IT-Notfallplanung – Wie gut ist Ihr Unternehmen auf den Ernstfall vorbereitet?

Hallo und herzlich willkommen zum iDultXperts Talk. Wir sprechen heute über ein sehr spannendes Thema, was in Zeiten wie diesen auf jeden Fall immer höhere Plutät bekommen oder bekommen sollte, wo eben viele Hekangriffe sind oder Dinge in der Welt passieren, die nicht kontrollierbar sind. Und für dieses Thema haben wir einen Gast hier, den Frank Wasserm, Geschäftsführer von Support Mobile und Co-host ist heute Fabian Wolf von iDult Partner Manager und ich freue mich hier auf einen sehr dynamischen Gespräch. Ich möchte vielleicht erstmal damit starten, woher bekommen es, beziehungsweise was du da in den Bereich Noteverpläten bisher so gemacht hast. Also ursprünglich komme ich aus der Adminestation, also heißt ich komme mal von der IBM, bin da mal ausgebildet worden und habe dann praktisch über Technik immer weiter in Richtung Netzwerk, Netzwerktechnik zur Adminestation, mich fortgearbeitet und bin jetzt so ungefähr seit zwölf Jahren im Bereich Noteverpläneung unterwegs. Bin auch genau da drüber auch angesprochen worden, weil ich eben halt von der Technik in die Projektleitung, Projektmanagement, Schiene rüber gegangen bin und Projekte geleitet habe und diese Kombination aus dem Projektmanagement und der technischen Background, eben halt eine sehr gute Rundlage ist für Noteverpläne oder eben halt auch für dieses komplette Verständnis, also Bi Sachen ablaufen müssen und wie die auch technisch zusammenhängen. Also im Prinzip aus der Praxis geboren, aus der Anforderung heraus, quasi richtig. Also ich bin vor zwölf Jahren bin ich angesprochen worden, ob ich daran Interesse hätte und ob ich mir jetzt vorstellen kann und dann habe ich es mir angeguckt beim Vorgänger von Adult und also beziehungsweise von der Zwieb, von der Jetzigen und das hat mir sehr gut gefallen, auch das Prinzip hat mir sehr gut gefallen und dann habe ich mich eigentlich immer mehr dahein gearbeitet. Und also das Gefühl, dass es heute anders ist als damals hat sich da etwas verändert? Ja, die erwähne es hat sich verändert. Also das Mainz hat bei den Kunden ist ganz anders geworden. Euer hat man eben mal gesagt, okay, das ist so ein lästiges Übel, ich muss das aus irgendwelchen Gründen, muss ich das machen und heute hat man mehr Intrensische Motivationen, das von eben halt aus sich selber herauskommt und sagt, wir haben eingesehen, wir müssen uns aufgestimmte Dinge vorbereiten. Das merkt man auch bei vielen Kunden, wo z.B. Kollegen sind die Ablehnung gegenüber dem Thema haben, weil sie jetzt viel dokumentieren müssen, weil sie bestimmte Sachen machen müssen. Die dann aber auf einmal feststellen, ich komme in Situationen, wo mir, wenn ich es gemacht hätte, ist mir aber genutzt hätte. Und dann kommt tatsächlich immer mehr die Überlegung zu sagen, ja, vielleicht macht es ja doch Sinn, das tun. Also Mainz eher also aus dem Schmerz raus, irgendwas passiert. Die Leute merken, okay, hätten wir das gehabt, dann hätten wir nicht drei Tage, sondern nur drei Stunden gebraucht, um das wieder so laufen zu bekommen. Und jetzt müssen wir wirklich was machen, damit es nicht nochmal passiert. Ja, es ist tatsächlich so. Und viele assoziieren, nehmen mal Notverpläne, nehmen wir nur mit Zeiberattacken oder mit irgendwelchen Technischen ausfällen, aber keiner assoziiert, damit man das ein Dienstleister ausfällt, dass man Personal ausfällt, etc. Und spätestens seit Corona ist es eben halt so, dass das ein valides Thema ist und es muss kann eine Pandemie sein, damit Personal ausfällt. Es können auch ganz andere Dinge passieren, Krankheiten, Unfälle, Urlaubsvertretungen, etc. Und hier schlechter ich eben mal dokumentiere, um so schlechter kann der Westhandeln. Okay, es klickt ja schon fast nach so einem Fass ohne Boden, weil wenn man so durch die Welt geht und überall Risiken eben sieht, Risiken bewertet und sagt, sie jetzt ein Dienstleister kann ausfallen oder Mitarbeiter ist weg oder Zeiberattacke oder ein Branden oder ein Erdbeben oder ein Zunami, dann ist ja eine Lüste quasi unentlich lang. Da können wir den Eindruck haben, okay, ich muss ja für jedes generäre Notfall plan machen, dann bin ich ja eigentlich nur noch nur, weil Plan Manager bei mir unternehmen, auch wenn ich aus der Administration komme, dann muss jetzt eigentlich alles nur runter schreiben. Also viel wichtiger ist eigentlich, dass ich eben halt die Ansprechperson oder die Stationen immer klar definiert habe, dass ich meine Rollen definiere und dass jeder weiß, was ja welche Rolle er hat und was jetzt zu tun hat, den Alp dieser Rolle. Das ist viel, viel entscheidender als jedes Zähnare abbilden zu wollen, weil wenn ich alleine nur die Rollen verteile, dann kann ich ja jedes Zähnare durch spielen und kann aber jemanden weiß in egal was abläuft, was jetzt genau passiert, wenig jetzt genau ansprechen muss und wie es dann weitergeht. Wenn jeder dann auch seinem Part beherrscht, kann ich eigentlich fast alles beherrschen. Ja, also das ist das, wo drauf wir uns vorbereiten wollen. Wir wollen eben halt klare Ansprechpartner haben in einer Organisation, wir wollen wissen, dass diese Ansprechpartner sein Bereich komplett beherrscht und dass er eben halt auch dafür gesorgt hat, dass er in der Satz hat. Ja, egal ob er ein Kollege ist, ob das eine externe Firma ist oder sonst auch was. Notfalls hat er alles so gut dokumentiert, dass jemand anders mit dem Fachgän ist, was man übernehmen kann. Das ist ja um die Mal. Und das ist das, wo drauf wir uns vorbereiten wollen. Ja, okay, also das wollen basiert, sie klingt ja so, als wenn auch Szenarien eintreten können, die man vorher nicht bedacht hat, aber so durch, dass jeder weiß, für was er zuständig ist, kann er dann trotzdem auch in solchen Situationen einspringen. So seht das dann schon zu, wir haben eine Basis für den Notfallplan. Ja, definitiv. Also das ist die Basis eigentlich für alles. Wir können definitiv nicht jedes Szenario vorab durchdenken. Natürlich gibt es bestimmte Szenarien, die wir konstruieren können und die wir erahnen können oder die wir vorkonstruieren können. Das wird z.B. sagen, wir machen Notfallübungen, wir gehen in den Raum, macht der BZM Manager klopft, war los, Leuten auf die Schulter uns sagt so und du legst jetzt sein Arbeit nieder und du bist ab jetzt nicht mehr da. Du gehst jetzt nach Hause. Das haben wir schon in großen Organisationen aus so gemacht. Notfallübungen, dass wir immer sagen, wir nehmen ganz gezielt Leute aus dem Betrieb raus und gucken, dass das weiter funktioniert. Und das wäre das Ziel, was wir ja erreichen wollen. Wir möchten immer halt ein Personalausfall simulieren können, warum auch immer und ich muss den Kompensieren können. Und alles, was drum rumgebaut ist, sollte das eben halt hergeben. Dokumentation, Übergaben, etc. klare Verantwortigkeiten, weil jetzt mal so, wenn du nicht da bist, wer macht dein Job? Wer weiß, was du alles weißt. Bist du ein Single Point of Knowledge oder bist du tatsächlich jemand, was wir alle nicht haben wollen, ne? Wir wollen nicht Austauschbar sein, aber aufs Notfallverplagungslicht müssen wir es. Wir müssen Austauschbar werden. Ist denn so ein Notfallplan, so ein starkes Konzept? Oder muss man dann auch dafür sorgen, dass das in regelmäßigen Abständen halt auch aktualisiert wird? Weil die Welt wird komplexer. Es gibt mehr Abhängigkeiten. Neues Personal kommt rein, unzuweit und so fort. Das heißt, man hat halt von dauernden Change im Unternehmen. Das muss man sicherlich auch da berücksichtigen. Genau. Also das ist die größte Herausforderung bei Management-Systemen oder auch gerade bei Notfallmanagement-Planen, dass es eben halt kein staatischer Plan ist, der irgendwo in der Schublade liegt und nie wieder angefasst wird, sondern es ist ein dynamisches Konstrukt, was sich immer wieder verproben muss. Ich habe Veränderungen. Ich krieg