Business Continuity Management (BCM): Prozess, Methodik & Umsetzung

Business Continuity Management ist mehr als Notfallplanung. Es verbindet Risikoanalyse, Business Impact Analyse, BCM-Strategie, Business Continuity Pläne, Übungen und kontinuierliche Verbesserung zu einem systematischen Managementprozess. Während Krisenmanagement die Führung und Kommunikation in ausserordentlichen Lagen sicherstellt, fokussiert BCM auf die Fortführung und Wiederherstellung kritischer Geschäftsprozesse.

Zentrale Elemente des BCM:

• Risikobewertung: Identifikation von Bedrohungen wie Cyberangriffe, Ausfälle von IT‑Services, Gebäudeunzugänglichkeit oder Lieferantenprobleme.

• Business Impact Analyse (BIA): Bewertung der Auswirkungen von Unterbrüchen, Definition von Prioritäten, Recovery Time Objective (RTO) und Recovery Point Objective (RPO).

• BCM‑Strategie: Festlegung von Wiederanlaufstrategien, Notfallarbeitsplätzen, Alternativlieferanten und organisatorischen Massnahmen.

• Business Continuity Pläne: Konkrete, praxistaugliche Pläne für Krisenstäbe, Geschäftsbereiche und IT‑Services.

• Übungen & Tests: Regelmässige Übungen, Tabletop‑Übungen und Tests, um Wirksamkeit und Rollenverständnis zu überprüfen.

• Kontinuierliche Verbesserung: Review nach Vorfällen und Übungen, Aktualisierung von Plänen und Strategien.

  Angrenzende Disziplinen im Continuity Management Supplier Continuity Management, Vendor Continuity Management und IT Service Continuity Management ergänzen das BCM, wenn kritische Leistungen stark von Lieferanten, Dienstleistern oder IT-Services abhängen.

Business Continuity Management, kurz BCM, hat das Ziel, kritische Geschäftsprozesse auch bei Störungen, Krisen oder Katastrophen aufrechtzuerhalten oder rasch wiederherzustellen. Unternehmen sollen dadurch handlungsfähig bleiben, finanzielle Schäden begrenzen, Kundenverpflichtungen erfüllen und ihre Reputation schützen.

Ein wirksames Business Continuity Management schafft Transparenz darüber, welche Prozesse, Ressourcen, Systeme, Standorte, Lieferanten und Mitarbeitenden für den Fortbestand des Unternehmens entscheidend sind. Auf dieser Basis können gezielte Vorsorgemassnahmen getroffen und Notfallpläne entwickelt werden.

Der Nutzen von BCM zeigt sich besonders in ausserordentlichen Situationen wie Cyberangriffen, IT-Ausfällen, Lieferkettenunterbrüchen, Personalausfällen, Naturereignissen, Pandemien oder Energieengpässen. Unternehmen mit einem etablierten BCM reagieren strukturierter, treffen schneller Entscheidungen und können den Geschäftsbetrieb kontrollierter fortführen.

Zu den wichtigsten Vorteilen von Business Continuity Management gehören:

• höhere Widerstandsfähigkeit gegenüber Störungen und Krisen
• reduzierte Ausfallzeiten kritischer Geschäftsprozesse
• klare Verantwortlichkeiten im Ereignisfall
• bessere Entscheidungsgrundlagen für Geschäftsleitung und Krisenstab
• Schutz von Kunden, Mitarbeitenden, Daten, Vermögenswerten und Reputation
• Erfüllung regulatorischer, vertraglicher und normativer Anforderungen
• Stärkung des Vertrauens bei Kunden, Partnern, Behörden und Versicherern

BCM ist damit nicht nur eine Notfallmassnahme, sondern ein strategisches Führungsinstrument zur Stärkung der organisatorischen Resilienz.

Business Continuity Management ist ein kontinuierlicher Managementprozess. Ein BCM wird nicht einmalig erstellt und danach abgelegt, sondern regelmässig überprüft, getestet und weiterentwickelt. Der BCM-Lebenszyklus stellt sicher, dass die Organisation auf relevante Risiken vorbereitet bleibt und ihre Massnahmen an veränderte Geschäftsprozesse, Technologien, Standorte, Abhängigkeiten und Bedrohungen anpasst.

Ein typischer BCM-Prozess umfasst mehrere aufeinander abgestimmte Schritte: die Festlegung von Policy und Organisation, die Durchführung einer Business Impact Analyse, die Risikoanalyse, die Entwicklung einer BCM-Strategie, die Erstellung von Business Continuity Plänen, Übungen und Tests sowie die regelmässige Überprüfung und kontinuierliche Verbesserung.

