BCM (Business Continuity Management) — NIS2
Aufrechterhaltung kritischer Geschäftsprozesse bei Cyber-Vorfällen.
Definition
BCM (Business Continuity Management) bezeichnet die Aufrechterhaltung des Betriebs bei Cyber-Vorfällen: Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement. Unionsrechtliche Grundlage ist Art. 21 Abs. 2 Buchstabe c der NIS-2-Richtlinie (EU) 2022/2555 – diese Richtlinie ist jedoch nicht unmittelbar anwendbar, sondern wird durch die nationalen Gesetze operativ verbindlich (siehe unten). Typische Inhalte: Business Impact Analysis (BIA), Recovery-Time-Objectives (RTO), Recovery-Point-Objectives (RPO), Notfall-Pläne und Übungen. Typische Dokumente: BCM-Konzept + RTO/RPO-Matrix.
Rechtslage: Deutschland und Österreich
Die NIS-2-Richtlinie gibt BCM als Risikomanagementmaßnahme vor; verbindlich anwendbar sind die nationalen Umsetzungsgesetze. In beiden Rechtsräumen ist die Maßnahme inhaltlich wortgleich verankert.
Deutschland
In Deutschland ergibt sich die BCM-Pflicht aus § 30 Abs. 2 Nr. 3 BSIG. Besonders wichtige Einrichtungen und wichtige Einrichtungen müssen als Risikomanagementmaßnahme die „Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement“ umsetzen (§ 30 Abs. 1 i. V. m. Abs. 2 Nr. 3 BSIG). Zuständige Behörde ist das Bundesamt für Sicherheit in der Informationstechnik (BSI).
Österreich
In Österreich enthält § 32 Abs. 4 lit. c NISG 2026 die wortgleiche Vorgabe. Wesentliche und wichtige Einrichtungen müssen die „Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement“ als Teil ihrer Risikomanagementmaßnahmen (§ 32 Abs. 1 NISG 2026) gewährleisten.