neue Hardware. Ich krieg neue Kollegen. Ich habe ein Dienstleister wechselt, alles, was an Veränderungen da ist, sollte er aufeinander abgestimmt sein. Wenn ich aber den Plan habe, kann ich natürlich auch alle Veränderungen besser auf meinen Plan abstimmen, weil das eine ergibt eben halt auch das andere. Weil wenn ich eben halt ein klarer Konstrukt habe, dann kann ich eben halt eine Veränderung, die ich jetzt plane, schon direkt gegen das Konstrukt legen. Das heißt, also ich kann es dagegen schon prüfen und kann eben halt sagen, bevor ich diese Veränderung durchführe, was für Auswirkungen hat das auf eine Organisation. Was muss ich alles beachten? Und das macht uns eben halt auch resiient. Das macht uns wiederstandsfähig, indem wir eben halt hingehen können und so viele Entscheidungen wie möglich vor das Acknis legen und dass wir eben halt mehr Informationen für eine bessere Entscheidungsfindung haben. Das heißt nicht, dass unsere Entscheidung besser werden, nur dass wir eben halt eine bessere Basis haben für unsere Entscheidungen. Ja, nachts sind. Also ich habe auch ein Beispiel mitgebracht, der Landkreis Anhalt Bitterfeld, war auch eine Cyberattacke von ein paar Jahren, deutsche Kommune. Eine Woche war die Lamge legt, wegen dem Cyberangriff. Es war kein Notverlandbuch vorhanden. Schaden ohne Personaler von 2,5 Millionen. Also das ist ja auch ein Beispiel für die Awareness für solche Notverlandbücher die man einfach berücksichtigen muss. Auch aus Management, Unternehmenssicht, Sicht von Kommunen und so weiter und so fort. Wobei du jetzt in dem Beispiel eben halt nur die Ausfallzeit sehst, aber tatsächlich ist die Zeit für die Wiederherstellung bis zum vollendlichen Betrieb. Also so wie er vorher war, nach der Cyberattacke viel länger. Wir haben das hier bei der Ruhe Universität Bochum gesehen, die waren komplett verschlüsselt. Das waren insgesamt 1.200 Server, die eben halt über alle Bereiche hin verschlüsselt wurden, die sind rekonstruiert worden und die waren nach ungefähr anderthalb Jahren bei 80 Prozent. anderthalb Jahre. Also anderthalb Jahre bis das Forschungsergebnis wiederhergestellt worden sind, bis dass man eben halt Forschungsdaten wieder zur Verfügung hatte, etc. Wenn ich mir das in einer Verweitung vorstelle und spreche dann eben halt von kommunalen Daten der Bürger, dann halte ich das schon für sehr Risiko behaftet. Ja, es ist jetzt nicht immer so, dass jede Informationen dann auch vom Bürger immer in der Kommune direkt liegt, aber die sind eben halt auch ans Bundesdatennetz angeschlossen, ans Kommunalnetz beziehungsweise ans Landesdatennetz, teilweise untergehen eben halt auch weiterführende Risiken von aus. Und die schnellere ich das bärchen kann umso besser ist es natürlich. Wer ist denn normalerweise der Antreiber innerhalb von einem Unternehmen, kommt das? Also wir haben jetzt eben gesagt, wenn es tendenziell aus der Krise heraus entsteht, dann würde der die Person, die in der Situation am meisten gelitten hat, wahrscheinlich Antreiber sein. Aber wer so meines der Mutung, aber wer sollte es sein oder wer ist es vielleicht geht? Also wer es sein sollte, ist ganz klar, es sollte im Interesse der Geschäftsführung legen. Also das heißt, jeder Geschäftsführer sollte das Interesse der haben, dass er sein Betrieb fortführen kann ohne Unterbrechungen und ohne irgendwelche Verluste als Risiko zu haben. Tatsächlich ist es so, dass die Geschäftsführer das eher als lässiges Dokumentationsübel sehen und meistens erst nach einem Schadensfall richtig wach werden. Weil eins muss man auch sagen, wenn wir anfangen mit Notfallplänen, fangen wir an mit Strukturen bauen, wo keine sind. Wir schaffen Rollen, wir schaffen anderes Bewusstsein, etc., das ist kein einfaches Thema. Das ist tatsächlich ein Prozess, der nicht innerhalb von einem Monat vollzogen werden kann, sondern der sich meistens über ein oder zwei Jahre erstreckt. Weil bis, dass ich die Mechanismen in einer Organisation überhaupt implementiert habe, damit das funktioniert, ich die Dokumentation auf einem Bestand gebracht habe. Alleine die Tulauswahl ist dann schon meistens schon der erste Knackpunkt, das dauert ne Zeit. Also auch da muss man eben auch gucken, da, wo gewachsene Strukturen sind, haben wir jetzt immer meistens am schwersten. Weil da muss man natürlich auch in der Belegschaft immer die Überzeugungsarbeit leisten. Warum ist das jetzt besser, was ich dir erkläre, als das, was du schon seit 20 Jahren machst? Standardbruch, IT Leiter ist, hier ist seit 20 Jahren noch nie was passiert, warum sollen wir irgendwas ändern? BKA sagt, wir sprechen heute nicht mehr davon, ob es eine Wahrscheinlichkeit ist, ob wir angegriffen werden, sondern wir sprechen davon, wann ist der Zeitpunkt bei mir angegriffen werden? Also, das steht jetzt außer Frage, also es ist nicht mehr, dass eine Ereignis eintritt, also dass wir in Frage stellen oder die Eventualität haben, dass eine Ereignis eintritt, sondern wir gehen davon aus, dass eine Ereignis eintritt, wir wissen nur nicht heute, morgen oder übermorgen. Da könnte man ja eigentlich hingehen und sagen, hier gibt es Vorfälle, die vergleichbar sind, vielleicht mit oder aus unserer Branche vergleichbare Vorfälle, die man sich rauspickt und dann sieht, okay, die haben bei den Sharp von 2,5 Millionen, die konnten einen halb Jahre nicht überarbeiten, die haben das in diesen Dienstproblem. Das können wir fast schon als Budget nehmen für Ressourcen, um aufzubauen, weil wenn ich der Zeug aufbauen würde, der das komplett verhindern würde, dann würde sich das errechnen. Theoretisch. Theoretisch ist das so und ja, wir haben auch ganz früher, haben wir das auch tatsächlich versucht, der Geschäftsleitung so zu zeigen, mittlerweile sind wir davon aber komplett weg. Wir fragen eben halt einfach nur, wir stellen in der Raum, wie hoch sind die Kosten, wenn wir es nicht tun. Aber wird das nicht viel zu geringen eingeschätzt? Das ist ein Hackgut, also ich habe es hier und dort mal gesehen, dass es Nuchfaltpläne gibt, wo gesagt wird, dann ist ein 3 Stunden alles wieder da und dann tritt dieser Fall ein und dann dauert es aber 3 Tage, also eine komplette Unterschätzung. Und wenn man mit dieser Art, der herangeht, das komplett runtergeredet wird. Ich habe das bei verschiedenen Kunden schon in der Umsetzung gehabt, dass ich Kollegen hatte, die gesagt haben, ich komme mit der Dokumentation, die ich geschrieben habe, komme super zurecht. Eine Woche später ruf mich der BZM-Manager an und sagt, ich habe hier was nicht verstanden, dann habe ich den Kollegen geholt und habe ihn in seine eigene Dokumentation gucken lassen und er zwei Stunden gebraucht und mir zu erklären, was ich nicht verstanden habe. Und da stellt sich dann die Frage, ob dann das eigene Bewusstsein wirklich so stark ist, und das macht mir dann auch wirklich gerne, dass wir sagen, okay, wenn ihr der Meinung seid, ihr seid wirklich gut aufgestellt, und ihr seid richtig stark. Dann nehme ich genau die Köpfe jetzt raus, gibt die Dokumentation an dritte und die müssen wir klacken. Weil unser Kredo ist immer, dass ich immer sage eine wieder Anlaufplan, eine Dokumentation, die muss so stark sein, dass ich die Notfalls an Dienstleister geben kann und der Dienstleister, die einfach rausführt. Oder ich nehme, ich liebe jemanden aus meinem Betrieb, der eine Tastatur in einem Aushalten kann und der tatsächlich ein Ablaufplan runterarbeiten kann und den einfach unterarbeitet. Und die Administratoren sagen, ja, das ist eine Idiotentokumentation, ich sage hervorragend eine Idiotentokumentation, das heißt also, ich brauche keine Fachkräfte. Ich bin hochflexibel, ich kann mit den Kapazitäten arbeiten, die mir gerade zur Verfügung stehen. Und das macht mich eben halt in der Situation unheimlich, ja, flexibel. Und weil eben halt, ich muss nicht loslaufen, erst ein Spezialisten organisieren, der aber jetzt kann