Regulatorik als strategischer Hebel für Resilienz

Resilienz ist aktuell überall gefragt und entwickelt sich zum neuen Trend, nicht nur im Cyber Security Bereich. Während Resilienz die Fähigkeit beschreibt, widerstandsfähig zu sein und Störungen standzuhalten und sich schnell zu erholen, ist BCM der methodische Weg dorthin. Es schützt Organisationen davor, in den berüchtigten „Headless Chicken Mode“ zu verfallen – das heißt unkoordiniert und kopflos auf Krisen zu reagieren.

Zur Förderung der Resilienz in Organisationen haben wir das Nashornprinzip (RHINO) entwickelt. Es versinnbildlicht Resilienz, ist robust und widerstandsfähig und bietet daher nur wenig Angriffsfläche.

Das Prinzip basiert auf fünf Säulen (R-H-I-N-O):

• R – Regulatorik & Compliance
• H – Human Firewall
• I – Intrusion Prevention
• N – Notfallpläne & Krisenmanagement
• O – Optimierung & kontinuierliche Verbesserung

Der erste Buchstabe des Nashornprinzips steht für einen zentralen Erfolgsfaktor: Regulatorik und Compliance. Sie schaffen verbindliche Leitplanken, fördern klare Strukturen und machen Resilienz mess- und steuerbar. Wer BCM strategisch aufbauen will, kommt an ihnen nicht vorbei.

Business Continuity Management bewegt sich im Spannungsfeld zahlreicher Standards und gesetzlicher Vorgaben – auf nationaler wie internationaler Ebene. Organisationen, insbesondere im öffentlichen Sektor oder im Bereich kritischer Infrastrukturen, müssen sich an einem komplexen Regelwerk orientieren. Dieses Spannungsfeld umfasst unter anderem:

Internationale Normen

• ISO 22301 ist der zentrale internationale Standard für Business Continuity Management. Er definiert Anforderungen an ein wirksames Managementsystem zur Sicherstellung der Geschäftskontinuität. Ziel: Die Organisation bleibt auch im Krisenfall handlungsfähig – durch resiliente Prozesse, Strukturen und Notfallpläne.
• ISO/IEC 27001 ergänzt diesen Fokus, indem sie Anforderungen an ein Informationssicherheits-Managementsystem (ISMS) stellt. Denn ohne gesicherte IT-Infrastruktur ist auch keine echte Kontinuität möglich – IT-Risiken und BCM sind eng miteinander verzahnt.

Nationale Standards

• BSI-Standard 200-4 des Bundesamts für Sicherheit in der Informationstechnik ist ein speziell auf Deutschland zugeschnittener BCM-Leitfaden. Er beschreibt ein dreistufiges Reifegradmodell für BCM und berücksichtigt sowohl kleine Behörden als auch große Konzerne. Besonders wertvoll: Die Umsetzung ist modular möglich – ideal für den öffentlichen Sektor.
• KRITIS-Vorgaben (z. B. nach § 8a BSIG) gelten für Betreiber kritischer Infrastrukturen (z.B. Energie, Gesundheit, Wasser, IT, etc.). Sie sind verpflichtet, angemessene organisatorische und technische Vorkehrungen zur Sicherstellung der Verfügbarkeit ihrer Leistungen zu treffen – das setzt ein BCM als Basis voraus. Die Umsetzung wird regelmäßig geprüft.

Wichtig zu wissen:

Obwohl das nationale Umsetzungsgesetz noch nicht in Kraft gesetzt ist, bleibt die NIS2-Richtlinie auf EU-Ebene verbindlich. Unternehmen sollten daher proaktiv handeln und sich auf die kommenden Anforderungen vorbereiten. Dazu gehören insbesondere:

• Überprüfung der Betroffenheit: Feststellen, ob das eigene Unternehmen unter die erweiterten Regelungen der NIS2 fällt.
• Implementierung von Sicherheitsmaßnahmen: Einführung oder Anpassung von Informationssicherheitsmanagementsystemen (ISMS) gemäß den Anforderungen der NIS2.
• Schulungen und Sensibilisierung: Mitarbeitende, insbesondere in leitenden Positionen, sollten über die neuen Pflichten informiert und entsprechend geschult werden.

Regulatorik als Kompass

Diese Regelwerke bilden den Rahmen für die Entwicklung und Umsetzung eines Business Continuity Managements. Wer Resilienz ernst meint, kommt an regulatorischen Anforderungen nicht vorbei. Doch statt sie als Bürde zu sehen, sollten sie als Orientierungshilfe und Chance genutzt werden. Wenn sie mit einer klaren Strategie und echter Führungsverantwortung verbunden werden, entsteht daraus eine widerstandsfähige Organisation – wachsam, robust und handlungsfähig. Ganz nach dem Vorbild unseres Symbols: dem Nashorn.

Im nächsten Beitrag lesen Sie, welche Rolle die Mitarbeitenden dabei spielen, eine Organisation resilient aufzustellen und zu erhalten.