Wie wahrscheinlich ist das Unwahrscheinliche?

Business Continuity Management (BCM) ist eine Disziplin des Risikomanagements. Es ist daher naheliegend, für die Risikoanalyse im BCM auf die klassischen und bewährten Methoden und Verfahren dieser Disziplin zurückzugreifen. Zu diesen klassischen Vorgehensweisen gehört die Betrachtung eines Risikos unter den beiden Gesichtspunkten Eintrittswahrscheinlichkeit und Schadenshöhe. Als Ergebnis lassen sich Risiken sehr anschaulich in einer Risikomatrix darstellen und es lassen sich erwartete Schadenshöhen zum Beispiel für die finanzielle Risikovorsorge berechnen. Beim BCM stößt dieses Vorgehen jedoch an seine Grenzen, denn wir betrachten im BCM Risiken mit geringer Eintrittswahrscheinlichkeit dafür aber existentiellen Schadenshöhen. Die Eintrittswahrscheinlichkeit des Risikos spielt bei der Notfallvorsorge für BCM-Risiken keine Rolle, denn ein Schaden, wann immer er eintritt, würde die Existenz des Unternehmens bedrohen. Es ist zum Beispiel unerheblich für die (IT-) Notfallplanung, wann und wie oft eine Cyber-Attacke auf die IT-Infrastruktur zu erwarten ist, denn eine entsprechende Vorsorge der IT und des BCM für den Fall einer Cyber-Attacke ist für ein Unternehmen notwendig zur Aufrechterhaltung der kritischen Geschäftsprozesse. Ob und wie die Eintrittswahrscheinlichkeit doch noch ihren Weg ins BCM finden kann, behandelt mein aktueller Beitrag auf 3GRC.

Herausforderung „BCM-Übungsrahmenplanung“ –Weniger ist manchmal Mehr

Die Anforderungen an Häufigkeit, Umfang und Variabilität von BCM-Tests und Übungen steigen laufend, getrieben insbesondere durch Kunden, Prüfer, Audits sowie Regulatorik. Mehr Tests und Übungen in kürzerer Zeit und dies auch noch verbunden mit höheren Anforderungen an Inhalte, Variabilität der Szenarien und Dokumentation erfordern eine gut durchdachte und stringent durchgeführte BCM Test- und Übungsrahmenplanung.

Weiterlesen…

Notfallplanung für die Katz

Immer wieder erlebe ich in Tests und Übungen, aber auch bei Störungen und Notfällen, dass vorhandene Notfallplanungen nicht genutzt werden, sondern mal gut und leider auch weniger erfolgreich durch die Beteiligten improvisiert wird.

Wenn man die Ursachen hierfür analysiert, kommt man immer wieder auf die gleichen Punkte:

  1. Es ist den Beteiligten / Betroffenen nicht bekannt, dass es eine BCM-Notfallplanung gibt
  2. Die BCM-Notfallplanung ist nicht griffbereit, nicht auffindbar oder nicht zugänglich
  3. Die BCM-Notfallplanung ist nicht aktuell, Kontaktdaten nicht gepflegt
  4. Die BCM-Notfallplanung deckt das aktuelle Szenario gar nicht oder nur sehr unzutreffend ab
  5. Die BCM-Notfallplanung ist in einer kritischen unübersichtlichen Notfallsituation nicht nutzbar, da sie aus mehreren hunderten Seiten Textwüste besteht.

Während die Punkte eins bis drei noch relativ einfach durch Information, Kommunikation, Disziplin sowie Kontrollen zu beheben sind, geht es bei den Ursachen vier und fünf “an das Eingemachte” der BCM-Notfallplanung. Oftmals gilt offensichtlich der Grundsatz “Masse ist gleich Klasse”. Umfangreiche Einleitungen, Darstellungen von Business Impact Analysen und sich wiederholende Standardtexte “schmücken” die eigentliche Notfallplanung. Die Kerninhalte bestehend aus den Notfallprozeduren für Kommunikation, Einleitung und Durchführung des Notbetriebs, Wiederanlauf in den Normalbetrieb sowie Kontaktdaten sind in den Textwüsten nicht auffindbar. Statt mühsam zu suchen, wird dann improvisiert.

