Der Notfalltest, der die Prüfung besteht, und der, der durchfällt
Fast jedes Institut testet seinen Notfall. Deutlich weniger können belegen, was dabei herauskam. Genau dort setzt die Prüfung an.
Artikel 11 der DORA-Verordnung verlangt, dass Reaktions- und Wiederherstellungspläne regelmäßig erprobt werden, mindestens jährlich und nach wesentlichen Änderungen an der Infrastruktur. Das ist der Teil, den alle kennen. Der Teil, der in Prüfungen Diskussionen auslöst, steht nicht im Gesetzestext, sondern ergibt sich aus der Praxis: Was gilt eigentlich als Test?
Die drei Stufen, und was sie belegen
Die Besprechung. Die Beteiligten gehen den Plan am Tisch durch. Das ist sinnvoll, günstig und schnell, und belegt ausschließlich, dass der Plan gelesen wurde. Als alleiniger Nachweis reicht es nicht.
Der Teiltest. Ein abgegrenzter Bereich wird tatsächlich umgeschaltet: eine Anwendung, ein Standort, eine Abteilung. Das ist in den meisten Häusern der realistische Jahresrhythmus und liefert belastbare Zahlen.
Der Vollbetrieb am Ausweichstandort. Kritische Prozesse laufen für einen definierten Zeitraum tatsächlich vom anderen Ort. Das ist aufwendig und der einzige Test, der die Frage beantwortet, ob es im Ernstfall funktioniert.
Eine Vorgabe, welche Stufe wann zu wählen ist, gibt es nicht. Was es gibt, ist eine Erwartung an die Begründung: Warum diese Stufe, warum dieser Umfang, warum dieser Zeitpunkt.
Woran Tests in der Praxis scheitern
Interessant ist weniger, ob ein Test gelingt, als woran er hängenbleibt. Nach unserer Erfahrung sind es fast immer dieselben vier Dinge.
Zugangsdaten. Das administrative Kennwort liegt in einem Tresor, zu dem im Ernstfall genau eine Person Zugang hat, und die ist im Urlaub. Oder es liegt in einem Passwortspeicher, der auf dem ausgefallenen System läuft.
Telefonie. Die Arbeitsplätze funktionieren, die Anwendungen auch, aber die gewohnten Rufnummern klingeln weiter im leeren Gebäude. Für Bereiche mit Kundenkontakt ist der Test damit gescheitert, obwohl technisch fast alles lief.
Die Reihenfolge. Systeme werden hochgefahren, ohne dass jemand die Abhängigkeiten kennt. Die Fachanwendung startet, bevor das Verzeichnis verfügbar ist, und scheitert aus einem Grund, der nichts mit dem Notfall zu tun hat.
Die Menschen. Wer entscheidet, dass umgeschaltet wird? Diese Frage ist in überraschend vielen Konzepten nicht beantwortet. Im Ernstfall vergehen dann Stunden mit Abstimmung, während technisch alles bereit wäre.
Das Protokoll ist der eigentliche Nachweis
Ein Test ohne Protokoll ist in der Prüfung wertlos, weil er nicht stattgefunden haben kann, jedenfalls nicht nachweisbar. Was hineingehört, ist überschaubar: Datum und Dauer, Umfang und Abgrenzung, Beteiligte mit Funktion, der geplante Ablauf, der tatsächliche Ablauf, gemessene Zeiten gegen die festgelegten Wiederanlaufziele.
Entscheidend ist der letzte Abschnitt, und er fehlt am häufigsten: die Feststellungen und was daraus wurde. Ein Test, bei dem nichts aufgefallen ist, wirkt auf eine Prüfung nicht beruhigend, sondern unglaubwürdig. Bei einem ernsthaften Test fällt immer etwas auf.
Wichtiger als ein makelloses Protokoll ist deshalb ein nachvollziehbarer Umgang mit dem, was nicht funktioniert hat: Feststellung, Maßnahme, Verantwortlicher, Termin, Erledigung. Diese Kette ist das, was geprüft wird.
Ein realistischer Jahresrhythmus
Für die meisten Häuser hat sich ein gestaffeltes Vorgehen bewährt: einmal jährlich ein Teiltest mit tatsächlicher Umschaltung eines kritischen Prozesses, dazu eine Besprechung nach jeder wesentlichen Änderung und alle zwei bis drei Jahre ein umfassenderer Test.
Was das Vorgehen trägt, ist nicht seine Strenge, sondern seine Durchhaltbarkeit. Ein ambitionierter Plan, der im zweiten Jahr ausfällt, ist schlechter als ein bescheidener, der stattfindet.
Häufige Fragen
Wie oft muss getestet werden?
DORA Art. 11 verlangt mindestens jährlich und zusätzlich nach wesentlichen Änderungen an der Infrastruktur. Was als wesentliche Änderung gilt, legt Ihr Haus fest: ein Rechenzentrumsumzug gehört sicher dazu, ein Serverupdate in der Regel nicht.
Muss der Test angekündigt werden?
Die Verordnung schreibt das nicht vor. In der Praxis sind angekündigte Tests der Normalfall, weil ein unangekündigter Test selbst ein Betriebsrisiko darstellt. Wer unangekündigt testet, sollte den Umfang entsprechend eng halten.
Wer muss beteiligt sein?
Mindestens die Personen, die im Ernstfall tatsächlich handeln würden, nicht ihre Vertretung und nicht nur die IT. Ein Test, an dem die Fachbereiche nicht teilnehmen, prüft die Technik, nicht den Prozess.
Reicht es, wenn der Dienstleister testet?
Nein. Die Verantwortung für den Nachweis bleibt bei Ihnen, auch wenn die Leistung ausgelagert ist. Der Dienstleister kann den Test durchführen und protokollieren; bewerten und verantworten muss ihn Ihr Haus.
Was, wenn der Test scheitert?
Dann hat er seinen Zweck erfüllt. Ein gescheiterter Test mit dokumentierten Feststellungen und abgeleiteten Maßnahmen ist in einer Prüfung deutlich besser als ein makelloses Protokoll ohne jede Feststellung.
Jürg Raess
Sales & Business Development / Project Coordinator: Schwerpunkt Business Continuity, Notfallarbeitsplätze und Banken.