Notfallszenarien

Dieser Bereich listet alle Notfallszenarien mit einigen weiteren Informationen auf. Die Notfallszenarien werden gruppiert angezeigt. Dank der Gruppierung, welche Sie durch einen Klick auf das - bzw. + Symbol ein- und ausklappen können, lassen sich einzelne Notfallszenarien besser finden.

Folgende Gruppen stehen für Notfallszenarien zur Auswahl:

• Zeitkritische Prozesse

• IKT - Notfallmanagement (Unternehmen)

• IKT - Notfallmanagement (Dienstleister)

• Sonstige Notfall-Szenarien

Bei Auswahl der Gruppe 'IKT-Notfallmanagement (Dienstleister)' wird der Reiter Risikomanagement am Notfallszenario ausgeblendet.

Bei Auswahl der Gruppe 'Sonstige Notfall-Szenarien’ wird die Ansicht des Notfallszenarios um die Zeile 'Untergruppe’ erweitert, in der per Dropdown die Werte 'Notfallmanagement gem. BSI-Standard 200-4' oder 'Notfallrelevante Sachverhalte der UVV' (oder auch keine Angabe) eingegeben werden können.

Abbildung: Ansicht Notfallszenarien

Notfallszenario anlegen

Beispiel an einem Notfallszenario der Gruppe 'Zeitkritischer Prozess':

Die Felder Bezeichnung, Gruppe, Art, Verantwortung und Beschreibung stehen am Anfang der Notfallszenario-Maske. Die übrigen Felder sind zur besseren Übersicht in Reitern zusammengefasst.

Abbildung: Notfallszenario - Zeitkritischer Prozess

Reiter 'Risikomanagement'

Im Reiter Risikomanagement sind die Gefährdungen an erster Stelle wählbar, gefolgt von der Risikoanalyse und dem Bereich zu weiteren Risiken.

Bei der Erstellung bzw. der Bearbeitung eines Szenarios können verschiedene Verknüpfungen vorgenommen werden. Ein Notfallszenario wird üblicherweise mit den Gefährdungen verknüpft, auf denen es aufbaut. Darunter versteht sich bspw. Höhere Gewalt, Kriminelle Ereignisse oder Technische Störungen. 

Über die Schaltfläche aus Gefährdungen wählen... können die Gefährdungen bequem dem Szenario zugeordnet werden. Die Bestätigung der Auswahl erfolgt über die Schaltfläche Übernehmen. Der Gefährdungskatalog gemäß BSI-Grundschutzkompendium steht neben ursächlichen Gefährdungen ebenso zur Auswahl, wenn Sie in der Anwendung ForumNSR das BSI-Grundschutzkompendium als Standard nutzen.

Abbildung: Neues Szenario anlegen - Zuordnung der Gefährdungen

Risikoanalyse: Sofern sich an einem Notfallszenario, zum Beispiel durch einen Ausfall von Systemen, eine besondere Gefährdung ergibt, sind diese Szenarien einer Risikoanalyse (Risk Impact Analyse → RIA) zu unterziehen. Zu jedem Notfallszenario kann eine eine RIA angelegt und durchgeführt werden.

Möchten Sie weitere Risiken erfassen, muss in den Einstellungen der Bereich 'Erfassung weiterer Risiken' aktiviert sein.

Abbildung: Einstellungen - Erfassung weiterer Risiken

Für weitere Informationen siehe dazu den Abschnitt unter Risikoanalyse.

Reiter 'Verknüpfungen'

Im Reiter der Verknüpfungen bekommen wir zugeordnete Geschäftsprozesse und deren verknüpfte Anwendungen angezeigt. Der Bereich der verknüpften Anwendungen ist standardmäßig zugeklappt und kann über das Dreieckssymbol geöffnet werden. Im Auswahldialog zur Zuordnung von Geschäftsprozessen zu Notfallszenarien werden zudem die zeitkritischen Geschäftsprozesse zuerst (oben) angezeigt.

Zusätzlich ist das manuelle verknüpfen zu weiteren IKT-Assets möglich.

Abbildung: Notfallszenario - Verknüpfungen

Reiter 'Auswirkungen'

In diesem Reiter können Sie betroffene Organisationseinheiten als auch die betroffenen Ressourcen angeben.

Falls die Auswahl einer betroffenen Organisationseinheit erfolgt ist, dann wird das Szenario nur in den Notfallhandbüchern der gewählten Organisationseinheiten ausgegeben.