Sehr schade für die ganze Mühe, die in die Dokumente gesteckt wurde und es ist dann auch nicht verwunderlich, dass die laufende und anlassbezogene Aktualisierung der Dokumente der Priorisierung anderer Aufgaben zum Opfer fällt.

Sollte Ihnen diese Situation bekannt vorkommen, ist es an der Zeit über Struktur und Aufbau der BCM-Notfallplanung grundsätzlich nachzudenken.

Sie würden sich auch nicht einem Piloten im Cockpit anvertrauen, der das 1.000-seitige Manual des Herstellers für das Triebwerk unter seinem Pilotensitz für Notfälle bereithält. Und der Co-Pilot die weiteren Handbücher im Cockpit versteckt hat.

Be prepared

Sicherheits-Berater vorübergehend offen verfügbar

Der Sicherheits-Berater ist das führende Fachmagazin für die Sicherheitsthemen.

Um die Inhalte auch während der Coronavirus-Epidemie verfügbar zu machen, haben sich die Herausgeber dazu entschlossen, die Inhalte des Archivs ab 06/2020 offen zugänglich zu machen.

Ein tolles Angebot und ein Anreiz für Interessierte die äußerst wertvollen Beiträge kennenzulernen und ein Abo abzuschließen, wenn wir wieder ins normale Leben zurückgekehrt sind. Für die Abonnenten ist hierdurch ein unterbrechungsfreier Zugang auf die Inhalte gewährleistet.

Denn insbesondere auch während der Pandemie muss die Sicherheit in den Unternehmen und Organisationen gewährleistet werden.

Vielen Dank an die Macher des Sicherheits-Berater.

Hier gehts zum Sicherheits-Berater online.

Coronavirus-Epidemie zeigt die Schwächen in der Notfallvorsorge kritischer Infrastrukturen auf

