Das Dokument bietet einen umfassenden Überblick über relevante Standards und Vorschriften im Bereich Business Continuity Management (BCM), einschließlich gesetzlicher Anforderungen und internationaler Normen. Es behandelt spezifische Regelungen wie das Aktiengesetz und die Mindestanforderungen für das Risikomanagement (MaRisk) sowie verschiedene BCM-Standards wie BS 25999 und ISO 22301. Des Weiteren werden die Inhalte, Veröffentlichungen und Zertifizierungsmöglichkeiten der verschiedenen Standards skizziert.

1. Überblick über BCM-relevante Standards
BCM Standards
Matthias Hämmerle MBCI
November 2014
Alle Rechte bei BCM-News, keine Veröffentlichung ohne ausdrückliche Genehmigung

2. Standards und Good Practices für BCM
2
Gesetzliche und regulatorische Anforderungen
Internationale und nationale Standards
Good Practices
© BCM-News

3. AktG
3
AktG: §91: Organisation, Buchführung: (2)Der Vorstand hat geeignete Maßnahmen zu treffen, insbesondere ein Überwachungssystem einzurichten, damit denFortbestand der Gesellschaft gefährdende Entwicklungenfrüh erkannt werden. §93: Sorgfaltspflicht und Verantwortlichkeit der Vorstandsmitglieder: (1)Die Vorstandsmitglieder haben bei ihrer Geschäftsführung die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleitersanzuwenden. Eine Pflichtverletzung liegt nicht vor, wenn das Vorstandsmitglied bei einer unternehmerischen Entscheidung vernünftigerweise annehmen durfte, auf der Grundlage angemessener Information zum Wohle der Gesellschaft zu handeln. (…) §116: Sorgfaltspflicht und Verantwortlichkeit der Aufsichtsratsmitglieder: Für die Sorgfaltspflicht und Verantwortlichkeit der Aufsichtsratsmitglieder gilt §93 mit Ausnahme des Absatzes 2 Satz 3 über die Sorgfaltspflicht und Verantwortlichkeit der Vorstandsmitglieder sinngemäß. © BCM-News

4. AktG
4
AktG §317: Gegenstand und Umfang der Prüfung: (4)Bei einer börsennotierten Aktiengesellschaft ist außerdem im Rahmen der Prüfung zu beurteilen, ob der Vorstand die ihm nach §91 Abs. 2 des Aktiengesetzes obliegenden Maßnahmen in einer geeigneten Form getroffen hat und ob das danach einzurichtende Überwachungssystem seine Aufgaben erfüllen kann. §321: Prüfungsbericht: (4)Ist im Rahmen der Prüfung eine Beurteilung nach §317 Abs. 4 abgegeben worden, so ist deren Ergebnis in einem besonderen Teil des Prüfungsberichts darzustellen. Es ist darauf einzugehen, ob Maßnahmen erforderlich sind, um das interne Überwachungssystem zu verbessern. © BCM-News

5. GmbHG
5
GmbHG §43: Haftung der Geschäftsführer: (1)Die Geschäftsführer haben in den Angelegenheiten der Gesellschaft die Sorgfalt eines ordentlichen Geschäftsmannesanzuwenden. (2)Geschäftsführer, welche ihre Obliegenheiten verletzen, haften der Gesellschaft solidarisch für den entstandenen Schaden. (3)Insbesondere sind sie zum Ersatz verpflichtet, wenn den Bestimmungen des §30 zuwider Zahlungen aus dem zur Erhaltung des Stammkapitals erforderlichen Vermögen der Gesellschaft gemacht oder den Bestimmungen des §33 zuwider eigene Geschäftsanteile der Gesellschaft erworben worden sind. Auf den Ersatzanspruch finden die Bestimmungen des §9b Abs.1 entsprechende Anwendung. Soweit der Ersatz zur Befriedigung der Gläubiger der Gesellschaft erforderlich ist, wird die Verpflichtung der Geschäftsführer dadurch nicht aufgehoben, daßdieselben in Befolgung eines Beschlusses der Gesellschafter gehandelt haben. (4)Die Ansprüche auf Grund der vorstehenden Bestimmungen verjähren in fünf Jahren. © BCM-News

