Technische Umsetzung in Leistungsphase Fünf

Ein effizientes BCM erfordert eine klare Strategie und feste Verankerung in der Aufbau- und Ablauforganisation des Unternehmens. In diesem Abschnitt wird geprüft, ob das Unternehmen eine BCM-Organisation etabliert hat, die in der Ausführungsplanung sichtbar wird, und ob Verantwortlichkeiten sowie Abläufe eindeutig festgelegt sind.

• BCM-Policy und Strategie: Gibt es eine vom Management verabschiedete BCM-Strategie bzw. Leitlinie? Diese sollte die Ziele des Business Continuity Management (z. B. maximal tolerierte Ausfallzeiten, Schutzziele für Personen und Prozesse) definieren und den Geltungsbereich (Scope) festlegen. Idealerweise ist eine BCM-Policy vorhanden, die mit der Unternehmensstrategie im Einklang steht und in den Planungsdokumenten referenziert wird. Die Prüfer schauen hier nach Dokumenten wie einem BCM-Handbuch oder Richtlinie, aus der die strategischen Vorgaben hervorgehen.

• Organisatorische Zuständigkeiten: Es muss klar erkennbar sein, wer für das BCM verantwortlich ist. In der Regel wird ein BCM-Beauftragter oder -Manager benannt, und es existiert ein BCM-Team oder Ausschuss. Speziell im Krisenfall ist ein Krisenstab einzurichten: „Der Krisenstab ist ein Team aus Schlüsselpersonen, das im Notfall die Leitung übernimmt und strategische Entscheidungen trifft.“. Die Mitglieder des Krisenstabs (Geschäftsleitung, Bereichsleiter, Sicherheitsbeauftragte etc.) sollten benannt sein und regelmäßig in ihren Aufgaben geschult werden, „um im Ernstfall effektiv agieren zu können.“. Die Ausführungsplanung sollte entsprechende Organigramme oder Beschreibungen enthalten, die die Krisenorganisation abbilden, inklusive Rollen, Vertretungsregelungen und Entscheidungsbefugnissen.

• Einbindung der Mitarbeiter und Kommunikation: Ein BCM-System funktioniert nur, wenn alle relevanten Mitarbeiter einbezogen sind. Es ist zu prüfen, ob Prozesse zur Alarmierung und Informationsweitergabe definiert sind – z. B. Alarmierungsketten, Meldestellen für Vorfälle (etwa ein Notfalltelefon oder -email) – und ob diese in der Planung dokumentiert sind. Ebenso sollten die Pläne vorsehen, dass Mitarbeiter über ihre Rollen im Notfall informiert sind (Unterweisungen, BCM-Schulungen) und im Ereignisfall rasch zusammentreten können. Hier geht es auch um Krisenkommunikation: Gibt es vorbereitete Kommunikationskonzepte für interne und externe Stakeholder im Krisenfall (z. B. Vorlagen für Mitarbeiterinformationen, Pressemitteilungen)? In LPH 5 kann dies durch entsprechende Kapitel in Notfallhandbüchern oder durch Verweise auf Kommunikationspläne dokumentiert sein.

• Verankerung im Management-System: BCM sollte nicht isoliert stehen, sondern in bestehende Management-Systeme (z. B. Risikomanagement, Informationssicherheit, Qualitätsmanagement) integriert sein. Die Prüfer sollten darauf achten, ob die Ausführungsplanung Schnittstellen aufzeigt – etwa dass der Risikomanagementprozess des Unternehmens die BCM-Risiken berücksichtigt, oder dass Informationssicherheitsmaßnahmen und Notfallmaßnahmen abgestimmt sind. Auch die Ressourcenzuweisung ist wichtig: Wurden für BCM ausreichende personelle und finanzielle Ressourcen eingeplant (z. B. für Notfalltechnik, für Trainings und Übungen)?

Insgesamt soll dieser Abschnitt sicherstellen, dass BCM als organisatorische Aufgabe fest etabliert ist und in der Planung nichts Wesentliches fehlt, was die führungsseitige Unterstützung und die klaren Zuständigkeiten betrifft. Ein in LPH 5 ordentlich integriertes BCM zeigt sich z. B. darin, dass in den Planungsunterlagen Verantwortliche benannt werden (z. B. „Leiter BCM“), dass Notfallkontakte (intern/extern) aufgelistet sind und dass Verfahren beschrieben sind, wie im Notfall Entscheidungen getroffen und umgesetzt werden.

