpunkt der Übung stellt die Medienarbeit dar. TV-Einspielungen von LÜKEX-TV und eine Zeitung vermitteln den Übungsteilnehmern Realitätsnähe. Rahmenleitungsgruppen stellen für die übenden Stäbe das reale Umfeld dar und geben Feedback auf Entscheidungen der Stäbe. Ein nicht zu unterschätzender Aspekt liegt in der Vorbereitung der Übung selbst. Durch die Workshops im Rahmen der Drehbucherarbeitung entwickelt sich eine länder-, branchen- und ressortübergreifende Zusammenarbeit, die kritischer Erfolgsfaktor für die Übung selbst aber insbesondere für die Bewältigung einer solchen Lage ist.
Großflächig wurden in Deutschland die Sirenen auf den Dächern abgeschafft. Dies ist einerseits der “Friedensdividende” geschuldet. Die Kriegszeiten sind Geschichte und Katastrophen sind selten und werden schnell wieder verdrängt. Auf der anderen Seite erscheinen die Sirenen in Zeiten der modernen Kommunikationstechnologien vielleicht anachronistisch. Funktioniert haben sie trotzdem – solange sie noch auf den Dächern standen. Mit dem System KATWARN der Fraunhofer Gesellschaft ISST sollen in Frankfurt am Main und Ostfriesland die Bewohner über verschiedene Warnkanäle wie SMS, E-Mail oder Fax gewarnt werden. Bei einer Großübung in Emdenversagte jedoch das System kläglich. Alle drei Versuche, die Warnung an die Bewohner loszuwerden schlugen fehl. “Menschliches Versagen” gab das Fraunhofer Institut als Ursache an. Doch auch wenn KATWARN funktioniert hätte, wären nur 400 Menschen vor der Katastrophe gewarnt worden. Denn nur 400 von 25.000 Handys im Stadtgebiet sind für den Dienst registriert. Die Menschen fühlen sich zu sicher, so der Stadtbrandmeister zu der geringen Teilnahme an diesem lebenswichtigen Service. Also Fehler im System, gepaart mit menschlichem Unverständnis. Die “Friedensdividende” lässt grüßen. Ich kann mir persönlich nicht vorstellen, dass in Frankfurt ein nennenswerter Anteil der Bevölkerung an dieses Warnsystem angeschlossen ist. Auch in den USA gibt es Bestrebungen ein elektronisches Warnsystem zu etablieren.
Ursprünglich sollte der digitale Behördenfunk bis Ende 2011 bundesweit ausgerollt sein. Von diesem Zeitplan ist die Realität weit weg. Doch einen wichtigen Schritt in die Realisierung hat jetzt die Frankfurter Berufsfeuerwehr gemacht. Am vergangenen Freitag begann die Testphase für den Digitalfunk in Hessen. Bis Ende 2010 soll das Netz in Hessen flächendeckend ausgebaut sein. Engpass sind die notwendigen 420 Basisstationen, von denen erst 125 in Betrieb sind. Das Digitalnetz ermöglicht die verschlüsselte Kommunikation und die Übertragung von Daten und Kurznachrichten.
Der nächste Schritt ins digitale Zeitalter wird in Hessen dann bereits in einer Woche vollzogen. Am nächsten Samstag findet die bislang größte Katastrophenübung auf dem Frankfurter Flughafen statt. Bei dieser Übung steht eine neue elektronische Infrastruktur im Mittelpunkt, die eine Übertragung der Patientendaten in Echtzeit ermöglichen soll.