Ordivis Continuity
Business Impact Analyse auf echten CMDB-Abhängigkeiten, Zeitketten- und SPoF-Erkennung, revisionssicher abhakbare Wiederanlauf-Playbooks und ein Notfallhandbuch, das auf seine Quelle verweist statt sie zu kopieren.
# BIA: Prozess Bürgerservice Meldewesen Schadensmatrix → MTPD-Vorschlag 24 h RTO gefordert 8 h geerbt an Teilprozesse RTO erreichbar 31 h aus CI-Abhängigkeiten Gap − 23 h → Risiko ins ISMS SPoF CORE-SW-01 3 kritische Prozesse MBCO Notbetrieb: Papierannahme, 40 %
BCM ist die systematische Vorbereitung darauf, geschäftskritische Prozesse bei einem Ausfall innerhalb einer verträglichen Zeit wieder aufnehmen zu können – von der Business Impact Analyse über Wiederanlaufpläne bis zur geübten Krisenorganisation.
Es geht dabei ausdrücklich nicht um die Verhinderung von Störungen – das ist Aufgabe der Informationssicherheit –, sondern um die Handlungsfähigkeit danach. Die zentrale Frage lautet nicht „Wie verhindern wir den Ausfall?“, sondern „Wie lange halten wir ihn aus, und was tun wir in dieser Zeit?“
Sie machen aus „möglichst schnell wieder da“ eine prüfbare Vorgabe:
Ordivis Platform schlägt die MTPD anhand der Schadensmatrix nach BSI 200-4 vor und vererbt die RTO über die Prozesshierarchie – damit ein Teilprozess nicht versehentlich lockerer bewertet wird als der Prozess, den er trägt.
Disaster Recovery ist der technische Wiederanlauf von Systemen. BCM ist die übergeordnete Sicht auf den Geschäftsprozess – einschließlich Personal, Räumen, Lieferanten und Kommunikation. Ein perfekt wiederhergestellter Server nützt wenig, wenn niemand weiß, wer den Notbetrieb freigibt und wie die Bürger informiert werden. Ordivis Platform führt beides: DR-Pläne auf Basis der realen CI-Abhängigkeiten, eingebettet in den BCM-Rahmen.
Die interessante Zahl in der BIA ist nicht die geforderte Wiederanlaufzeit, sondern die erreichbare. Die ergibt sich aus der Kette technischer Abhängigkeiten – und die kennt nur eine gepflegte CMDB. Ordivis Platform rechnet den Soll-Ist-Gap darauf aus und erkennt Zeitketten sowie Single Points of Failure im Abhängigkeitsgraphen. Verbleibende Lücken lassen sich als Risiken direkt in die ISMS-Risikoanalyse übernehmen.
Das klassische IT-Notfallhandbuch ist ein Dokument, das einmal geschrieben, ausgedruckt und in einen Ordner gelegt wird. Zwei Jahre später sind die Hälfte der Notfallkontakte nicht mehr im Haus und die Alarmierungskette zeigt auf eine aufgelöste Abteilung. Auffallen wird das im Ernstfall.
Der Generator in Ordivis Platform erzeugt das Handbuch nach BSI 200-4 aus dem vorhandenen Bestand – Notfallorganisation, Alarmierungskette, Sofortmaßnahmen, Kommunikationsplan, Kontakte und Notfalldokumente. Entscheidend ist dabei: Die Kapitel verweisen auf ihre Quelle, statt sie zu kopieren. Jeder Abruf zeigt den Live-Stand. Keine Doppelpflege, keine veralteten Kontakte.
BCM ist die systematische Vorbereitung darauf, geschäftskritische Prozesse bei einem Ausfall innerhalb einer verträglichen Zeit wieder aufnehmen zu können – von der Business Impact Analyse über Wiederanlaufpläne bis zur geübten Krisenorganisation. Es geht nicht um die Verhinderung von Störungen, sondern um die Handlungsfähigkeit danach.
MTPD ist die maximal tolerierbare Ausfallzeit, bis der Schaden untragbar wird. RTO ist die angestrebte Wiederanlaufzeit und muss unter der MTPD liegen. RPO beschreibt den maximal hinnehmbaren Datenverlust, gemessen als Zeitraum. MBCO ist das Mindest-Betriebsniveau, mit dem im Notbetrieb weitergearbeitet wird. Die vier Größen zusammen machen aus „möglichst schnell wieder da“ eine prüfbare Vorgabe.
Disaster Recovery ist der technische Wiederanlauf von Systemen. BCM ist die übergeordnete Sicht auf den Geschäftsprozess – einschließlich Personal, Räumen, Lieferanten und Kommunikation. Ein perfekt wiederhergestellter Server nützt nichts, wenn niemand weiß, wer den Notbetrieb freigibt. Ordivis Platform führt beides: DR-Pläne auf Basis der realen CI-Abhängigkeiten innerhalb des BCM-Rahmens.
Er trennt regelbasiert zeitkritische von nicht zeitkritischen Prozessen, bevor die eigentliche BIA beginnt. Das erspart die vollständige Analyse für Prozesse, bei denen sie erkennbar keinen Erkenntnisgewinn bringt – der übliche Grund, warum BIA-Projekte auf halbem Weg stehen bleiben.
Über den Abhängigkeitsgraphen der CMDB. Ordivis Platform erkennt Zeitketten und Komponenten, an denen mehrere kritische Prozesse gleichzeitig hängen – und zeigt den Soll-Ist-Gap zwischen erreichbarer und geforderter Wiederanlaufzeit. Ohne gepflegte Abhängigkeiten bleibt das Ratearbeit.
Die vollständige Bewältigungsorganisation nach BSI 200-4: Krisenstab, Notfallstab und Bewältigungsteams mit Rollen, Stellvertreter-Prüfung nach dem n+1-Prinzip und Alarmierungslisten mit Eskalation. Für den Anwendungsbereich von NIS2 gibt es zusätzlich eine eigene Meldepflicht-Rolle.
Der Generator erzeugt es nach BSI 200-4 aus dem vorhandenen Bestand: Notfallorganisation, Alarmierungskette, Sofortmaßnahmen, Kommunikationsplan, Kontakte und Notfalldokumente. Entscheidend ist, dass die Kapitel auf ihre Quelle verweisen, statt sie zu kopieren – jeder Abruf zeigt den Live-Stand. Damit gibt es keine Doppelpflege und keine veralteten Notfallkontakte im ausgedruckten Ordner.
Indirekt, und das sagen wir bewusst vorsichtig. NIS2 verlangt Maßnahmen zur Aufrechterhaltung des Betriebs, Meldewege und Nachweisfähigkeit – genau die Bausteine, die BCM und ISMS liefern. Ein Werkzeug erfüllt jedoch keine Richtlinie; die Umsetzung bleibt eine organisatorische Aufgabe.
Der Abhängigkeitsgraph, auf dem Zeitketten und Single Points of Failure erkannt werden.
Kontinuitäts-Gaps werden als Risiken in die Risikoanalyse übernommen.
Digitaler Verwaltungsstab und Doppik-Planbarkeit für Städte und Landkreise.
Von der Schadensmatrix über die SPoF-Erkennung bis zum Notfallhandbuch – in einer Demo per Videokonferenz.