Der BSI-Standard 200-4 ist die Methodik des Bundesamts für Sicherheit in der Informationstechnik für den Aufbau und Betrieb eines Business Continuity Management Systems (BCMS). Er beschreibt, wie Organisationen zeitkritische Geschäftsprozesse ermitteln, deren Fortführung bei Störungen und Notfällen planen und die getroffenen Vorkehrungen erproben. Der BSI-Standard 200-4 löst den früheren Standard 100-4 zum Notfallmanagement ab und ist mit der internationalen Norm ISO 22301 kompatibel.

Was ist der BSI-Standard 200-4?

Der BSI-Standard 200-4 ist ein Leitfaden für Business Continuity Management, also für die Fähigkeit einer Organisation, ihre wichtigsten Leistungen auch bei erheblichen Störungen aufrechtzuerhalten oder schnell wieder aufzunehmen. Er richtet sich an Behörden und Unternehmen jeder Größe und ist – wie alle BSI-Standards – kostenfrei verfügbar.

Inhaltlich beantwortet der Standard drei Fragen. Welche Prozesse müssen unbedingt weiterlaufen und wie lange dürfen sie ausfallen? Welche Vorkehrungen sind nötig, damit sie das tun? Und wie stellt eine Organisation sicher, dass diese Vorkehrungen im Ernstfall tatsächlich greifen? Der Umfang geht damit über IT-Ausfälle hinaus: Betrachtet werden auch der Ausfall von Personal, Gebäuden, Dienstleistern und Versorgungsleistungen.

Der Standard ist mit dem BSI IT-Grundschutz verzahnt, aber eigenständig nutzbar. Wer bereits ein Informationssicherheitsmanagement nach den Standards 200-1 bis 200-3 betreibt, kann Strukturanalyse, Schutzbedarfsfeststellung und Rollen weiterverwenden. Umgekehrt lässt sich ein BCMS nach 200-4 auch ohne bestehendes ISMS aufbauen. Der praktische Zuschnitt ist bewusst weit gefasst, weil Geschäftsfortführung eine Aufgabe der Institutionsleitung ist und nicht der IT allein.

Welche Stufen sieht das Stufenmodell des BSI-Standards 200-4 vor?

Die auffälligste Neuerung des BSI-Standards 200-4 ist sein Stufenmodell. Statt ein vollständiges Managementsystem als Einstiegsvoraussetzung zu verlangen, beschreibt der Standard drei aufeinander aufbauende Ausbaustufen:

Stufe	Zielsetzung	Typischer Einsatz
Reaktiv-BCMS	Schneller Einstieg mit Fokus auf die Bewältigung von Notfällen für die wichtigsten Prozesse; Vorsorge nur in Ansätzen	Organisationen ohne bestehendes BCM, die kurzfristig handlungsfähig werden müssen
Aufbau-BCMS	Aufbau der dauerhaften Strukturen, Ausweitung der Vorsorge auf weitere Prozesse, noch ohne vollständige Abdeckung	Zwischenstufe auf dem Weg zum vollständigen System
Standard-BCMS	Vollständiges Managementsystem mit durchgängiger Vorsorge, Steuerung und Verbesserung	Organisationen mit hohen Anforderungen oder Nachweispflichten; Grundlage für Zertifizierungen

Der Nutzen dieser Abstufung liegt in der Realitätsnähe. In der Praxis scheitern BCM-Projekte selten an der Methode, sondern an ihrem Umfang: Wer mit einer vollständigen Analyse aller Prozesse beginnt, hat nach zwei Jahren viele Dokumente und noch immer keine belastbare Notfallfähigkeit. Das Reaktiv-BCMS dreht diese Reihenfolge um und stellt zuerst die Bewältigungsfähigkeit her – Alarmierungswege, Zuständigkeiten, Stabsarbeit – und baut die Vorsorge danach aus. Für Organisationen mit knappen Ressourcen ist das der entscheidende Unterschied zum Vorgängerstandard.

Wie unterscheidet sich der BSI-Standard 200-4 vom BSI-Standard 100-4?

Der BSI-Standard 200-4 ersetzt den Standard 100-4 aus dem Jahr 2008 und unterscheidet sich in vier Punkten. Erstens durch das Stufenmodell, das einen abgestuften Einstieg erlaubt, während der Vorgänger ein vollständiges Notfallmanagement voraussetzte. Zweitens durch die begriffliche Neuausrichtung: Aus „Notfallmanagement“ wurde „Business Continuity Management“, was den Blick von der Störungsbewältigung auf die Aufrechterhaltung der Leistungserbringung verschiebt.

