Mit Ausgabe 12/2024 startet der Sicherheits-Berater eine kleine Beitragsserie zum Thema „Business Continuity Management“. Dazu befragten wir Christian Horres.
bz: Christian Horres, Du bist Sicherheitsberater bei der von zur Mühlen’sche Sicherheitsberatung GmbH, kurz VZM. Dort bist Du spezialisiert auf die Themen „Business Continuity Management“ und „Risk Management“. Sind das klassische Sicherheitsberatungsthemen?
hc: Ja, die Themen „Business Continuity Management“ (BCM) und „Risk Management“ sind klassische Sicherheitsberatungsthemen. Beide Bereiche spielen eine entscheidende Rolle bei der Sicherstellung der Resilienz und Sicherheit von Unternehmen. In der heutigen dynamischen und oft unsicheren Geschäftswelt sind BCM und Risikomanagement wesentliche Komponenten der Sicherheitsberatung. Sie helfen Unternehmen nicht nur dabei, auf Krisen vorbereitet zu sein, sondern auch, proaktiv zu agieren und potenzielle Bedrohungen zu managen, bevor sie zu ernsthaften Problemen werden.
bz: Als VZM-ler bist Du zugleich auch Redakteur des Sicherheits-Berater. Nun hast Du einen sehr, sehr langen Grundlagenbeitrag zum Thema „Business Continuity Management“ verfasst, den wir kapitelweise veröffentlichen werden. Das scheint doch ein ziemlich komplexes Thema zu sein?
hc: Ja, Business Continuity Management (BCM) ist in der Tat ein sehr komplexes Thema, insbesondere im Hinblick auf das neue KRITIS-Dachgesetz und die damit verbundenen Herausforderungen für Betreiber kritischer Anlagen. In meinem Grundlagenbeitrag, der noch auf www.sicherheits-berater.de kapitelweise veröffentlicht werden wird, konzentriere ich mich auf die spezifischen Anforderungen und Herausforderungen, die das neue Gesetz mit sich bringt. Ziel ist es, den Betreibern zu helfen, die neuen gesetzlichen Vorgaben zu verstehen und effektiv umzusetzen. Dabei gehe ich auf die notwendigen Schritte ein, um die Resilienz und Sicherheit ihrer Anlagen zu gewährleisten und den gesetzlichen Anforderungen gerecht zu werden.
bz: Dein Beitrag beginnt mit der Überschrift „Warum BCM?“. Warum denn? Bitte eine Antwort in maximal drei Sätzen.
hc: Weil das neue KRITIS-Dachgesetz verhältnismäßige Resilienzmaßnahmen fordert. Um diese Verhältnismäßigkeit bewerten und sich für die richtigen Resilienzmaßnahmen entscheiden zu können, ist eine gründliche Analyse, in Form einer Business Impact Analyse, abgekürzt BIA, erforderlich. Ohne diese BIA, in Verbindung mit einer Risikobewertung, sind valide Entscheidungen kaum möglich, und es besteht die Gefahr, die gesetzlichen Anforderungen nicht zu erfüllen.
bz: Ist BCM Teil des Resilienzthemas – oder umgekehrt?
hc: Business Continuity Management ist ein zentraler Aspekt der Resilienz, da es sicherstellt, dass ein Unternehmen in der Lage ist, auch in Krisensituationen wesentliche Geschäftsprozesse aufrechtzuerhalten. Resilienz umfasst jedoch noch mehr, einschließlich der Fähigkeit eines Unternehmens, sich anzupassen, aus Störungen zu lernen und sich weiterzuentwickeln. BCM trägt wesentlich zur Gesamtresilienz bei, indem es gezielt Strategien und Maßnahmen entwickelt, um Unterbrechungen zu bewältigen und die Betriebsfähigkeit zu sichern.
bz: In Deinem Beitrag beschreibst Du die Gesetze, die Unternehmen und Behörden dazu verpflichten, sich um ihr BCM zu kümmern. Wie kam es überhaupt dazu, dass BCM Gegenstand der Gesetzgebung wurde? Weshalb glaubt der Gesetzgeber, sich hier in das Management von Unternehmen und Behörden einmischen zu müssen?
hc: BCM wurde Gegenstand der Gesetzgebung, weil die zunehmende Komplexität und Vernetzung von Unternehmen und kritischen Infrastrukturen sie anfälliger für Störungen und Krisen macht. Der Gesetzgeber sieht sich in der Pflicht, einzugreifen, um die gesellschaftliche und wirtschaftliche Stabilität zu gewährleisten. Allerdings kommt diese Vorgabe aus Richtung der EU in Form einer sogenannten Critical Entities Resilience-(CER)-Richtlinie (EU 2022/2557). Diese Richtlinie verpflichtet EU-Staaten, die Inhalte dieser Richtlinie in nationales Recht umzusetzen, was Deutschland durch das KRITIS-Dachgesetz beabsichtigt sicherzustellen. Durch die gesetzlichen Vorgaben soll erreicht werden, dass Unternehmen und Behörden angemessen auf mögliche Risiken vorbereitet sind und in der Lage sind, ihre essenziellen Funktionen auch in Krisenzeiten aufrechtzuerhalten. Dies ist besonders wichtig, um die Versorgungssicherheit, die öffentliche Sicherheit und das Vertrauen der Bevölkerung in die Leistungsfähigkeit kritischer Infrastrukturen zu schützen.