Dieser strukturierte Ansatz hilft Unternehmen, Prioritäten richtig zu setzen. Nicht alle Prozesse benötigen dieselben Wiederanlaufzeiten, Ressourcen oder Schutzmassnahmen. Der BCM-Prozess zeigt auf, welche Geschäftsbereiche besonders kritisch sind und welche Massnahmen notwendig sind, um den Geschäftsbetrieb im Ernstfall stabil weiterzuführen.

Die BCM Policy bildet den formalen Rahmen für das Business Continuity Management. Sie beschreibt Zweck, Geltungsbereich, Ziele, Grundsätze, Rollen und Verantwortlichkeiten des BCM innerhalb der Organisation. Damit schafft sie Verbindlichkeit und sorgt dafür, dass Business Continuity Management nicht als isoliertes Projekt, sondern als Teil der Unternehmensführung verstanden wird.

Eine klare BCM-Organisation legt fest, wer für Steuerung, Umsetzung, Pflege und Weiterentwicklung des BCM verantwortlich ist. Dazu gehören typischerweise die Geschäftsleitung, BCM-Verantwortliche, Prozessverantwortliche, IT, Kommunikation, HR, Facility Management, Krisenmanagement und weitere Fachbereiche.

Wichtige Elemente einer BCM Policy sind:

• Zielsetzung und Nutzen des Business Continuity Managements
• Geltungsbereich für Standorte, Gesellschaften, Prozesse und Systeme
• Rollen, Verantwortlichkeiten und Eskalationswege
• Anforderungen an Business Impact Analyse, Notfallpläne, Übungen und Tests
• Bezug zu Risikomanagement, Krisenmanagement, Informationssicherheit und IT-Notfallmanagement
• Vorgaben zur regelmässigen Überprüfung und Verbesserung

Eine wirksame BCM-Organisation stellt sicher, dass im Ereignisfall nicht improvisiert werden muss. Zuständigkeiten, Entscheidungswege und Kommunikationsstrukturen sind bereits vorab definiert.

Die Business Impact Analyse, kurz BIA, ist ein zentrales Element im Business Continuity Management. Sie untersucht, welche Auswirkungen der Ausfall von Geschäftsprozessen, Systemen, Standorten, Mitarbeitenden oder Lieferanten auf das Unternehmen hätte. Ziel ist es, kritische Prozesse zu identifizieren und deren Wiederanlaufanforderungen festzulegen.

Im Rahmen der Business Impact Analyse werden unter anderem finanzielle, operative, rechtliche, regulatorische und reputationsbezogene Auswirkungen betrachtet. Dabei wird bewertet, ab welchem Zeitpunkt ein Prozessausfall für das Unternehmen kritisch wird und welche Ressourcen für den Wiederanlauf benötigt werden.

Typische Ergebnisse einer Business Impact Analyse sind:

• Liste kritischer Geschäftsprozesse
• maximale tolerierbare Ausfallzeiten
• priorisierte Wiederanlaufreihenfolge
• benötigte Mitarbeitende, IT-Systeme, Daten, Gebäude, Lieferanten und Dienstleister
• Abhängigkeiten zwischen Prozessen und Organisationseinheiten
• Anforderungen an Notbetrieb, Ersatzverfahren und Wiederherstellung

Die Business Impact Analyse ist die Grundlage für fundierte BCM-Entscheidungen. Sie verhindert, dass Ressourcen nach Bauchgefühl eingesetzt werden, und zeigt, welche Massnahmen für die Geschäftskontinuität tatsächlich entscheidend sind.

Die Risikoanalyse ergänzt die Business Impact Analyse. Während die BIA zeigt, welche Prozesse und Ressourcen kritisch sind, untersucht die Risikoanalyse, durch welche Ereignisse diese gefährdet werden können. Sie betrachtet mögliche Bedrohungen, Schwachstellen und Eintrittsszenarien, die zu Unterbrechungen des Geschäftsbetriebs führen können.

Typische Risiken im Business Continuity Management sind Cyberangriffe, IT-Ausfälle, Stromunterbrüche, Naturereignisse, Brände, Gebäudeausfälle, Pandemien, Lieferkettenstörungen, Ausfall von Schlüsselpersonen oder Störungen bei externen Dienstleistern.

