Notfallmanagement
|
Diese Seite ist derzeit noch ein Entwurf. Weitere Informationen sowie Diskussionen über Änderungen an diesem Entwurf gibt es evtl. auf der Diskussion-Seite. |
Einleitung
Notfallmanagement oder "Business Continuity Management" (BCM), auch als Krisenmanagement oder Emergency Management bekannt, beinhaltet die Planung, Organisation, Koordination und Durchführung aller Maßnahmen zur Vorbereitung auf, Reaktion auf und Erholung von Notfällen und Krisensituationen. Das Ziel des Notfallmanagements ist es, die Auswirkungen von unerwarteten Ereignissen zu minimieren und so schnell wie möglich zur Normalität zurückzukehren.
Dies kann beinhalten, aber ist nicht beschränkt auf:
- Die Erstellung von Notfallplänen und -verfahren für IT-Systeme
- Die Durchführung von Übungen und Tests, um die Wirksamkeit der Notfallpläne zu überprüfen
- Die Dokumentation von IT-Systemen und -Prozessen, um eine schnelle Wiederherstellung zu ermöglichen
- Die Überwachung und Überprüfung der IT-Infrastruktur, um potentielle Ausfälle zu erkennen und zu verhindern
- Die Sicherung wichtiger Daten und Anwendungen, um Verluste im Falle eines Ausfalls zu vermeiden.
Das BCM im Bereich der IT ist ein wichtiger Bestandteil des Gesamt-BCM eines Unternehmens und muss in enger Zusammenarbeit mit anderen Bereichen wie Finanzen, Personalwesen und Produktion durchgeführt werden, um eine integrierte und umfassende Notfallvorsorge zu gewährleisten.
Das Ziel des Notfallmanagements besteht darin, sicherzustellen, dass die Organisation in der Lage ist, ihre Geschäftstätigkeit vor, während und nach einem Notfall aufrechtzuerhalten. Die Organisation muss in der Lage sein, ihre IT-Systeme und -Prozesse schnell und effektiv wiederherzustellen, um die Geschäftskontinuität zu gewährleisten. Die Richtlinie Notfallmanagement legt den organisatorischen Rahmen sowie den Geltungsbereich fest und beschreibt die Notfallprozesse und -verfahren, die Verantwortlichkeiten, Kommunikationspläne, Business Impact Analyse (BIA), Wiederherstellungspläne, Übungen und Tests sowie die Dokumentation und Revision.
Begriffsdefinitionen
Störung
Eine Störung ist ein Schadensereignis, das im Normalbetrieb, d.h. innerhalb der maximal tolerierbaren Ausfallzeit behoben werden kann. Störungen werden im Rahmen des Incident-Managements im Regelbetrieb behoben und sind nicht Bestandteil eines Notfallmanagements. Dennoch kann es sinnvoll sein, auch Störungen im Rahmen des Notfallmanagements im Blick zu behalten, da ein gehäuftes Auftreten von Störungen auf ein strukturelles Problem hinweisen und damit das Risiko für einen Notfall erhöhen kann.
Notfall
Wenn die Auswirkungen einer Störung zu einem längeren Ausfall wichtiger Ressourcen führen und der reguläre Geschäftsbetrieb nicht innerhalb eines vereinbarten Zeitraums wiederhergestellt werden kann, spricht man von einem Notfall.
Kriese
Ein Notfall, bei dem die Existenz der Organisation oder das Leben und die Gesundheit von Personen gefährdet sind, wird als Krise bezeichnet. Eine Krise ist ein langfristiges und ernstes Ereignis. Eine IT-Krise erfordert eine umfassende und strategische Reaktion, um die Auswirkungen auf die Organisation zu minimieren und den Betrieb wiederherzustellen.Auflistung der rechtlichen und vertraglichen Rahmenbedingungen der Organisation.
Bedrohungen
Bedrohungen für die Informationssicherheit können vielfältig sein und reichen von natürlichen Katastrophen bis hin zu menschlichen Aktivitäten, die die Umgebung beeinträchtigen. Hier sind einige Beispiele:
Naturkatastrophen
- Erdbeben: Erdbeben können Gebäude zerstören, Straßen beschädigen und zu erheblichen Verlusten führen.