bz: Du bist Sicherheitsberater. Was können Kunden von Dir erwarten, wenn sie Unterstützung in Sachen BCM brauchen?
hc: Grundsätzlich unterstütze ich in nahezu jeder Hinsicht in Sachen BCM. Dabei ist es mir besonders wichtig, auf die konkreten Bedürfnisse meiner Kunden einzugehen. Das kann eine reine Schulung und Sensibilisierung sein, um den Grundstein für die eigenständige Etablierung eines Business Continuity Management Systems (BCMS) zu legen. Ebenso biete ich partielle Unterstützung an, beispielsweise bei der Business Impact Analyse, deren Bewertung oder der Entwicklung von Strategien auf Grundlage vorhandener Analyseergebnisse.
BCM und die Bedürfnisse der Kunden sind sehr vielfältig. Deshalb ist diese Frage ebenso schwer zu beantworten wie der Einsatz von Vorlagen oder vorgefertigten Lösungen, die oft angeboten werden, aber selten zielführend sind. Unternehmen beschäftigen sich nicht erst seit heute mit den Themen Sicherheit und Resilienz. Daher gibt es bereits viele bestehende Strukturen und Prozesse, die genutzt werden sollten. Diese Synergieeffekte dürfen nicht unberücksichtigt bleiben, um Ressourcen zu schonen und die Effizienz zu maximieren.
bz: Dieser Newsletter wird womöglich nicht von irgendeiner Unternehmensleitung gelesen, sondern von Sicherheitsverantwortlichen oder anderen Mitarbeitern. Warum sollten die diesen Newslettern ihren Chefs zu Info weiterleiten?
hc: BCM wurde durch gesetzliche Regelungen wie §14 des Referentenentwurfs zum KRITIS-Dachgesetz zu einem wichtigen Thema für Geschäftsführer, da die Sicherheit und Resilienz kritischer Infrastrukturen von enormer Bedeutung für die Gesellschaft sind. Der Gesetzgeber hat erkannt, dass eine deutliche Verantwortung der Geschäftsleitung entscheidend ist, um angemessene Resilienzmaßnahmen zu gewährleisten. Mit der gesteigerten Billigungs-, Überwachungs- und Schulungspflicht sind Geschäftsführer nun verpflichtet, zukünftige Resilienzmaßnahmen sorgfältig zu billigen und zu überwachen. Zudem wird durch die gesteigerte Geschäftsführerhaftung und die Unwirksamkeit des Verzichts auf Ersatzansprüche aus §280 BGB sichergestellt, dass Geschäftsführer für Pflichtverletzungen zur Verantwortung gezogen werden können. Leserinnen und Leser dieses Interviews sollten also gern auch ihre Chefs auf die Dringlichkeit von BCM aufmerksam machen.
Diese gesetzlichen Maßnahmen sollen sicherstellen, dass Unternehmen ihre Pflicht ernst nehmen und die notwendigen Schritte unternehmen, um ihre Geschäftskontinuität und Sicherheit auch in Krisenzeiten zu gewährleisten oder erst gar nicht in eine Krise zu geraten. Hierbei wird jedoch nur die gesetzliche Pflicht näher in den Fokus genommen. BCM bietet die Möglichkeit, sich umfassend auf verschiedenste Ereignisse vorzubereiten und die Geschäftskontinuität abzusichern, ohne sich auf konkrete Schadensszenarien zu beschränken. Eine der wesentlichen Herausforderungen für Unternehmen besteht darin, dass die zunehmende Komplexität und Vernetzung der Geschäftsprozesse es schwierig macht, vorherzusehen, wann und wie sich eine Gefahr in ein tatsächliches Risiko für das Unternehmen verwandeln könnte. Durch BCM können Unternehmen diese Unsicherheiten besser managen und ihre Widerstandsfähigkeit stärken, indem sie ihre zeitkritischen Prozesse absichern, um flexibel auf unvorhergesehene Ereignisse reagieren zu können.
bz: Du bist auch Referent bei der SIMEDIA Akademie. Wann können Dich unsere Leserinnen und Leser einmal live erleben?
hc: Aktuell referiere ich bei der SIMEDIA Akademie zu den Themen BCM und KRITIS-Dachgesetz. Hierbei gehe ich zusammen mit meiner Kollegin Susanne Kufeld unter anderem auf die praxistaugliche Umsetzung der gesetzlichen Anforderungen, aber auch auf ein wirkungsvolles BCM-System ein. In einer neuen fünfteiligen Online-Seminarreihe thematisieren wir ab 20. August 2024 die Themen Awareness, BIA, Krisenmanagement, Risikomanagement und Objektschutz aus dem Blickwinkel des neuen KRITIS-Dachgesetzes. Ich würde mich freuen, hierbei auch Leserinnen und Leser von Sicherheits-Berater direkt begrüßen zu dürfen.