6. MaRisk des BaFin
6
Mindestanforderungen für das Risikomanagement (MaRisk)* AT 7.3 Abs. 1 Notfallkonzept
„FürNotfälleinzeitkritischenAktivitätenundProzessenistVorsorgezutreffen(Notfallkonzept).DieimNotfallkonzeptfestgelegtenMaßnahmenmüssendazugeeignetsein,dasAusmaßmöglicherSchädenzureduzieren.DieWirksamkeitundAngemessenheitdesNotfallkonzeptesistregelmäßigdurchNotfalltestszuüberprüfen.DieErgebnissederNotfalltestssinddenjeweiligenVerantwortlichenmitzuteilen.
ImFallderAuslagerungvonzeitkritischenAktivitätenundProzessenhabendasauslagerndeInstitutunddasAuslagerungsunternehmenüberaufeinanderabgestimmteNotfallkonzeptezuverfügen.“
AT 7.3 Abs. 2 Notfallkonzept
„DasNotfallkonzeptmussGeschäftsfortführungs-sowieWiederanlaufpläneumfassen.DieGeschäftsfortführungsplänemüssengewährleisten,dassimNotfallzeitnahErsatzlösungenzurVerfügungstehen.DieWiederanlaufplänemüsseninnerhalbeinesangemessenenZeitraumsdieRückkehrzumNormalbetriebermöglichen.DieimNotfallzuverwendendenKommunikationswegesindfestzulegen.
Das Notfallkonzept muss den beteiligten Mitarbeitern zur Verfügung stehen.“
*(Rundschreiben 15/2009 des BaFinauf der Grundlage des §25a Abs. 1 (Besondere organisatorische Pflichten von Instituten) des Kreditwesengesetzes (KWG), Fassung vom 14.08.2009
© BCM-News

7. BCI Good Practice Guidelines
7
© BCM-News
bci Good Practice Guidelines 2013
Herausgeber
Business Continuity Institute bci (UK)
Englisch (GPG 2013), Deutsch (GPG 2013)
Bezug über die Homepage des bci , Preis: 23 Euro, www.thebci.org
Inhalte
6 Phasen des BCM Lebenszyklus:
Management Practices
Policy& Programm Management
Einbettung in die Unternehmenskultur
Technical Practices
Verständnis des Geschäfts (BIA, RIA)
BCM Strategie
Notfallplanung
Tests, Maintenance, Monitoring

8. BS 25999-1:2006
8
© BCM-News
BS 25999-1:2006 Code ofPractice
Herausgeber
British Standards (2006)
Englisch und Deutsch
Veröffentlichung: November 2006
Bezug über die Homepage von British Standards(www.bsigroup.com)
Inhalte
Business Continuity Management Lifecycle:
BCM Programm Management
Verständnis des Geschäfts / BIA
Business Continuity Strategie
Notfallplanung
Tests, Maintenance, Monitoring
Einbettung in die Unternehmenskultur
Zertifizierung
Keine Zertifizierung nach BS 25999-1 möglich

9. BS 25999-2:2007
9
© BCM-News
BS 25999-2:2007 Specification
Herausgeber
British Standards
Englisch und Deutsch
Veröffentlichung: 20. November 2007
Inhalte
Anforderungen an ein Business Continuity Management System für eine Zertifizierung
Business Continuity Management System BCMS
Implementierung und Betrieb des BCMS nach BCM-Lebenszyklus
BCMS-Dokumentationen
Überwachung und Audit des BCMS
Weiterentwicklung und Verbesserung des BCMS
Zertifizierung
Zertifizierung eines BCMS nach BS 25999-2während der Übergangsperiode zum ISO 22301(November 2012)

10. ISO 22301:2012
10
ISO/IEC 22301
Herausgeber
International OrganizationforStandardizationISO
Englisch
Technical Committee ISO/TC 223
Veröffentlichung: 15. Mai 2012
Inhalte
Teil einer ISO-Familie zu SocietalSecurity
Anforderungen an ein BCMS
Leadership, Planning, Support, Operation, Performance evaluation, Improvement
Zertifizierung
Zertifizierung nach ISO 22301 möglich
© BCM-News

11. ISO 22313:2012
11
ISO/IEC 22313 BCMS Guidance
Herausgeber
International OrganizationforStandardizationISO
Englisch
Technical Committee ISO/TC 223
Veröffentlichung: Dezember 2012
Inhalte
Teil einer ISO-Familie zu SocietalSecurity
Guidancezum ISO 22301
Leadership, Planning, Support, Operation, Performance evaluation, Improvement
Zertifizierung
Zertifizierung nach ISO 22301 möglich
© BCM-News