Abbildung: Notfallszenario - Auswirkungen

Reiter 'Notfallpläne'

Im Reiter 'Notfallpläne' kann ein bereits angelegter Notfallplan ausgewählt werden bzw. neu angelegt werden. Eine Mehrfachauswahl ist hier über die Listenauswahl möglich.

Abbildung: Notfallszenario - Notfallpläne

Reiter 'Übungen'

Im Reiter 'Übungen' kann ein bereits angelegte Übung ausgewählt werden bzw. neu angelegt werden.

Die Option, Übungen zuzuordnen, ermöglicht es, den eventuell eintretenden Notfall zu üben und die Ergebnisse der Übungen wiederum in die Planung einfließen zu lassen. Somit wird eine optimale Vorbereitung auf die jeweiligen Notfallszenarien ermöglicht. 

Abbildung: Notfallszenario - Übungen

Risikoanalyse

Vereinfachte Risikoanalyse: In der vereinfachten Risikoanalyse wird der Fokus auf die Eintrittswahrscheinlichkeit und das Schadenspotential gerichtet. Die entsprechenden Hilfstexte zu den Einstellungen sind über das ? aufrufbar und in den Einstellungen der Risikokriterien zu hinterlegen.

Die Funktion ist standardmäßig inaktiv und muss für die Verwendung in den Einstellungen der Anwendung global aktiviert werden.

Abbildung: Vereinfachte Risikoanalyse aktivieren

Aktivieren Sie die vereinfachte Risikoanalyse, steht Ihnen in bereits durchgeführten und bestehen Risikoanalysen die bekannte Checkliste und die vereinfachte Bewertung zur Verfügung. Einen entsprechenden Hinweis bekommen Sie zur Löschung angezeigt:

Eine bestehende Checkliste können Sie über die Schaltfläche Checkliste entfernen löschen.

Abbildung: Vereinfachte Risikoanalyse am Szenario Vandalismus

Abbildung: Hinweis auf fehlende Parameter in Einstellungen

Risikoanalyse mit Checkliste und Scoring

Die Risikoanalyse mit Scoring bietet die Möglichkeit, verschiedene Kenngrößen des Szenarios zu klassifizieren und schlägt auf dieser Grundlage einen passenden Testturnus für das betreffende Szenario vor. Nachdem zu dem Szenario eine solche Risikoanalyse angelegt wurde, werden Ihnen in der Detailansicht die wichtigsten Daten angezeigt.

Abbildung: Notfallszenario - Risikoanalyse mit Scoring

Über die Bezeichnung, wie in der vorherigen Abbildung zu erkennen, gelangen Sie in die detaillierte Aufschlüsselung aller Werte des Rankings und können diese auch anpassen.

Ein zum Szenario angelegtes Ranking kann nicht im Szenario gelöscht oder ausgetauscht werden. Dafür muss immer das Ranking geöffnet werden. Dann ist ein Löschen möglich. Anschließend kann ein neues Ranking zum Szenario angelegt werden.

Abbildung: Einzelansicht Ranking

Notfallpläne und Übungen

Auf der Basis des Rankings ist es ggf. erforderlich, dem Szenario einen Notfallplan und / oder eine Übung hinzuzufügen. Folgen Sie dafür einfach den Bearbeitungsmasken. Die Risikobewertung (Notfallranking) wird dazu genutzt, einen Turnus für die Übungen zu empfehlen.

Die Empfehlungen aus unserem Vorschlag im Grundlagendokument Kriterien zur Risikoanalyse und -bewertung:

• Bis 50 Punkte wird ein dreijähriger Übungsrhythmus empfohlen

• Ab 51 bis 70 Punkte wird ein jährliche Übungsrhythmus empfohlen

• Über 71 Punkte wird ein halbjährlicher Übungsrhythmus empfohlen

Diese Werte sind natürlich individuell zu prüfen und anzupassen.

Anlegen eines Risikos

Über die Schaltfläche Risiko anlegen...können Sie ein neues Risiko anlegen bzw. im Bearbeitungsmodus ein bereits angelegtes Risiko über die Schaltfläche Risiken kopieren von... auswählen.

