- +49 2056 267 9050
- kontakt@mabs-compliance.com
- Cyber-Notfall Soforthilfe
Risikomanagement & Notfallmanagement
Ein Cyberangriff, der Ausfall zentraler IT-Systeme, ein nicht verfügbarer Dienstleister oder der Verlust eines Standorts kann innerhalb weniger Stunden wesentliche Geschäftsprozesse beeinträchtigen.
Welche Risiken bestehen?
Sondern auch:
Was passiert mit Ihrem Unternehmen, wenn sich eines dieser Risiken tatsächlich realisiert?
mabs unterstützt Unternehmen beim systematischen Aufbau und der Weiterentwicklung von Risikomanagement, Business Continuity Management und Notfallmanagement.
Wir verbinden Risikoanalyse, Business Impact Analyse, Risikobehandlung, Notfallvorsorge und Wiederanlaufplanung zu einem durchgängigen System.
Damit Ihre Organisation Risiken nicht nur dokumentiert, sondern beherrscht.
Viele Unternehmen verfügen bereits über Risikolisten, Notfalldokumente oder Backup-Konzepte.
Trotzdem bleiben zentrale Fragen unbeantwortet:
Ein Risikoregister allein schafft noch keine Resilienz.
Ein Notfallhandbuch allein schafft noch keine Handlungsfähigkeit.
Das Risikomanagement betrachtet mögliche Ereignisse, bevor sie eintreten:
Was kann passieren?
Wie wahrscheinlich ist es?
Welche Auswirkungen wären zu erwarten?
Welche Risiken müssen behandelt werden?
Das Notfall- und Business Continuity Management setzt dort an, wo Risiken nicht vollständig verhindert werden können:
Welche Prozesse müssen weiterlaufen?
Wie lange können wir einen Ausfall tolerieren?
Welche Ressourcen benötigen wir?
Wie stellen wir den Geschäftsbetrieb wieder her?
Wie reagieren wir?
Dadurch entstehen keine voneinander losgelösten Risikolisten und Notfallordner, sondern ein nachvollziehbares und steuerbares System.
Risikoanalyse und Risikobewertung
Wir schaffen Transparenz über die tatsächliche Risikosituation Ihrer Organisation.
Gemeinsam mit den relevanten Verantwortlichen identifizieren und bewerten wir:
Das Ergebnis ist ein strukturiertes und priorisiertes Risikoregister als Entscheidungsgrundlage für Geschäftsführung und Verantwortliche.
Unsere Methodik orientiert sich – abhängig vom Anwendungsfall – insbesondere an ISO 31000, ISO/IEC 27005 und ISO/IEC 27001.
Die entscheidende Frage lautet:
Reicht das aus, wenn morgen ein kritischer Geschäftsprozess ausfällt?
Wir analysieren gemeinsam mit Ihnen den aktuellen Reifegrad und zeigen, welche Maßnahmen tatsächlich erforderlich sind.
Damit kann die Geschäftsführung nicht nur beantworten, welche Risiken bestehen – sondern auch, wie die Organisation mit ihnen umgeht.
Unser Anspruch ist nicht, möglichst viele Dokumente zu produzieren.
Wir verbinden die Anforderungen aus Informationssicherheit, Cybersecurity, Risikomanagement und Business Continuity mit den tatsächlichen Geschäftsprozessen unserer Kunden.
Dabei betrachten wir gemeinsam:
Organisation + Prozesse + Informationen + IT + Dienstleister + Menschen + Regulierung
Unsere Arbeit basiert auf praktischer Erfahrung aus:
Dadurch entwickeln wir keine isolierten Notfallkonzepte, sondern Strukturen, die zu bestehenden Management- und Entscheidungsprozessen passen.
Unternehmen
deren Geschäftsprozesse wesentlich von IT, Personal, Standorten oder externen Dienstleistern abhängig sind.
NIS2-regulierte Organisationen
die Risikoanalyse, Business Continuity und Krisenmanagement strukturiert umsetzen müssen.
ISO-27001-zertifizierte Unternehmen
die ihr Informationssicherheits-Risikomanagement und ihre Business-Continuity-Strukturen weiterentwickeln möchten.
TISAX®-Teilnehmer und Automobilzulieferer
die Anforderungen an Informationssicherheit, Risikomanagement und Betriebskontinuität erfüllen müssen.
Unternehmen mit steigenden Kundenanforderungen
die Notfallvorsorge und Resilienz gegenüber Kunden, Konzernen oder Auftraggebern nachweisen müssen.
