Was macht ein Business Continuity Manager?
Im Mittelpunkt steht die Frage, welche Geschäftsprozesse wie lange ausfallen dürfen und was im Ernstfall zu tun ist. Dazu führen Business Continuity Manager Business-Impact-Analysen mit den Fachbereichen durch, ermitteln Wiederanlaufzeiten und Abhängigkeiten von IT-Systemen, Dienstleistern und Personal und leiten daraus Notfall- und Wiederanlaufpläne ab. Diese Pläne müssen gepflegt, regelmäßig getestet und nach Organisationsänderungen angepasst werden. Ein großer Teil der Arbeit besteht aus Abstimmung: mit dem IT-Betrieb über Ausweichrechenzentren, mit dem Auslagerungsmanagement über Notfallkonzepte von Dienstleistern, mit der Informationssicherheit über Cyber-Szenarien. In Banken kommt die Regulatorik hinzu. MaRisk, die europäische Verordnung DORA zur digitalen operationalen Resilienz sowie Prüfungen durch interne Revision, Wirtschaftsprüfer und Bankenaufsicht bestimmen, was dokumentiert und nachgewiesen werden muss. Business Continuity Manager bereiten Übungen und Krisenstabstrainings vor, moderieren sie, werten sie aus und berichten an Vorstand oder Risikoausschuss. Im tatsächlichen Störfall arbeiten sie im Krisenstab mit und koordinieren den Wiederanlauf.
Wie wird man Business Continuity Manager?
Eine geregelte Ausbildung gibt es nicht. Üblich ist ein Studium der Wirtschaftsinformatik, Informatik, Betriebswirtschaft oder eines sicherheitsbezogenen Studiengangs. Viele kommen über Umwege in den Beruf: aus der IT-Sicherheit, dem operationellen Risikomanagement, der internen Revision, dem IT-Betrieb oder der Organisationsabteilung einer Bank. Ergänzend werden Zertifikate erwartet, etwa nach ISO 22301 als Lead Implementer oder Auditor, Abschlüsse des Business Continuity Institute oder des DRI sowie Kenntnisse des BSI-Standards 200-4. Für Berufseinsteiger ohne Vorerfahrung im Risiko- oder IT-Umfeld ist der direkte Einstieg schwierig, häufiger beginnt man als Mitarbeiter im Notfallmanagement oder in einer Beratung.
Was der Beruf verlangt
Der Beruf verlangt Geduld mit Dokumentation und Formalien. Pläne, Analysen und Testprotokolle müssen so geführt sein, dass sie einer Prüfung standhalten, und Prüfungsfeststellungen erzeugen kurzfristigen Termindruck. Business Continuity Manager sind auf die Mitarbeit von Fachbereichen angewiesen, die das Thema oft als lästig empfinden; Überzeugungsarbeit ohne direkte Weisungsbefugnis gehört zum Alltag. Übungen finden teils abends oder am Wochenende statt, damit der laufende Betrieb nicht gestört wird. Viele Arbeitgeber erwarten Rufbereitschaft, und im echten Krisenfall sind lange, unplanbare Einsätze möglich. Wer mit unklaren Lagen, Verantwortung vor dem Vorstand und der ständigen Änderung regulatorischer Anforderungen schlecht zurechtkommt, wird sich schwertun.
Aussichten
Die Nachfrage ist stabil bis steigend. Mit DORA, der NIS-2-Richtlinie und dem KRITIS-Dachgesetz wächst der Kreis der Unternehmen, die Notfallmanagement nachweisen müssen, über Banken und Versicherungen hinaus auf Energieversorger, Gesundheitswesen, Logistik und IT-Dienstleister. Erfahrene Fachleute sind knapp, besonders solche, die Regulatorik und IT-Technik gleichermaßen verstehen. Entwicklungswege führen zur Leitung des Notfall- und Krisenmanagements, in die Gesamtverantwortung für operationelle Resilienz, in Richtung Informationssicherheitsbeauftragter oder in die Beratung und Prüfung bei Wirtschaftsprüfungsgesellschaften.