Ein Rechenzentrum fällt aus, ein Schlüssellieferant meldet Insolvenz an, die einzige Person mit Admin-Zugang zur Produktionssteuerung ist im Urlaub. Solche Szenarien klingen nach Ausnahmefällen. In der Praxis zeigen sie jedoch, wie verwundbar Unternehmen sind, wenn niemand genau weiß, wovon die kritischen Geschäftsprozesse abhängen. Viele Organisationen investieren erheblich in Firewalls, Verschlüsselung und Awareness-Schulungen, übersehen dabei aber eine Grundfrage: Welche Ressourcen braucht der Betrieb tatsächlich, um weiterzulaufen?
Genau hier setzt eine systematische Ressourcenplanung an. Sie ist kein reines Thema der Personaleinsatzplanung, sondern die Basis für Business Continuity, Informationssicherheit nach ISO 27001 und echte organisatorische Resilienz. Dieser Beitrag zeigt, was dahintersteckt, welche Anforderungen die Norm stellt und wie Unternehmen das Thema praxisnah angehen.
Was Ressourcenplanung im Kontext der Informationssicherheit bedeutet
Im Alltag wird der Begriff oft auf Kapazitäten reduziert: Wer arbeitet wann an welchem Projekt? Im Sicherheits- und Kontinuitätsmanagement greift diese Sicht zu kurz. Hier bedeutet Ressourcenplanung, alle Ressourcen zu identifizieren und zu steuern, ohne die ein kritischer Prozess nicht funktioniert – und zu verstehen, wie diese Ressourcen miteinander verknüpft sind.
Menschen, Technik und Informationen
In der Ressourcenplanung steht der Faktor Personal meist am Anfang. Entscheidend ist nicht nur die Anzahl der Mitarbeitenden, sondern deren Wissen und Berechtigungen. Ein typisches Beispiel aus Audits: Die Lohnabrechnung hängt an einer einzigen Fachkraft, deren Know-how nirgends dokumentiert ist. Ähnlich kritisch ist die Informations- und Kommunikationstechnologie, also Server, Netzwerke, Cloud-Dienste und Fachanwendungen. Hinzu kommen die Informationen und Daten selbst, etwa Kundenstammdaten, Konstruktionspläne oder Verträge, deren Verfügbarkeit und Integrität den Betrieb direkt beeinflussen.
Anlagen, Dienstleister und Infrastruktur
In produzierenden Unternehmen rücken Maschinen und Produktionsanlagen in den Fokus. Fällt eine Spezialanlage aus, für die es keinen Ersatz gibt, steht unter Umständen die gesamte Linie still. Ebenso wichtig sind externe Dienstleister und Lieferanten: Managed-Service-Provider, Logistikpartner oder Hersteller von Vorprodukten. Gebäude und Infrastruktur sowie Versorgungsleistungen wie Energie, Wasser und Telekommunikation bilden schließlich das Fundament, auf dem alles andere aufsetzt. Wer nur einzelne dieser Kategorien betrachtet, erhält ein lückenhaftes Bild und unterschätzt seine tatsächlichen Abhängigkeiten.
Welche Anforderungen ISO 27001 an das Ressourcenmanagement stellt
Die ISO 27001 behandelt die Ressourcenplanung nicht in einem isolierten Kapitel, sondern an mehreren Stellen, die ineinandergreifen. Wer die Norm umsetzt, stößt deshalb zwangsläufig auf das Thema.
Managementsystem: Kapitel 6.1, 7.1 und 8.1
Kapitel 7.1 verlangt, dass die Organisation die für das ISMS erforderlichen Ressourcen bestimmt und bereitstellt. Kapitel 6.1 fordert, Risiken und Chancen systematisch zu ermitteln und zu behandeln – was ohne Kenntnis der zugrunde liegenden Ressourcen kaum möglich ist. Kapitel 8.1 schließlich adressiert die operative Planung und Steuerung: Prozesse sollen so geplant werden, dass sie die Sicherheitsanforderungen zuverlässig erfüllen, auch wenn Teile davon ausgelagert sind.
Controls aus Anhang A: A.5.24, A.5.29 und A.5.30
Im Anhang A der ISO 27001 werden die Anforderungen konkreter. Control A.5.24 betrifft die Planung und Vorbereitung des Managements von Sicherheitsvorfällen. A.5.29 verlangt, dass die Informationssicherheit auch während einer Störung auf angemessenem Niveau bleibt. A.5.30 fordert die IKT-Bereitschaft für Business Continuity, also den Nachweis, dass kritische IT-Systeme innerhalb definierter Zeiten wiederhergestellt werden können. Alle drei Controls setzen voraus, dass die Organisation weiß, welche Systeme, Daten und Personen für ihre Kernprozesse unverzichtbar sind.