Die Business Impact Analyse (BIA) ist ein zentrales Werkzeug im BCM, um kritische Geschäftsprozesse und Abhängigkeiten zu identifizieren sowie die potenziellen Auswirkungen von Ausfällen zu bewerten. Zusammen mit einer Risikobeurteilung der identifizierten Bedrohungen bildet die BIA die Grundlage für alle nachfolgenden Continuity-Strategien. In der Leistungsphase 5 sollte nachgewiesen werden, dass die Ergebnisse von BIA und Risikobewertung in die Planung eingeflossen sind.

• Durchführung und Dokumentation der BIA: Es ist zu prüfen, ob eine systematische BIA durchgeführt wurde. Im Idealfall liegt ein BIA-Bericht oder -Protokoll vor, in dem kritische Geschäftsprozesse benannt und nach Priorität geordnet sind. Gemäß BSI-Standard werden dabei Kenngrößen für den Wiederanlauf ermittelt, z. B. maximal tolerierbare Ausfallzeit (Maximum Tolerable Period of Disruption), Wiederanlaufzeit (Recovery Time Objective, RTO) und ggf. Mindestleistungen beim Wiederanlauf. „Im Rahmen der BIA werden kritische Geschäftsprozesse und Ressourcen sowie Kenngrößen für deren Wiederanlauf nach Unterbrechungen ermittelt“, einschließlich der Wiederanlaufparameter für jeden Prozess. Die Prüfer sollten feststellen, ob diese Parameter für alle wesentlichen Prozesse definiert und dokumentiert sind. Ebenso wichtig: Wurden Abhängigkeiten berücksichtigt (zwischen Prozessen, zu IT-Systemen, Drittparteien etc.)? Eine gute BIA-Dokumentation enthält auch die Priorisierung: welche Prozesse müssen zuerst wieder funktionieren.

• Identifikation kritischer Geschäftsprozesse und Ressourcen: Die BIA sollte aufgezeigt haben, welche Prozesse, Funktionen und Ressourcen kritisch für das Unternehmen sind (z. B. Produktion bestimmter Güter, Logistik, Kundenservice, bestimmte Labore). In der Ausführungsplanung muss erkennbar sein, dass gerade für diese kritischen Komponenten besondere Schutz- und Redundanzmaßnahmen vorgesehen sind. Beispielsweise: Wenn der Laborbetrieb kritisch ist, gibt es Pläne für Notstrom im Labor, Ausweichlabor etc. Prüfer sollten einen Abgleich machen zwischen der Liste kritischer Prozesse/Systeme und den technischen Planungen: alles was kritisch ist, sollte entsprechende Notfalllösungen in den Plänen haben.

• Risikobeurteilung (Gefährdungsanalyse): Neben der BIA, die die Auswirkungen von Ausfällen quantifiziert, ist zu prüfen, ob eine Risikobewertung der möglichen Bedrohungen stattfand. Welche Szenarien wurden betrachtet (z. B. Brand, Überschwemmung, IT-Ausfall durch Cyberangriff, Lieferantenausfall, Personalausfall durch Pandemie)? Die Planung sollte darauf abgestimmte Maßnahmen enthalten. Beispielsweise: Bei Hochwasserrisiko – bauliche Schutzmaßnahmen; bei Cybergefahr – erhöhte IT-Sicherheitsmaßnahmen und Recovery-Pläne. Die Prüfer sollten nach Dokumenten wie einer Risikoanalyse oder einer Liste definierter Notfallszenarien suchen. Wichtig ist, dass für jede wesentliche Risikoart mindestens eine Vorsorgemaßnahme oder ein Notfallkonzept existiert (z. B. Schutz der Daten bei Cyberangriff durch Backups, Schutz vor Stromausfall durch Generator). Falls das Unternehmen nach BSI IT-Grundschutz vorgeht, kann eine Kopplung von BIA und Risikobewertung erfolgt sein (BSI-Standard 200-3 und 200-4 greifen ineinander). Entscheidend: Risiken mit hoher Eintrittswahrscheinlichkeit oder hohem Schaden dürfen in der Planung nicht unbehandelt bleiben.

• Schadensabschätzung und tolerierbare Ausfallzeiten: Prüfen, ob für kritische Prozesse die Auswirkungen eines Ausfalls quantifiziert wurden (z. B. finanzieller Schaden pro Tag, rechtliche Folgen, Imageschäden) und ob die maximal tolerierbaren Ausfallzeiten festgelegt sind. Daraus ergeben sich die RTOs – sind die in der Planung genannten Wiederanlaufzeiten mit den technischen Maßnahmen konsistent? Beispiel: Wenn im BIA-Bericht steht, Produktion darf max. 8 Stunden ausfallen, muss das Notstrom- und Ersatzteillager-Konzept dies abdecken (mind. 8 Stunden Überbrückung).