Die Coronavirus-Epidemie zerstört aktuell weltweite Lieferketten, wie es kein Ereignis zuvor in der Lage war zu tun. Lieferketten waren in der Vergangenheit meist durch räumlich begrenzte Ereignisse wie Naturkatastrophen in Form von Erdbeben, Überschwemmungen, Stürmen etc. unterbrochen. Die Liefer-Unterbrechungen waren räumlich und zeitlich begrenzt und konnten auch schnell wieder aufgeholt werden. Im Gegensatz hierzu zerstört die Coronavirus-Epidemie gerade zeitgleich weltweite Lieferketten und -beziehungen. Lieferanten, Transportwege per Schiff und Flugzeug fallen aus. Leere Container stapeln sich in Asien und fehlen dafür in den anderen Regionen.  Angebot und Nachfrage nach Produkten haben sich radikal verändert. KFZ-Absatzmärkte sind in China nahezu komplett zusammengebrochen, dafür gibt es auf der anderen Seite Engpässe bei der Lieferung von Schutzausrüstungen für Ärzte und Kliniken.  Schutzmasken, -brillen und -anzüge kommen fast ausschließlich von Herstellern in China. Die wenigen europäischen Hersteller, zum Beispiel in Italien, arbeiten an der Kapazitätsgrenze. Vorprodukte von Medikamenten und Generika werden vorwiegend in China und Indien hergestellt. Beide Länder haben auf Grund des eigenen hohen Bedarfs an diesen kritischen Produkten die Ausfuhr untersagt und kaufen sogar Produkte aus dem Ausland ein. Dies führt derzeit zu einer Verknappung dieser für das Gesundheitswesen  existentieller Produkte. Verschärft wird die Lage durch Hamsterkäufe von Privatpersonen und gar Diebstahl von Behältern mit Desinfektionsmitteln in Krankenhäusern. Große Lieferanten von Schutzausrüstungen für den medizinischen Bedarf fürchten, in den kommenden Wochen nicht mehr lieferfähig zu sein, da alle Vorräte abverkauft sind und aus China keine Ware mehr nachkommt. Für Lebensmittel gibt es eine staatlich geregelte Notfallbevorratung, wie auch für Treibstoffe. Die Coronavirus-Epidemie lehrt, dass in der Vorsorge für Notfälle und Krisen ganzheitlicher gedacht und gehandelt werden muss. Privathaushalte haben offensichtlich aktuell gelernt, dass ein Notvorrat zu Hause eine gute Vorsorge darstellt, nachdem das BBK bei der Vorstellung der Empfehlungen hierfür damals vorwiegend Lacher und Spott geerntet hatte. Unternehmen haben aus der aktuellen Situation gelernt, dass Single-Sourcing erhebliche Risiken beinhaltet, die auch tatsächlich einmal eintreten können und nicht nur theoretischer Natur sind. Für kritische Infrastrukturen gibt es in KRITIS mittlerweile strenge gesetzliche und regulatorische Vorgaben für das Risikomanagement und die Notfallvorsorge. Die kritischen weltweiten Lieferketten sind in dieser Betrachtung offensichtlich bisher zu kurz gekommen. Aus Schaden sollten wir klug werden. Unternehmen sollten die Risiken in ihren Lieferketten besser analysieren und absichern, auch wenn es kurzfristig Geld kostet. Für die kritischen Infrastrukturen wie das Gesundheitswesen darf ein Engpass an Schutzausrüstung sowie Medikamenten und deren Vorprodukte nicht eintreten. Hier sind gesetzliche Regelungen erforderlich, um eine Grundversorgung im Falle von Epidemien und Pandemien sicherstellen zu können.

Corona-Virus: Links zu wichtigen Informationsquellen

Bei der aktuellen Lage ist es besonders wichtig, die aktuellen Informationen zum Stand der Ausbreitung der Epidemie, den Vorsorgemaßnahmen sowie Maßnahmen bei Betroffenheit zu haben.

Es sollte hierbei Wert auf seriöse und sachkundige Quellen zu legen. Daher hier eine kleine Zusammenstellung.

Sollten Sie weitere hilfreiche Links haben, ergänze ich diese Sammlung gerne. Weiterlesen…

Corona-Virus: einfache und wirkungsvolle Maßnahmen zum Infektionsschutz

Aus Gelassenheit wurde Risikobewusstsein und Besorgnis, stellenweise auch Panik, nachdem es zunehmend zu Infektionsfällen in Deutschland kommt und sich das Virus SARS-CoV-2 schnell international verbreitet. Zu Panik besteht allerdings keinerlei Anlass.

Die Auswirkungen auf die Weltwirtschaft sind derzeit bedeutend stärker als die gesundheitlichen Folgen.

Die Maßnahmen, die jeder Einzelne im privaten und beruflichen Umfeld treffen kann sind so einfach wie wirkungsvoll:

  • Handhygiene: richtig und oft Händewaschen
  • Nicht mit den Händen ins Gesicht greifen
  • Von anderen Personen weg in die Achseln husten und nießen
  • Menschenansammlungen meiden
  • Bei Symptomen den Arzt kontaktieren
  • Nicht mit Krankheitssymptomen zur Arbeit gehen und Kontakt mit anderen Menschen meiden.

Empfehlungen hierzu finden sich auf der Seite www.infektionsschutz.de

Atemschutzmasken und Handschuhe werden für gesunde Menschen übrigens nicht empfohlen!

