BCM-04 Testen der betrieblichen Kontinuität

Pläne zur betrieblichen Kontinuität werden regelmäßig (mindestens jährlich) oder nach wesentlichen organisatorischen oder umgebungsbedingten Änderungen getestet. An den Tests sind betroffene Cloud-Kunden und relevante Dritte (z.B. Service-Organisationen) beteiligt.

Ergänzende Informationen

Tests finden in erster Linie auf operativer Ebene statt und richten sich an operative Zielgruppen. Dazu gehören z. B.:

1. Test technischer vorsorglicher Schutzmaßnahmen;

2. Funktionstests; und

3. Plan-Review.

Übungen finden zusätzlich auf taktischer und strategischer Ebene statt. Dazu gehören z. B.:

1. Planbesprechung;

2. Personalübung;

3. Stabsrahmenübung;

4. Kommunikations- und Alarmierungsübung;

5. Simulation von Szenarien; und

6. Ernstfall- oder Vollübung.

Relevante Dritte sind insbesondere Service-Organisationen des Cloud-Anbieters, die zur Entwicklung oder zum Betrieb des Cloud-Dienstes beitragen (vgl. Basiskriterien SSO-02 und SSO-06). Ein Cloud-Kunde ist betroffen (im Sinne dieses Kriteriums), wenn der Test oder die Übung zu einer Dienstherabstufung außerhalb des im SLA definierten Niveaus führt oder wenn die Wirksamkeit der Pläne nur getestet werden kann, wenn der Cloud-Kunde Maßnahmen selbst handeln muss.

Die Tests werden dokumentiert, und die Ergebnisse werden zur Überprüfung der Pläne zur betrieblichen Kontinuität und für zukünftige Business-Continuity-Maßnahmen berücksichtigt.

Zusätzlich zu den Tests werden auch Übungen durchgeführt, die u.a. Szenarien aus in der Vergangenheit bereits aufgetretenen Sicherheitsvorfällen hervorgegangen sind.

Ergänzende Informationen

Tests finden in erster Linie auf operativer Ebene statt und richten sich an operative Zielgruppen. Dazu gehören z. B.:

1. Test technischer vorsorglicher Schutzmaßnahmen;

2. Funktionstests; und

3. Plan-Review.

Übungen finden zusätzlich auf taktischer und strategischer Ebene statt. Dazu gehören z. B.:

1. Planbesprechung;

2. Personalübung;

3. Stabsrahmenübung;

4. Kommunikations- und Alarmierungsübung;

5. Simulation von Szenarien; und

6. Ernstfall- oder Vollübung.

Relevante Dritte sind insbesondere Service-Organisationen des Cloud-Anbieters, die zur Entwicklung oder zum Betrieb des Cloud-Dienstes beitragen (vgl. Basiskriterien SSO-02 und SSO-06). Ein Cloud-Kunde ist betroffen (im Sinne dieses Kriteriums), wenn der Test oder die Übung zu einer Dienstherabstufung außerhalb des im SLA definierten Niveaus führt oder wenn die Wirksamkeit der Pläne nur getestet werden kann, wenn der Cloud-Kunde Maßnahmen selbst handeln muss.

Der Cloud-Anbieter verfügt über Verfahren, um sicherzustellen, dass Cloud-Kunden rechtzeitig über geplante Aktivitäten im Zusammenhang mit Business-Continuity-Tests und -Übungen informiert werden, die die Informationssicherheit des Cloud-Dienstes beeinträchtigen könnten (z. B. hinsichtlich seiner Verfügbarkeit). Diese Informationen umfassen den geplanten Zeitrahmen für die Maßnahmen sowie eine Beschreibung der durchzuführenden Arbeiten.

Der Cloud-Anbieter stellt Cloud-Kunden eine Bewertung der potenziellen Auswirkungen dieser Tests und Übungen hinsichtlich der Informationssicherheit des Cloud-Dienstes sowie Angaben zur Kontaktaufnahme mit dem Cloud-Anbieter zur Verfügung.

Nach einer abgeschlossenen Übung wird der bestehende Alarm- und Benachrichtigungsplan überprüft und (falls erforderlich) angepasst.

Ergänzende Informationen

Der Begriff 'Alarm- und Benachrichtigungsplan' bezieht sich auf das dokumentierte Verfahren zur Alarmierung und Benachrichtigung verantwortlicher Personen und Stakeholder im Falle von Vorfällen oder Störungen.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass die Maßnahmen zur Vorsorge der Auswirkungen eines Ausfalls des Cloud-Dienstes bzw. des Cloud-Anbieters regelmäßig überprüft, aktualisiert, getestet und geübt werden. Der Cloud-Anbieter wird gemäß den vertraglichen Vereinbarungen in die Tests und Übungen einbezogen.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass die Ergebnisse der BCM-Tests und -Übungen des Cloud-Anbieters in das eigene BCM einfließen und hinsichtlich der Sicherstellung der betrieblichen Kontinuität des Cloud-Kunden umfassend gewürdigt werden.

Bei Tests und Übungen, die den Cloud-Kunden mit einbeziehen und daher eigene Maßnahmen auf Kundenseite bedingen, stellen Cloud-Kunden durch geeignete Kontrollen aus ihrem BCM sicher, dass die entsprechenden Maßnahmen zur Bewältigung gemäß Szenario geübt und getestet werden.