Tests und Übungen stellen die Funktionsfähigkeit der Notfallvorsorge sicher
1.ÜBUNGEN – DIE KÖNIGSDISZIPLIN IM BUSINESS CONTINUITY MANAGEMENT
Die Urlaubssaison bricht gerade an und viele von uns steigen mit großem Vertrauen in ein Flugzeug, das uns in weit entfernte exotische Urlaubsziele bringt. Ein großer Teil des Vertrauens, den wir der überaus komplexen Technik entgegenbringen, ist im Wissen darüber begründet, dass
- alle wichtigen Komponenten mehrfach redundant ausgelegt sind,
- die komplizierte Technik laufend gewartet und repariert wird,
- den Piloten für auftretende Störungen bewährte und getestete Verfahren in Form von Checklisten zur Verfügung stehen,
- die Piloten regelmäßig diese Notfallverfahren üben und „im Schlaf beherrschen“.
Dieses gleiche Vertrauen möchten wir natürlich auch gerne der Notfallplanung in unserer Organisation entgegenbringen können.
In einer zeitaufwändigen Business Impact Analyse sind daher die kritischen Prozesse des Unternehmens mit den erforderlichen Ressourcen identifiziert worden. Für Gebäude, Mitarbeiter, IT-Anwendungen, technische Anlagen, Dokumente und Dienstleister wurden Notfallkonzepte für deren Ausfall erstellt. Verfahren für die Einleitung eines Notbetriebs und den Wiederanlauf in den Normalbetrieb sind in Notfallplänen dokumentiert. Viele Seiten an Notfallplänen dokumentieren eine gut geplante Notfallvorsorge. Jetzt kann der Notfall kommen, denn wir sind ja gut gerüstet!
Würden wir in ein Flugzeug steigen, wo neben dem Kopiloten ein mehrhundertseitiger verstaubter Ordner mit Notfallchecklisten liegt, der nie auf Funktionsfähigkeit getestet wurde und den die Piloten nur von außen kennen? Wohl kaum. Leider ist diese Situation in vielen Unternehmen häufig die Normalität. Dabei ist das Testen und Üben die Königsdisziplin im Business Continuity Management. Hier zeigt sich die wahre Qualität der Notfallvorsorge – und nicht im umfangreichen Seitenumfang der Notfallpläne. Nicht umsonst werfen Prüfer, Aufsichtsorgane und Kunden mittlerweile einen strengen Blick auf die durchgeführten Tests und Übungen, um sich einen Einblick in den Reifegrad des BCM zu verschaffen.
2. TESTS VERSUS ÜBUNGEN
Die Notfallvorsorge besteht aus
- Technischen und organisatorischen Maßnahmen,
- Prozeduren und Verfahren für den Notbetrieb und Wiederanlauf in den Normalbetrieb,
- Erkennungs-, Alarmierungs- und Eskalationsverfahren,
- Krisenmanagementorganisation und -prozesse.
Tests haben ein Testergebnis wie „ja/nein“, „erfolgreich/nicht erfolgreich“ oder eine Schulnote zum Ergebnis. Sie sind daher das geeignete Überprüfungsinstrument, um messbare Verfahren und Prozeduren zu bewerten.
Beispiele hierfür sind:
- Erreichbarkeitszeit für Mitglieder des Krisenstabs im Rahmen der Alarmierung,
- Zeitdauer für die vollständige Evakuierung eines Gebäudes nach einem Alarm,
- Bereitstellungszeit für redundante technische Lösungen (Bsp. Stromversorgung),
- Zeitdauer bis zur Inbetriebnahme der Prozesse an einem Ausweichstandort.
- Bei Übungen geht es in Abgrenzung zu Tests darum, Verfahren und Prozeduren auf Funktionsfähigkeit zu testen und die Beteiligten in den Verfahren zu trainieren, so dass sie diese im Notfall beherrschen.