derzeit hat. Ja, ich kann fünf Dienstleister haben, die Verträge kann ich gar nicht bezahlen, dass die mir die Leute immer abrufbar zur Verfügung stellen. Also, heißt, ich dem sage, du hast eine Reaktionzeit von vier Stunden, innerhalb von vier Stunden hab ich ein Techniker hier. Das gab es früher mal, das war früher noch bezahlbar, heute kann man es nicht bezahlen. Und wenn ich dann so flexibel bin, da ich einfach sage, ich brauche den externen gar nicht, sondern ich kann es intern machen. Kann meine Fachkapazitäten darauf lenken oder darauf abstimmen, dass die eben halt die Koordination machen und habe dann aber interne Erfüllungsgehilfen, die eben halt die operativen Sachen machen. Dann bin ich doch sehr, sehr weit vorne. Also, es klingt also, diese Anforderungen, das ist quasi ein fachfremder dritter, das sieht, versteht und umsetzen kann. Es ist natürlich, dann erwartet man, dass da wirklich alles drin steht, von wegen jetzt drückst du den Knopf und es geht es dahin, jetzt ziehst du das Kabel. Also, es ist wirklich, wie du sagst, idioten sicher ist. Also wirklich, bis ins kleines Detail und auf der anderen Seite sieht man aber, dass viele nichtmals einen Ansatz von Knopf halt beantworten haben. Also, das ist ja eine Spanne, die gigantisch ist oder die mir so hochhin voll vorkommt. Wo wird man denn da ansetzen, was ist denn so erstrebenswert? Ist es sofort diese idioten sichere Variante oder es sind vor in allen Bereichen, vielleicht irgendwie so einen kleinen Part davon abzuwenden? Also, idioten sicher impliziert eben halt auch immer aufwendig. Also, das ist so das erste, was, was die erste Assoziation ist. Das fand ich immer denk, okay, wenn ich so grandular darstelle, dann muss es auch sehr kompliziert zum dokumentieren sein. Muss es gar nicht. Also, man kann eben halt auch mit Spin Shots arbeiten, die selbst erklären sind. Na und wenn ich zum Beispiel Abläufer habe, zum Beispiel Inspirationsabläufer, dann mache ich mir einfach mal Bilder. Packt die Dokumentation, schraht noch fünf Sätze dazu, getrubzug. Das muss ich mir halt nur angewöhnen, dass ich das mache. Na und dieses, das einschleifen, dass diese technischen Dokumentationen so aufgebaut werden. Hab ich die einmal, dann stehen die. Und wenn ich mir dann ein System überlege, wie kann ich hier aktualisieren? Das mache ich bei Veränderungen, wie dokumentiere ich meine Konfiguration. Dann werde ich eben halt mit der Zeit immer flexibler, hier mehr ich davon habe. Hier mehr sich das einschleift und so mehr ist es wird es so eine Gewohnheit. Und wenn es einfach ein ganz normaler Ablauf in meinem Arbeitsalltag ist, dann fällt es auch gar nicht mehr auf. Und da wollen wir auch hin. Weil wenn wir aktuell halten wollen, müssen wir diese Veränderungen auf irgendeine Art und Weise eben halt irgendwie mit einflegen. Was viele eben halt versuchen, ist, ich mache jetzt eine Dokumentation, mache eine halbes Jahr lang gar nichts. Und versuche dann nachzuarbeiten, das funktioniert gar nicht. Na, ich muss das wirklich in meine Abläufe, in meine Change-Prozesse, muss ich das reingekommen. Daß ich eben halt sage, okay, ich habe eine Änderung und ich fliege dir direkt in meine Dokumentation ein. Das muss sein meiner Arbeit werden. Und das soll es wahrscheinlich dann auch ein Primären Ansprechpartner vorgeben. Oder wenn er mal nicht da ist, dann genommen eine Vertretung, die das dann umsetzt und eben aktuell hält, am besten Fall. Wie sie konstrukte, das ist das, was ich vorhin mit rollen System meinte. Es sind eben halt die Sachen, die eben halt in gewachsenen Unternehmen. Ist da jetzt mal kleinen Mittelstand, die es aber gar nicht gibt, ne, dass man so, wie wir es aus dem Projektmanagement kennen, eben halt mit einer Wachimatrix arbeitet, dass man ja mal sagt, ich habe einen Ansprechpartner, ich habe einen Entschreider, ich habe jemanden, der beratend tätig ist und ich habe jemanden, der auf jeden Fall über alles informiert werden muss, dass ich das eben halt auf Meter und dass ich diese Rollen auch so klar verteile, dass ich dann eben halt auch weiß, okay, ich habe jetzt hier in dem Part, eine Entscheidung zu treffen, wen spreche konkret an. Meistens ist so, wir haben einen Verantwortung stellvertretter und dann wird als Verantwortung jemand gesucht, der vielleicht die meisten Fachkenntnisse von dem Bereich hat, aber gar keine Entscheidung treffen kann. Und das wäre dann zum Beispiel auch wieder fatal, dass ich in einer Situation, wo eine Entscheidung aber jetzt getroffen werden muss, jemanden Anspreche, der sagt, "Okay, fachlich kann ich das beantworten, ich kann die Entscheidung aber nicht treffen, das wäre eben halt sehr schlecht." Das heißt aber auch, dass es so eine Art Blueprint Grundkonzept eines Notfallplans gibt, was man dann individuell auf jedes Unternehmen wahrscheinlich anpassen muss. Genau, also Notverplände sind individuell, genauso wie jedes Mensch. System eben halt immer von der Organisation abhängig ist. Ich muss gucken, welche Anforderungen sind da, wo kommt die Motivation her? Du hattest das freundlich gefragt, ne? Ich habe eine Motivation, die kommt die vom Geschäftsführer. Wenn die vom Geschäftsführer kommt, ist super, hat einen großes Eigeninteresse. Ist schon mal prima, weil der kann von oben treiben. Der kann seinen Mitarbeitenden sagen, du machst aber. Wenn der das nicht macht oder der sagt, ne, ich finde das unwichtig. Ist das so schwierig auf der unteren Ebene, jemanden dafür zu begeistern, wenn der nicht weiß, dass er von oben Druck kriegt. Ja, also wenn der Chef das nicht klar will, dann sagt er unten, auch ja, ich habe auch bestimmten Weg, wie ich dran vorbeikomme. Und das wäre immer das schlechtes, was wir haben können. Nächster Treiber werden Regulatoren. Also heißt, wenn ich ein reguliertes Unternehmen habe, was zum Beispiel von der Aufsichtsbehörde kontrolliert wird, was eine Zettifizierungsverpflichtung hat, etc. Dann sind Notfallpläne immer Teil dieses Bereisches. Das heißt, ich habe also einen rechtlichen Anspruch aus dem Vertragsverhältnis oder aus dem Gesetz raus. Ich sage jetzt mal nix, zwei oder IT-Sicherheitsgesetz, etc., die mir das vorschreiben, dann ist das Teil von dem, dass ich es auf jeden Fall machen muss. Und wenn ich es nicht mache, dann habe ich eben halt auch dieses Problem, dass ich eben halt da rechtlich eben halt nicht komplein bin. Ich muss gerade an die ISO 271 denken. Da habe ich ja auch eine Risikuppewertung gesagt, ja, ok, es kann sein, dass es im Rechensentrum brennt. Und dann habe ich vielleicht gewisse Maßnahmen, ich stelle irgendwie eine Brandmeldanlage, eine vorherlöscher alle drei Meter und so weiter, dann vielleicht zu ein paar Vorgaben, die ich machen kann. Und dann sage ich ja, ok, wie wahrscheinlich es jetzt noch, dass es brennt. Und das ist ein Impact hat aufs Unternehmen. Aber es ist ja kein Notfallplan, in dem Sinne. Ich habe zum paar Elemente, mit denen ich das vielleicht verhindern kann oder die mir helfen, in dem Fall quasi das einzudämmen. Aber das ist noch mal, würde ich so sagen, es kommt getrennt zu betrachten, so Notfallplan und Risikbewertung. Nein, also es geht ja alles einher. Also zum Beispiel Teil der ISO 27.000 ist eben half, Betriebsvorgführung, eben Notfall. Also betriebsunterbrechungen mitzubehandeln, also hsbcm zu machen, einen Notfallplan zu erstellen. Teil von der ISO 27.000 ist eben halt ein Rollenkonzept zu erstellen, Kommunikationsfähige festzulegen, Verantwortlichkeiten, etc. Also das gehört immer in dieses Gesamtkonstrukt rein. Und ob ich jetzt eben halt, sage ich jetzt, war Notfallplanerstelle nach BSE, 1204 oder nach ISO 22301, das Prinzip ist immer das selber. Kommunikationsfähige festlegen, Strukturen bilden, weil wir können nur über diese Strukturen, können wir es nachvollziehbar machen, prüfbar machen und trainierbar. Das ist ja das, was wir machen. Weil wir versuchen eben halt, nicht jede