Organisationen ohne eigenes BCM-Team
die ein belastbares System benötigen, ohne zusätzliche interne Spezialfunktionen aufzubauen.
Gleichzeitig fordert der Maßnahmenkatalog unter anderem die Berücksichtigung der Informationssicherheit während Störungen sowie die Vorbereitung der ICT auf Business Continuity.
Ein bestehendes ISMS bietet deshalb eine gute Grundlage für Risiko- und Notfallmanagement.
Es ersetzt jedoch nicht automatisch:
Wir bauen auf Ihrem vorhandenen ISMS auf und ergänzen gezielt die erforderlichen Strukturen.
Für besonders wichtige und wichtige Einrichtungen verlangt das BSI-Gesetz geeignete, verhältnismäßige und wirksame technische und organisatorische Risikomanagementmaßnahmen.
Dazu gehören unter anderem:
Damit sind Risikomanagement und Business Continuity zentrale Bestandteile einer belastbaren NIS2-Umsetzung.
mabs unterstützt Sie dabei, diese Anforderungen in bestehende Unternehmens- und Informationssicherheitsstrukturen zu integrieren.
Viele unserer Kunden verfügen bereits über ein:
Wir bauen Risiko- und Notfallmanagement deshalb nicht automatisch als zusätzliche Parallelstruktur auf.
Bereits vorhandene
werden berücksichtigt und soweit sinnvoll weiterverwendet.
Das reduziert Doppelarbeit und erhöht die Wahrscheinlichkeit, dass Risiko- und Notfallmanagement tatsächlich Bestandteil der Organisation werden.
Wir analysieren vorhandene Risikobewertungen, Notfallstrukturen, Dokumentationen, Verantwortlichkeiten und bestehende Managementsysteme.
Das Ergebnis zeigt:
Was besteht bereits – und was fehlt tatsächlich?
Gemeinsam mit Ihren Fachbereichen identifizieren wir kritische Geschäftsprozesse, Assets, Abhängigkeiten und Risiken.
Keine Risikoanalyse ausschließlich am Schreibtisch.
Wir bestimmen die Auswirkungen möglicher Ausfälle und leiten die erforderlichen Wiederanlaufanforderungen für kritische Prozesse und Ressourcen ab.
Wir entwickeln angemessene Maßnahmen, Notfallstrukturen, Eskalationswege und Wiederanlaufstrategien.
Die erforderlichen Regelwerke, Register, Notfallpläne und Nachweise werden nachvollziehbar dokumentiert.
Die entwickelten Strukturen werden praktisch erprobt.
Erkenntnisse aus Übungen, Vorfällen, Audits und organisatorischen Veränderungen fließen in die Weiterentwicklung ein.
Dokumentierte Verfahren allein reichen nicht aus.
Wir planen und moderieren unter anderem:
Dabei prüfen wir nicht nur, ob ein Plan vorhanden ist.
Wir betrachten:
Wird ein Ereignis erkannt?
Wird richtig eskaliert?
Sind Verantwortlichkeiten eindeutig?
Sind relevante Informationen verfügbar?
Können Entscheidungen getroffen werden?
Funktioniert die Kommunikation?
Sind Wiederanlaufziele realistisch?
Erkannte Schwachstellen werden anschließend in konkrete Verbesserungsmaßnahmen überführt.
Wir analysieren beispielsweise Szenarien wie:
Ausfall der IT
Ransomware, Ausfall von Microsoft 365, Netzwerkstörungen, Serverausfälle, Identitäts- oder Cloud-Probleme.
Ausfall von Personal
Schlüsselpersonen, Administratoren oder Spezialisten stehen kurzfristig nicht zur Verfügung.
Ausfall von Dienstleistern
Cloud-Anbieter, IT-Dienstleister, Logistikpartner oder andere kritische Lieferanten fallen aus.
Standortausfall
Brand, Wasser, Stromausfall, technischer Defekt oder fehlende Zutrittsmöglichkeit beeinträchtigen einen Standort.
Ausfall von Informationen
Kritische Daten sind nicht verfügbar, beschädigt oder nicht vertrauenswürdig.
Cyberangriff
Ein Sicherheitsvorfall beeinträchtigt Systeme, Kommunikation und Geschäftsprozesse gleichzeitig.
Die Notfallvorsorge wird an Ihren tatsächlichen Geschäftsrisiken ausgerichtet – nicht an theoretischen Standardszenarien.