Übungen haben zum Ziel, Schwachstellen und Verbesserungspotential zu identifizieren. Eine Übung ist daher erfolgreich, wenn möglichst viele Schwachstellen und Optimierungsmöglichkeiten identifiziert werden konnten und die Beteiligten sicherer im Umgang mit den Notfallplänen wurden. Die Identifikation von Schwachstellen und Optimierungspotentialen ist ein Qualitätskriterium für eine gute Übung. Ich kenne keine Übung, in der die Übungsbeteiligten im Ablauf der Übung nicht auf Schwachstellen gestoßen sind, die bei der Erstellung der Notfallpläne am Schreibtisch übersehen oder bei der Aktualisierung vergessen wurden. Das Ergebnis von Übungen ist daher im Unterschied zu Tests daran zu bemessen, wie viele der versteckten Fehler in der Notfallplanung durch die Übung identifiziert und eliminiert werden konnten und wie sich die Kenntnis der Übenden in den Verfahren durch die Übung verbessert hat. „Fehlerlos“ ist daher kein Erfolgskriterium für eine Übung. Dies würde dazu führen, dass Übungen so künstlich gestaltet und vorbereitet werden, dass in der Übung kein Fehler mehr passieren kann. Übungen werden hierdurch wirkungslos und ad absurdum geführt.
3. PLANUNG UND DURCHFÜHRUNG VON ÜBUNGEN
3.1 Übungs-Rahmenplanung
Würden Sie in ein Flugzeug einsteigen, bei dem mit schöner Regelmäßigkeit ausschließlich das Szenario „Ausfall rechtes Triebwerk“ getestet wird? Natürlich verlaufen nach mehreren Wiederholungen diese Tests alle reibungslos und es gibt einen ganzen Stapel positiver Testprotokolle. Das Triebwerk beginnt schon beinahe selbständig mit den Tests … . Leider ist das Schicksal von Natur aus gemein und hält sich nicht an unsere Vorgaben aus den Tests. Tests und Übungen müssen daher alle Aspekte der Notfallplanung abdecken. Diese beinhalten die kritischen Prozesse mit deren Ressourcen sowie die Abdeckung der unterschiedlichen Szenarien. Gebäudeevakuierungen, Alarmierungsübungen sowie Krisenstabsübungen gehören ebenso zum Übungsportfolio wie gemeinsame Übungen mit Kunden und Lieferanten sowie Blaulichtorganisationen und Behörden. Dies ist ein umfangreiches Spektrum, das natürlich nicht innerhalb einer Übung abgedeckt werden kann. Die Übungs-Rahmenplanung hat daher zum Ziel, für einen Zeitrahmen von zwei oder besser drei Jahren die Übungsformen, -inhalte und -beteiligte aufeinander abgestimmt zu planen. Mit Hilfe der Übungs-Rahmenplanung muss die Abdeckung über die gesamte Notfallvorsorge sichergestellt werden. Durch die mittel- und langfristige Planung erhalten die Übungsbeteiligten Planungssicherheit für die erforderlichen Ressourcen und Kapazitäten. Umfangreiche Simulationsübungen mit externen Beteiligten haben zudem eine Vorbereitungszeit für Planung und Organisation von bis zu 12 Monaten.
3.2 Konzeption und Planung einer Übung
Auf Basis des Übungs-Rahmenplans erfolgt die Konzeption und Planung der einzelnen Übungen.
In der Übungs-Konzeption werden die „W-Fragen“ für die Übung geklärt und festgelegt:
Übungs-Szenarien sollten abwechslungsreich, herausfordernd und realitätsnah sein. Klassische Übungs-Szenarien beinhalten den Ausfall von Gebäuden und/oder IT-Anwendungen. Seltener werden Personalausfallszenarien sowie Non-physical Damage-Risiken in Übungen abgebildet. Zu diesen Risikoszenarien ohne physische Beschädigungen zählen Störungen in den Lieferketten mit Dienstleistern und Kunden sowie Cyber-Risiken. Hacker-Attacken, Datenverlust oder -verschlüsselung durch Ransomware sowie Denial-of-Service-Angriffe sind nicht erst seit den jüngsten weltweiten Attacken wie zum Beispiel WannaCry und Pety von besonderer Relevanz und sollten in Übungs-Szenarien mit abgebildet werden.
Jede Übung stellt auch ein Projekt dar, das eine Projektplanung mit einer Zeit-, Kapazitäts- und Aufwandsplanung erfordert. Die Dauer einer Übung kann von einer Stunde bis zu mehreren Tagen reichen. Längere Übungen über zwei oder mehr Tage spiegeln die realistischen Herausforderungen eines Notfalls besonders gut wieder. So erfordern diese Übungen Schichtwechsel im Krisenmanagement und Übergaben in den Prozessen.