Situation abzubilden, sondern wir versuchen uns darauf vorzubereiten, dass wir die beliebige Situation bewältigen können. Also das heißt, ich muss irgendwann eine Lage sein, mir einenzenario auszudenken, daszenario ablaufen zu lassen. Und dann zu gucken, kann ich das tatsächlich mit den Strukturen, die wir haben, in denen wir uns bewegen, kann ich es damit bewältigen. Und deswegen müssen diese Strukturen Teil unserer Organisationen wehrden, nicht einfach nur Teil von dem Notfallplanen. Ja, ich habe jetzt mal viel vorstellen, dass es gerade bei mir, ich sag mal, der größeren Unternehmen in einer gewissen Art und Weise schon vorhanden ist. Auch vielleicht in Teilausprägungen, vielleicht auch nicht. Ich kann aber gut vorstellen, bei den ganz kleinen Unternehmen, bei den kleinen Mittelständern, vor allem, du hast es gesagt, NISS 2. Ich steh natürlich auch noch vor ganz andere Herausforderungen, die haben natürlich auch eine Personal andere Ressourcen zur Verfügung. Gebenfalls auch andere finanzielle Mittel. Also das stelle ich mir dann auch schon sehr herausfordernd vor, die ganz Regulatorien noch einzuhalten. Das ist richtig, aber wir mussten eben halt auch gucken, dass uns die Standards eben halt auch dahin bringen, dass wir eben halt alles auch unter einen Hut bringen. Also dass wir wirklich, das macht gerade 27.000 immer sehr stark, dass sie eben halt uns dazu drängt, dass wir gucken, was es sind alle unsere Anforderungen und dass wir die eben halt auch für die Notfallplanung dann später berücksichtigen und dass wir die eben halt auch in unsere Entscheidungsfindung komplett mit einbeziehen, dass wir eben halt diesen Regulatorien gerecht werden und dass wir eben halt auch alle Anforderungen kennen, die an uns gerichtet sind und dass wir die eben halt damit auch erfüllen können. Das ist auf jeden Fall immer ein großer Punkt, wobei eben gerade die kleinen und die Mittelständler momentan immer die Herausforderungen haben, dass sie vermehrt jetzt schon Zwischenfälle hatten. Also wir haben sehr viele Kunden, die eben halt aus der Situation kommen, dass sie nicht schon einen Angriff hinter sich haben und dass sie auch einen Durchbruch erlebt haben. Also uns heißt also, dass jemand diesen Angriff nicht nur, dass sie an der Firewall gescheitert ist, das hat selbst ich in meinem Unternehmen ungefähr 1.000 All am Tag, dass der irgendwelche Andrews Versuche auf der auf der perimeter Firewall zu sehen sind, aber das wirklich Leute durchkommen. Und dass da Verschlüsselung sind, dass es Datenabflüsse gibt, etc. Und dass es dann noch Betriebsinschränkung gibt. Aber die Unternehmen verstehen auch am schnellsten, warum das wichtig ist, das so zu tun. Und die besten Erfolge haben wir auch da, wenn Geschäftsführer oder jemand aus der Geschäftsleitung tatsächlich selber diese Erwehren es mitbringt und sagt, das möchte ich in Zukunft verhindern. Und dann funktionieren die meisten Sachen aus. Wir haben jetzt gerade einen Kunden, den bringen wir innerhalb von 8 Monaten zur Tisaksetifizierung und das ist schon tatsächlich für ein kleines, mittelständiges Unternehmen. Jetzt sag ich jetzt mal, bis 200 Mitarbeitende ist das Scherne, wahnsinnze Herausforderung. Weil die müssen eben halt den kurzen Zeit eben die Strukturen bilden, müssen die Abläufe, müssen sich, müssen sich Konzepte auch überlegen. Und da fällt dann eben halt auch auf, dass sehr, sehr viele Konzepte meistens in den Köpfen von einzelnen Personen sind, die nicht irgendwo niedergeschrieben sind. Und was macht man dann, wenn man ein Rente geht, länger mal ausfällt? Ja, genau deswegen, für solche Zinalung, hat man das ja alles ran. Das fällt am ehesten immer auf, wenn die inmitten im in der Umsetzung sind und es ist Urlauchtszeit, neu, und mehr dann einer sagt, na ja, es kann nicht nicht beantworten, der Kollege ist ja es dann drei Wochen wieder da. Und ich dann sage ja, machen Sie denn jetzt, wenn jetzt irgendwas passiert? Ja, dann versuchen wir den anzurufen, sagt, das wäre jetzt auch total mein Favorit, ich liege am Strand und dann geht man telefon und zu Hause brennt die Hütte und ist dann jetzt der Plan? Ich breche mal ein Urlaub ab oder was machen wir denn da? Ja, ich meine, die Person kann auch im Krankenhaus liegen oder kann, weil es nicht den Everest besteigen und hat gar kein Handy empfangen, also kann ja unterschiedliche Gründe geben, deswegen wenn die Person gar nicht erreicht. Und ich glaube, wenn man das halt so anspricht, dann wird den Leuten das irgendwie klar, aber so meine Wahrnehmung ist, dass eben dieser Struggle da ist. Ich habe, wie soll ich das denn nur alles unterbekommen? Weil wenn man sich eben ein Gesetz hier Zettifizierungen oder Anforderungen anschaut und dann halt mal guckt und sieht in den meisten IT-Abteilungen, sind die Leute oder die, die sind einfach unterbesetzt. Also da hat man vielleicht zwei, drei Leute auf drei Leute, die da arbeiten und dann sagen, die sind ja gut, ist alles schön und gut, aber ich muss ja auch irgendwie meine tägliche Arbeit mit den bekommen. Das heißt, wenn der Geschäftsführer dann sagt, okay, die müssen uns jetzt machen, die brauchen das, dann ist ja noch die Sache, wie setzt sich das um? Wie ist da deine Erfahrung? Also man kann mit etlichen Tools arbeiten, sagen ja, man kann mit Word and Excel arbeiten, etc. Naja, irgendwo in der Fallablage Sachen ablegen, aber am besten ist natürlich immer, wenn das ein Tool unterstützt. Und dabei ist es eigentlich jetzt erstmal ganz unerheblich, ich muss gucken, welche Arbeitsmittel sind da, welche Arbeitsmittel passen am besten rein. Und das man dann eben halt guckt, dass man eben halt diese Arbeitsmittel dann auch optimal auch einsetzt und nutzt. Also wenn ich zum Beispiel einen Settmanagement-System habe, da sich das eben halt schon mal für meine Settpflege benutze und ich gucke, dass meine Abläufe da so perfekt schon drauf sind, dass ich eben halt auch diese Daten auch immer sehr aktuell halte. Das ist meistens schon so ein Knackpunkt, dass man das eben halt in diesen Arbeitsfluss nicht reinkriegt. Dann ist die Priorisierung andere. Ich muss jetzt erst meine Standardaufgaben erledigen und dann kommt irgendwann Dokumentation am Schluss. Das ist so das, wo wir am meisten mit Kämpfen zu kämpfen haben, dass wenn die Leute zugreicht, dass wenn denen beibringt, was in gute Mechanismen, wie kann ich jetzt eben halt Zeit sparen und effizient dokumentieren? Was ist zu viel? Was ist zu wenig? Was ist also das richtige Maß? Und was ist das passende Mittel? Das kann bei dem einen das Tool sein, bei dem anderen kann das ein anderes Tool sein, das muss man tatsächlich ein bisschen ausprobieren, nicht jedes Tool passt zu jedem Kunden, müssen wir leider auch sagen, also auch wenn wir das immer gerne hätten, als wir hätten immer gerne unsere favorisierten Sachen überall im Einsatz, gar keine Frage. Aber tatsächlich funktioniert das nicht immer. Man muss dann im Kunden auch sagen, wenn er Leidenschaften hat, dass man ihm die Leidenschaften lässt, das würde tatsächlich alles ein bisschen springen in dem Moment. Und ich glaube, dieser Punkt ist aber nur alle aufwahren, den kann man durch Automations, Workflows, gegebenenfalls ein gewisser Weise auch über künstliche Intelligenz auch lösen. Denke ich und man muss da halt die Awareness auch noch mal schaffen und ja das gehört einfach auch damit dazu, ne? Tatsächlich ist es also so, dass wir jetzt festgestellt haben, gerade so in den letzten 2-3. Jahren, dass eben halt die Kapazitäten nicht wachsen. Also das heißt also die Unternehmen hängen an dem Punkt, dass sie eben halt in der Wirtschaftlichkeit nach Corona wirklich mit der Wirtschaftlichkeit zu kämpfen haben und dass sie nicht die Mittel haben oder auch nicht die Möglichkeiten haben, weil auch der Markt es nicht hergibt, Personal in bestimmten Bereichen einfach so beliebig aufzubauen. Sie können es entweder können