1 Der Betreiber verfügt über einen unternehmensweiten Ansatz, um die Geschäftsprozesse, insbesondere die systemisch bedeutsamen Geschäftsprozesse, bei Eintreten von Schadenereignissen aufrechterhalten oder zeitgerecht wiederherstellen zu können.
2 Er bestimmt die notwendigen Ressourcen (Gebäude, Mitarbeitende, technische Einrichtungen, Daten, externe Dienstleister) für die einzelnen Geschäftsbereiche und beurteilt für die Geschäftsprozesse, insbesondere für die systemisch bedeutsamen Geschäftsprozesse, die jeweiligen Auswirkungen eines kompletten oder teilweisen Ausfalls dieser Ressourcen (Geschäftsauswirkungsanalyse). Die Beurteilung schliesst auch gegenseitige Abhängigkeiten zwischen den Geschäftsbereichen und Abhängigkeiten von externen Dienstleistungserbringern mit ein.
3 Basierend auf der Geschäftsauswirkungsanalyse bestimmt der Betreiber die bei Eintreten eines Schadenereignisses maximal tolerierbare Zeitspanne bis zur Wiederherstellung der Geschäftsprozesse und den erforderlichen Wiederherstellungsgrad (Wiederherstellungsziele) sowie die dafür notwendigen Ressourcen. Für die systemisch bedeutsamen Geschäftsprozesse beträgt die maximale Zeitspanne bis zur Wiederherstellung auch bei grösseren Schadenereignissen (z. B. Nichtverfügbarkeit eines betriebswichtigen Gebäudes inklusive Mitarbeitende) zwei Stunden.
4 Der Betreiber legt das Vorgehen fest, mit dem er die Wiederherstellungsziele gemäss Absatz 3 erreichen will (Geschäftskontinuitätsstrategie) und erstellt Pläne, welche die Vorgehensweise und die Verantwortlichkeiten detailliert beschreiben (Geschäftskontinuitätspläne).
5 Er überprüft und testet die Geschäftskontinuitätspläne hinsichtlich deren Aktualität, Umsetzung und Wirksamkeit im Anschluss an wesentliche Änderungen, mindestens aber jährlich. Für diese Tests bezieht er bei Bedarf Teilnehmer und wichtige Dienstleistungserbringer ein.
1 The operator shall apply a company-wide approach to maintaining or recovering business processes, in particular those business processes which are systemically important, in a timely manner in the event of damage or disruption.
2 The operator shall define the necessary resources (premises, staff, technical facilities, data, external service providers) for the individual business areas and assess the impact of any complete or partial loss or disruption of each of these resources with regard to business processes, in particular systemically important business processes (business impact analysis). The assessment shall include any interdependency among business areas and any dependency on external service providers.
3 Based on the business impact analysis, the operator shall define the maximum acceptable time before business processes are recovered, as well as the required degree of recovery (recovery objectives) and the associated resource requirements. The maximum acceptable time for recovery in the case of systemically important business processes, even in the event of major damage or disruption (e.g. non-availability of a business-critical building including staff), shall be two hours.
4 The operator shall define the procedure by which it aims to meet the recovery objectives specified in paragraph 3 (business continuity strategy), and shall draw up plans that describe in detail the action to be taken and the persons responsible (business continuity plans).
5 Subsequent to any major modifications but at least once a year, the operator shall review and test the business continuity plans with regard to their implementation and effectiveness, and to ensure that they are up to date. Such tests shall, if necessary, also involve participants and important service providers.
Dies ist keine amtliche Veröffentlichung. Massgebend ist allein die Veröffentlichung durch die Bundeskanzlei.
This document is not an official publication. Only the publication of the Federal Chancellery is legally binding.