Drittens durch die stärkere Trennung von Zuständigkeiten. Der Standard grenzt Business Continuity Management, IT-Service-Continuity-Management und Krisenmanagement deutlicher voneinander ab, beschreibt aber ihre Schnittstellen. Viertens durch die internationale Anschlussfähigkeit: Das Standard-BCMS ist so konzipiert, dass es die Anforderungen der ISO 22301 abdeckt, was für Organisationen mit Zertifizierungsbedarf oder internationalen Konzernstrukturen relevant ist. Hinzu kommen deutlich umfangreichere Umsetzungshilfen und Beispieldokumente, die das BSI begleitend bereitstellt.

Welche Kennzahlen verwendet der BSI-Standard 200-4?

Die zentralen Kennzahlen des BSI-Standards 200-4 entstehen in der Business Impact Analyse und legen fest, wie schnell und in welchem Umfang ein Prozess wieder verfügbar sein muss:

Kennzahl	Bedeutung
Maximal tolerierbare Ausfallzeit	Zeitspanne, nach der der Ausfall eines Prozesses nicht mehr hinnehmbar ist – die harte Obergrenze
Wiederanlaufzeit	Zeit, innerhalb derer der Notbetrieb eines Prozesses anlaufen soll; liegt unterhalb der maximal tolerierbaren Ausfallzeit
Wiederanlaufniveau	Leistungsumfang, der im Notbetrieb mindestens erbracht werden muss – selten hundert Prozent
Maximal tolerierbarer Datenverlust	Zeitraum, für den Datenverluste hinnehmbar sind; bestimmt die Frequenz von Sicherungen

Die dritte Kennzahl wird in der Praxis am häufigsten übersehen, ist aber die wichtigste für realistische Planung. Ein Notbetrieb muss nicht den Regelbetrieb ersetzen; er muss die kritische Mindestleistung erbringen. Wer diesen Unterschied nicht definiert, plant Ausweichlösungen in voller Größe und scheitert an deren Kosten. Umgekehrt entsteht ohne definiertes Wiederanlaufniveau im Ernstfall Streit darüber, was überhaupt als „wieder verfügbar“ gilt.

Wie läuft der Aufbau eines BCMS nach BSI-Standard 200-4 ab?

Der Aufbau beginnt mit der Initiierung durch die Leitung: Sie beauftragt das Vorhaben, verabschiedet eine BCM-Leitlinie, stellt Ressourcen bereit und benennt eine verantwortliche Person für das Business Continuity Management. Ohne diesen Schritt bleibt BCM ein Projekt der IT oder des Sicherheitsbereichs und erreicht nicht die Fachprozesse, um die es eigentlich geht.

Es folgt die Konzeptionsphase mit der Business Impact Analyse als Kernstück. Sie ermittelt, welche Geschäftsprozesse zeitkritisch sind, welche Ressourcen sie benötigen – Personal, IT, Gebäude, Dienstleister, Betriebsmittel – und welche Schäden bei einem Ausfall entstehen. Ergänzt wird sie um eine Risikoanalyse, die die Wahrscheinlichkeit relevanter Ausfallszenarien bewertet. Aus beiden Ergebnissen entstehen die Kontinuitätsstrategien: Ausweicharbeitsplätze, redundante Systeme, alternative Dienstleister, manuelle Rückfallverfahren, Vorräte.

Anschließend werden die Vorkehrungen in Pläne überführt und die Bewältigungsorganisation aufgebaut – also Alarmierungswege, Meldeketten, Stabsstrukturen und Entscheidungsbefugnisse für den Ernstfall. Den Abschluss bildet kein Endpunkt, sondern ein Zyklus: Tests und Übungen, Auswertung, Anpassung der Pläne, erneute Prüfung der Analyseergebnisse. Ändern sich Prozesse, Standorte oder Dienstleister, verlieren die Ergebnisse der Business Impact Analyse ihre Gültigkeit – eine regelmäßige Wiedervorlage gehört deshalb zum System.

Welche Pläne verlangt der BSI-Standard 200-4?

Der BSI-Standard 200-4 unterscheidet mehrere Plantypen entlang des zeitlichen Ablaufs einer Störung. Geschäftsfortführungspläne beschreiben, wie ein Prozess während des Ausfalls seiner normalen Ressourcen weiterläuft – meist über ein Notverfahren mit reduziertem Leistungsumfang. Wiederanlaufpläne regeln den Übergang in den Notbetrieb der eigentlichen Systeme und Ressourcen. Wiederherstellungspläne beschreiben die Rückkehr zum Regelbetrieb, einschließlich der Nachverarbeitung von Vorgängen, die im Notbetrieb aufgelaufen sind. Dieser letzte Teil wird regelmäßig vergessen und verursacht nach größeren Ausfällen den meisten Aufwand.

