IT Service Continuity Manager

Was macht ein IT Service Continuity Manager?

Ein Versicherer kann seine Leistung nicht aussetzen, weil ein Rechenzentrum steht. Beiträge werden eingezogen, Schäden gemeldet, Renten gezahlt, Fristen laufen weiter. Der IT Service Continuity Manager sorgt dafür, dass für jeden dieser Vorgänge geklärt ist, wie lange er ausfallen darf und wie er wieder anläuft. Die Arbeit beginnt mit der Auswirkungsanalyse: Zusammen mit den Fachbereichen werden die kritischen Geschäftsprozesse bestimmt, ihnen Anwendungen, Datenbanken, Schnittstellen und Dienstleister zugeordnet und für jede Kette Wiederanlaufzeit und tolerierbarer Datenverlust festgelegt. Daraus entstehen Wiederanlaufpläne, Notbetriebsverfahren, Vertretungsregelungen und die Alarmierung. Der zweite Teil ist Übung und Nachweis: Wiederanlauftests mit den Betriebsteams, Ausfallszenarien für Rechenzentrum, Netz und Cloud-Region, Krisenstabsübungen, dazu die Auswertung echter Störungen. Der dritte Teil ist die Regulatorik. Die aufsichtsrechtlichen Anforderungen an die IT der Versicherer verlangen ein dokumentiertes Notfallmanagement, und für ausgelagerte Leistungen kommt § 32 VAG hinzu, der Ausgliederungen an Bedingungen bindet, die im Vertrag und in der Überwachung des Dienstleisters abgebildet sein müssen. Berichte gehen an die Geschäftsleitung, an die interne Revision und an die Aufsicht.

Wie wird man IT Service Continuity Manager?

Über den IT-Betrieb, nicht über die Theorie. Üblich ist ein Studium der Informatik oder Wirtschaftsinformatik oder die Ausbildung zum Fachinformatiker, gefolgt von Jahren in Systembetrieb, Rechenzentrum, Netz oder Anwendungsbetreuung. Wer nie eine Störung nachts behoben hat, schreibt Pläne, die im Ernstfall nicht funktionieren. Auf dieser Grundlage folgen die einschlägigen Qualifikationen: die Norm zum Business-Continuity-Management, der Standard des Bundesamtes für Sicherheit in der Informationstechnik zum Notfallmanagement, Zertifikate zum IT-Service-Management und, in vielen Häusern, eine Zusatzqualifikation im Informationssicherheitsmanagement. Der Quereinstieg aus der Informationssicherheit, dem Auslagerungsmanagement oder der Revision ist verbreitet, weil die Rollen benachbart sind und dieselben Nachweise verlangen.

Was der Beruf verlangt

Beharrlichkeit gegen zwei Widerstände. Der erste ist die gewachsene Landschaft: Bestandssysteme auf Großrechnern führen Verträge mit jahrzehntelanger Laufzeit, ihre Abhängigkeiten sind schlecht dokumentiert, das Wissen liegt bei wenigen Personen, und Wiederanlaufzeiten sind lang, weil Batchketten nachts in fester Reihenfolge laufen. Der zweite Widerstand ist die Aufmerksamkeit: Solange nichts passiert, gilt Notfallvorsorge als Pflichtübung, und Übungen konkurrieren mit Projekten um dieselben Leute. Die Rolle hat viel Verantwortung und wenig Weisungsrecht, sie lebt von Verhandlung und von belastbaren Fakten. Dazu kommt die Nachweispflicht: Was nicht dokumentiert und geübt ist, gilt in einer Prüfung als nicht vorhanden, und Feststellungen der Revision oder der Aufsicht binden anschließend Kapazität.

Aussichten

Der Bedarf steigt deutlich. Die europäische Verordnung zur digitalen operationalen Widerstandsfähigkeit des Finanzsektors hat die Anforderungen an Tests, an das Verzeichnis der Dienstleister und an die Meldung von Vorfällen verschärft, und der Zug in die Cloud verlagert Risiko auf wenige Anbieter, deren Ausfall viele Häuser gleichzeitig träfe. Gleichzeitig nehmen Angriffe mit Verschlüsselung von Daten zu, bei denen Wiederherstellung aus Sicherungen der einzige Weg bleibt. Fachkräfte, die Technik, Fachprozess und Aufsichtsrecht verbinden, sind knapp. Wege führen in die Leitung des Notfall- und Auslagerungsmanagements, in die Informationssicherheit, in die Rolle des Informationssicherheitsbeauftragten oder in die Beratung.