Warum Ressourcenplanung die Resilienz eines Unternehmens stärkt
Der größte Nutzen zeigt sich erst im Ernstfall. Ohne klares Bild der Abhängigkeiten entdecken Unternehmen ihre Schwachstellen meist in dem Moment, in dem eine Störung eintritt – also genau dann, wenn keine Zeit mehr zum Nachdenken bleibt.
Single Points of Failure sichtbar machen
Ein Single Point of Failure ist jede Ressource, deren Ausfall einen kritischen Prozess vollständig stoppt. Das kann ein einzelner Server ohne Redundanz sein, ein Lieferant ohne Alternative oder eine Person mit exklusivem Wissen. Ein Praxisbeispiel: Ein mittelständischer Automobilzulieferer stellte bei der Vorbereitung auf TISAX fest, dass sämtliche Lieferabrufe seiner Kunden über eine einzige EDI-Schnittstelle liefen, die nur ein externer Dienstleister betreute. Erst die strukturierte Ressourcenplanung machte dieses Risiko sichtbar, und das Unternehmen konnte eine zweite Anbindung samt Notfallprozess aufbauen.
Bessere Wiederherstellung und fundierte Entscheidungen
Wer seine Ressourcen kennt, kann realistische Wiederanlaufzeiten festlegen und Notfallpläne gezielt darauf ausrichten. Das stärkt die operative Resilienz und macht Business Continuity vom Papierkonzept zur gelebten Praxis. Gleichzeitig ermöglicht die Transparenz risikobasierte Entscheidungen: Budgets für Redundanzen, Versicherungen oder zusätzliche Schulungen fließen dorthin, wo der Ausfall den größten Schaden anrichten würde, statt nach dem Gießkannenprinzip verteilt zu werden.
So gelingt die Umsetzung in der Praxis
Business Impact Analyse als Ausgangspunkt der Ressourcenplanung
Der bewährte Einstieg in die Ressourcenplanung ist die Business Impact Analyse (BIA). Sie klärt, welche Prozesse für das Unternehmen kritisch sind, welcher Schaden bei einem Ausfall entsteht und wie lange ein Prozess maximal unterbrochen sein darf. Erst auf dieser Grundlage lässt sich sinnvoll priorisieren, denn nicht jede Ressource verdient denselben Schutzaufwand. Die BIA ist zugleich das Herzstück eines Business Continuity Managements und liefert die Werte, an denen sich spätere Notfallpläne messen lassen. Eine praxisnahe Anleitung dafür bietet der BSI-Standard 200-4 des Bundesamts für Sicherheit in der Informationstechnik.
Abhängigkeiten erfassen und aktuell halten
Im zweiten Schritt werden für jeden kritischen Prozess die benötigten Ressourcen erhoben und ihre Abhängigkeiten dokumentiert. Bewährt haben sich Workshops mit den Prozessverantwortlichen, ergänzt um Informationen aus Asset-Inventar, Dienstleisterverzeichnis und IT-Architektur. Wichtig ist, die Ergebnisse nicht als einmaliges Projekt zu verstehen. Organisationen verändern sich, neue Cloud-Dienste kommen hinzu, Personal wechselt. Eine gute Ressourcenplanung wird deshalb in den regelmäßigen ISMS-Zyklus eingebunden und bei Managementbewertungen, internen Audits und Übungen überprüft. Gerade Notfallübungen decken häufig Abhängigkeiten auf, die in keiner Dokumentation auftauchen, und stärken so die Resilienz nachhaltig.
Bei Syngenity begleiten wir Unternehmen genau auf diesem Weg: von der Business Impact Analyse über Ressourcenplanung und Abhängigkeitsanalysen bis zur Einführung und Auditierung eines ISMS sowie zum Aufbau von Business Continuity Management und Resilienzprogrammen.
Fazit: Ressourcenplanung ist eine strategische Fähigkeit
Ressourcenplanung ist weit mehr als eine operative Pflichtübung. Sie beantwortet die Frage, wovon ein Unternehmen im Kern abhängt, und schafft damit die Grundlage für wirksame Business Continuity und belastbare Resilienz. Die ISO 27001 verankert diesen Gedanken sowohl in den Managementsystem-Kapiteln als auch in konkreten Controls wie A.5.29 und A.5.30.
Unternehmen, die ihre Ressourcen und Abhängigkeiten kennen, erkennen Single Points of Failure frühzeitig, stellen den Betrieb nach Störungen schneller wieder her und treffen Investitionsentscheidungen auf Basis realer Risiken. Wer dagegen erst im Ernstfall nach Antworten sucht, zahlt in der Regel den höchsten Preis. Der beste Zeitpunkt, mit der Ressourcenplanung zu beginnen, ist deshalb immer vor der nächsten Störung.