Eine BCM-Risikoanalyse bewertet nicht nur die Wahrscheinlichkeit eines Ereignisses, sondern vor allem dessen Auswirkungen auf kritische Geschäftsprozesse. Daraus lassen sich präventive, reaktive und wiederherstellende Massnahmen ableiten.

Wichtige Fragestellungen der Risikoanalyse sind:

• Welche Ereignisse können kritische Prozesse unterbrechen?
• Welche Schwachstellen bestehen in Organisation, Technik, Infrastruktur oder Lieferkette?
• Welche Abhängigkeiten erhöhen das Ausfallrisiko?
• Welche bestehenden Massnahmen reduzieren das Risiko bereits?
• Wo besteht zusätzlicher Handlungsbedarf?

Die Kombination aus Business Impact Analyse und Risikoanalyse liefert ein klares Bild darüber, welche Störungen besonders relevant sind und wie das Unternehmen seine Widerstandsfähigkeit gezielt verbessern kann.

Die BCM-Strategie legt fest, wie ein Unternehmen auf Ausfälle kritischer Prozesse, Ressourcen oder Standorte reagieren will. Sie basiert auf den Ergebnissen der Business Impact Analyse und der Risikoanalyse. Ziel ist es, geeignete Massnahmen zu definieren, mit denen kritische Leistungen innerhalb der erforderlichen Wiederanlaufzeiten aufrechterhalten oder wiederhergestellt werden können.

Eine BCM-Strategie kann organisatorische, technische, personelle und infrastrukturelle Massnahmen umfassen. Dazu gehören beispielsweise Ersatzarbeitsplätze, Homeoffice-Lösungen, alternative Lieferanten, manuelle Ersatzprozesse, Datensicherung, redundante Systeme, Stellvertretungsregelungen oder alternative Produktions- und Logistikwege.

Typische BCM-Strategien betreffen:

• Fortführung kritischer Prozesse im Notbetrieb
• Wiederherstellung von IT-Systemen und Daten
• Ersatzstandorte und alternative Arbeitsformen
• Verfügbarkeit von Schlüsselpersonen und Stellvertretungen
• Kommunikation mit Mitarbeitenden, Kunden, Lieferanten und Behörden
• Umgang mit Ausfall von Dienstleistern oder Lieferanten
• Priorisierung begrenzter Ressourcen im Ereignisfall

Eine gute BCM-Strategie ist realistisch, umsetzbar und wirtschaftlich angemessen. Sie berücksichtigt nicht nur technische Lösungen, sondern auch organisatorische Abläufe, Entscheidungswege und menschliche Faktoren.

Business Continuity Pläne (BCP) beschreiben konkret, wie kritische Geschäftsprozesse bei einer Störung fortgeführt oder wiederhergestellt werden. Sie übersetzen die BCM-Strategie in handlungsorientierte Anweisungen für den Ereignisfall.

Ein Business Continuity Plan sollte klar, verständlich und praxistauglich sein. Im Ernstfall bleibt wenig Zeit für lange Konzepte oder komplexe Dokumente. Deshalb müssen Verantwortlichkeiten, Eskalationswege, Sofortmassnahmen, Kommunikationsschritte und Wiederanlaufverfahren eindeutig beschrieben sein.

Ein wirksamer Business Continuity Plan enthält typischerweise:

• Zweck und Geltungsbereich des Plans
• Auslösekriterien und Eskalationsstufen
• Rollen und Verantwortlichkeiten
• Kontaktlisten und Kommunikationswege
• Sofortmassnahmen nach Eintritt einer Störung
• Verfahren für Notbetrieb und Wiederanlauf
• benötigte Ressourcen, Systeme, Daten und Dokumente
• Schnittstellen zu Krisenmanagement, IT-Notfallmanagement und Kommunikation
• Checklisten für die operative Umsetzung

Business Continuity Pläne sollten für die Personen geschrieben sein, die sie im Ereignisfall tatsächlich anwenden. Sie müssen aktuell, zugänglich, getestet und in der Organisation bekannt sein.

Ein Business Continuity Plan beschreibt, wie kritische Geschäftsprozesse bei einer Störung fortgeführt oder wiederhergestellt werden. Ein Disaster Recovery Plan fokussiert stärker auf die Wiederherstellung von IT-Systemen, Daten und technischer Infrastruktur. Beide Planarten ergänzen sich: Der Business Continuity Plan definiert die geschäftliche Fortführung, der Disaster Recovery Plan die technische Wiederherstellung.