Die Prüfer vergewissern sich, dass das Unternehmen seine Kritikalitäten und Risiken verstanden hat und diese Erkenntnisse in LPH5 umgesetzt wurden. Es muss ein roter Faden erkennbar sein von der BIA/Risikoanalyse über die Planung der Maßnahmen bis zur Dokumentation.

Auf Basis der BIA ergibt sich eine Liste kritischer Geschäftsprozesse und der dazugehörigen kritischen Systeme (IT-Systeme, Anlagen, Infrastrukturkomponenten). Dieser Abschnitt der Prüfung widmet sich der Frage, ob alle kritischen Prozesse und Systeme identifiziert und in den Planungsunterlagen entsprechend markiert und behandelt werden.

• Vollständigkeit der Kritikalitätsliste: Prüfer sollten die vom Unternehmen benannten kritischen Prozesse/Systeme mit dem Verständnis aus dem Projekt abgleichen. Für einen industriellen Standort könnten dazu gehören: Stromversorgung und Kühlung der Produktion, bestimmte Produktionsanlagen, das zentrale ERP/IT-System, das Hochregallager-Managementsystem, die Laborkapazitäten für Qualitätssicherung, Kommunikationseinrichtungen (Netzwerk, Telefon), etc. Ist die Auflistung plausibel vollständig? Wurden neben Produktionsprozessen auch Verwaltungsfunktionen (z. B. Lohnbuchhaltung zum Gehaltszahlungstermin) betrachtet? In der Planung sollte eine Dokumentation der kritischen Bereiche vorhanden sein – etwa gekennzeichnete Räume (Serverraum, Sicherheitszentrale), Label in den technischen Unterlagen oder beschreibende Texte.

• Anforderungen der kritischen Prozesse an Ressourcen: Für jeden kritischen Prozess/System sollte definiert sein, welche Ressourcen dafür essenziell sind – Personal, Gebäude/Standort, IT, Daten, Zulieferteile, Versorgung (Strom, Wasser), etc. Die Ausführungsplanung muss zeigen, dass diese Ressourcen im Notfall verfügbar gehalten werden können. Beispiel: Kritischer Prozess „Produktion Maschine X“ benötigt Druckluft und Strom – folglich muss es Notfallpläne für Druckluftausfall und Stromausfall geben (z. B. mobile Kompressoren, Notstromaggregate).

• Kennzeichnung in Plänen: In technischen Zeichnungen und Dokumenten könnte erkennbar sein, welche Einrichtungen als „kritisch“ gelten. Etwa Hinweise wie „USV-gespeistes Netz für Serverraum“ oder „Notstromversorgung für Kühlhaus“. Prüfer sollten darauf achten, ob kritische Infrastruktur in den Plänen entsprechend gesondert behandelt ist. Wenn nicht explizit, dann indirekt durch die vorgesehenen speziellen Maßnahmen (z. B. Doppelauslegung, Redundanz).

• Abgleich mit Schutzzielen: Für kritische Geschäftsprozesse sollte klar sein, welches Schutzniveau erreicht werden muss (z. B. 99,9% Verfügbarkeit im Jahr, max. 1 Stunde Unterbrechung). Stimmen diese Ziele mit den eingeplanten Lösungen überein? Beispiel: Wenn die Kommunikation als kritisch eingestuft ist und 24/7 verfügbar sein muss, sollte eine Telekommunikations-Redundanz (zweiter Telefonanbieter oder SAT-Telefon etc.) in der Planung vorgesehen sein.

Im Grunde dient dieser Prüfabschnitt dazu sicherzustellen, dass kein kritischer Prozess „vergessen“ wurde – sprich, überall dort, wo das Unternehmen nicht handlungsfähig wäre, wenn etwas ausfällt, muss in LPH5 eine Vorkehrung getroffen sein. Sollten Prüfer Unklarheiten feststellen (z. B. ein Labor wurde als kritisch benannt, aber es gibt keinen Hinweis auf Ausweichmöglichkeiten dafür), ist dies ein Befund, der adressiert werden muss.

Aufbauend auf BIA und Risikoanalyse müssen konkrete Kontinuitätsstrategien entwickelt werden. Diese beschreiben, wie der Betrieb im Notfall aufrechterhalten oder wiederhergestellt wird. In LPH 5 ist zu prüfen, ob solche Strategien ausgeplant und dokumentiert sind – insbesondere ob Notbetriebsprozesse definiert wurden, Wiederanlaufpläne vorliegen und Vorkehrungen für alternative Arbeitsplätze und Ausweichsysteme getroffen sind.

