Was macht Business Continuity Management?
Im Mittelpunkt steht die Frage, welche Prozesse ein Unternehmen auf keinen Fall verlieren darf und wie lange es ohne sie auskommt. Dafür führen Business Continuity Manager Business-Impact-Analysen durch: Sie befragen Fachbereiche, ermitteln maximal tolerierbare Ausfallzeiten und halten fest, von welchen Systemen, Dienstleistern und Standorten ein Prozess abhängt. Im Groß- und Einzelhandel betrifft das etwa Warenwirtschaft, Kassensysteme, Zentrallager, Transportdienstleister und den Onlineshop. Aus den Ergebnissen entstehen Notfall- und Wiederanlaufpläne, die regelmäßig aktualisiert werden müssen. Ein großer Teil der Arbeit besteht darin, Ansprechpartner in den Abteilungen dazu zu bringen, ihre Pläne tatsächlich zu pflegen. Hinzu kommen Notfallübungen vom Planspiel am Tisch bis zum Test eines Rechenzentrumswechsels, die Abstimmung mit IT-Sicherheit, Risikomanagement und Einkauf sowie Berichte an Geschäftsleitung, Revision und Prüfer. Tritt eine echte Störung ein, organisieren sie den Krisenstab, dokumentieren Entscheidungen und werten den Vorfall danach aus.
Wie wird man Business Continuity Manager?
Einen geregelten Ausbildungsweg gibt es nicht. Die meisten kommen über ein Studium der Wirtschaftswissenschaften, Wirtschaftsinformatik, Informatik oder Sicherheitsmanagement und sammeln zunächst Erfahrung in IT-Betrieb, Informationssicherheit, Risikomanagement, Revision oder Beratung. Quereinstiege aus Logistik, Facility Management, Feuerwehr, Bundeswehr oder Polizei kommen vor, vor allem wenn Erfahrung mit Lagen und Stabsarbeit vorhanden ist. Arbeitgeber erwarten häufig Kenntnisse der ISO 22301 und des BSI-Standards 200-4, oft belegt durch Zertifikate wie Lead Implementer oder Lead Auditor ISO 22301 oder Abschlüsse des Business Continuity Institute. In regulierten Branchen kommen Anforderungen aus DORA, NIS2 oder dem KRITIS-Recht hinzu.
Was der Beruf verlangt
Die Arbeit ist über lange Strecken konzeptionell und von Dokumentation geprägt, was nicht jedem liegt. Viele Fachbereiche sehen Notfallvorsorge als Pflichtaufgabe ohne Priorität, entsprechend viel Überzeugungsarbeit und Hartnäckigkeit braucht es. Business Continuity Manager haben meist keine Weisungsbefugnis gegenüber den Abteilungen, deren Mitarbeit sie brauchen. Im Normalbetrieb sind die Arbeitszeiten überwiegend planbar, im Ernstfall nicht: Bei Cyberangriffen, Großstörungen oder Unwetterlagen kann es zu langen Tagen, Einsätzen am Wochenende und Rufbereitschaft kommen. Übungen finden teils außerhalb der Geschäftszeiten statt, damit der laufende Betrieb nicht gestört wird. In Konzernen mit vielen Standorten und in der Beratung gehören Dienstreisen dazu. Vor Audits und Prüfungen steigt der Termindruck spürbar.
Aussichten
Die Nachfrage ist in den vergangenen Jahren gestiegen, getrieben durch Lieferkettenprobleme, Ransomware-Angriffe und neue Regulierung wie NIS2 und DORA, die auch Unternehmen außerhalb der Finanzbranche zu dokumentierter Notfallvorsorge verpflichtet. Stellen gibt es vor allem in größeren Unternehmen, bei Banken und Versicherungen, Energieversorgern, im Handel mit vielen Filialen und Lagern sowie in Beratungen. In kleineren Firmen ist die Aufgabe oft nur ein Teil einer Stelle in IT-Sicherheit oder Risikomanagement. Entwicklungswege führen zur Leitung eines Resilienz- oder Krisenmanagementteams, in die Informationssicherheit als Informationssicherheitsbeauftragter oder in die Beratung und Auditierung.