Im Notfall stehen Informationen möglicherweise nicht vollständig zur Verfügung. Verantwortliche Personen können fehlen. Kommunikationswege können gestört sein. Gleichzeitig müssen Entscheidungen unter erheblichem Zeitdruck getroffen werden.
Deshalb entwickeln wir Notfalldokumentationen so, dass sie auch von Personen genutzt werden können, die sie nicht selbst erstellt haben.
Je nach Bedarf erstellen oder optimieren wir unter anderem:
Dabei orientieren wir uns insbesondere am BSI-Standard 200-4 und an ISO 22301.
Nicht jeder Prozess ist gleich kritisch.
Deshalb beginnen wir Business Continuity nicht bei Servern oder Anwendungen, sondern bei Ihrem Geschäft.
Im Rahmen der Business Impact Analyse (BIA) untersuchen wir:
Dabei werden auch kritische Abhängigkeiten und Single Points of Failure sichtbar.
Das Ergebnis beantwortet eine der wichtigsten Fragen des Notfallmanagements:
Was muss in welcher Reihenfolge wieder funktionieren, damit Ihr Unternehmen handlungsfähig bleibt?
Nicht jedes Risiko kann oder muss vollständig vermieden werden.
Gemeinsam definieren wir eine angemessene Risikobehandlung:
Vermeiden
Die risikobehaftete Tätigkeit oder Situation wird beendet oder verändert.
Reduzieren
Technische oder organisatorische Maßnahmen reduzieren Eintrittswahrscheinlichkeit oder Auswirkungen.
Übertragen
Risiken werden beispielsweise durch Versicherungen oder vertragliche Regelungen teilweise übertragen.
Akzeptieren
Ein verbleibendes Risiko wird nach bewusster Managemententscheidung getragen.
Aus der Entscheidung entsteht ein nachvollziehbarer Maßnahmenplan mit:
Damit wird aus einer theoretischen Risikoanalyse ein steuerbarer Managementprozess.
Ein Unternehmen muss zunächst kritische Geschäftsprozesse, Informationen, IT-Systeme, Personalressourcen, Standorte und Dienstleister identifizieren. Anschließend werden Risiken bewertet und mittels Business Impact Analyse die Auswirkungen möglicher Ausfälle sowie erforderliche Wiederanlaufzeiten bestimmt. Daraus entstehen Risikobehandlungsmaßnahmen, Notfallorganisation, Notfallhandbuch und Wiederanlaufpläne, die regelmäßig getestet und verbessert werden.
Risikomanagement identifiziert, bewertet und behandelt mögliche Risiken, bevor ein Schaden eintritt. Notfallmanagement regelt die konkrete Reaktion auf schwerwiegende Störungen und Notfälle. Business Continuity Management betrachtet darüber hinaus systematisch, welche kritischen Geschäftsprozesse innerhalb welcher Zeit und mit welchen Ressourcen aufrechterhalten oder wiederhergestellt werden müssen. Die drei Disziplinen sollten deshalb miteinander verbunden werden.
Für besonders wichtige und wichtige Einrichtungen verlangt das deutsche BSI-Gesetz geeignete und wirksame Risikomanagementmaßnahmen. Dazu gehören unter anderem Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Aufrechterhaltung des Betriebs, Backup-Management, Wiederherstellung nach Notfällen und Krisenmanagement. Unternehmen sollten diese Maßnahmen dokumentieren und ihre Wirksamkeit regelmäßig überprüfen.
Ein ISMS nach ISO/IEC 27001 schafft eine wichtige Grundlage für das Informationssicherheits-Risikomanagement und enthält Anforderungen zur Kontinuität der Informationsverarbeitung. Ein vollständiges Business Continuity und Notfallmanagement betrachtet jedoch zusätzlich kritische Geschäftsprozesse, Auswirkungen von Ausfällen, Wiederanlaufstrategien, organisatorische Notfallstrukturen und regelmäßige Übungen. Bestehende ISO-27001-Strukturen können dabei genutzt und gezielt erweitert werden.
Ein professionelles Notfallhandbuch sollte mindestens Notfallorganisation, Verantwortlichkeiten, Alarmierungs- und Eskalationswege, Notfallkontakte, Kommunikationsregeln, Entscheidungskompetenzen und relevante Handlungsanweisungen enthalten. Ergänzend werden für kritische Geschäftsprozesse, IT-Systeme und weitere Ressourcen konkrete Wiederanlauf- und Wiederherstellungspläne benötigt. Entscheidend ist, dass die Dokumentation regelmäßig aktualisiert und durch Übungen auf ihre praktische Funktionsfähigkeit geprüft wird.