• Notbetriebsprozesse (Emergency Operations): Für den Fall, dass der Normalbetrieb nicht aufrechterhalten werden kann, sollten Notbetriebsprozesse definiert sein. Das bedeutet, es existieren abgespeckte Abläufe, mit denen das Unternehmen zumindest minimal handlungsfähig bleibt. Prüfer schauen, ob für jeden kritischen Geschäftsprozess ein Notfallprozess beschrieben ist. Beispiele: Wenn das IT-System ausfällt, gibt es manuelle Verfahren (Formulare, Ersatzsystem) um Aufträge weiter zu bearbeiten? Wenn die Produktion in Halle A stillsteht, kann ein Teilausstoß manuell oder in einer anderen Halle erfolgen? Diese Workarounds und Provisorien müssen in den Notfallplänen dokumentiert sein. In LPH5 könnte dies z. B. in Form eines Notfallhandbuch-Kapitels oder einer Prozessbeschreibung vorliegen. Wichtig: Notbetriebsprozesse sollten geprüft und realistisch sein – daher Hinweise auf durchgeführte Tests oder Planspiele sind von Vorteil.

• Wiederanlaufstrategien: Sobald die akute Krisenphase überwunden ist, muss das Unternehmen geordnet zur Normalität zurückkehren. Daher sind Wiederanlaufpläne (Business Recovery Plans) essenziell. In der Planung sollte festgehalten sein, wer den Wiederanlauf koordiniert, in welcher Reihenfolge Systeme/Anlagen wieder hochgefahren werden, und welche Ressourcen dafür nötig sind. Prüfer sollten nach Wiederanlaufprotokollen oder Checklisten suchen. Beispielsweise: Nach Stromausfall – Reihenfolge: Erst Server hochfahren, dann Produktionsmaschinen neu starten (ggf. unter Prüfungen), dann Bürosysteme etc., unter Aufsicht der Technikexperten. Falls vorhanden, müssen auch Wiederherstellungszeiten (Recovery Time Objectives) mit den Plänen abgeglichen werden – d. h., ob die geplanten Abläufe innerhalb der geforderten Fristen stattfinden können.

• Alternative Arbeitsplätze und Ausweichstandorte: Ein wesentlicher Bestandteil von BCM ist die Vorbereitung auf den Ausfall eines Standorts oder Gebäudeteils. Es ist zu prüfen, ob Ausweicharbeitsplätze geplant sind. Das kann bedeuten: Einrichtung eines Ausweichbüros an einem anderen Standort (oder in einer anderen Etage, falls Teile des Gebäudes unbenutzbar sind), Vereinbarungen zum mobilen Arbeiten/Homeoffice für Mitarbeiter, oder ggf. Kooperation mit Partnerfirmen, um im Notfall dort Kapazitäten zu nutzen. Für Produktionsbereiche könnte ein Ausweichstandort (z. B. andere Niederlassung) im Konzept sein oder zumindest ein Plan, wie Aufträge fremdvergeben werden können. Prüfer sollten Dokumente wie Ausweichpläne oder Vereinbarungen sichten. Wichtig ist auch die Infrastruktur an den Ausweichplätzen: Ist dort die benötigte IT, Telefonie, Zugänge verfügbar? Wurden dafür in LPH5 entsprechende technische Vorkehrungen vorgesehen (z. B. VPN-Zugänge für Homeoffice, Notebooks für Mitarbeiter, Ausstattung eines alternativen Leitstands)?

• Ausweichsysteme und Backup-Lösungen: Neben Arbeitsplätzen geht es um IT-Ausweichsysteme (Stichwort Disaster Recovery). Für alle kritischen IT-Anwendungen sollte ein Backup-System oder Cloud-Service vorhanden sein, der im Notfall übernimmt. In der Planung sollte festgehalten sein, wo diese Systeme stehen (z. B. zweiter Rechenzentrumsstandort, Cloud-Lösung) und wie der Umschalt-Prozess ist. Gleiches gilt für Produktionsanlagen – gibt es z. B. Ersatzmaschinen oder Vorrichtungen, um zumindest eingeschränkt weiter zu produzieren? Auch Ersatzteillager können hier Thema sein: falls ein kritisches Teil ausfällt, ist Ersatz vorhanden? Der Prüfer sollte überprüfen, ob solche Konzepte existieren und dokumentiert sind.

• Ausfallkonzepte für längere Störungen: Was passiert, wenn ein Ausfall länger andauert als die RTO? Gibt es Pläne für den langfristigen Notbetrieb? Beispielsweise, wenn das Hauptgebäude monatelang unbenutzbar ist (z. B. nach Brand), hat das Unternehmen ein Recovery-Site (Anmietung eines Interim-Büros, Containerbüros auf dem Gelände)? Solche Szenarien sollten zumindest gedanklich durchgespielt und dokumentiert sein. Prüfer schauen nach, ob extreme Szenarien (Totalverlust Rechenzentrum, monatelanger Produktionsstopp) irgendwo betrachtet wurden und ob das Management dafür Strategien hat (z. B. Versicherungslösungen, Outsourcing temporär).