Übungen und Tests sind entscheidend, um die Wirksamkeit des Business Continuity Managements zu überprüfen. Ein Plan, der nie getestet wurde, bietet im Ernstfall nur begrenzte Sicherheit. Erst durch Übungen zeigt sich, ob Rollen, Abläufe, Kommunikationswege, Ersatzverfahren und Wiederanlaufzeiten in der Praxis funktionieren.

BCM-Übungen können unterschiedlich ausgestaltet sein. Einfache Tabletop-Übungen prüfen Entscheidungsprozesse und Zuständigkeiten anhand eines Szenarios. Funktionale Tests untersuchen einzelne Massnahmen, zum Beispiel die Erreichbarkeit von Notfallkontakten oder den Zugriff auf Ersatzsysteme. Vollübungen simulieren komplexere Krisensituationen mit mehreren beteiligten Organisationseinheiten.

Typische Ziele von BCM-Übungen und Tests sind:

• Überprüfung der Praxistauglichkeit von Business Continuity Plänen
• Training von Krisenstab, Fachbereichen und Schlüsselpersonen
• Erkennen von Lücken, Abhängigkeiten und unrealistischen Annahmen
• Verbesserung von Kommunikation und Zusammenarbeit
• Nachweis gegenüber Geschäftsleitung, Kunden, Auditoren oder Aufsichtsbehörden
• Stärkung der Reaktionsfähigkeit im Ereignisfall

Nach jeder Übung sollten Erkenntnisse dokumentiert, Massnahmen definiert und Verantwortlichkeiten für die Umsetzung festgelegt werden. So wird BCM Schritt für Schritt wirksamer.

Am Ende eines typischen BCM‑Mandats verfügen Sie über:

• BCM‑Policy und BCM‑Rahmenwerk
• Business Impact Analyse‑Bericht
• Wiederanlaufstrategie und definierte RTO/RPO
• Business Continuity Pläne für definierte Bereiche/Services
• Schnittstellen zu Krisenmanagement, Kommunikation und IT-Notfallmanagement
• Übungskonzept und Protokolle durchgeführter Übungen
• Audit‑ oder Readiness‑Bericht mit Massnahmenplan

Mit dieser Checkliste zur Überprüfung des BCM (PDF-Dokument zum Download) erhalten Sie rasch einen Status Quo hinsichtlich BCM Reifegrad.

Business Continuity Management muss regelmässig überprüft und weiterentwickelt werden. Unternehmen verändern sich laufend: neue Geschäftsmodelle entstehen, IT-Systeme werden ersetzt, Standorte ändern sich, Lieferanten wechseln, regulatorische Anforderungen nehmen zu und neue Bedrohungen entstehen. Deshalb müssen BCM-Dokumente, Analysen, Strategien und Pläne aktuell gehalten werden.

Ein regelmässiger BCM-Review stellt sicher, dass das Business Continuity Management weiterhin zur Organisation passt. Dabei werden unter anderem Business Impact Analysen, Risikoanalysen, Business Continuity Pläne, Kontaktlisten, Rollen, Abhängigkeiten und Testergebnisse überprüft.

Auslöser für eine BCM-Überprüfung können sein:

• organisatorische Veränderungen
• neue oder veränderte Geschäftsprozesse
• Einführung neuer IT-Systeme oder Dienstleister
• Standortwechsel oder Änderungen in der Infrastruktur
• Ergebnisse aus Übungen, Tests, Audits oder realen Ereignissen
• neue regulatorische oder vertragliche Anforderungen
• wesentliche Veränderungen der Risikolage

Kontinuierliche Verbesserung bedeutet, aus Erfahrungen zu lernen und das BCM systematisch weiterzuentwickeln. Dadurch bleibt Business Continuity Management nicht nur ein dokumentiertes Konzept, sondern ein lebendiger Bestandteil der Unternehmensresilienz.

Ein professionell aufgebautes Business Continuity Management hilft Unternehmen, kritische Geschäftsprozesse zu schützen, Ausfallzeiten zu reduzieren und in Krisensituationen handlungsfähig zu bleiben. Entscheidend ist ein strukturierter BCM-Prozess, der von der Business Impact Analyse über die BCM-Strategie bis zu Business Continuity Plänen, Übungen und kontinuierlicher Verbesserung reicht.

Damit wird BCM zu einem zentralen Bestandteil moderner Unternehmensführung – insbesondere für Organisationen, die hohe Anforderungen an Verfügbarkeit, Sicherheit, Compliance und Vertrauen erfüllen müssen.

