Ein Planungsbüro zu führen ist schon unter Normalbedingungen eine anspruchsvolle Aufgabe. Passiert zusätzlich ein ausserordentliches Ereignis wie etwa ein Cyberangriff, kommt aus dem Nichts eine grosse Herausforderung dazu. Sofern das Unternehmen den Angriff heil überstehen will, müssen alle Anstrengungen unternommen werden, dass möglichst rasch wieder zum geregelten Normalbetrieb zurückgekehrt werden kann. Dabei müssen Prioritäten im Tagesgeschäft gesetzt werden, um mit den eigenen und in der Regel zusätzlichen Ressourcen die Einschränkungen möglichst rasch wieder zu beseitigen. Darüber hinaus sollen Lehren gezogen werden, wie ein erneuter Angriff abgewehrt werden kann. Die Vorkehrungen für den Ausfall von unentbehrlichen Ressourcen bei einem Cyberangriff erfolgen im Rahmen des sogenannten Business Continuity Managements (BCM), einem systematischen und in der Industrie seit langem fest etablierten Prozess, um die betriebliche Kontinuität kritischer Geschäftsfunktionen auch im Notfall aufrechtzuerhalten.
Grafik 1: Vorkehrungen für den Ausfall unentbehrlicher Ressourcen (in Anlehnung an EN ISO 22301:2019: Sicherheit und Resilienz – Business Continuity Management System – Anforderungen) / © Urs Wiederkehr
Jeder Ausfall eines Akteurs führt zu wirtschaftlichen Schäden
Jeder Ausfall von unentbehrlichen Ressourcen [siehe Grafik 1] – also von Mitteln, um betriebsfähig zu sein – kann gefährlich sein. Stehen unentbehrliche Ressourcen nicht mehr zur Verfügung, wie beispielsweise Planungssoftware mit allen Projektdaten oder die Planlieferungstermine, ist ein geregelter Geschäftsbetrieb nicht möglich. In der Bau- und Planungsbranche herrschen straffe Lieferketten. Der Ausfall eines Akteurs kann zu weitreichenden wirtschaftlichen Schäden führen, wenn die termingerechte Ablieferung von Informationen, Daten, Plänen, Materialen und Arbeitsleistungen nicht eingehalten werden kann.
Versagt durch einen Cyberangriff beispielsweise die Informations- und Kommunikationsinfrastruktur, so wird die gewohnte Kommunikation eingeschränkt bis verunmöglicht. Darüber hinaus fällt die Unterstützung von Prozessschritten durch IT-Tools aus und der Zugriff auf digital gespeicherte Information ist nicht mehr möglich.
Insbesondere der Ausfall der Kommunikationsinfrastruktur führt dazu, dass ein passender Ersatz nur schwer organisiert werden kann: Zuerst müsste ein alternativer Kommunikationskanal zur Verfügung stehen. Dann müssten die Informationen zum Erreichen der Stakeholder unabhängig – analog! – abrufbereit sein. Und zu guter Letzt könnte nicht auf Protokolle von getroffenen Abmachungen und Arbeitsdokumentationen zugegriffen werden, um Anforderungen für Behelfsressourcen beschreiben zu können.
Grafik 2: Folgen von Ausfall der Informations- und Kommunikations-Infrastruktur / © Urs Wiederkehr
Notfallplan: Schutzmassnahmen, Notfallorganisation und -dokumentation
Als Vorbereitung auf eine solche Situation hilft der Notfallplan mit präventiven Massnahmen, der Definition möglicher Reaktionen im Ereignisfall und nachgelagerten Verfahren zur Aufarbeitung des Ereignisses. Ohne spezifische Risikobewertung erfüllt ein Notfallplan aber nicht seinen Zweck. Die Risikobewertung ist Chefsache. Das Vorgehen ist im Artikel
«Cybersicherheit im Planungsbüro – Die Bedeutung der Risikoanalyse» beschrieben.