Dieser Prüfabschnitt verlangt im Grunde Nachweise für die praktische Umsetzbarkeit des BCM: Notbetrieb und Wiederanlauf müssen mehr als Worte sein – es braucht klar beschriebene Prozesse und gegebenenfalls vertragliche Regelungen (z. B. mit Rechenzentrums-Betreibern oder Providern für Ausweichbüros). In LPH5 sollten diese Maßnahmen so konkret sein, dass sie technisch umgesetzt werden können (z. B. in Ausschreibungen berücksichtigt).

Technische und infrastrukturelle Redundanzmaßnahmen bilden das Rückgrat eines robusten BCM, da sie verhindern sollen, dass ein einzelner Ausfall zum Zusammenbruch kritischer Funktionen führt. In der Ausführungsplanung eines Industrieprojekts müssen alle erforderlichen technischen BCM-Maßnahmen explizit eingeplant sein. Dieser Abschnitt prüft die technischen Vorkehrungen in den Bereichen IT, Kommunikation, Energieversorgung und Gebäudenutzung.

• IT-Redundanz und -Sicherheit: Alle kritischen IT-Systeme (z. B. ERP-System, Lagerverwaltung, Produktionssteuerung, Labordatenbank) sollten redundant ausgelegt sein. Prüfer sollten kontrollieren, ob es Hochverfügbarkeitslösungen gibt: RAID-Systeme für Server, Cluster, Spiegel-Server an zweitem Standort, regelmäßige Backups (inkl. Offsite-Speicherung) etc. Auch die Netzwerkinfrastruktur sollte redundant sein (z. B. zwei unabhängige Internetleitungen von unterschiedlichen Providern, redundante Switches, Ausfallsicherheit der WLAN-Controller). In den Planunterlagen könnte dies z. B. als Anforderung in der IT-Ausschreibung stehen oder als Hinweis in den Netzwerkplänen (Stichwort Redundante Backbone-Leitungen). Zudem ist IT-Sicherheit als Teil von BCM relevant: beispielsweise Schutz gegen Cyberangriffe (Firewalls, Netzwerksegmentierung für kritische Systeme), weil ein Cyberangriff einen Notfall auslösen kann. Hier wird geprüft, ob angemessene Schutzmechanismen vorgesehen sind (ggf. nach BSI IT-Grundschutz-Katalog). Der Prüfer erwartet z. B. Angaben zur Notfallwiederherstellung der IT (Disaster Recovery Plan) als Teil der technischen Doku.

• Kommunikationssysteme: Telefonie und Datenkommunikation müssen im Notfall funktionieren. Gibt es Notfallkommunikationsmittel? In der Planung könnte das bedeuten: Analoge Nottelefone oder Notrufsysteme, satellitengestützte Telefone, Funkgeräte für Krisenteam, oder zumindest Zusicherung, dass die Handyversorgung auf dem Gelände gegeben ist. Redundanz heißt hier auch: ein Ausfall des primären Kommunikationssystems (VoIP-Anlage z. B.) darf nicht alles lahmlegen – vielleicht existiert ein analoges Telefon in der Sicherheitszentrale oder ein separater Alarmknopf. Prüfer sollten schauen, ob z. B. in der Sicherheitszentrale redundante Kommunikationswege (Telefon und Funk) vorhanden sind. Auch Alarmierungseinrichtungen (Sirenen, Lautsprecher) sind Teil der Kommunikation im Notfall und müssen redundant mit Strom versorgt oder als separates System ausgelegt sein (damit Ausfall der IT nicht auch Alarmierung verhindert).

• Stromversorgung und USV/Notstrom: Die Energieversorgung ist oft die Achillesferse. Für alle kritischen Teile der Infrastruktur sollte es Notstromlösungen geben. In LPH5 ist zu prüfen: Ist ein USV-System (Unterbrechungsfreie Stromversorgung) für IT-Geräte und Steuerungen geplant? Sind Notstromaggregate (Dieselgeneratoren o. ä.) vorgesehen, und mit welcher Überbrückungszeit/Fuel-Vorrat? Wurden die Lasten berechnet, die im Notfall versorgt werden müssen? Kritische Verbraucher (Serverraum, Sicherheitsbeleuchtung, Brandschutzanlagen, bestimmte Produktionsteile) sollten ans Notstrom angeschlossen sein und dies sollte in den Elektropänen ersichtlich sein. Prüfer achten auch auf die Wartungs- und Testkonzepte: Ein Generator nützt wenig ohne regelmäßige Testläufe – ist im Betriebskonzept vorgesehen, wie oft getestet wird? (In LPH5 könnte das in technischen Beschreibungen stehen). Auch Dual-Feed-Stromanschlüsse (zwei Einspeisungen vom Versorger) wären ein Plus, falls vorhanden.

