Kontakt
Die Cyberbedrohungslage ist seit Jahren angespannt. Nicht nur Konzerne sondern mehr und mehr auch KMUs sind oftmals Opfer von entsprechenden Angriffen.
Um den Unternehmenserfolg langfristig abzusichern, kann es darum oftmals sinnvoll sein neben einem Informationssicherheitsmanagements auch ein Notfallmanagement zu etablieren.
Denn während das Informationssicherheitsmanagement Vorfälle vorbeugen soll, zielt das Notfallmanagement darauf ab, im Krisenfall nichtsdestotrotz weiterhin handlungsfähig zu bleiben.
Bei der Etablierung eines Notfallmanagements orientieren wir uns an dem ISO 22301 Standard fürs Business Continuity Management.
Ein funktionierendes Notfallmanagement kann das Vertrauen von Kunden, Partnern und anderen Stakeholdern stärken, da es zeigt, dass die Organisation ihre Verantwortung ernst nimmt und auch im Ernstfall handlungsfähig bleibt.
Ein robustes Notfallmanagement ist in vielen Fällen ein Wettbewerbsvorteil. Kunden und Partner können Organisationen bevorzugen, die durchgängige Handlungsfähigkeit garantieren können.
Viele regulatorische Anforderungen im Bereich Informationssicherheit verlangen auch Maßnahmen, um sich auf Notfälle vorzubereiten.
Obwohl die Implementierung eines Notfallmanagements zunächst mit Kosten verbunden ist, können langfristig Kosten eingespart werden. Besonders relevant ist hierbei, dass unnötige Reputationsschäden verhindert werden können.
Für den Notfall gewappnet zu sein, reduziert das Risiko der kompletten Handlungsunfähigkeit, sollte eine solcher Vorfall eintreten.
Mit einer Business Impact Analyse (BIA) identifiziert man die "Kronjuwelen" eines Unternehmens. Eine BIA ist demnach eine umfangreiche Erhebung und Bewertung aller Prozesse, Ressourcen und Abhängigkeiten im Unternehmen.
Auf Grundlage der BIA-Ergebnisse kann nun festgelegt werden, welche Prozesse und Ressourcen nach einem Vorfall in welcher Reihenfolge priorisiert wiederhergestellt werden sollten, um die Handlungsfähigkeit zu gewährleisten
Ein Notfallkonzept enthält Rollen und Verantwortlichkeiten bei einem Notfall, notfallrelevante Informationen (z.B. relevante Zugangsdaten, Kontaktdaten, Versicherungsunterlagen, Prozessbeschreibungen etc.), Sofortmaßnahmenpläne und die Wiederherstellungsplanung.
Abschließend müssen die Konzepte und Pläne auch regelmäßig geübt werden, damit die relevanten Verantwortlichen in einem Notfall auch tatsächlich wissen, was wie zu tun ist.
Maurice Oettel
Zertifizierter Informationssicherheitsbeauftragter