Abgeleitet von der Risikobewertung sind die notwendigen Schutzmassnahmen zu definieren. Diese umfassen technische Massnahmen wie umfassenden Virenschutz, regelmässige Datenbackups, Einrichten von effizienten Firewalls, regelmässigen Software-Updates, aber auch Dokumentation der IKT-Systeme. Zudem kann das Monitoring der Systeme, mittels entsprechender Überwachungssoftware oder durch entsprechend spezialisierte Drittfirmen, einen Mehrwert bringen. Aber auch bei dieser Massnahme bildet die Risikobewertung die Entscheidungsgrundlage. Technische Massnahmen sind nutzlos ohne regelmässige Kontrolle der Wirksamkeit: Sind die Backup-Dateien zeitnah verwendbar? Sind Firewall-Einstellungen und Virenschutz genügend?
Daneben ist auch eine provisorische Notfallorganisation aufzustellen inklusive Rollenverteilung: Wer ist verantwortlich für das Weiterführen des Tagesgeschäfts? Wer schaut für die technischen Sofortmassnahmen wie Systeme isolieren und Wiederherstellung? Wer kommuniziert mit den Stakeholdern?
Zudem muss der gesamte Notfallplan mit einer Notfalldokumentation ergänzt sein. Bevorzugt liegt diese redundant, also mehrfach, auch ausgedruckt vor. Darin sind aktuelle Adresslisten zu finden für den Fall, dass die digitalen Systeme nicht mehr zugänglich sind. Eine regelmässige Schulung macht den Notfallplan für alle einsetzbar.
Reaktionen im Ereignisfall
Im Ereignisfall muss die provisorische Notfallorganisation auf Grund von möglichen personellen Abwesenheiten auf die tatsächliche Situation angepasst werden. Es braucht eine Priorisierung der Geschäftstätigkeiten, in einem Planungsbüro auch bezüglich des Umgangs mit Arbeiten auf den Baustellen oder bei Wettbewerben. Es stellen sich weitere Fragen, welche im Idealfall bereits im Voraus abgeklärt wurden: Wie verlaufen die technischen Prozesse bei der Wiederherstellung der Systeme? Wer kann unterstützen? Ein wichtiger Punkt ist die Kommunikation mit den Stakeholdern: Wer muss informiert werden? Mit welchen Mitteln und an welche Adressen? Können entsprechende Texte bereits im Vorfeld formuliert werden?
Ist der Normalbetrieb wieder hergestellt, haben die Betroffenen eine Menge neuer Erfahrungen gewonnen. Diese gilt es zu sammeln, zu bewerten und in eine aktualisierte Risikoanalyse einfliessen zu lassen. Die daraus gewonnen Ergebnisse sollen zu Verbesserungen führen, die wiederum dokumentiert und geschult werden müssen.
Eine Versicherung ist kein Ersatz
Das Erstellen und aktuell halten des Notfallplans ist eine Präventionsmassnahme. Ein Notfallplan kann nicht durch eine Versicherung ersetzt werden. Viel mehr verlangen diese, nicht nur bei Cybersicherheits-Risiken, entsprechende Präventionsmassnahmen und das Vorhandensein eines Notfallplans. Fehlen diese Überlegungen, so prüfen Versicherungsgesellschaften diverse Massnahmen: Eventuell kommt der Versicherungsschutz nicht zustande, die geschuldeten Prämien werden aufgrund grösserer Risiken erhöht oder bei einem Schadenereignis werden Leistungen wegen fehlender Prävention gekürzt.
Nicht nur ein Cybervorfall kann zum Ausfall von unentbehrlichen Ressourcen führen. Ein Notfallplan kann angepasst auch bei anderen Ereignissen angewendet werden, sei das bei Beeinträchtigung der Geschäftstätigkeit durch Unwetter, Ausfall von Versorgungssystemen wie Elektrizität und Telekommunikation, Brand, Krankheit oder gar Tod von Mitarbeitenden sowie bei Unterbruch von Lieferketten. Der Notfallplan ist kein Luxus, sondern eine Notwendigkeit für ein langes Leben jedes Unternehmens.
Anwendungsfälle des Business Continuity Managements / © Urs Wiederkehr
SIA-Event zum Thema Notfallplan bei der Swissbau 2026
Der SIA wird das Thema des Notfallplans im Swissbau Lab behandeln. Unter Moderation von des Leiters Informationsmanagement beim SIA Urs Wiederkehr wird der SIA-Geschäftsführer Christoph Starck mit dem Direktor des Bundesamtes für Cybersicherheit, Florian Schütz, und einem Betroffenen von einer Cyberattacke, dem Landschaftsarchitekt Andreas Albrecht, diskutieren.
Link zum Event