sie es nicht finanzieren oder dass Personalstit schlichtweg nicht zur Verfügung in der Qualität, wie es haben muss. Und das können wir als Dienstleister nur von Außen stützen, dass wir eben halt hingehen und sagen, okay, wir unterstützen sich dabei, wir helfen wir dabei Konzepte zu erarbeiten, wir wissen, wie das Konzept aussehen soll, wir wissen, wie das inhaltlich aufgebaut werden soll, wie das formuliert wird und und und. Das wissen die ITILA größtenteils eben halt nicht oder tun sich immer sehr schwer, weil wenn ich eben halt, wenn das mein Kerngeschäft ist, diesen Server zu verwalten, dann verwalsch ich den Server, ist es nicht mein Kerngeschäft, diesen zu dokumentieren. Wenn ich dazu keine Idee habe und ich werde damit alleine gelassen, dann ist es natürlich eine Bärenaufgabe. Und wir gehen mittlerweile hin, dass wir eben halt sagen, okay, wir suchen mit der Spastatur aus, verwenden das Tool und bringen dir bestimmten Aufbau in der Dokumentenart mit, so dass du eben halt eine saubere Struktur hast, dir keine Struktur überlegen muss und du erzählst uns, wie du es machst und wir bringen es genau in die Dokumente rein und füllen mit die Dokumente. Dann hast du eine Basis und dann brauche ich dir nur beizubringen, wie du diese Basis aktualisierst, das ist aber eine ganz andere Nummer. So ein bisschen Hilfe zur Selbsthilftarme. Ja, genau richtig, dass man eben halt einen guten Startpunkt setzt, von dem aus sich der Kunde eben halt weiterentwickeln kann und den erfordern kann. Und das der Wort der Erlage ist, manche Kunden gehen dann auch hin und sagen dann trotzdem nach zwei oder drei Jahren, wir müssen halt jemals wieder aktualisieren. Dann kommt dir bitte vorbei oder wir geben das euch rüber, guck da mal drüber oder formuliert uns das bitte um oder sonst wollen was. Was hat der Motivate? Es ist dann auch wieder eine Art Schmerz, das hier reinkucken und sagen um, das haben wir ja schon gar nicht mehr im Einsatz oder da ist jetzt wirklich was passiert und es gibt Schwächen oder es ist wirklich, dass sie sagen okay, wir haben hier irgendwie auch einen schönen gewisse Zeit, wo es immer wieder prüfen und es muss ja wirklich machen. Also da ist tatsächlich die größte Motivation, dass sie eben halt wissen, wenn sie es zu lange aufschieben, dass es dann eben halt zu viele Kosten verursacht und dass sie dazwischen einen zu großen Depp haben. Also heißt, dass sie einfach diese Lücke nicht schnell genug schließen können. Also heißt sie kriegen immer wieder einen großen Unsicherheitsfaktor, wenn sie ihre Dokumentationen nicht nachziehen. Und das ist ja das, was wir eigentlich raus haben wollen. Wir möchten ja eben halt schnell alles dokumentiert haben, auf einen guten Stand haben, so dass ich eben halt die Informationen immer aktuell an dritten auch geben kann. Wenn da Gep sind, dann weiß es immer wieder nur der Spezialist, der der eben halt gerade diesen Gep erzeugt haben, der in Schließen sollte. Der hat dann das Wissen, also haben wir schon wieder das Wissen an eine Position gebunden oder vielleicht an zwei. Und im Notfall ist es dann entscheidend, dass ich genau diese Position dann jetzt auf Wende, der mir die Frage beantworten kann. Und das kriege ich eben halt nur weg, dass ich nicht an dieser einzelnen Positionen gebunden bin, indem ich immer die Dokumentationen sauber fürhe. Und da muss man eben halt gucken, wenn ich eine Konstrukte gebe und wenn ich jemanden erkläre, wie funktioniert dieses Konstrukt, wofür ist jede einzelne Sektion in die Dokument da, aber alles hat eine Aufgabe und eine Funktion. Und dann ist es ein besseres Verständnis durch alle Dokumentationen, wenn die Dokumentationen gleichförmig sind. Und das erreicht eben halt auch im Tool-Einsatz, dass ich eben halt gleichförmige Strukturen habe. Und so besser kann ich mich auch immer orientieren, auch außerhalb von meinem Fachbereich. Also wenn ich jetzt zum Beispiel eine Dokumentation von irgendeinen System schreibe, und du schreibst eine und die haben denselben Aufbau, dann kannst du in meine Dokumentation gucken und wenn du den fachlich background hast, wirst du dich sehr schnell orientieren können, weil es gleich aussieht. Du weißt genau, an welcher Stelle musst du nach welchem Inhalt suchen? Das heißt also ich habe einen unheimischen Zeitgebin in der Situation. Und das ist genau das, was wir haben wollen. Was anderes hilft uns nicht weiter. Also wenn wir nicht jedes zenario durchdenken, was wir ja schon festgeschreiben, was wir nicht können, dann müssen wir eben halt immer in der Situation schnell handlungsfähig sein. Und das kriegen wir anders gar nicht in den Genau. Das heißt aber auch in jeder Situation wahrscheinlich unterschiedliche Entscheidungen treffen. Genau. Das heißt, mir muss man natürlich und das liegt wieder in der Mai zählen, woran merke ich, was eine gute Entscheidung ist, wenn du das tagesst. Also was sind meine Faktoren, die ich berücksichtigen sollte, um in einem Notfall am Ende seils aus Unternehmen richtig zu lenken? Deswegen gehen wir jetzt zum Beispiel hin und erstellen die Notfallpläne und halten die auch dynamisch. Dass wir eben halt in, also vor der Situation haben wir genug Zeit. Wir können uns überlegen, wir können uns das angucken, können uns ein Börskase-Szenario aufbauen und machen uns darüber ein Börskase-Szenario zum Beispiel im Plan A. Also das heißt, das Ding in das komplett kaputt, ich muss es vom Wild wieder herstellen. Das wäre ja das Schlimmste, was mehr passieren kann. Alles was danach kommt, ist wahrscheinlich nicht so zeitaufwendig. Na, kriege ich anders bewältigt. Aber für diesen Fall kann ich mir ja schon eine Entscheidung dahinlegen. Man muss sich das immer so vorstellen. Jede Entscheidung, die in der Situation gefällt werden muss, hat immer das abbegen von Führ und Wider, ist das die beste Entscheidung, ist das die schlechteste und in der Situation habe ich keine Zeit. Ich muss schnell handeln. Wenn ich aber vor der Situation, also wenn ich plane, kann ich mir das überlegen, kann mir überlegen, welche Szenarien, welche Waldieden Szenarien kenn ich aus meiner Erfahrung, welcher Entscheidung müssen wir troffen werden und dann kann ich doch diese Entscheidung vorher schon dokumentieren und mache dann in der Situation aus einem bestehenden Plan cherry picking und kann mir das raussuchen, was in meiner Situation jetzt am besten rein paar Stellung. Und das ist das, was wir erreichen wollen. Wir können nicht jede Situation vorher konstruieren, aber wir können uns einem Plan A machen und aus diesem Plan A können wir in der Situation im Plan B konstruieren. Das sind dann so quasi Blueprints, kann uns schon fast sagen, die als Grundlage dienen, wenn ich eine Situation habe, die war bisher noch nicht quasi eingeplant, das die passiert, das ist dann aber auf Basis der anderen Pläne auch Entscheidungen treffen kann. Genau, also wenn ich die eben halt schon in dem Plan reinkoke und sehe hier ist eine Entscheidung genau in die Richtung getroffen worden, mit einer entsprechenden Physikoabschätzung, dann brauche ich das aber in der Situation nicht mehr machen. Wenn ich jetzt diese Entscheidung sehe und sagt, das ist aber jetzt kein Valider weg, dann brauche ich den aber auch nicht mehr durch exaktieren, sondern ich kann eben halt drauf gucken, kann sehen, dass es da konstruiert wurde und sage, das funktioniert jetzt nicht. Das heißt, das sind immer die Punkte, wo ich eben halt schneller werde. In dem ich eben halt sagen kann, okay, das muss ich nicht mehr durchdenken, das kann ich jetzt abhagen, ich geh in die andere Situation rein und ich geht dann praktisch meine Blubrins durch und gucke eben halt, wie kann ich die Entscheidung, die ich an einer anderen Stelle schon mal in Ruhe durchdacht habe, wo ich Zeit für hatte, die ich vielleicht auch schon mal trainiert habe, weil das ist ja das zweite Ding, dass du mich eben halt das für das