Business Continuity Management System
Zur weiteren Stärkung der Cybersicherheit auf kommunaler Ebene hat das Land Hessen ein Hessisches Cyberabwehrausbildungszentrums Land/Kommunen (HECAAZ) auf den Weg gebracht. Ziel ist es Mitarbeiterinnen und Mitarbeitern der Kommunen im Bereich der Cyber- und IT-Sicherheit Schulungen anzubieten. Neben der Berücksichtigung der kommunalen IT-Infrastruktur und Technik soll hierbei der Fokus gezielt auf Qualifizierungsbedarfe vor Ort gesetzt werden. Das Curriculum umfasst einen festen Lernplan von drei Tagen und stellt das Thema BCM (Business Continuity Management) vor.
Jede Kommune muss Vorkehrungen treffen, um potenzielle Bedrohungen und ihre Auswirkungen auf Verwaltungsprozesse so gering wie möglich zu halten. Dazu gehört auch die Vorsorge, wie bei einem Schadensereignis vorgegangen werden soll (Notfallmanagement). Eckpfeiler dafür ist ein strukturiertes Business Continuity Management System (BCMS). Dies ermöglicht eine schnelle Reaktion bei Schadensereignissen und stärkt die Belastbarkeit bei Verwaltungen.
Die dreitägige Schulung beinhaltete zunächst eine Einführung in BCMS, Klärung der Bestandteile, Anforderung an die Verwaltung (BCM-Beauftragte), die Analyse der erarbeiteten Rahmenbedingungen, die notwendige Dokumentation und die Erstellung einer entsprechenden Leitlinie für die Kommune.
Am zweiten Tag geht es um die Besondere Aufbauorganisation. Damit sind Krisenstäbe gemeint, die in einem Notfall in der Kommune zum Tragen kommen. Ihr Aufbau, Aufgaben und die Schaffung der organisatorischen Rahmenbedingungen ist ebenso Thema, wie die Absicherung der Geschäftsprozesse in einem Bedrohungsfall (Geschäftsfortführung).
Der dritte Tag hat im Mittelpunkt die sogenannte Risikoanalyse, Wiederanlauf und Wiederherstellungsplanungen, das Üben und Testen des BCMS sowie die Ergebnissicherung (Notfallhandbuch, Notfallvorsorgekonzept, Leitlinie).
In BCMS werden drei Kategorien beachtet:
- Störung: Damit ist gemeint, dass Prozesse oder Ressourcen nicht wie vorgesehen zur Verfügung stehen. Innerhalb des Normalbetriebs sind die Störungen behebbar, es sind keine Notfallpläne erforderlich. Zudem ist der Einsatz von Stäben nicht erforderlich.
- Der Notfall
Damit ist gemeint, dass eine erhebliche Unterbrechung eines zeitkritischen Geschäfts,- bzw. Verwaltungsprozesses vorliegt. Hier ist der Einsatz eines Notfallstabs/Krisenstabs erforderlich. Notfallpläne liegen vor, bzw. können angepasst werden.
- Die Krise
Damit ist gemeint, dass eine massive Unterbrechung eines zeitkritischen Prozesses vorliegt. Es liegen keine Notfallpläne vor, oder die Notfallpläne greifen nicht ausreichend. Hier sind die Erweiterungen von Befugnissen eines Krisenstabes erforderlich.
- Die Katastrophe ist eine vierte Kategorie, die aber nicht Gegenstand der kommunalen Schulung war, weil sie von den Landkreisen zu koordinieren ist.
Die Einführung eines Business Continuity Management Systems ist umfangreich und stellt kein leichtes Unterfangen dar. Zu vielfältig sind doch die einzelnen Aktivitäten und die Abhängigkeiten untereinander. Dabei hilft es, einer klaren, definierten Vorgehensweise folgen zu können.
Die Vorgehensweise baut auf Stufen auf, die peu á peu zu einem umfassenden strukturierten Management führen, sodass die Kommunalverwaltung schließlich gegen große Störungen, Notfälle und Krisen gewappnet ist. Das BCM erfordert eine sorgfältige Vorbereitung, die zunächst damit beginnt, dass die wesentlichen Randbedingungen, Vorgaben und Ziele mit den Verantwortlichen der Kommune zu vereinbaren und vom Bürgermeister/von der Bürgermeisterin zu unterzeichnen sind. Dieses Dokument ist die Leitlinie, die darin festgelegten Vereinbarungen sind die Eckpfeiler des gesamten Managementsystems.