ISO 22301 ist der internationale Standard für Business Continuity Management Systeme. Die Norm beschreibt Anforderungen an Kontextanalyse, Führung, Planung, Business Impact Analyse, Risikoanalyse, BCM-Strategien, Business Continuity Pläne, Übungen, Audits, Management Review und kontinuierliche Verbesserung.

Für Unternehmen in der Schweiz bietet ISO 22301 eine klare Orientierung, um BCM systematisch aufzubauen, bestehende Strukturen zu überprüfen und die Zertifizierungsreife vorzubereiten.

1. Initialanalyse
   Kurzes Assessment von Ausgangslage, Regulatorik, bestehenden Notfall‑/Krisenstrukturen und Erwartungen. Ergebnis ist eine transparente Standortbestimmung und ein Vorschlag für Scope und Vorgehen.

2. Scope & kritische Prozesse
   Definition von Geltungsbereich, Standorten, Services und kritischen Geschäftsprozessen. Dabei berücksichtigen wir regulatorische Anforderungen, Kundenerwartungen und Abhängigkeiten.

3. Business Impact Analyse & Risikoanalyse
   Durchführung von Interviews/Workshops zur BIA, Identifikation von Risiken und Verwundbarkeiten, Definition von RTO/RPO und Prioritäten.

4. Strategie & Massnahmen
   Entwicklung der BCM‑Strategie, Definition organisatorischer und technischer Massnahmen, Abstimmung mit IT‑Notfallmanagement, Krisenmanagement und Informationssicherheit.

5. Pläne & Rollen
   Erstellung oder Überarbeitung von Business Continuity Plänen, Krisenhandbuch, Kommunikationsrichtlinien sowie Rollen‑ und Eskalationsmodellen.

6. Übung, Test & Lessons Learned
   Planung und Durchführung von Übungen, Tests und Reviews, Ableitung von Optimierungen und Etablierung eines kontinuierlichen Verbesserungsprozesses.

BCM ist besonders relevant für:

• Banken und Versicherungen
• Energie‑ und Versorgungsunternehmen
• Spitäler, Kliniken und andere Gesundheitsorganisationen
• Öffentliche Verwaltung und kritische Infrastrukturen
• Industrie‑ und Produktionsunternehmen
• IT‑Dienstleister und Cloud/Hosting‑Provider
• Unternehmen mit kritischen Lieferketten oder hoher Abhängigkeit von Schlüsselpersonen

Viele regulatorische Rahmenwerke und Standards verlangen heute explizite Business‑Continuity‑Regelungen und regelmässige Überprüfungen. Mit einem strukturierten BCM erhöhen Sie Compliance, Resilienz und Vertrauen bei Kunden, Aufsichtsbehörden und Partnern.

BCM fokussiert auf Fortführung und Wiederherstellung kritischer Geschäftsprozesse. Krisenmanagement stellt Führung, Lagebild, Kommunikation und Entscheidungsfähigkeit sicher. IT-Notfallmanagement und ITSCM sichern die Wiederverfügbarkeit kritischer IT-Services.

• Über 35 Jahre Erfahrung: Seit 1988 Beratung in Business Continuity, Krisenmanagement, Informationssicherheit und GRC.
• Schweizer Fokus: Standort Wallisellen/Zürich, Erfahrung mit Schweizer Regulatorik (FINMA, KRITIS, Gesundheitswesen, öffentliche Verwaltung).
• Unabhängig & produktneutral: Kein Verkauf von Software oder Produkten – Fokus auf tragfähige Strategien, Prozesse und Organisation.
• Praxis statt Papier: Schlanke, verständliche Dokumente und Pläne, die im Notfall funktionieren und von Führungskräften akzeptiert werden.
• Erfahrung mit ISO 22301 & Krisenorganisation: Aufbau von BCMS, Krisenstäben und integralen Resilienz‑Ansätzen in unterschiedlichen Branchen.

Wenn Sie Ihr Business Continuity Management aufbauen, überprüfen oder weiterentwickeln möchten, unterstützen wir Sie modular bei:

• BCM-Standortbestimmung und Scope
• Business Impact Analyse und Risikoanalyse
• BCM-Strategie und Massnahmenplanung
• Business Continuity Plänen und Wiederanlaufdokumenten
• BCM-Übungen, Tabletop-Übungen, Tests, Reviews und Lessons Learned
• BCM‑Audits und Readiness Assessments
• ISO-22301-Readiness und Zertifizierungsvorbereitung: Aufbau eines BCMS gemäss ISO 22301