- Hochwasser: Starke Regenfälle, Sturmfluten oder Schneeschmelze können zu Überschwemmungen führen, die Gebäude und Infrastruktur beeinträchtigen.
- Stürme und Wirbelstürme: Starkwinde, Regen und Sturmfluten durch Hurrikane, Taifune oder Tornados können schwere Schäden anrichten.
- Erdrutsche: Schwere Regenfälle oder Erdbeben können Erdrutsche auslösen, die Gebäude und Straßen bedrohen.
- Trockenheit: Lang anhaltende Trockenheit kann zu Wasserknappheit (Kühlwasser) und Waldbränden (Rauch und Hitze) führen.
Umweltverschmutzung
- Luftverschmutzung: Schadstoffe in der Luft können die Gesundheit der Mitarbeitenden und die Funktion sensibler Technik beeinträgigen.
- Wasserverschmutzung: Giftige Chemikalien oder Abfälle können Gewässer verschmutzen, die Trinkwasserversorgung gefährden.
- Bodenverschmutzung: Chemikalien und Giftstoffe im Boden können durch nötige umfangreiche Entgiftung und Entsorgung den Betrieb von Gebäuden oder die Arbeit von Mitarbeitenden beeinträchtigen.
Klimawandel
- Anstieg des Meeresspiegels: Der Klimawandel führt zu einem Anstieg des Meeresspiegels, der Standorte in Küstenregionen gefährdet.
- Extremwetterereignisse: Der Klimawandel verstärkt die Intensität und Häufigkeit von Stürmen, Hitzewellen und anderen extremen Wetterereignissen, was bei der Planung von Standorten, Gebäuden und Infrastruktur berücksichtigt werden sollte.
- Gletscherschmelze: Das Schmelzen von Gletschern kann zu Wasserknappheit in Regionen führen, die von Gletscherwasser abhängig sind.
Industrielle Unfälle
- Chemieunfälle: Industrielle Chemieunfälle (z.B. bei benachtbarten Chemieunternehmen) können giftige Gase freisetzen oder Boden- und Wasserverschmutzung verursachen, die zu Betriebseinschränkungen führen können.
- Großbrand
- Explosion
- Verseuchung/Verstrahlung
Technische Ausfälle
- Hardwarefehler
- Softwarefehler
- Netzausfälle
Menschliche Faktoren
- Fahrlässigkeit
- Vorsätzliche Sabotage
- Fehlerhafte Handlungen
Cyberangriffe
- Viren und Malware
- Phishing
- DDoS-Angriffe
- Datenlecks
Stromausfälle
- Unterbrechung der Stromversorgung
Versorgungskettenstörungen
- Engpässe bei Lieferanten und Dienstleistern
Politische Ereignisse
- Gesetzesänderungen
- Regulatorische Anforderungen
Kommunikationsstörungen
- Ausfall von Kommunikationssystemen
Nicht alle Bedohungen sind für jede Organisation relevant. Um auf die relevanten Bedrohungen vorbereitet zu sein, ist es wichtig, eine umfassende Bedrohungsanalyse durchzuführen und ein angemessens Notfallmanagementkonzept zu entwickeln und regelmäßig zu aktualisieren. Dies sollte Risikobewertungen, klare Handlungspläne und Schulungen für das Personal umfassen.
Notfallprozesse und -verfahren
Hier sollten die Schritte beschrieben werden, die im Falle eines Notfalls ausgeführt werden müssen, einschließlich der Prozesse zur Wiederherstellung der IT-Systeme.
Verantwortlichkeiten
Organisationsleitung
Notfallbeauftragter
Mitarbeitende
Kommunikationspläne
Dieser Abschnitt sollte die Kommunikationskanäle und Verfahren beschreiben, die im Notfall genutzt werden, um sicherzustellen, dass alle relevanten Personen informiert werden.
Business Impact Analyse (BIA)
Wiederherstellungspläne
Geschäftsfortführungsplan
Wiederanlaufplan
Übungen und Tests
Es sollte regelmäßig Übungen und Tests durchgeführt werden, um sicherzustellen, dass das Notfallkonzept funktioniert und alle beteiligten Personen wissen, was sie im Falle eines Notfalls tun müssen.