3.3 Durchführung einer Übung
Die Übungsleitung weist die Beteiligten in die Übung ein, startet die Übung, steuert und koordiniert den Ablauf und beendet die Übung. Bei besonderen Erfordernissen kann die Übungsleitung die Übung abbrechen.
Unabhängig von den variierenden Übungsinhalten ist bei jeder Übungsdurchführung auf folgende Punkte besonders zu achten
- Risikomanagement zur Vermeidung, dass aus der Übung ein echter Notfall resultiert,
- Übungssteuerung mittels Einspielungen und Reaktionen auf Aktionen und Entscheidungen der Übungsteilnehmer,
- Beobachtung, Protokollierung und Dokumentation für die Dokumentation des Ablaufs sowie der identifizierten Schwachstellen für die spätere Auswertung. Bereitstellung von Templates für die Protokollierung und Dokumentation.
- Umgang mit unerwarteten Reaktionen und korrigierende Eingriffe in den Übungsablauf, um die Sicherheit und Erreichung der Übungsziele sicherzustellen.
3.4 Auswertung und Dokumentation einer Übung
Übungen dienen der Weiterentwicklung der Notfallvorsorge durch die Identifikation von Schwachstellen und Optimierungspotentialen. Grundlage für die Übungsauswertung sind die während der Übung angefertigte Übungsprotokolle sowie Beobachter- und Teilnehmerfeedback.
- Was ist in der Übung gut gelaufen?
- Wo sind in der Übung Fehler oder Schwachstellen aufgetaucht?
- Hat die technische Ausstattung funktioniert? Oftmals sind es Kleinigkeiten wie fehlende oder abhanden gekommene technische Kleinteile und Ausrüstungen (Steckdosen, Verlängerungskabel, Ladekabel, Adapter etc.), die erst bei Übungen auffallen.
- Was muss im Aufbau und Inhalt der Notfallpläne geändert oder ergänzt werden?
- Was muss für die nächsten Übungen bedacht werden.
Im Anschluss an die Übung sollte eine Feedback-Runde mit den Übungs-Beteiligten durchgeführt werden, in der erste Erkenntnisse und Erfahrungen gesammelt werden.
Ablauf, Ergebnis und Erkenntnisse der Übung werden nach Auswertung der Übungs-Protokolle in einem Übungsbericht dokumentiert.
4. FAZIT
Tests und Übungen sind mit hohem Aufwand für die Vorbereitung, Durchführung und Auswertung verbunden. Dieser Aufwand für die „Königs-Disziplin“ des Business Continuity Management ist jedoch gut investiert, erfüllen Übungen doch gleichzeitig mehrere wichtige Ziele:
- Validierung der Notfallkonzepte und -pläne,
- Training der Beteiligten in den Notfallprozeduren,
- Schaffung von Awareness für das BCM,
- Erfüllung von Anforderungen an das BCM durch Kunden, Dienstleister und Regulatorik.
5. WEITERFÜHRENDE LINKS UND DOKUMENTE
ISO 22398:2013 Societal security — Guidelines for exercises
https://www.iso.org/standard/50294.html
BSI-Standard 100-4 Notfallmanagement
https://www.bsi.bund.de/DE/Themen/ITGrundschutz/ITGrundschutzStandards/Standard04/ITGStandard04_node.html
BSI Umsetzungsrahmenwerk Modul Tests und Übungen
https://www.bsi.bund.de/DE/Themen/ITGrundschutz/ITGrundschutzStandards/Umsetzungsrahmenwerk/umra.html
BCI Good Practice Guidelines
www.thebci.org
BCM-News
www.bcm-news.de
Matthias Hämmerle MBCI, Geschäftsführer von haemmerle-consulting, ist ein erfahrerener und anerkannter Experte für Business Continuity und Informationssicherheitsmanagement. Seine Erfahrungen sammelte der studierte Wirtschafts-wissenschaftler sowohl im Finanzsektor als auch bei Unternehmensberatungen und Wirtschafts-prüfungsgesellschaften. Er ist Lead Auditor ISO 22301, als Dozent für den Themenberiche BCM an der Frankfurt School of Finance & Management tätig und Herausgeber der BCM-News, dem führenden deutschsprachigen Informationsportal für BCM.