12. Gliederung von ISO 22301 und ISO 22313
12
© BCM-News

13. BSI 100-4
13
BSI 100-4
Herausgeber
Bundesamt für Sicherheit in der Informationstechnik
Deutsch
Veröffentlichung: 2008
Bezug kostenfrei über die Homepage des BSIwww.bsi.bund.de
Inhalte
Initiierung des Notfallmanagements (Organisation, Rollen)
Notfallmanagement-Prozess
Konzeption einer Business Impact Analyse
Tests und Übungen
Krisenmanagement
Gliederungsbeispiele für Notfallhandbuch und Geschäftsfortführungsplan
Zertifizierung
Keine Zertifizierung nach BSI 100-4 möglich
© BCM-News

14. ISO 27031:2011
14
ISO/IEC 27031:2011
Herausgeber
ISO (theInternational OrganizationforStandardization)
IEC (theInternational ElectrotechnicalCommission)
Veröffentlichung: 31. März 2011
Inhalte
Plan –Do –Check –Actfür die Implementierung der Notfallvorsorge für Informations-und Kommunikationstechnologie
Schnittstellen zum BCM
Plan: (Policy, Gap-Analyse, Strategie)
Do: IRBC Plan
Check: Monitoring, Review
Act: Management Review
Zertifizierung
Keine Zertifizierung möglich
© BCM-News

15. ISO 24762:2008
15
ISO/IEC 24762:2008
Herausgeber
ISO (theInternational OrganizationforStandardization)
IEC (theInternational ElectrotechnicalCommission)
Veröffentlichung: 01. Februar 2008
Inhalte
Anforderungen an interne und externe Service Provider für DisasterRecoveryServices
Anforderungen an Implementierung, Betrieb, Überwachung sowie Wartung und Aktualisierung von DR Services
Zertifizierung
Zertifizierung nach ISO/IEC 24762:2008 möglich
© BCM-News

16. ITIL
16
ITIL 2011 edition
Herausgeber
TSO und itSMFDeutschland e.V.
www.itil-officialsite.com
Inhalte
Service Level Management
Service Catalogue Management
Information Security Management
SupplierManagement
IT Service Continuity Management
AvailabilityManagement
CapacityManagement
Zertifizierung
Zertifizierung nach ISO/IEC 20000-1:2011
© BCM-News

17. BS 11000-1,-2
17
BS 11000-1:2010, BS 11000-2:2011
Herausgeber
BSi(2010, 2011)
Standard
Englisch
Bezug über die Homepage des BSi
Inhalte
awareness
knowledge
Internal assessment
partnerselection
workingtogether
valuecreation
stayingtogether
exitstrategy
© BCM-News

18. PD 25222:2011
18
PD 25222:2011
Herausgeber
BSi(Dezember 2011)
PublishedDocument(PD)
Englisch
Bezug über die Homepage des BSi
Inhalte
Whyissupplychainimportant?
Analysis ofthesupplychain
Consideringoptions: developingstrategies
Operational considerations
Assurance, ongoingmanagement andreview
© BCM-News

19. Internationale BCM-Standards (unvollständig)
19
ISO 22301:2011
BCM-Standards
National FireProtectionAssociation: NFPA 1600:2013
ASIS International: ASIS SPC.1-2009
ASIS International: Organizational Resilience Maturity Model ANSI Standard (ANSI/ASIS.SPC.4-2012)
Australia/New ZealandStandard: AS/ZS 5050:2010Business Continuity–Managing disruption-relatedrisk
SingaporeStandard SS540:2008
Canadian Standard CSA Z1600 Emergency Management and Business Continuity Programs
JapaneseCorporate Code –BC Guidelines 2005 byMinistry of Economy, Trade and Industry
National Institute ofStandards andTechnology: NIST SP 800
34 –Contingency Planning Guide for Information Technology (IT) Systems; NIST SP 800-53 Rev. 3 Contingency Planning (CP) controls
New York Stock Exchange: NYSE Rule446

20. Kontakt
Matthias Hämmerle MBCI
Business Continuity Manager
admin@bcm-news.de
www.bcm-news.de