• Klima und Gebäudeinfrastruktur: Neben Strom sind auch Klimatechnik und andere Ver- und Entsorgungssysteme zu betrachten. Ist z. B. die Kühlung von Serverräumen redundant (N+1-Kühlaggregate)? Gibt es bei Sprinkleranlagen Redundanz oder alternative Löschsysteme? Und wenn wir an Gebäudenutzung denken: Was, wenn ein Bereich unzugänglich wird? Sind Zutrittskontrollsysteme ausfallsicher (z. B. mechanische Notschlüssel bei IT-Ausfall der Schließanlage)? Prüfer sollten checken, ob in den TGA-Plänen (Technische Gebäudeausrüstung) entsprechende Redundanzen eingeplant wurden, z. B. Doppelpumpen in der Wasserversorgung, Ersatzlüftung. Auch Brandschutz fällt hier rein: gibt es z. B. Brandabschnitte, um Schäden zu begrenzen, und sind im Brandfall zentrale Steuerungen redundant (z. B. zweite Brandmeldezentrale)?

• Gebäudliche Sicherheitszentrale: Da im Kontext erwähnt, es gibt sicherheitsrelevante Infrastruktur und eventuell eine Sicherheitszentrale. Prüfen, ob diese Zentrale (für Werkschutz, Monitoring von Alarmen, ggf. Krisenstabsraum) selbst ausfallsicher geplant ist: z. B. Notstromversorgung, Redundanz der Alarmempfangseinrichtungen, physischer Schutz (gegen Feuer, Überschwemmung). Idealerweise ist die Sicherheitszentrale in einem besonders geschützten Teil des Gebäudes oder es gibt ein Backup-Leitstand an anderem Ort.

• Dokumentation technischer Notfallmaßnahmen: In LPH5 sollten all diese technischen Vorkehrungen in Plänen und Beschreibungen dokumentiert sein. Prüfer müssen diese Informationen teils aus verschiedenen Fachplanungsdokumenten zusammentragen (Elektropläne für USV/Generator, IT-Konzepte für Netzwerkredundanz, Maschinenlisten für Ersatzanlagen etc.). Es ist sinnvoll zu prüfen, ob eine Zusammenfassung der technischen Notfallmaßnahmen existiert – z. B. als Kapitel im BCM-Handbuch oder im Sicherheitskonzept des Gebäudes.

Moderne Unternehmen sind stark mit Dienstleistern und Lieferanten verflochten. Daher ist ein wichtiger BCM-Aspekt, wie externe Abhängigkeiten in Notfällen gemanagt werden. Die Ausführungsplanung sollte zeigen, dass man sich auch auf Störungen bei Dritten vorbereitet hat.

• Lieferantenanalyse und Ausweichlieferanten: Wurden kritische Zulieferer identifiziert – etwa Rohmaterialien, Komponenten oder Dienstleistungen ohne die der Betrieb stockt (z. B. Strom- oder Wasserlieferung ist kritisch, aber auch z. B. ein spezieller Chemikalienlieferant für das Labor)? In der BCM-Planung sollte es dafür Strategien geben, z. B. Zweitlieferanten oder Lagerhaltung. Prüfer sehen nach, ob in den Unterlagen steht: „Material X – Mindestlager für 2 Wochen; Lieferant Y – Zweitquelle vertraglich vereinbart.“ Falls in LPH5 noch keine Verträge beiliegen, so zumindest die Anforderung, dass solche Verträge zu schließen sind.

• Dienstleister für kritische Services: Dazu zählen z. B. IT-Dienstleister, Cloud-Anbieter, Sicherheitsdienst, Facility Management, Speditionen für Logistik. Die Frage ist, ob mit diesen Notfallvereinbarungen bestehen. Zum Beispiel: Hat der IT-Dienstleister ein eigenes BCM und garantiert Reaktionszeiten bei Störungen? Ist mit dem Sicherheitsdienst geklärt, wie zusätzlicher Wachdienst im Notfall gestellt wird? Prüfer sollten Hinweise auf Verträge mit SLA/Klauseln zu Notfällen suchen. Auch outsourcing-Partner (wenn Teile der Produktion oder IT ausgelagert sind) müssen BCM-seitig bewertet sein.

• Kommunikation mit Partnern in Krisenfall: Es sollte definiert sein, wie im Krisenfall wichtige Partner informiert werden. Z. B. Schlüssellieferanten – werden sie proaktiv benachrichtigt bei Störung? Gibt es einen Plan, Kunden zu informieren, falls Lieferverzögerungen drohen? In der Planung könnten z. B. Kontaktlisten externer Partner und Mustertexte oder Verantwortlichkeiten zum Informieren vorhanden sein.