Plane, ich auch trainieren kann, ich kann das verproben, ich kann also durch exaktieren, ob das, was ich mir da überlegt habe, überhaupt ein guter Plan ist. In der Not-Situation habe ich diese Chance nicht. Da treffe ich eine Entscheidung, ziehe das Ding in durch und wenn das hinterher Mist war, dann muss ich es dann nach dann wieder korrigieren. Da habe man dann vielleicht nur das Risiko, das Versicherung oder so auch gar nicht zahlen, weil die sagen, hey, in der Situation ist so total falsch reagiert und mir habt total kontraproduktiv, habt ihr diese Systeme, was nicht wieder hochgefahren und dabei hat sich das noch weiter verbreitet und da habe ich dann zusätzlich solche Risiken wahrscheinlich. Man hat ja auch die, also gerade bei Cyberversicherung und so. Es ist natürlich so, wenn man der so ein Notfallkonzept, der Notfallhandbuch vorlegen kann, ist es ja für eine Cyberversicherung auch wichtig, dass das Unternehmen oder die Kommune dann geringeres Risiko hat oder im Ernstfall dann halt auch weiß, wie es reagieren soll, was dann natürlich auch für ein Management oder für das Unternehmen an sich, dann auch für ein gutes, weil ich denke, da werden auch die Kosten senken für so eine Versicherung. Also es ist nicht nur Geschäftsführer kritisch, sondern das geht auch weiter noch drüber hinaus um die Themen, Versicherung, wenn man später einen Unternehmen vorhessen möchte, das sind alles so Dinge, wenn man das vorlegen kann, das hat positive Auswirkungen, gesamt Auswirkungen. Und es ist dann der Punkt, ob es bei der Versicherung quasi eine Grundvoraussetzung ist, dass sie sagen, ja, du brauchst auf jeden Fall Notfallplan. Genau, und ansonsten bist du halt nicht versichert, sondern kannst du uns zwar die Beiträge zahlen, aber in Zweifel zahlen wir dir halt den Schaden nicht, oder gleich nenne ich aus, ich stehe das Thema. Oder ob es sogar so ist, dass sie sagen, ja, wenn du Notfallplan hast und der darüber hinausgeht, dann ist das sogar günstiger, was ich gibt es ja und unterschied. Schaust du ja auch aus der Position von dem Versicherer einmal an, also wenn du jetzt als Versicherer etwas versichern sollst, wo du siehst, da gibt es keine sauberen Strukturen oder sind die Strukturen nicht nachweisbar. So, dann musst du doch die Annahme treffen oder muss die Einschätzung treffen in der Risiko abschätzung, dass du jetzt hier eine Hötesrisiko hast. Wenn ich dir aber nachweise, dass ich bestimmte Strukturen habe, dass ich Pläne habe, die verprobt sind, ich dir nachweise bringe, dass ich regelmäßig Notfallübungen mache, dass ich diese Sachen auch durchExatziere, dass ich guck, ob meine Kommunikationspläne alle stimmen, ich immer aktuelle halte, dass die Ansprechpartner und auch die. Kontaktdaten aktuell sind etc. Dann sehe ich doch schon von außen als Versicherer, dass ich doch ein wesentlich geringeres Risiko habe, weil du doch eine wesentlich geringere Auswahl schon sagst. Also weil das Auswahlpotenzial böscht ja kleiner. Also heißt das, mein Risiko als Versicherer wird kleiner. Dementsprechend kann ich den eine andere Prämie anbieten. Okay, also das wäre so die Frage, ob die Versicherung das quasi voraussetten, sagt, der hat no-fallplan muss sowieso haben. Wenn du das Rechtszentrum betreibst und da musst du wissen, die gesebeine brand damit um, wenn du es halt nie machst. Also als Grundvoraussetzung oder eben als Upgrade zu dem, was man sowieso haben muss, sowohl als auch. Also Versicherer, die meistens Versicherer in einer Zahbaversicherung, sagen eben halt ohne Notfallhandbuch geht es gar nicht. Und wir gehen jetzt mittlerweile so weit, dass wir ja jetzt nicht nur Notfallpläne für intern haben, sondern dass wir teilweise auch ja Emergency Runbooks schreiben für Dienstleister. Also wenn ich zum Beispiel einen Dienstleister habe, denn der M3560 für einen Kunden verwaltet, dann möchte ich von dem Dienstleister wissen, ist klar, wie du in verschiedenen Situationen handelst. Zeig mir bitte mindestens 8 bis 10 Naarien und zeig mir die Abläufe, wie du da genau agierst. Also zum Beispiel, was machst du bei einer Kontoübernahme? Du stellst fest, da ist ein Konto übernommen werden. Was sind deine, was sind deine Ablaufschritte? Und das möchte ich sehen vom Dienstleister. Ich möchte nicht aber hören, das haben wir schon alles zum Griff. Davon kann ich mir nichts kaufen. Ich muss das eben halt eventuell nachweisen, also wir haben ja auch Krankenhäuser in der Kundschaft und die Sint-Nummer halt gesetzig reguliert und die müssen diese Nachweispflichten eben halt auch bringen. Das heißt also, wenn ich dann Dienstleister am Einsatz habe, dann braucht ein ganz klares Playbook und dann muss auch ganz klar sein, wen der Wann wohin meldet und ob ich eventuell als eine zwei unterliegendes reguliertes Unternehmen, ob ich eine Meldepflicht habe. Das kann ich ja dem Dienstleister nicht überlassen. Das bin ich ja selber in der Verpflichtung. Und dementsprechend müssen wir diese Sachen auch machen. Also das heißt, ich muss es nicht doch für Interimplanen, sondern ich muss ja auch alle angrenzenden Zulieferer, die für meinen Betrieb essenziell sind, muss ich ja auf das selber verpflichten. Also so ein freie Management oder Notfallentbücher hören ja dann nicht bei der IT auf, sondern gehen dann noch bis zur Geschäftsführung, bis zu den externen Dienstleistern. Das heißt, eine verschiedene Personengruppen einfach von den ganzen Themen betroffen haben. Ja, also ich habe es ja gerade angesprochen, gerade Krankenhäuser. Da haben wir zwar einen IT-Thema, aber da können wir es ganz gut konstruieren. Ich habe eine Station. Die Stationen hat X-Patienten, die versorgt werden müssen. Die Versorgungsleistung muss aufrecht halten werden. Jetzt schalte ich die IT ab. Was passiert jetzt? Nichts. Lasst mir die Patienten alle sterben. Wie kriege ich, wie komme ich an dem Medikation, etc. Und da gibt's tatsächlich eine Extra-Offline-Systeme, die eben die ganzen Patienten, die jetzt auf Stationen sind, dann eben halt zur Verfügung kält und die eben auch kompensieren können, wenn die anderen Systeme nicht zur Verfügung stehen. Um eben halt organisatorisch diese Versorgungsleistung aufrecht zu erhalten. Dann ist aber die Frage, was ist dann das System, die so im Ausfeld? Also kann man immer weiter spüren. Da kann man sagen, okay, wir haben Online-Systemen, dann wollen wir, okay, dann wenn das Ausfeld, dann haben wir einen Offline-System. Okay, aber was ist, wenn die bei sich Strom ausverallt, das gerade geläuft nicht richtig und ich glaube, dass sie keinen Strom mehr, muss man dann quasi in den nächsten Eben und Papier dann z.B. bereitstellen und das ist vielfältig. Genau, das sind die Situationen, die wir durchdenken wollen, dass wir eben halt sagen, wenn ich zum Beispiel jetzt gerade in einem Gesundheitsversorgung, eben halt sage ich habe Patientensicherheit und Versorgungs-Sicherheit sind für mich hohe Prioritäten und auch Behandlungs-Effektivität, dann muss ich mir eben halt diese Zenarien auch überlegen, dass ich immer sagen, was ist, wenn das Ausfallsystem eben halt auch nicht mehr liefert, das auch kompromittiert, was mache ich dann? Und dann muss eben halt auch relativ schnell schon die Entscheidung da sein, ich verlege die Patienten auf eine andere Station. Zum Beispiel, oder ich hohe Medidaten von Worners, etc. Was auch immer, aber das sind eben halt Sachen, auf die wir uns dann vorbereiten wollen, die wo wir uns auch organisatorisch da vorbereiten wollen. Also es sind auch Entscheidungen, die ich eben halt von vornherein treffen kann. Das, wenn zum Beispiel ein bestimmtes OP-System nicht zur Verfügung steht, automatisch, dass nicht in der Entscheidung vom Arzt läuft, breche ich jetzt ab oder breche ich nicht ab, sondern dass vornherein klar ist, wir haben uns entschieden, fällt dieses System aus, brechen wir ab, Punkt. Und das sind eben halt Sachen, die zum Bole des Patienten