Wie alle umfangreichen Projekte, startet auch die BCM/Vorgehensweise mit einer Analyse. Die Business Impact Analyse identifiziert die Anforderungen an das Management. Aus einer Abschätzung potenzieller Schäden bei Ausfall von Geschäfts- bzw. Verwaltungsprozessen, werden Ziele für die maximal erlaubten Ausfallzeiten abgeleitet. Die maximal erlaubte Ausfallzeit ist die Kennzahl, mit der die Anfälligkeit der verschiedenen Verwaltungsprozesse systematisch erfasst wird.
Die nächste Analyse betrifft die Risikoabschätzung. Aus einem umfassenden Katalog von potenziellen Gefährdungen werden diejenigen Risiken oder Schwachstellen herauskristallisiert, die zu einem Notfall oder einer Krise führen können. Effektive Gegenmaßnahmen sollen verhindern, dass solche Risiken Realität werden und zu einem Notfall, bzw. eine Krise führen. Auch hier gilt, Vorbeugen ist besser als heilen. Verhindern von Unfällen und Krisen ist besser, als das beste Krisenmanagement.
Die Business Impact Analyse und die Risikoabschätzung zeigen mögliche Notfallszenarien auf, für die eine Notfallvorsorge sinnvoll ist.
In einer weiteren Stufe, werden Notfallpläne erarbeitet.
Dabei sind möglichst alle erdenklichen Situationen abzudecken. Es geht um den Wiederanlauf von Prozessen bei IT, Gebäuden, Arbeitsplätzen und deren Infrastruktur, bzw. die Organisation eines Notbetriebes. Die Krisenkommunikation, die damit verbunden ist, sorgt für eine effiziente Einbindung von allen wichtigen Interessengruppen, den Mitarbeitern, Bürgerinnen und Bürgern und der Öffentlichkeit.
Notfälle und Krisen sind glücklicherweise selten. Im BCM wird mit derartigen Szenarien regelmäßig in Tests und Übungen gearbeitet. Dabei startet man zunächst mit kleineren Tests, die mit geringen Aufwand und geringen Risiko durchführbar sind. Solche Tests decken bereits Schwachstellen auf, sodass für eine größere Übung bereits eine entsprechende Vorarbeit geleitet wird. Hier sei ausdrücklich auf die bekannten Brandschutz-Schulungen verwiesen, die einen ähnlichen Gedanken in der Prävention folgen.
Würdigung
Behörden stehen vor der Herausforderung, immer effizienter und möglichst zu jeder Zeit Leistungen erbringen zu müssen. Dazu tragen verschiedene Entwicklungen und Trents in der Gesellschaft und der Wirtschaft bei, bzw. steigen die Anforderungen verschiedener Interessengruppen sowie der Fortschreitenden Digitalisierung. In Folge dessen, werden Institutionen immer abhängiger, bspw. von Informationstechnik, funktionierenden Verwaltungsprozessen und Leistungen Dritter.
Die Verfügbarkeit der Verwaltungsprozesse oder Fachaufgaben entwickelt sich zu einer Existenzfrage für die gesamte Institution. Gleichzeitig nehmen Risiken zu, die den Geschäftsbetrieb oder die Aufgabenerfüllung einer Kommune in hohem Maße beeinträchtigen oder sogar zu bedrohenden Schäden führen können. Hierunter fallen z.B. Naturereignisse, gegen die sich Institutionen nicht komplett schützen können. Mit Hilfe eines angemessenen Systems können sich die Institutionen vor Schadensereignissen schützen, die sich in nicht tolerierbarer Weise auf den Verwaltungsbetrieb auswirken.
Ziel ist es, sicher zu stellen, dass der Verwaltungsbetrieb selbst bei massiven Schadensereignissen nicht unterbrochen wird, oder nach einem Ausfall in angemessener Zeit fortgeführt werden kann.
Das BCM fasst dafür alle organisatorischen, technischen, baulichen und personellen Maßnahmen. Institutionen können hierzu teilweise vorhandene Sicherheitsmaßnahmen zurückgreifen und erweitern diese ggf..
Das BCM ist kein einmaliges Projekt, besonderen Bedarf einer zielgerichteten und in sich kontinuierlichen verbesserten Systems, das sich an die stetig veränderten Rahmenbedingungen einer Kommune anpasst. So wird ein dauerhafter Prozess geschaffen, um organisatorische Resilienz aufzubauen.