• Vertragsgestaltung und rechtliche Absicherung: Prüfer sollten klären, ob in wichtigen Verträgen BCM-Anforderungen gestellt wurden. Beispielsweise: Ein Wartungsvertrag für Maschinen könnte verlangen, dass der Service binnen x Stunden verfügbar ist (was Teil der BCM-Strategie wäre). Oder ein Cloud-Vertrag sollte eine Disaster Recovery Option beinhalten. Zwar ist LPH5 vor allem technisch, aber die Schnittstelle zu rechtlichen Punkten kann genannt sein (z. B. „Es ist sicherzustellen, dass Lieferant X binnen 24h liefern kann, entsprechende Klausel im Liefervertrag.“).

• Logistik und Transportwege: Falls Logistikflächen und der Transport eine Rolle spielen: Gibt es Ausweichrouten oder alternative Spediteure, falls ein Transportunternehmen ausfällt? Ist bedacht, wie Material reinkommt/rausgeht bei Notfällen (z. B. wenn Hafen streikt, nutzt man Flughafen etc.)? Diese Detailtiefe ist eventuell im Projekt noch nicht voll ausgeprägt, aber wichtig ist das Bewusstsein und ggf. Ansätze wie ein Transport-Notfallplan.

Insgesamt zielt dieser Teil darauf, dass das Unternehmen nicht nur intern, sondern auch übergreifend resilient ist. In LPH5 könnten entsprechende Anforderungen in Ausschreibungen für Lieferanten oder Dienstleister formuliert sein. Wenn der Auditor sieht, dass z. B. kein Zweitlieferant geplant ist für etwas sehr Kritisches, wäre das ein Befund (es sei denn, es ist nachweislich unmöglich).

Dieser Abschnitt prüft das Zusammenwirken aller Planungsdisziplinen dahingehend, dass die BCM-Anforderungen tatsächlich in den konkreten Ausführungsplänen berücksichtigt sind. Leistungsphase 5 bedeutet, dass alle erforderlichen Einzelangaben und Details eingearbeitet sein müssen – also auch die, die sich aus dem BCM ergeben.

• Abgleich BCM-Maßnahmen vs. Planungsunterlagen: Eine konsolidierte Sicht: Alle zuvor identifizierten BCM-Maßnahmen (technisch, organisatorisch) sollten ihren Niederschlag in Zeichnungen, Stücklisten, Ausschreibungstexten oder sonstigen LPH5-Dokumenten gefunden haben. Der Prüfer kann z. B. eine Traceability machen: Nehmen wir an, BCM fordert einen zusätzlichen Serverraum als Ausweich-IT. Ist dieser im Bauplan vorgesehen? Oder: BCM verlangt ein Notstromaggregat – taucht dieses im Elektroplan und der Leistungsbeschreibung auf? Jede BCM-Anforderung sollte in mindestens einem Planungsdokument auftauchen. Falls irgendwo eine BCM-Maßnahme nur konzeptionell erwähnt ist, aber nicht detailgeplant, ist das eine Lücke.

• Koordination der Fachplaner: BCM-Maßnahmen betreffen verschiedene Gewerke (Bau, Elektro, IT, Organisation). LPH5 erfordert die Integration der Beiträge aller Planungsbeteiligten. Prüfen, ob es Abstimmungen gab: z. B. hat der Architekt Flächen reserviert für Ersatzbüros oder Technik? Hat der Elektroplaner vom IT-Planer die Anforderungen für USV bekommen? In Protokollen oder Planversänden könnte so etwas dokumentiert sein. Dieser Punkt ist wichtig, um sicherzustellen, dass nichts „durchgerutscht“ ist an den Schnittstellen.

• Dokumentation und Kennzeichnung: Wurden die BCM-relevanten Einrichtungen in den Plänen besonders dokumentiert? Beispielsweise könnte es in der Ausführungsplanung ein Notfallkonzept-Dokument geben, das alle Maßnahmen zusammenfasst (eine Art Handbuch, das später im Betrieb genutzt wird). Oder die Pläne könnten Notfall-Einrichtungen mit Symbolen markieren. Wenn die Planung BIM-gestützt ist, gibt es evtl. Attribute an Bauteilen („Notfallstromkreis = ja“ etc.). Die Prüfer sollten dies erkunden und idealerweise eine Liste aller implementierten BCM-Maßnahmen vorliegen haben.

