Krisenmanagement

Krisenmanagement umfasst alle Maßnahmen zur Vorbereitung auf, Bew�ltigung von und Erholung nach Krisensituationen. Für Banken ist es nach MaRisk AT 7.3 und den BAIT verpflichtend, ein Notfallmanagement einzurichten, das die Fortf�hrung kritischer Geschäftsprozesse sicherstellt. DORA ergänzt ab

2025 spezifische Anforderungen an die IKT-bezogene Vorfallreaktion. Ein wirksames Krisenmanagement schützt vor Reputationssch�den, regulatorischen Sanktionen und existenzbedrohenden Betriebsunterbrechungen.

Business Continuity Management (BCM) ist der übergeordnete Managementprozess, der identifiziert, welche zeitkritischen Prozesse im Schadensfall aufrechterhalten werden müssen. Notfallplanung definiert konkrete Maßnahmen für den Notbetrieb und Wiederanlauf — inklusive Ressourcen, Verantwortlichkeiten und Zeitvorgaben. Krisenmanagement aktiviert den Krisenstab und steuert Entscheidungsfindung, Kommunikation und Eskalation wührend einer akuten Krise. Alle drei Disziplinen greifen ineinander und müssen integriert geplant werden.

Der Krisenstab umfasst typischerweise Vorstand oder Geschäftsf�hrung, Risikomanagement, IT, Recht, Compliance, Kommunikation und die betroffenen Fachbereiche. Die Struktur muss vorab definiert sein mit klaren Rollen, Stellvertretungen, Eskalationswegen und Entscheidungsbefugnissen. Ein Krisenhandbuch dokumentiert Alarmierungsketten, Lagezentrum-Aufbau und Berichtswege. Regelm��ige KrisenÜbungen — mindestens jährlich — stellen sicher, dass der Krisenstab unter Druck funktioniert.

MaRisk AT 7.3 verlangt Notfallkonzepte für zeitkritische Aktivitäten und Prozesse mit regelmäßiger Überprüfung und Notfalltests. Die BAIT konkretisieren IT-Notfallmanagement-Anforderungen. DORA fordert ab

2025 IKT-bezogene Vorfallmeldung und -reaktion, Digital Operational Resilience Testing und Informationsaustausch. Der BSI-Standard 200–4 bietet ein anerkanntes BCM-Rahmenwerk. Die BaFin prüft im SREP die Angemessenheit des Notfallmanagements und erwartet dokumentierte Business-Impact-Analysen.

Die Business-Impact-Analyse identifiziert und bewertet die Auswirkungen von Betriebsunterbrechungen auf Geschäftsprozesse. Sie ermittelt Recovery Time Objectives (RTO) und Recovery Point Objectives (RPO) für jeden kritischen Prozess, definiert die maximal tolerierbare Ausfallzeit und identifiziert Abhängigkeiten zwischen Prozessen, Systemen und externen Dienstleistern. Die BIA bildet die Grundlage für alle Notfallpläne und ist nach MaRisk und DORA für Finanzinstitute verpflichtend.

KrisenÜbungen folgen einem definierten Ablauf: Planung mit realistischem Szenario (Cyberangriff, Systemausfall, Naturkatastrophe), Durchführung unter möglichst realen Bedingungen mit aktiviertem Krisenstab, Beobachtung und Dokumentation durch ein Evaluierungsteam, strukturierte Nachbereitung mit Lessons Learned und Verbesserungsmaßnahmen. Die MaRisk fordern mindestens jährliche Notfalltests. ADVISORI unterstützt von der Szenarioentwicklung über die Übungsdurchführung bis zur Ergebnisauswertung.

Die Kosten hängen vom Reifegrad und Umfang ab. Typische Projektbudgets liegen zwischen 100.000 und 300.000 Euro für die vollständige BCM-Einrichtung inklusive Business-Impact-Analyse, Notfallpläne, Krisenstab-Aufbau, Krisenhandbuch und erste Übung. Die laufende Betreuung — jährliche Überprüfung, Übungsdurchführung und Plan-Aktualisierung — erfordert zusötzliche Ressourcen. ADVISORI bietet modulare Pakete vom BCM-Quick-Check über die vollständige Implementierung bis zur laufenden Krisenmanagement-Betreuung.