Für Aktivitäten und Prozesse, die kritische oder wichtige Funktionen darstellen, ist Vor- sorge durch ein Notfallkonzept zu treffen. Die darin festgelegten Maßnahmen müssen geeignet sein, mögliche Schäden zu begrenzen. Das Notfallkonzept ist jährlich und an- lassbezogen zu aktualisieren und angemessen zu kommunizieren. Die Geschäftsleitung ist mindestens quartalsweise und anlassbezogen schriftlich über den Zustand des Not- fallmanagements zu informieren. Das Institut muss Auswirkungsanalysen durchführen, um Risiken für schwerwiegende Störungen von kritischen oder wichtigen Funktionen sowie von deren notwendigen Un- terstützungsprozessen, hierfür notwendigen IKT-Systemen und sonstigen notwendigen Ressourcen sowie potenzielle Gefährdungen zu identifizieren. Als Basis hierfür dient eine Übersicht über alle Funktionen. Auswirkungsanalysen In Auswirkungsanalysen (Business Impact Analysen) wird über abgestufte Zeiträume betrachtet, welche Folgen eine Beeinträchtigung von Aktivitäten und Prozessen für den Geschäftsbetrieb haben kann. Die Auswirkungsanalysen müssen u. a. Art und Umfang des (im-)materiellen Schadens sowie den Zeitpunkt des Ausfalls berücksichtigen.
Im Notfallkonzept werden Verantwortlichkeiten, Ziele und Maßnahmen zur Fortfüh- rung bzw. Wiederherstellung von Aktivitäten und Prozessen bestimmt, die kritische oder wichtige Funktionen darstellen. Dies umfasst auch deren notwendige Unterstüt- zungsprozesse. Des Weiteren werden Kriterien für die Einstufung sowie für das Auslö- sen der Pläne definiert.
Das Notfallkonzept muss Geschäftsfortführungs- und Wiederherstellungspläne umfas- sen und auf plausiblen Szenarien und vernünftigen Annahmen beruhen. Bei Notfällen ist eine geeignete interne und externe Kommunikation sicherzustellen. Bei Auslagerun- gen von Aktivitäten und Prozessen, die kritische oder wichtige Funktionen unterstützen, müssen Institut und Auslagerungsunternehmen über abgestimmte Notfallkonzepte verfügen.
Die Wirksamkeit und Angemessenheit des Notfallkonzeptes ist regelmäßig zu überprü- fen. Für kritische oder wichtige Funktionen muss dies jährlich erfolgen. Überprüfungen sind zu protokollieren. Ergebnisse sind auf Verbesserungsbedarf zu analysieren und Ri- siken angemessen zu steuern. Die Ergebnisse sind den jeweiligen Verantwortlichen schriftlich mitzuteilen. Überprüfungen Die Häufigkeit und der Umfang der Überprüfungen sollen sich grundsätzlich an der Ge- fährdungslage orientieren. Dienstleister sind angemessen einzubinden.