ITSCM

Das IT Service Continuity Management (ITSCM) sorgt dafür, dass IT‑Services auch bei schweren Störungen oder Notfällen verfügbar bleiben. Der Artikel erläutert Definition, Ziele und Einordnung im Rahmen von ISO 27031 und BSI 200‑4 sowie Strategien und Best Practices zur Planung, Umsetzung und Prüfung wirkungsvoller IT‑Kontinuitätsmaßnahmen.

IT Service Continuity Management – Grundlagenartikel

Das IT Service Continuity Management (ITSCM) ist eine zentrale Disziplin des modernen Informationssicherheits- und Service-Managements. Ziel ist es, sicherzustellen, dass kritische IT-Services auch bei schwerwiegenden Störungen wie Cyberangriffen, Hardwareausfällen oder Naturkatastrophen funktionsfähig bleiben oder in definierten Zeitfenstern wiederhergestellt werden können. ITSCM ist somit ein Schlüsselfaktor für die unternehmerische Resilienz und Geschäftskontinuität.

Konzept und Zielsetzung

ITSCM baut auf den Grundsätzen des Risiko- und Kontinuitätsmanagements auf. Es ist darauf ausgelegt, Risiken mit potenziell kritischen Auswirkungen auf IT-Dienste systematisch zu identifizieren, zu bewerten und zu beherrschen. Während das Business Continuity Management (BCM) die Gesamtkontinuität der Geschäftstätigkeit adressiert – einschließlich Faktoren wie Personal, Gebäuden und Lieferketten – fokussiert sich ITSCM auf die technische Wiederherstellung der IT-Infrastruktur, Systeme und Anwendungen.​

Das primäre Ziel ist es, die in Service Level Agreements (SLAs) festgelegten Mindestanforderungen auch im Störungsfall sicherzustellen und die Ausfallzeiten so gering wie möglich zu halten.

Normative Einbettung

Auf internationaler Ebene wird ITSCM in der ISO/IEC 27031 beschrieben. Diese Norm legt Leitlinien für die Planung und Einrichtung einer „ICT Readiness for Business Continuity“ fest. Sie ergänzt die ISO/IEC 27001 (Informationssicherheitsmanagement) und harmoniert mit der ISO 22301 (Business Continuity Management Systems). Im deutschsprachigen Raum findet sich das Thema unter anderem im BSI-Standard 200‑4 wieder, der den Aufbau und Betrieb eines umfassenden Business Continuity Managements beschreibt, wobei ITSCM eine funktionsbezogene Unterdisziplin bildet.

Prozesse und Maßnahmen

Ein wirksames ITSCM umfasst vier Hauptphasen:

1. Analysephase: Ermittlung geschäftskritischer IT-Services, Business Impact Analysis (BIA) und Risikoanalyse.
2. Strategiephase: Definition von Wiederanlauf- (Recovery Time Objective, RTO) und Datenverlustzielen (Recovery Point Objective, RPO) sowie Festlegung geeigneter Kontinuitätsstrategien.
3. Implementierungsphase: Einrichtung technischer und organisatorischer Maßnahmen wie Redundanzen, Hochverfügbarkeitslösungen, Notfallarbeitsplätze oder Cloud-basierte Failover-Systeme.
4. Test- und Anpassungsphase: Regelmäßige Überprüfung, Wartung und Verbesserung der Notfallpläne durch Übungen, Simulationen und Audits.

Beispiele aus der Praxis verdeutlichen den Nutzen: Finanzinstitute betreiben synchronisierte Rechenzentren zur sofortigen Umschaltung bei IT-Ausfällen, während Krankenhäuser auf virtuelle Desktops setzen, um Patientendaten auch bei einem lokalen Systemversagen zugänglich zu halten.

Integration in das Service Management

ITSCM ist integraler Bestandteil des IT-Service-Designs nach ITIL und ergänzt die Prozesse des Availability Management und Information Security Management. Durch systematische Dokumentation, klare Rollen (z. B. ITSCM-Manager, Continuity Planner) und festgelegte Kommunikationsketten werden im Ernstfall Koordination und Entscheidungsfindung erheblich beschleunigt.

Technologische Entwicklungen

Die zunehmende Nutzung von Cloud-Technologien und DevOps-Methoden verändert das ITSCM grundlegend. Cloud-Umgebungen bieten flexible und skalierbare Lösungen für Hochverfügbarkeit und Disaster Recovery, reduzieren Kosten und Komplexität und erhöhen zugleich die Wiederherstellungsfähigkeit. Moderne ITSCM-Konzepte integrieren Sicherheitstests, durchgängige Monitoring-Mechanismen und automatisierte Wiederherstellungsroutinen in die Entwicklungs- und Betriebsprozesse.

Fazit

ITSCM ist weit mehr als ein technisches Notfallkonzept: Es ist ein dauerhaft gelebter Prozess zur Sicherstellung der Serviceverfügbarkeit, Einhaltung regulatorischer Anforderungen und Stärkung der betrieblichen Resilienz.

Durch konsequente Integration in das ISMS gemäß ISO 27001 und Anlehnung an ISO/IEC 27031 können Organisationen sicherstellen, dass sie in Krisensituationen handlungsfähig bleiben – und das Vertrauen von Kundschaft und Aufsichtsbehörden gleichermaßen stärken.