Business Continuity Management (BCM) und Notfallvorsorge in KRITIS

1. Gesetzliche und normative Grundlagen

Betreiber kritischer Infrastrukturen sind gesetzlich und normativ verpflichtet, die Aufrechterhaltung ihrer Kernprozesse auch bei schweren Störungen oder Cyberangriffen sicherzustellen¹. Hierbei dienen Standards wie ISO 22301 (Business Continuity Management) und der BSI IT-Grundschutz als Rahmenwerk¹.

2. Business Impact Analysis (BIA) und RTO/RPO

Im Zentrum der Notfallvorsorge steht die Analyse kritischer Geschäftsprozesse¹:

• Maximale Tolerierbare Ausfallzeit (MTO / MTD): Der Zeitraum, nach dessen Ablauf der Schaden durch einen Ausfall unvertretbar wird.
• Recovery Time Objective (RTO): Zielvorgabe für die Wiederherstellungszeit von IT/OT-Systemen.
• Recovery Point Objective (RPO): Maximal tolerierbarer Datenverlust (Zeitfenster bis zum letzten konsistenten Backup).

3. Technische und organisatorische Rückfallebenen

Da hochautomatisierte IIoT- und Leitsysteme kompromittiert oder stromlos sein können, sind resiliente Rückfallebenen essenziell¹:

• Analoge Notbedienung: Physische Schaltebenen, mechanische Verriegelungen und getrennte analoge Kommunikationswege für den Notbetrieb¹.
• Geografisch getrennte Backups: Immutable (unveränderbare) Backup-Strategien zur Abwehr von Ransomware-Angriffen auf die Datensicherungen¹.