BCM-Profil Hochschule

Notfälle und Krisen wie Cyberangriffe und Wetterereignisse sind nicht immer vorhersehbar und können – unvorbereitet – große Unsicherheiten erzeugen, wie Ereignisse der letzten Jahre wirkungsvoll gezeigt haben. In solchen Situationen kann der Normalbetrieb nicht mehr aufrechterhalten werden. Damit sind die etablierten Absicherungen – wie etwa gemäß dem IT-Grundschutzprofil für Hochschulen – unwirksam. Deshalb benötigt jede Hochschule zusätzlich ein Notfall- und Krisenmanagement bzw. ein Business Continuity Management (BCM), um dem Personal und den Studierenden auch in Not- und Krisenfällen ein möglichst unterbrechungsfreies Arbeits- und Lernumfeld bieten zu können.

Ein effektives BCM ermöglicht es Hochschulen, sich vor den Auswirkungen schwerwiegender Schadensereignisse zu schützen, die mit den üblichen Mitteln des täglichen Betriebs nicht mehr bewältigt werden können und den Hochschulbetrieb erheblich – bis hin zur Existenzgefährdung – beeinträchtigen könnten. Ziel eines BCM-Systems (BCMS) ist es, den Hochschulbetrieb bei erheblichen Schadensereignissen aufrechtzuerhalten oder zumindest auf einem definierten Mindestniveau fortzuführen. Dazu umfasst das BCMS organisatorische, technische, bauliche und personelle Maßnahmen. Hochschulen können dabei bestehende Sicherheitsmaßnahmen aus anderen Managementsystemen einbinden und bei Bedarf erweitern. Insbesondere ergeben sich Synergien mit dem Informationssicherheits-Managementsystem (ISMS). Das BCM-Profil für Hochschulen erleichtert den Einstieg in ein BCM.

Das vorliegende BCM-Profil für Hochschulen wurde vom Arbeitskreis Informationssicherheit des Vereins Zentren für Kommunikationsverarbeitung in Lehre und Forschung e. V. in den Jahren 2024 und 2025 auf Basis mehrerer Workshops unter Leitung des BSI (Bundesamt für Sicherheit in der Informationstechnik) erstellt. Es ergänzt den BSI-Standard 200-4 zum Business Continuity Management, der verschiedene Stufen eines BCM-Systems beschreibt (Reaktiv-BCMS, Aufbau-BCMS und Standard-BCMS).
Das Profil gibt eine Interpretationshilfe für den Standard sowie konkrete Vorgaben zur Einführung eines sogenannten Reaktiv-BCMS an Hochschulen unter Berücksichtigung ihres spezifischen Kontextes. In den Workshops wurden im Rahmen von Expertenrunden mit bis zu 50 IT-Sicherheitsbeauftragten, IT-Mitarbeitenden und Rechenzentrumsleitungen sowie Prozessverantwortlichen und dem BSI die wesentlichen Kernprozesse an Hochschulen betrachtet. Ziel war es, im Rahmen einer Business-Impact-Analyse zu bewerten, in welchem Zeitraum Notfallprozesse etabliert werden müssen, um einen Notbetrieb aufrechterhalten zu können. Darüber hinaus wurden die verschiedenen internen und externen Interessengruppen und deren Einfluss auf die Kommunikation im Notfall bzw. Krisenfall betrachtet sowie die Zusammensetzung einer für Hochschulen angepassten sogenannten Besondere Aufbauorganisation zur Bewältigung des Notfalls bzw. Krisenfalls (BAO) betrachtet und entsprechende Umsetzungshinweise erarbeitet.

Jede Institution sollte ein individuelles BCMS entwickeln, das den internen Anforderungen entspricht, um die daraus resultierenden Risiken zu minimieren. Abhängig von der gewählten Vorgehensweise gemäß BSI-Standard 200-4 muss sie in einem ersten Schritt erweiterte Rahmenbedingungen ermitteln, um den BCMS-Prozess anforderungsgerecht durchführen zu können. In jedem BCMS muss eine sogenannte Besondere Aufbauorganisation (BAO) eingerichtet werden, die es Institutionen ermöglicht, Schadensereignisse zu bewältigen. Idealerweise geschieht dies anhand der entwickelten Notfallpläne. Selbst wenn solche Pläne nicht greifen oder keine geeigneten Pläne vorliegen, sollte eine BAO in der Lage sein, ein Schadensereignis im Krisenfall ohne solche Pläne zu bewältigen. Die weiteren Schritte eines BCMS, wie das Üben und Testen sowie die Beurteilung des eigenen BCMS, müssen an die eigene Institution angepasst werden, um effektiv zu sein.

Das Ziel des Business-Continuity-Management-Prozesses ist es, beim Eintritt eines Notfalls schnellstmöglich durch die Anwendung vorher definierter Wiederanlauf- und Geschäftsfortführungspläne einen Notbetrieb der betroffenen Hochschule auf reduziertem Niveau zu ermöglichen. Wiederanlaufpläne beschreiben dabei die Tätigkeiten, wie die für einen Notbetrieb erforderlichen Ressourcen aktiviert werden. Geschäftsfortführungspläne beschreiben den anschließenden Notbetrieb auf prozessualer Ebene – genauer: wie die Notbetriebsressourcen einzusetzen sind. Nach einer parallel oder später stattfindenden Wiederherstellung der gestörten ursprünglichen Prozesse auf der entsprechenden (IT-)Infrastruktur über entsprechende Wiederherstellungspläne kann wieder in den Normalbetrieb übergegangen werden.