Abbildung: Anlegen eines Risikos

Bitte geben Sie dem Risiko eine aussagekräftige Bezeichnung um eine weitere Bearbeitung in ForumBCM zu erleichtern. Die Herkunft wird bei der Bearbeitung aus einer Prüfungsfrage bereits vorgegeben. Bitte vergessen Sie nicht eine Verantwortung zu hinterlegen und gegebenenfalls Bedrohungen zu zuordnen.

Für die Auswahl von Bedrohungen steht in der Maske ein Auswahldialog zur Verfügung.

Bewertung

Analog zur Methodik in ForumISM sind hier eine Schwachstellen- und Bedrohungsanalyse durchzuführen und Eintrittswahrscheinlichkeit und Schadenspotential  des Abweichungsrisikos zu bewerten. Der Umgang mit dem Risiko bzw. Restrisiko (nach Maßnahmen) ist zu dokumentieren. Ist die Bedrohungs- und Schwachstelleneinstufung getroffen, können Sie über die Schaltfläche "Berechnen" die Eintrittswahrscheinlichkeit berechnen lassen. Bitte hinterlegen Sie eine entsprechende Begründung für Ihre Entscheidung.

Abbildung: Bewertung eines Risikos

Die Berechnung der Eintrittswahrscheinlichkeit erfolgt gemäß der nachfolgend abgebildeten Matrix aus Bedrohungs- und Schwachstelleneinstufung.

Abbildung: Matrix Eintrittswahrscheinlichkeit

Für die Einstufungen des Schadenpotentials bei Risikobewertungen stehen folgende Einstufung zur Verfügung:

    1 - niedrig (Die Schadenswirkung ist minimal)

    2 - mittel (Die Schadenswirkung ist gering)

    3 - hoch (Die Schadenswirkung ist beträchtlich)

    4 - sehr hoch (Die Schadenswirkung ist geschäftskritisch)

Umgang mit dem Risiko / Restrisiko

Wurde eine Bewertung des Risikos durchgeführt, bestehen verschiedene Optionen im Umgang mit dem Risiko. Diese Auswahl hat einen Einfluss auf die Bewertung das Restrisikos. 

Auch für das verbleibende Restrisiko kann eine Handlungsempfehlung ausgesprochen werden, wenn sich beispielsweise zu einem Risiko keine (wirtschaftlich / organisatorisch) sinnvollen Maßnahmen zur Minimierung festlegen lassen oder das Restrisiko trotz getroffener Maßnahmen noch sehr hoch ist.

Abbildung: Umgang mit dem Risiko

Kopierfunktion von Risiken

Über die Schaltfläche Risiken kopieren kann eine Kopie eines bereits bestehenden Risikos angelegt werden werden.

Abbildung: Anischt Risikobewertung

Maßnahme am Risiko

Im Reiter Bewertung können Sie Risiken durch Maßnahmen⁽¹⁾ durch das Betätigen der Schaltfläche "Maßnahme anlegen..." minimieren. Bitte geben Sie eine aussagekräftige Bezeichnung für die Maßnahme⁽²⁾ an, um die weitere Bearbeitung bzw. das Auffinden des Dokuments zu erleichtern. Bitte denken Sie an die Vergabe der Verantwortung⁽³⁾ und die Einstufung des Status⁽⁴⁾. Das Risiko ist bereits übernommen und weitere Risiken können hinzugefügt werden⁽⁵⁾. Über die Schaltfläche "Auswahl bearbeiten"⁽⁶⁾ können Sie die Auswahl bearbeiten bzw. über das Symbol des Mülleimers löschen. Über die Dropdown-Listen kann die Auswahl zur Risikoreduktion und den zu erwartenden Kosten⁽⁷⁾ getroffen werden, auch hier kann eine Begründung optional hinterlegt werden.

Abbildung: Anlegen einer Maßnahme

Status 

Jede Änderung am Objekt kann verschiedene Status-Zustände annehmen. Für den Status der Bearbeitung stehen Ihnen folgende Staus zur Verfügung:

Freigabe

Die neue Maßnahme können Sie zum Abschluss "Freigeben" und es wird automatisch eine Wiedervorlage erstellt. Die Freigabe mit Wiedervorlage sollte in den Einstellungen von ForumBCM für Maßnahmen aktiv sein.

Im Menüpunkt Risikomanagement bekommen Sie in der Übersicht der Maßnahmen zur Risikobehandlung alle in ForumBCM angelegten Maßnahmen angezeigt.

Abbildung: Freigabe der Maßnahme