Im Rahmen eines Business Continuity Managements ist es erforderlich, sich für Notfälle zu wappnen. Auf Basis von Risikoanalysen können Notfallszenarien identifiziert und im Vorfeld geplant werden. Notfallplanung ist ein essenzieller Bestandteil der Vorbereitung auf ein anzunehmendes Ereignis, das die Geschäftsprozesse eines Unternehmens merklich stören könnte.
Die Notfallplanung erfolgt noch immer gern auf Basis von Word und Excel, um anschließend die erstellten Dokumente in ausgedruckter Form bereitzustellen. Die Frage stellt sich jedoch, ob die analoge Notfallplanung im 21. Jahrhundert noch immer der Weisheit letzter Schluss ist. Ergeben sich Änderungen – und sei es nur die Telefonnummer eines Ansprechpartners – muss ggf. in vielen Dokumenten eine Änderung erfolgen, Fehler sind hier vorprogrammiert. Der Pflegeaufwand ist sehr hoch. Werden Änderungen gar nicht oder zu spät eingearbeitet, ausgedruckt und in den entsprechenden Ordnern abgelegt, so ist die Notfallplanung obsolet.
Im Bereich der IT-Notfallplanung ist es schon seit Längerem gelebte Praxis, die Dokumentation digital zu pflegen und so auch erforderliche IT Notfallplanungs-konzepte im Sinne von zum Beispiel Prozeduren für Desaster Recovery und Datenwiederherstellung digital vorzuhalten.
Natürlich ist hier anzumerken, dass eine digital vorgehaltene Notfallplanung und ggf. im Krisenfall unterstützende Software bei Ausfall der Infrastruktur (Strom, Klima) und IKT-Systemen (Informations- und Kommunikationstechnik) möglicherweise ebenfalls betroffen sein können. Eine analoge Notfallplanung würde in einem solchen Fall weiterhin quasi als Rückfallebene zur Verfügung stehen.
Sollen z. B. eine Anlage der Sicherheitstechnik, ein IT-System oder gar eine gesamte Leitstelle oder ein Rechenzentrum neu beschafft oder modernisiert werden, bietet es sich spätestens dann an, sich Gedanken über das Thema Notfallplanung zu machen. Nach Analyse der Geschäftsprozesse, die in Anlage, IT-System oder Gebäude(-teil) verarbeitet werden, muss für diese der Schutzbedarf hinsichtlich Verfügbarkeit, Vertraulichkeit und Integrität bewertet werden. Hier kann auch eine Business Impact Analyse (BIA) hilfreich sein, die über eine reine Risikobewertung hinsichtlich Eintrittswahrscheinlichkeit und Auswirkung hinausgeht. Auf einer solchen Basis können nun bereits Vorkehrungen für die bauliche, technische, organisatorische sowie physische und logische Sicherheit getroffen oder bereits umgesetzte Maßnahmen geprüft und gegebenenfalls ergänzt werden.
Für die jeweiligen Geschäftsprozesse, sei es Alarmbearbeitung in einer Leitstelle, Videoüberwachung in Hochsicherheitsbereichen oder sonstige IT-Services, die bereitgestellt werden, kann nun eine Dokumentation für die Notfallplanung erstellt werden, die folgende Informationen beinhalten sollte:
Infrastruktur
- Notstromaggregate
- Unterbrechungsfreie Stromversorgungen (USV)
- Netzwerktechnik (Switche, Router, Firewalls)
- Datenanbindungen von Providern und Dienstleistern
- Kommunikationsmöglichkeiten und -dienste (Telefon, Funk)
- Trassenführungen
- Gebäude, Bauteile
- Zutrittskontrolle (elektronisch, mechanisch)
Informations- und Kommunikationstechnik
- Standorte der IKT
- Bezeichnungen
- Lieferanten
- Seriennummern
- IP- und MAC-Adressen
- Zugangsdaten
- Serviceverträge
- Lizenzverträge
Im Rahmen der Notfallplanung ist es erforderlich, dass zu den jeweiligen Systemen Pläne vorliegen, aus denen Schwachstellen und Ausführungen ersichtlich sind, um Fehler schneller finden und Wiederherstellungen beschleunigen zu können. Kontaktdaten von externen Dienstleistern sind zu jedem System auf einem aktuellen Stand zu halten, idealerweise mit Vertretungsregeln. Für IKT-Systeme sind Shutdown- und Wiederanlaufprozeduren und -abläufe zu testen und zu dokumentieren. Hier bestehen zumeist Abhängigkeiten. So ist z. B. der Verzeichnisdienst als eines der ersten Systeme erforderlich, damit sich dort die anderen Systeme anmelden können.
Werden alle erforderlichen Informationen gesammelt, so wird eine IT-gestützte Notfallplanung extrem hilfreich. Die digitale Notfallplanung hat den Vorteil, über
Schnittstellen Daten aus anderen Systemen zu nutzen oder auf Dokumente, die zentral auf einem Speichersystem abgelegt sind, zuzugreifen und bei Bedarf automatisch abzugleichen, wenn eine neuere Version vorhanden ist.
Die Dokumentation und Notfallplanung erfolgt nun an einem einzigen Ort, im Fall der Fälle kann die Software zudem unterstützen. Selbstverständlich ist für die digitale Notfallplanung auch ein Ausfallkonzept zu erarbeiten. Die digitale Notfallplanung sollte nicht in den Gebäuden und auch nicht auf den IT-Systemen verortet werden, die es wiederherzustellen gilt. Hier kann ein zweiter Standort herangezogen werden, z. B. eine andere Liegenschaft oder auch als Software as a Service in der Cloud. Zugriff kann dann von jedem Standort aus mittels Laptop und Mobilfunk erfolgen. Am Markt sind auch Softwarelösungen enthalten, die die Notfallplanung auf einem USB-Stick, der überall eingesteckt werden kann, realisieren.
Selbstverständlich muss es nicht eine speziell auf Notfallplanung konzipierte Software sein. Eine Dokumentation der Geschäftsprozesse inklusive aller Abhängigkeiten kann auch sehr gut in einem Wiki durchgeführt werden. Wie es auch von Wikipedia bekannt sein dürfte, können dabei Abhängigkeiten oder weiterführende Dokumentationen direkt verlinkt und aufgerufen werden. Alle Informationen sind schnell verfügbar. Über Rechte- und Rollenkonzepte mit Freigabeprozeduren kann so jeder die Notfallplanung bzw. ein Betriebshandbuch aktuell halten, eine zuständige Rolle (Person oder Team) kann die Aktualisierungen prüfen und freigeben. Der Zugriff auf sensitive Informationen lässt sich so ebenfalls regeln. IT-gestützte digitale Notfallplanung bietet somit einen Mehrwert gegenüber der „alten“ analogen Welt. :
