Seminar DORA Business Continuity und Disaster Recovery

Beschreibung

Die Wiederherstellung einzelner Systeme führt erst dann zur Geschäftsfortführung, wenn Daten, Anwendungen, Zugriffe und Fachprozesse wieder zusammenarbeiten. Das Seminar betrachtet daher vollständige Geschäftsleistungen mit ihren technischen und organisatorischen Abhängigkeiten. Ausgangspunkt ist eine Business-Impact-Analyse, aus der nachvollziehbare Wiederanlaufprioritäten abgeleitet werden.

Bearbeitet werden ein Ausfall interner Infrastruktur und eine Störung eines externen IKT-Dienstleisters. Die Fallstudie verbindet Krisenentscheidungen, Notbetrieb und technische Wiederherstellung. Eine vorbereitete Schulungsumgebung wird durch den Auftraggeber bereitgestellt; ihr Umfang wird für einen kontrollierten Wiederherstellungstest vorab abgestimmt. Die technische Prüfung erfolgt anhand definierter Daten und fachlicher Abnahmekriterien.

Lernziele

• Wiederanlaufziele aus geschäftlichen Auswirkungen und Abhängigkeiten ableiten.
• Geschäftsfortführung, Krisenkommunikation und technische Recovery-Pläne miteinander verbinden.
• Eine kombinierte Notfallübung mit klaren Prüfkriterien vorbereiten und auswerten.
• Tatsächlich erreichte Wiederherstellung und verbleibende Lücken nachvollziehbar dokumentieren.

Seminarinhalte

Inhaltsübersicht: Business-Impact-Analyse; Wiederanlauf- und Sicherungsziele; Notfall- und Wiederherstellungspläne; Krisenorganisation und Dienstleister; Übungsplanung und Durchführung; Auswertung und Weiterentwicklung.

Business-Impact-Analyse

• Geschäftsleistungen, zeitabhängige Auswirkungen und Mindestbetriebsniveau bestimmen.
• Personelle, räumliche, technische und externe Abhängigkeiten erfassen.
• Prioritäten und Annahmen mit den zuständigen Fachbereichen nachvollziehbar abstimmen.

Wiederanlauf- und Sicherungsziele

• RTO, RPO und tolerierbare Unterbrechung fachlich voneinander unterscheiden.
• Datensicherung, Redundanz und alternative Arbeitsverfahren passend zu den Zielen auswählen.
• Zielkonflikte zwischen Aufwand, Datenkonsistenz und Zeitbedarf offen dokumentieren.

Notfall- und Wiederherstellungspläne

• Auslöser, Aktivierung, Kontaktwege und Entscheidungskompetenzen konkretisieren.
• Wiederanlaufreihenfolge einschließlich Identitäten, DNS, Netzwerk und Daten berücksichtigen.
• Prüfschritte, Rückfallwege und Rückkehr zum Regelbetrieb festlegen.

Krisenorganisation und Dienstleister

• Lageführung, Entscheidungsvorlagen und Vertretungen im Krisenstab erproben.
• Dienstleisterzusagen und eigene Notfallannahmen aufeinander abstimmen.
• Kundenkommunikation und regulatorische Vorfallprozesse in die Übung einbinden.

Übungsplanung und Durchführung

• Szenario, Beobachtungsauftrag, Messpunkte und Abbruchkriterien definieren.
• Stabsübung und kontrollierten technischen Wiederherstellungstest kombinieren.
• Zeitbedarf, Datenintegrität und fachliche Nutzbarkeit getrennt überprüfen.

Auswertung und Weiterentwicklung

• Planannahmen mit tatsächlichen Beobachtungen und Messwerten vergleichen.
• Abweichungen in Maßnahmen mit Verantwortlichen und Nachprüfung überführen.
• Änderungen an Geschäftsleistung oder Technik als Anlass zur Anpassung der Pläne nutzen.

Praxisworkshop

1. Für eine vorgegebene Geschäftsleistung eine kompakte BIA durchführen.
2. Wiederanlaufziele festlegen und technische sowie organisatorische Abhängigkeiten abgleichen.
3. Ein aktivierbares Runbook mit Verantwortlichen, Kontakten und Prüfschritten entwickeln.
4. Einen simulierten Dienstleisterausfall im Krisenstab bearbeiten.
5. Eine ausgewählte Komponente kontrolliert wiederherstellen und fachlich abnehmen.
6. Beobachtungen aus Stabs- und Technikübung in einem gemeinsamen Maßnahmenprotokoll auswerten.