Zum Hauptinhalt springen
Alle Maßnahmen

Maßnahme · ISO 27001 und weitere Standards

IT-Notfall und Wiederanlauf vorbereiten

Geschäftsziele aus der BIA in erreichbare Kontakte, einen vorbereiteten Einsatzablauf und ausführbare Dienstkarten überführen. Die vorhandenen Test- und Vorfallverfahren weiterverwenden.

Verantwortlich: Verantwortliche für IT-Betrieb und GeschäftsfortführungFachlich geprüft am

Vorhandene Unterlagen nutzen

Übernimm Ziele und Abhängigkeiten aus der BIA. Verwende vorhandene Betriebsverfahren und Restore- oder Failover-Tests weiter. Tatsächliche Ereignisse, Entscheidungen und Freigaben bleiben in der vorhandenen Vorfallakte.

Was du konkret tun musst

  1. 1

    Geschäftsziele und Abhängigkeiten übernehmen

    Bestimme anhand der BIA, welche Tätigkeiten und IKT-Dienste im Ausfall zuerst benötigt werden. Übernimm die freigegebenen Zielzeiten mit ihrem Startbezug, den benötigten Datenstand sowie Leistung und Kapazität. Kläre gemeinsame Voraussetzungen wie Identitätsdienst, Netz und externe Provider.

  2. 2

    Ausführbare Abläufe vorbereiten

    Lege Aktivierung, entscheidungsbefugte Rollen und Ersatzkommunikation fest. Benenne die betroffenen Dienste direkt im Plan. Bereite ihre Wiederherstellung, Sicherheitsmaßnahmen, Abbruchbedingungen und Freigabe vor. Erprobe den Zugriff auf Notfallkopie, Kontakte und benötigte Verfahren ohne die ausgefallene IT; Zugangsdaten bleiben am geschützten führenden Ort.

  3. 3

    Erproben und Lücken bearbeiten

    Prüfe die benötigten Verfahren mit passenden Übungen und technischen Tests gegen die Geschäftsziele. Decke die erforderlichen Dienste und Abhängigkeiten ab. Halte Abweichungen, Zuständigkeit und nächsten Schritt im vorhandenen Test- oder Aufgabenablauf fest. Passe den Plan bei relevanten Änderungen und Erkenntnissen an.

Praxisbeispiel

Das CRM hängt vom Identitätsdienst ab

Fiktives Beispiel: Nach einer Störung ist das CRM nicht nutzbar. Der Wiederanlauf setzt einen verfügbaren Identitätsdienst voraus. Die BIA enthält die erforderliche Mindestleistung und die Zeitziele.

Reihenfolge und Voraussetzungen
FestlegungDer Plan berücksichtigt den Identitätsdienst vor dem abhängigen CRM. Für beide werden die benötigten Verfahren und zuständigen Rollen benannt.
NachweisBIA-Bezug und vorbereitete Dienstkarten oder gleichwertige vorhandene Betriebsverfahren.
Nutzung wieder freigeben
FestlegungFachbereich und Sicherheitsrolle prüfen Mindestleistung, Datenstand, Zugriffe und Schutzmaßnahmen. Die Entscheidung und tatsächlichen Ergebnisse bleiben unter derselben Vorgangskennung.
NachweisVorhandene Test- oder Vorfallakte mit den Ergebnissen und der Entscheidung.

Ergebnis festhalten

  • Freigegebener Plan mit BIA-Bezug, erreichbaren Zuständigkeiten und nutzbaren Dienstverfahren einschließlich Sicherheits- und Freigabekriterien.
  • Ergebnisse der passenden Übungen und Tests. Offene Korrekturen und deren geprüfter Abschluss werden im vorhandenen Ablauf verfolgt.

Häufige Fehler bei der Umsetzung

Der Plan ist nur über die ausgefallene IT erreichbar

Halte die benötigte Fassung, Kontakte und Verfahren unabhängig nutzbar. Die Notfallkopie enthält auch die erforderliche Scope-Beschreibung oder einen daraus erzeugten Auszug mit Versionsstand.

Ein einzelner Test wird zum Nachweis für alles

Prüfe die im Umfang benötigten Dienste und Abhängigkeiten. Ein erfolgreicher Umschalttest ersetzt weder die übrigen Verfahren noch die fachliche und sicherheitsbezogene Freigabe.

Eine Umsetzung für mehrere Anforderungen nutzen

Die Zuordnungen zeigen, zu welchen Anforderungen diese Maßnahme beiträgt.

Controls und Standards ansehen
  • A.5.30 · IKT-Bereitschaft für Business Continuity

    Die vorbereiteten Dienstkarten verbinden die BIA-Ziele mit Zuständigkeiten, Abhängigkeiten, Wiederherstellung und geplanter Erprobung. Geeignete Infrastruktur, Kompetenz und tatsächliche Tests bleiben betrieblich umzusetzen.

  • A.5.29 · Informationssicherheit bei Störungen

    Der Plan legt Schutzmechanismen, genehmigte Ersatzmaßnahmen und Sicherheitsprüfungen im Notbetrieb fest. Ihre Eignung und tatsächliche Anwendung bleiben zu prüfen.

  • TISAX · 5.2.8

    VDA ISA 6.0.3 · Teilweise Überschneidung

    Aktivierung, Ersatzkommunikation, erreichbare Wiederanlaufverfahren und geplante Tests unterstützen die Kontinuitätsplanung. Anwendbare Schutzbedarfszusätze, technische Umsetzung, Partnerabstimmung und tatsächliche Testergebnisse bleiben gesondert zu bearbeiten.

    Referenz

Vorlagen für die Umsetzung

Dazu passend

Quellen und weiterführende Informationen