Zusammengeführt werden die Pläne in einem Notfallhandbuch, das im Ernstfall auch dann verfügbar sein muss, wenn die betroffenen Systeme nicht erreichbar sind – als ausgedruckte Fassung oder auf einer unabhängigen Plattform. Ein Notfallplan, der ausschließlich im ausgefallenen Dateisystem liegt, ist im Anwendungsfall wertlos. Ebenso gehört zu jedem Plan die Angabe, wer ihn auslöst, wer ihn ausführt und wer über Abweichungen entscheidet.

Welche Rolle spielen Tests und Übungen im BSI-Standard 200-4?

Tests und Übungen sind im BSI-Standard 200-4 keine Kür, sondern der Wirksamkeitsnachweis des gesamten Systems. Der Standard beschreibt dafür eine Abstufung, die mit geringem Aufwand beginnt: Plan-Reviews prüfen Dokumente auf Aktualität und Widerspruchsfreiheit, Schreibtischtests gehen ein Szenario im Gespräch durch, Stabsübungen erproben Entscheidungs- und Kommunikationswege unter Zeitdruck, und Funktions- oder Vollübungen prüfen den tatsächlichen Anlauf von Ausweichlösungen.

Der Erkenntniswert steigt mit der Realitätsnähe. Erst wenn eine Übung ohne die gewohnten Systeme stattfindet, zeigt sich, ob Kontaktdaten aktuell sind, ob die Alarmierung Personen tatsächlich erreicht und ob die Beteiligten ihre Rollen kennen. Ebenso wichtig wie die Übung selbst ist die Auswertung: Erkannte Lücken gehören in eine nachverfolgte Maßnahmenliste mit Verantwortlichen und Fristen, sonst wiederholen sich dieselben Befunde bei der nächsten Übung.

Wie verhält sich der BSI-Standard 200-4 zu ISO 22301?

Der BSI-Standard 200-4 und ISO 22301 verfolgen dasselbe Ziel mit unterschiedlichem Detailgrad. ISO 22301 formuliert Anforderungen an ein BCMS und lässt offen, wie sie erfüllt werden; sie ist international anerkannt und zertifizierbar. Der BSI-Standard 200-4 liefert eine ausführliche Methodik mit konkreten Vorgehensweisen, Vorlagen und Beispielen, ist aber ein nationaler Leitfaden und selbst kein Zertifizierungsschema.

Für die Praxis bedeutet das: Wer ein Standard-BCMS nach BSI-Standard 200-4 aufbaut, erfüllt die Anforderungen der ISO 22301 weitgehend und kann darauf eine Zertifizierung aufsetzen. Organisationen mit rein nationalem Bezug – Behörden, kommunale Einrichtungen, Betreiber im deutschen Regulierungsrahmen – fahren mit 200-4 in der Regel schneller, weil die Methodik konkreter ist und weniger Interpretationsaufwand erfordert. International tätige Unternehmen wählen häufiger den Weg über die Norm, weil deren Zertifikat außerhalb Deutschlands besser anschlussfähig ist.

Für wen ist der BSI-Standard 200-4 relevant?

Relevant ist der BSI-Standard 200-4 überall dort, wo die Fortführung von Leistungen nachgewiesen werden muss. In der Bundesverwaltung ist er über die Vorgaben zur Informationssicherheit gesetzt. Für Betreiber kritischer Infrastrukturen dient er als anerkannte Methodik, um Vorkehrungen zur Aufrechterhaltung der Versorgung zu belegen; branchenspezifische Sicherheitsstandards greifen die Systematik vielfach auf.

Deutlich erweitert hat sich der Adressatenkreis durch NIS-2: Business Continuity, Backup-Management und Krisenmanagement gehören dort ausdrücklich zu den geforderten Risikomanagementmaßnahmen, und zwar für eine erheblich größere Zahl von Einrichtungen als zuvor. Im Finanzsektor bestehen über die aufsichtsrechtlichen Anforderungen an die IKT-Geschäftsfortführung vergleichbare Pflichten. Für viele dieser Organisationen ist der BSI-Standard 200-4 der pragmatischste Weg, weil das Stufenmodell einen Einstieg erlaubt, ohne dass sofort ein vollständiges Managementsystem stehen muss.

Welche Rolle spielt Kommunikation im BSI-Standard 200-4?

Kommunikation ist im BSI-Standard 200-4 eine eigenständige, kritische Ressource. Sie taucht an drei Stellen auf: bei der Alarmierung und Eskalation zu Beginn eines Ereignisses, in der Stabsarbeit während der Bewältigung und in der Krisenkommunikation nach innen und außen. Der Standard behandelt die Bewältigungsorganisation – häufig als Besondere Aufbauorganisation mit einem Krisenstab ausgestaltet – ausdrücklich als Teil des Systems und nicht als improvisierte Reaktion.

