1 L’exploitant met en place un système applicable à l’échelle de l’entreprise en cas de sinistres, permettant de maintenir les processus opérationnels, et notamment ceux d’importance systémique, ou de les rétablir en temps opportun.
2 Il détermine les ressources nécessaires (immeubles, collaborateurs, installations techniques, données, prestataires externes) pour chaque domaine d’activité et évalue les conséquences d’une défaillance partielle ou complète de ces ressources sur les processus opérationnels, et notamment ceux d’importance systémique (analyse des incidences opérationnelles). Cette évaluation porte également sur les interdépendances entre domaines et les dépendances vis-à-vis de prestataires externes.
3 L’exploitant détermine, sur la base de l’analyse des incidences opérationnelles, la durée maximale tolérable, en cas de survenance d’un sinistre, jusqu’au rétablissement des processus opérationnels, le degré requis de ce rétablissement (objectifs en matière de rétablissement des activités) et les ressources nécessaires. Pour les processus opérationnels d’importance systémique, la durée maximale tolérable, y compris en cas de sinistre grave (p. ex. non-disponibilité d’un immeuble important pour l’exploitation et du personnel qui y travaille) est de deux heures.
4 L’exploitant définit les moyens à mettre en œuvre pour atteindre les objectifs au sens de l’al. 3 (stratégie de continuité de l’activité) et élabore des plans décrivant en détail la marche à suivre et les responsabilités (plans de continuité de l’activité).
5 Il vérifie et teste l’actualité, la mise en œuvre et l’efficacité des plans de continuité de l’activité à la suite de changements substantiels, mais au moins une fois par an. Si nécessaire, il consulte à cette fin les participants et les prestataires importants.
1 Der Betreiber verfügt über einen unternehmensweiten Ansatz, um die Geschäftsprozesse, insbesondere die systemisch bedeutsamen Geschäftsprozesse, bei Eintreten von Schadenereignissen aufrechterhalten oder zeitgerecht wiederherstellen zu können.
2 Er bestimmt die notwendigen Ressourcen (Gebäude, Mitarbeitende, technische Einrichtungen, Daten, externe Dienstleister) für die einzelnen Geschäftsbereiche und beurteilt für die Geschäftsprozesse, insbesondere für die systemisch bedeutsamen Geschäftsprozesse, die jeweiligen Auswirkungen eines kompletten oder teilweisen Ausfalls dieser Ressourcen (Geschäftsauswirkungsanalyse). Die Beurteilung schliesst auch gegenseitige Abhängigkeiten zwischen den Geschäftsbereichen und Abhängigkeiten von externen Dienstleistungserbringern mit ein.
3 Basierend auf der Geschäftsauswirkungsanalyse bestimmt der Betreiber die bei Eintreten eines Schadenereignisses maximal tolerierbare Zeitspanne bis zur Wiederherstellung der Geschäftsprozesse und den erforderlichen Wiederherstellungsgrad (Wiederherstellungsziele) sowie die dafür notwendigen Ressourcen. Für die systemisch bedeutsamen Geschäftsprozesse beträgt die maximale Zeitspanne bis zur Wiederherstellung auch bei grösseren Schadenereignissen (z. B. Nichtverfügbarkeit eines betriebswichtigen Gebäudes inklusive Mitarbeitende) zwei Stunden.
4 Der Betreiber legt das Vorgehen fest, mit dem er die Wiederherstellungsziele gemäss Absatz 3 erreichen will (Geschäftskontinuitätsstrategie) und erstellt Pläne, welche die Vorgehensweise und die Verantwortlichkeiten detailliert beschreiben (Geschäftskontinuitätspläne).
5 Er überprüft und testet die Geschäftskontinuitätspläne hinsichtlich deren Aktualität, Umsetzung und Wirksamkeit im Anschluss an wesentliche Änderungen, mindestens aber jährlich. Für diese Tests bezieht er bei Bedarf Teilnehmer und wichtige Dienstleistungserbringer ein.
Ceci n’est pas une publication officielle. Seule la publication opérée par la Chancellerie fédérale fait foi. Ordonnance sur les publications officielles, OPubl.
Dies ist keine amtliche Veröffentlichung. Massgebend ist allein die Veröffentlichung durch die Bundeskanzlei.