passieren können oder der Organisation, wenn ich klare Entscheidungen getroffen habe, dann habe ich einen ganz klaren Handlungsplan. Und dann kann ich das, dann kann ich das auch organisieren und händeln. Jetzt haben wir sehr viel über sie verschiedene Situationen gesprochen und wir merken ja, also für mich kommt so vor, es gibt da unendlich viele Situationen, die man durchgingen könnte. So vorwegen, da kommt ja so ein U-Fo angeflogen und bietet das Rechenzentrum hoch. Was mache ich denn dann? Und da ist jetzt für mich die Frage für die Leute, die auch da jetzt zuhören. Wie finde ich denn raus, um welches Szenar hier nicht mich als erstes kümmert, was sind so die kritischsten Fälle für die ich jetzt als erstes Notfallbahnaufbau? Also grundsätzlich schauen wir, dass wir die Basis wirklich in dem Burscase-Szenario haben. Also wir gucken eben halt, was ist, wenn wir komplett von der grünen Wiese aus wieder anfangen, müssten, wie organisieren wir uns oder eben halt auch, was ist, wenn die IT komplett weg ist, was kann die Organisationen dann überhaupt noch leisten? Also das ist so die Grundüberlegung, die man grundsätzlich hat, weil wir genau von diesem Szenario ausgehen müssen. Schafft es einen Angreifer durch die durch alle Absichtungen durch und schafft uns die IT wegzunehmen, muss die Organisationen weiterleben können und das wäre das extrem Szenario, was wir haben, was wir überwältigen müssen. Das kann von bis den, das kann sein, wir haben noch eine Alternativpapier-Akte mit der wir weiterarbeiten, das kann aber auch sein. Ich habe bestimmte Arbeitsbereiche, lege ich einfach jetzt bewusst still, weil ich jetzt weiß, ich kann mich da drum nicht kümmern und die Mitarbeiterinnen sind am besten aufgehoben, wenn die jetzt zu Hause sind und ich die jetzt sofort nach Hause schicke und die reaktiviere ich dann, wenn es meinem Plan wieder erfordert. Also dann, wenn ich so wirklich wieder effektiv einsetzen kann, dann hole ich die zurück. Das Schlimmste, was wir machen können, ist Mitarbeiterinnen vor einen schwarzen Monitor zu setzen, denen einen Telefon daneben zu packen und denen die Gelegenheit zu geben, alle 5 Minuten, einer von den 200, das der auf die Idee kommt, in IT anzurufen und zu fragen, wann läuft es denn wieder? Das ist nämlich eine Sache, die können wir nicht gebrauchen, weil dann können man nämlich einen abstellen, den nur die Telefonate annehmen, das war mal gar nicht ab. Wenn die Ideen nächsten 8 Stunden nichts machen können, ab nach Hause, raus hier, wenn ich für nichts gebrauchen kann, ich kann die für nichts einsetzen und das kann ich mir halt vorher überlegen, wen kann ich denn für was noch benutzen und ihr besser mein Konstrukte ist und so besser kann ich auf die Situation mich konzentrieren, weil, wenn jeder seinen Bereich eben halt klar strukturiert, dann weiß ich eben halt auch, ich kann mich mit dem Abteilungsleiter hinsetzen, kann sagen, dass ist die Situation, wie gehen wir aber die jetzt damit um, er beherrscht seinen Bereich oder hat es so dokumentiert, dass es seinen Stellvertreter kann. Und deswegen immer, es geht alles von den Strukturen aus, die wir schaffen. Wenn ich von einem Generalplan spreche, wie gesagt, wir breiten uns nicht auf einzelne Szenarien vor, sondern wir breiten uns darauf vor, dass die Organisation so gute Strukturen hat, dass sie eben halt dann in diesem Rahmen weiter agieren kann. Das ist also wirklich jeder in den Positionen, klar weiß, wie er es ansprechbar bin, konfrontiere ich jetzt mit der Situation, wem sage ich jetzt, dass es jetzt gerade das was passiert, was kannst du noch tun. Und dass der eben halt zurückmeldet, zum Beispiel im Idealfall an die Geschäftsleitung bis auf, das ist jetzt der Handlungsspielraum, den ich noch habe, dass es der Handlungsspielraum, den der andere noch hat, und dass ich als Geschäftsführer dann entscheiden kann, okay, wir machen das zuerst, wir machen das als zweite, wir machen das als drittes. Also klingt so mit diesen Generalplänen, das klingt ja so bisschen so wie, ich versuche mir das sowieso liessieren, wie so eine KI, die ein Bild erstellt, da hat man erstmal so ein Pixelmatch mit so vier Pixeln und dann werden sie halt plötzlich wie 8 und dann 16 und dann wird es immer klarer. Das heißt, wer bei Notfallplänen dann auch so, dass man sagt, es gibt ja irgendwie so grob. Erst mal so die Was-Case-Szenarien. Ich mein, Was-Case dann geht bei mir auch wieder der Schagnado, der durch die Gegend fliegt und so, die irgendwie unrealistisch erscheinen, die aber theoretisch passieren können, das ist ja ein Prinzip Was-Case. Und dann gehe ich erstmal von diesen groben Szenarien und dann immer weiter in die Tiefe und sage okay, was ist dann, zum Beispiel, wenn wir gehackt werden, dann ist das der Notfallplan, aber was ist wenn unser LinkedIn Account gehackt wird, Füllm Account oder unser YouTube-Kanal oder, dann vielleicht unterschiedlich Impact, das haben kann. Aber das kommt dann erst nachgelagert, dann wird man noch detailliert. Also, wenn wir jetzt ganz am Anfang mal stehen, dann würden wir immer gucken, wie ist denn überhaupt erst mal der technische Zusammenhang? Also das heißt, wie ist die Struktur innerhalb der Organisation, welche Abteilungen habe ich vielleicht was für Kostenstellen, das kann man eben mal über Kostenstellen, Struktur machen, sonst Abteilungsstrukturen und dann gliede ich das erstmal auf, dann guck ich mir an, welche Geschäftsprozesse sind da, welche Geschäftsprozesse laufen, welche Abteilung und wer sind da die Ansprüche? Das ist die Grundstruktur, mit der ich erstmal handieren kann. Dann schau ich mir innen, gehe ich auf Abteilungsebene und schau mir an, was ist die Infrastruktur, die Komponenten von der Stromversorgung über Klimatisierung bis zur Endanwendung, die ich denn für den Betrieb da benötige. So, wenn ich diese Kette habe, dann habe ich ja erstmal meine Basis. Davon kann ich dann ausgehen. Vom ersten Objekt bis zum letzten Objekt kann ich mal für jedes Objekt einzeln überlegen, was ist das Wurscase scenario, wenn das komplett zerstört ist, wie stelle ich das wiederher. Und dann habe ich ja erstmal eine Wiederanlaufkette technisch. Und dann kann ich tatsächlich bei jedem einzelnen Objekt in der Kette mich hinsetzen und mit der Abteilung durchsprechen, was auf, wenn das ausfällt, wird das bei dir technisch passieren, wie geht es zu damit um. Und dann kommt der organisatorisch at und das macht man eben halt tatsächlich auf den Abteilungen, also eben halt auf den einzelnen Bereichen, die sich in sich erstmal organisieren. Und von oben betrachtet kann ich dann eben halt entscheiden für mein Geschäftziel oder für meine, für meine Business Impact, welcher Prozess hat, welche Kritikalität für mich, wer ist für mich wichtig, wer ist nicht wichtig. Und habe ich ein große Ereignis, macht das schon sehr viel Sinn, wenn ich zehn Abteilungen habe und weiß aber eben halt, okay, ich brauche nur zwei Abteilungen, um keine Verluste zu machen, dass ich mich auf die zwei Abteilungen konzentriere, nicht und auf alle anderen acht, dann gleichzeitig auch noch, weil dann kann ich die anderen acht dahin stellen, kann sagen, okay, die zwei und dann gehe ich auch in die Chaos Phase, dann sei es nicht, die mache ich bis zur vollstehen Betriebsfähigkeit wieder, sondern da gucke ich dann in der ersten Phase, in der Chaos Phase, gucke ich eben halt, dass ich eine Funktionsbederherstellung habe, so dass sie erstmal arbeiten können, der Betrieb kann dann unsicher sein, die Risiken kann ich abschätzen, aber sobald wie die arbeiten, verlier ich erst mal keinen Geld, klar, können wir noch mal eine Unterbrechung haben, klar habe ich dann vielleicht Schwierigkeiten, aber die sind nicht so groß, als wenn die gar nicht arbeiten können, ist aber auch Situation abhängig, also das muss man ein bisschen, ist jetzt sehr grob geschildert, es gibt natürlich auch