Unternehmen sollten

  • Mitarbeitern Desinfektionsmittel zur Verfügung stellen (Spender auf den Toiletten)
  • auf Maßnahmen zur richtigen Handhygiene hinweisen (zum Beispiel durch Aushänge und im Intranet)
  • Reinigungszyklus erhöhen und geeignete Reinigungsmittel verwenden (insbesondere Kontaktflächen wie Türgriffe, Toiletten, Aufzüge)
  • Größere Veranstaltungen absagen oder verlegen
  • Telefon- und Videokonferenzen nutzen
  • Reisen von Mitarbeitern in besonders gefährdete Gebiete verschieben
  • Rückkehrer aus besonders gefährdeten Gebieten auf  besondere Achtsamkeit verpflichten und ggf. zwei Wochen von zu Hause arbeiten lassen.

be prepared

Warum klassische Pandemiepläne zu kurz greifen

Die aktuelle Coronavirus-Epidemie rückt die Pandemieplanungen vieler Unternehmen wieder ins Blickfeld, nachdem es mehrere Jahre ruhig um das Pandemie-Szenario geworden ist.

Bereits bei den vergangenen Epidemien und Pandemien, wie zum Beispiel der Vogelgrippe und SARS, wurden Pandemiepläne als Vorsorgemaßnahmen erstellt. Im Fokus dieser Pandemiepläne steht meist der Schutz der eigenen Mitarbeiter sowie der Umgang mit Personalausfällen in kritischen Geschäftsprozessen. Auch die Bereitstellung von Desinfektionsmitteln für die Handhygiene und gegebenfalls die Bevorratung von Schutzmasken gehört zum Vorsorgeprogramm gegen Ansteckungen der Mitarbeiter.

Dass diese Sichtweise auf eine Epidemie- /Pandemievorsorge deutlich zu kurz greift zeigt die aktuelle Coronavirus-Epidemie. Weiterlesen…

Anforderungen an die normengerechte Identifikation der rechtlichen und regulatorischen Anforderungen an das BCM

Christian Zänker, unser Normen-Experte, hat sich wieder einmal in die Tiefen des ISO 22301 vorgearbeitet und sehr interessante Erkenntnisse hinsichtlich der normengerechten Identifikation der rechtlichen und regulatorischen Anforderungen an das BCM herausgearbeitet. Da sind sicherlich in vielen Organisationen noch Hausaufgaben zu erledigen, bis dieser Prozess idealtypisch abläuft. Zumal auch hier wieder viele Disziplinen gut verzahnt ineinandergreifen müssen. Weiterlesen…

3. Fachkonferenz des IBCRM e.V. vom 4. bis 5. März 2020 in Frankfurt am Main

Nassim Nicholas Taleb prägte als Finanzmathematiker und Forscher für Zufallsereignisse den Begriff „Black Swan”. Gemeint damit ist ein Ereignis, das selten und höchst unwahrscheinlich ist. Taleb beschäftigte sich dabei mit den häufig extremen Konsequenzen dieser Ereignisse sowie der menschlichen Eigenschaft, im Nachhinein einfache und verständliche Erklärungen dafür zu finden. Die 3. Fachkonferenz des IBCRM e.V. vom 4. bis 5. März 2020 in Frankfurt a.M. bietet eine Plattform, um den Einfluss des schwarzen Schwans auf die unternehmerische Resilienz zu diskutieren. Weiterlesen…

Business Continuity Awareness Week 2019 ist gestartet

Auch dieses Jahr steht wieder eine Woche das Thema “Awareness” im Fokus der Business Continuity Awareness Week 2019 vom 13. bis 17. Mai 2019.

Unter dem Leitmotiv “Investing in Resilience” bietet das Business Continuity Institute BCI auf der Webseite www.bcaw2019.com ein umfangreiches und kostenfreies Angebot mit BCM-Postern zum Download und einem sehr umfangreichen Webinar-Programm. Jeden Tag in der BCAW 2019 gibt es mehrere Webinare  rund um den Themenbereich Resilience.

Für Business Continuity Manager und BCM-Interessierte gibt es also diese Woche ordentlich etwas auf die Ohren.