Ein wesentlicher Bestandteil eines Notfallvorsorgekonzepts sind die Maßnahmen, die zur Vorbeugung gegen und zur Reaktion auf Notfälle umzusetzen sind. Sie können sich an den folgenden Schritten orientieren, um die Umsetzung dieser Maßnahmen systematisch zu planen:

1. Sie schätzen die voraussichtlichen Kosten für die einzelnen Maßnahmen.
2. Sie legen Prioritäten für deren Umsetzung fest.
3. Sie bestimmen Verantwortliche und Zeitpunkte für die Umsetzung.
4. Sie planen realisierungsbegleitende Maßnahmen.

Schritt 1: Kosten schätzen

In die Entscheidung für die gewählten Kontinuitätsstrategien floss bereits eine erste, wenngleich grobe, Kostenabschätzung ein. Diese ist zu präzisieren, sobald die zugehörigen Maßnahmen im Notfallvorsorgekonzept detailliert werden. Bei dieser Kostenaufstellung sind sowohl die einmaligen als auch die wiederkehrenden Personal- und Sachaufwände zu berücksichtigen.

Bei der Notfallvorsorge-Konzeption für die RECPLAST GmbH wurde unter anderem beschlossen, den Betrieb der wichtigen Server des Unternehmens durch die redundante Vorhaltung der erforderlichen Hard- und Software an beiden Standorten abzusichern. Aus dieser Entscheidung resultierten die in der folgenden Tabelle dargestellten Kosten:

Kostenaufstellung zu Vorsorgemaßnamen der RECPLAST GmbH (PT = Personentage)

Maßnahme	Personalaufwand		Sachkosten
	einmalig	wiederkehrend	einmalig	wiederkehrend
Summe	10 PT	1,5 PT/Monat	16.000 Euro	1.000 Euro
Beschaffung, Installation und Wartung von Hardware für zusätzliche Server in Bad Godesberg und Beuel	3 PT	0,5 PT/Monat (einschließlich Funktionstests)	8.000 Euro	200 Euro/Jahr (Reparaturen)
Beschaffung, Installation und Wartung der wichtigsten Software	2 PT	0,5 PT/Monat (einschließlich Funktionstests)	2.000 Euro	300 Euro/Jahr (Aktualisierung der Lizenzen)
Anpassung des Serverraums in Bonn-Beuel an die zusätzlichen IT-Systeme (USV, bessere Klimatisierung usw.)	5 PT	0,5 PT/Monat	6.000 Euro	500 Euro/Jahr (höhere Kosten für Strom)

Was tun, wenn das Budget nicht reicht?

Die Entscheidung darüber, wie viel Personal mit Notfallvorsorgemaßnahmen beschäftigt sein soll und in welcher Höhe Finanzmittel aufgewendet werden, obliegt letztlich der Leitung einer Institution. Falls die detaillierte Kostenübersicht das bewilligte Budget überschreitet, ist folglich mit der Leitung abzustimmen,

• ob das vorhandene Budget aufgestockt werden kann, um die gewünschten Maßnahmen umzusetzen,
• ob und welche Ersatzmaßnahmen umgesetzt werden können, um zumindest ansatzweise die gewünschte Schutzwirkung zu erreichen, ohne das Budget zu überschreiten, oder
• ob die Risiken in Kauf genommen werden können und folglich darauf verzichtet werden kann, die Maßnahmen umzusetzen.

Wenn aus Budget-Gründen Maßnahmen nicht oder nur partiell umgesetzt zu werden drohen, sollten Sie der Leitung die dadurch verbleibenden Gefährdungen verdeutlichen. Hierbei sollten Sie auf die Einschätzungen aus der Business Impact Analyse zurückgreifen. Dringen Sie darauf, dass diese ihre Bereitschaft, die Risiken in Kauf zu nehmen, durch ihre Unterschrift dokumentiert.

Schritt 2: Prioritäten für die Umsetzung festlegen

Wenn eine größere Anzahl an Maßnahmen umzusetzen ist, ist eine sinnvolle Reihenfolge festzulegen. Dazu ist es zweckmäßig, die folgenden Regeln zu beachten:

• Single-Points-of-Failure beseitigen
  Maßnahmen, die Fehlerstellen beseitigen, die einen Komplettausfall des Geschäftsprozesses nach sich ziehen können, haben höchste Priorität.
• Einheitliches Sicherheitsniveau eines Geschäftsprozesses anstreben
  Schwächer abgesicherte Teilprozesse sind auf das ansonsten bestehende Sicherheitsniveau eines Geschäftsprozesses anzuheben.
• Sachlogische Zusammenhänge beachten
  Bei einigen Maßnahmen ergibt sich durch logische Zusammenhänge eine zwingende zeitliche Reihenfolge.
• Maßnahmen mit großer Breitenwirkung bevorzugen
  Dies gilt beispielsweise für Maßnahmen, die Ressourcen absichern, die von vielen Geschäftsprozessen benutzt werden.

Schritt 3: Verantwortlichkeit regeln

In der Regel werden Maßnahmen nur dann angemessen und fristgerecht umgesetzt, wenn geregelt ist, wer dafür verantwortlich ist und wer die Umsetzung kontrolliert. Dabei ist darauf zu achten, dass Mitarbeiter, denen Aufgaben zugewiesen wurden, auch hinreichend qualifiziert sind oder werden. Verantwortlichkeiten und Fristen sollten explizit dokumentiert werden.

Schritt 4: Realisierungsbegleitende Maßnahmen festlegen

Zu den wichtigsten begleitenden Maßnahmen gehört, die davon betroffenen Mitarbeiter in der Handhabung von neu eingeführter Technik oder geänderten organisatorischen Regelungen zu schulen.