• Vollständigkeitscheck spezieller Listen: In LPH5 entstehen z. B. Listen wie: Feuerwehrpläne, Raumbücher, Gerätelisten. Es ist zu prüfen, ob Notfallgeräte (z. B. mobile Pumpen, Ersatzgenerator) dort auftauchen, ob Räume für Krisenstab oder Notfalllager ausgewiesen sind, ob Fluchtwegepläne erstellt wurden. Dies sind konkrete Ergebnisse, an denen man die Integration erkennt.

• Konformität mit Normen belegt: Schließlich sollte man sehen, ob durch die Planung die Konformität mit den Normen (BSI-200-4, ISO 22301) nachgewiesen werden kann. Evtl. gibt es einen Abgleich gegen den BSI-Anforderungskatalog – im besten Fall hat das Projektteam eine Checkliste geführt, die ähnlich der vorliegenden ist, um jeden Punkt abzuhaken. Wenn vorhanden, wäre das ein Top-Dokument zur Prüfung.

Sind alle BCM-Aspekte wirklich in der Ausführungsplanung verankert? Falls die vorherigen Kapitel Lücken offenbarten, werden sie hier konkret: entweder fehlt dann ein Plan oder eine Beschreibung in den Unterlagen. Das Ergebnis soll sein, dass die Ausführungsplanung die Basis bildet, um später in der Bauausführung die BCM-Maßnahmen umzusetzen und im Betrieb ein funktionierendes BCM-System vorzufinden.

BCM ist ein lebendiger Prozess. Daher endet die Vorsorge nicht mit dem Plan – es muss auch geübt, geschult und verbessert werden. In der Ausführungsplanung sollten zumindest die Weichen gestellt sein, um später ein funktionierendes und verbessertes System zu gewährleisten.

• Schulungsplanung: Gibt es Konzepte, wie Mitarbeiter und Verantwortliche auf ihre Rolle im Notfall vorbereitet werden? Z. B. ist geplant, Evakuierungsübungen durchzuführen (üblich mindestens jährlich), Ersthelfer-Schulungen, Krisenstab-Training (Planspiele)? In LPH5 könnten entsprechende Trainingskonzepte entworfen oder als Forderung formuliert sein. Prüfer könnten nach einem Schulungskalender oder Hinweisen in den Notfallplänen suchen („Mitarbeiter werden jährlich in Notfallverfahren unterwiesen“). Gerade gemäß ArbSchG §10 ist Schulung der benannten Helfer Pflicht.

• Tests und Übungen: Ein BCM-Plan gilt erst als verlässlich, wenn er erprobt wurde. Ist in den Unterlagen erwähnt, wie Notfallübungen umgesetzt werden? (z. B. Probealarm, IT-Disaster-Recovery-Test, Blackout-Testlauf des Generators). Optimal wäre ein Plan, der verschiedene Übungstypen vorsieht: Vollübungen, Teilübungen, desk-top Exercises etc., mit einer Frequenz. Prüfer sollten darauf achten, ob zumindest Testläufe für technische Einrichtungen fest eingeplant sind (z. B. vierteljährlicher Notstromtest – das könnte als Wartungsposition in den technischen Beschreibungen stehen).

• Kontinuierlicher Verbesserungsprozess (PDCA): BCM muss laufend verbessert werden. BSI-Standard 200-4 und ISO 22301 fordern den PDCA-Zyklus: also Planen, Durchführen, Überprüfen, Anpassen. In der Planung sollte ein Verfahren vorgesehen sein, wie Erfahrungen aus Übungen oder echten Vorfällen zurückgemeldet und der BCM-Plan angepasst wird. Gibt es z. B. ein Protokollschema für Nachbesprechungen („lessons learned“)? Ist eine regelmäßige Auditierung/Bewertung des BCM vorgesehen (intern oder extern)? Prüfer könnten Hinweise darauf in der BCM-Policy finden („Das BCM wird jährlich auditiert und bei Bedarf angepasst“).

• Wartung der BCM-Maßnahmen: Auch die technischen BCM-Einrichtungen bedürfen Wartung (Aggregat, USV-Batterien, Datensicherungen prüfen). Prüfen, ob in den Wartungsplänen/Betriebskonzepten entsprechende Punkte aufgenommen wurden. Das kann z. B. im Facility-Management-Konzept auftauchen.

• Awareness der Belegschaft: Ist geplant, die allgemeine Belegschaft zu sensibilisieren (Awareness-Maßnahmen, Infoveranstaltungen)? Dies zeigt gelebtes BCM. In LPH5 vielleicht nur am Rande erwähnt, aber bei Großunternehmen durchaus berücksichtigt.

Dieser letzte Abschnitt stellt sicher, dass das BCM kein Papiertiger bleibt. Manche dieser Punkte sind organisatorisch und nicht Teil der Bauplanung per se, aber sie könnten in den Konzepten auftauchen und sollten dann hier geprüft werden.