Für die Planung folgt daraus eine Anforderung, die in Konzepten oft unterschätzt wird: Die Kommunikationsmittel des Ernstfalls dürfen nicht von den Systemen abhängen, deren Ausfall den Ernstfall auslöst. Fällt das Netz, die Telefonanlage oder die Kollaborationsplattform aus, muss die Alarmierung trotzdem funktionieren. Dasselbe gilt bei einem Sicherheitsvorfall, bei dem die eigene Infrastruktur als kompromittiert gelten muss. Deshalb verlangen Business-Continuity-Konzepte eine vorab festgelegte, unabhängige Ausweichlösung mit gepflegten Kontaktdaten, definierten Verteilern und geübter Anwendung – Improvisation über private Mobilnummern erfüllt weder Vertraulichkeits- noch Nachweisanforderungen.

Organisationen lösen das in der Praxis über vorab freigegebene, von der Regelinfrastruktur unabhängige Kommunikationslösungen mit definierten Alarmierungs- und Meldewegen, deren Verfügbarkeit regelmäßig geübt und im Notfallhandbuch dokumentiert wird.

Wie sich sichere dienstliche Kommunikation mit voller organisatorischer Kontrolle abbilden lässt, zeigt Teamwire in einer Demo oder im kostenlosen Test.

Welche typischen Fehler treten bei der Umsetzung des BSI-Standards 200-4 auf?

Der häufigste Fehler bei der Umsetzung des BSI-Standards 200-4 ist der Versuch, sofort ein vollständiges Standard-BCMS aufzubauen, obwohl das Stufenmodell genau dafür einen Einstieg anbietet. Weitere Schwachstellen aus der Praxis:

Business Impact Analyse allein durch die IT durchgeführt, statt die Fachbereiche über Kritikalität und tolerierbare Ausfallzeiten entscheiden zu lassen
Wiederanlaufniveau nicht definiert, sodass Notbetrieb und Regelbetrieb gleichgesetzt und Ausweichlösungen unnötig groß geplant werden
BCM auf IT-Ausfälle verengt, obwohl Personal-, Gebäude- und Dienstleisterausfälle ebenso abgedeckt sein müssen
Pläne erstellt, aber nie geübt – Aktualität von Kontaktdaten und Rollenkenntnis bleiben ungeprüft
Notfallhandbuch ausschließlich digital in der Umgebung abgelegt, deren Ausfall es adressieren soll
Rückkehr zum Regelbetrieb nicht geplant, sodass die Nachverarbeitung nach dem Ereignis unkoordiniert verläuft
Ergebnisse der Analysen nach Umstrukturierungen, Standortwechseln oder neuen Dienstleistern nicht aktualisiert
Kommunikationswege für den Ernstfall auf derselben Infrastruktur vorgesehen, die im Szenario ausfällt

Zusammenfassung: Wichtige Punkte zum BSI-Standard 200-4

Der BSI-Standard 200-4 beschreibt Aufbau und Betrieb eines Business Continuity Management Systems (BCMS) und löst den früheren Standard 100-4 zum Notfallmanagement ab.
Kern ist ein Stufenmodell aus Reaktiv-BCMS, Aufbau-BCMS und Standard-BCMS, das einen schrittweisen Einstieg ohne vollständiges Managementsystem erlaubt.
Das Reaktiv-BCMS stellt zuerst die Bewältigungsfähigkeit her – Alarmierung, Zuständigkeiten, Stabsarbeit – und baut die Vorsorge danach aus.
Die Business Impact Analyse ist das Kernstück der Konzeption und liefert die maßgeblichen Kennzahlen zu Ausfallzeit, Wiederanlauf und tolerierbarem Datenverlust.
Das Wiederanlaufniveau ist die am häufigsten übersehene Kennzahl: Ein Notbetrieb muss die kritische Mindestleistung erbringen, nicht den Regelbetrieb ersetzen.
Der Standard unterscheidet Geschäftsfortführungs-, Wiederanlauf- und Wiederherstellungspläne; die Rückkehr zum Regelbetrieb wird regelmäßig vergessen.
Tests und Übungen sind der Wirksamkeitsnachweis des Systems und reichen vom Plan-Review über Schreibtischtests bis zur Voll- und Stabsübung.
Das Standard-BCMS ist mit ISO 22301 kompatibel, sodass darauf eine Zertifizierung aufgesetzt werden kann; der BSI-Standard selbst ist ein Leitfaden, kein Zertifizierungsschema.
Relevant ist der Standard für die Bundesverwaltung, KRITIS-Betreiber und den durch NIS-2 erweiterten Adressatenkreis, für den Business Continuity zur Pflichtmaßnahme gehört.
Kommunikation ist eine kritische Ressource: Alarmierung und Stabsarbeit dürfen nicht von den Systemen abhängen, deren Ausfall den Ernstfall auslöst.