Situationen, wo man eben sagen kann, ich kann nicht einfach nur eine Funktion, die wir herstellen, mit der Prämisse, das könnte jederzeit wieder ausfallen, dann muss der Entschalter dann praktisch sein, also wenn ich jetzt mal mit dem Operator hätte, dann sagt der Unterdehnung, umständen operiere ich nicht, nein, wenn der leite Gefahr für den Patienten ausgehen, dann kann ich das eben halt nicht machen, also ich habe auch noch mal ein Praxisbeispiel mitgenommen von der GPA NRW Prüfung, das ist ganz neu, aber vor diesem Monat tatsächlich, und die haben fünf Unertkommunen geprüft, die sind so technisch so weit gut aufgestellt, aber die haben in der sozusagen ein ist thematisch vorgehend oder der Umsetzungsgrad ist quasi mangelhaft und da statt drin das 46% da wirklich mangel aufweisen, wie kann man da die Erwähne stärken, gerade bei den Kommunen für solche Themen, gerade Kommunen ist eben halt wirklich so ein richtig, richtig schweres Thema und das Thema fängt da tatsächlich beim Korkfall, also heißt wenn ich eine Stadt oder eine Gemeinde habe und habe dann Bürgermeister, dann kommt es vor, dass ich eventuell Juristen als Bürgermeister habe, es ist sogar gar nicht so untypisch, dieser Jurist, die meisten Juristen, jetzt möchte ich nicht alle über einen Kampf scheren, aber die, die ich zum Beispiel so aus meiner täglichen Arbeit so kenne, die neigen schon mal dazu, sehr gerne abzuschätzen, wie viel finanzieller Schaden denn entstehen könnte und zum Beispiel jetzt beim Datenschutz, also Datenschutzthemen so zu bewerten, wie viel Strafenden zu erwarten ist, das ist dann auch das, was ich dafür tun muss und gar nicht das anders zu denken, sondern zu sagen okay, ich habe hier Daten, die müssen geschützt werden, egal, kommen wir was wolle, sondern die sagen ganz einfach, ja wenn ich hier jetzt keine Strafen zu erwarten habe, dann muss ich da jetzt noch nicht so viel Geld investieren, ist ein bisschen auch, ist jetzt sehr vereinfacht, weil die Kommunen müssen natürlich mit ihren Haushalten dann zu rechts kommen und mit den Geldern, die ihnen zur Verfügung stehen und die haben da knappheiten und die müssen natürlich gucken, wohin priorisieren sie und dann kommt es eben halt das zweite, das fand eben halt diese Strukturen innerhalb der Verwaltung, so nicht kennt, also heißt Verwaltungstrukturen gehen eben halt so, dass ich zwar ein Fachbereich habe, der Fachbereich für sich denkt und jeder innerhalb des Fachbereichs so seinen Aufgaben gebiet hat und der vielleicht noch den Nachbarn vertreten könnte, aber nur so eben, ja und das spricht natürlich genau gegen die Strukturen, die wir gerne haben wollen, wir möchten jetzt viel, viel Stringende haben, wir möchten viel mehr Verantwortung an die einzelnen Mitarbeitenden übertragen und das passiert aber in der Verwaltung, in der Regel nicht, weil die immer sagen nee, ich bin jetzt Sachbararbeitern, ich trage Verantwortung für die Tätigkeiten oder für das, was ich hier ausführere, ja, ich werde für alles andere Wettigkeit der Verantwortung dran, kriege ich kein Geld für, das heißt, um nie mehr das zu schaffen müssen, mehr solche Fälle vorkommen, das Systeme ausfallen, die Bürger nicht mehr so ein Services in Anspruch nehmen können, etc., etc. Naja, jetzt müsst ihr nur viel klare Vorgabe geben. Also, das ist tatsächlich eine Sache, dass da wird sich so lange nichts dran ändern, wie da nicht das nicht irgendein Gesetz ganz klar vorgibt, dass hier es machen müssen. Aber bei uns ist es ja tatsächlich so, Kommunalverwaltungen, regionalverwaltungen und Landesverwaltungen sind von der Niste 2 ausgenommen. Ja, das ist bewusst so im Umsetzungsgesetz gemacht worden, das heißt also, man hat genau diesen Bereich, den du jetzt gerade angesprochen hast, bewusst aus dem Nist 2-Regelatorien rausgenommen, was totaler Selbstmord ist an der Stelle eigentlich schon. Ja, weil das ist das, du hast es angesprochen, haben wir das eigentlich sehr, sehr großes Thema, das Thema betrifft uns, uns Bürger. Richtig, ja. Und wir nehmen die Erwärnis raus. Das ist glaube ich so das schlimmste, was wir machen konnten. Hat tatsächlich unter den Fachkompetenzen, ich sage jetzt mal jetzt so bei mir und bei meinen Kollegen für sehr viel Unverständnis gesorgt, gerade die immer viel in Kommunalbereich halt auch arbeiten, die immer wissen, wir agieren ständig gegen die Strömung und alle fünf Jahre, wenn neuer Bürgermeister gewählt wird, ist für uns der größte Horror, neuer Bürgermeister neuer Landrat. Das ist so das schlimmste, was uns passieren kann, weil jedes Mal, wenn wir da anwechsel haben, haben wir da ein Mentalitätswechsel und fangen wieder von vorne an. Und wenn es da klare Vorgehaben gäbe, die eben halt ganz klar sagen, das habt ihr zu tun. Und da muss man eben halt auch so ehrlich sein, ja, wir haben durch unser föderalistisches System, haben wir eben halt diese Struktur, dass die Kommunen und die Städte eben halt autonom verwaltet sind, aber da bräuchte es mehr Unterstützung von oben, vom Land, vom Bund, dass man eben halt da am besten ein vorgefährtiges Konstrukte hat und eine Blaupause liefern kann. Und nicht mehr und da auch dann einfach mal sagt, okay, vielleicht mit Zustimmung vom Städte und Gemeindetag, dass man eben halt dann mal sagt, okay, wir machen klare Vorgehaben, wir machen ein klare Playbook, wie es eben halt auch bei uns umzusetzen ist, et cetera, wir nehmen euch raus aus dieser Individualität, haben wir aber tatsächlich das Problem, dass auf kommunaler Ebene das oft nicht gebolt ist, die wollen das zu machen, was dann auch wieder unendlich viel Geld kostet. Weil gerade im Kommunalbereich, haben wir es ganz oft, wir fangen die Projekte an, dann schlafen die wieder ein, dann fangen die wieder an, dann stellen wir fest, wir haben einen Datenlieferanten, der gar nicht so aufgebaut ist, dass er vernünftig da anliefert, also, wir haben manchmal zur Ververhaltung mit ACMP oder mit Paramundi, und dann kommen wir da rein und dann sagen wir, okay, dann kommen wir die Daten von da nehmen, dann haben wir aber nicht alles drin. Warum haben Sie denn da, nee, da wäre jetzt zu teuer, da müssen wir so viel Dizenzen aarkaufen, nee, nein, da haben wir da nicht drin. Ja, wo haben Sie das denn? Ihr habt nirgendwo. Wie nirgendwo. Ja, ich sage aber, irgendwo haben Sie das doch dokumentiert, ja habe ich den Exeterweller, aber die ist schon ja nicht mehr gepflegt. Ja, also Exeter, nicht aktuell. Genau, die Visionensicherheit ist auch schwierig, würde ich sagen. Und ich glaube halt, um langfristig, dann auch dann das Thebe aufzubauen, was dann auch in verschiedenen Situationen hilft, dann macht es wahrscheinlich Sinn, dass alles Software gestützt irgendwie zu machen. Das ist auf jeden Fall, aber tatsächlich ist, ne, ich muss gute Schnittstellen haben und ich muss dann wirklich gerade im kommunalen Bereich auch das dahin bekommen, dass die Leute eben mal diese Mittel auch richtig pflegen. Jetzt darf man einzig vergessen, in so einer mittelbrosen Stadt, ich sage jetzt mal so 50 bis 80.000 Einwohner, da habe ich in IT, schätzen wir, wie viele Leute haben wir da in IT sitzen? 5. Wenn es viele sind, ja, manchmal nur 3. Und diese 3 sind aber Universalkräfte. Das ist so ein immer so, dass Schweizer Taschenmesser, oder selbst wenn es 5 sind, oder selbst wenn es 8 sind. Dann ist wirklich jeder so Kleinzuborter, Serveradministrator, Netzwerktechniker, Back-up-Spezialist und dann können die sich mit dem Tour-Level sind. Das sind Generalisten, und das macht das eben halt zu kommen. kompliziert. Da ist keine ausgebildet in Dienstleistersteuerung, die sind dann froh, wenn Dienstleister kommt und ihnen hilft. Aber das von denen eben halt vernünftig steuern muss. Und dass man dann auch den Dienstleister gängeln muss, dass er einem die Dokumentationen liefert. Da fängt das ganze Ding schon an. Das ist wieder das, was wir, wo wir ihn auch begonnen haben, die Basis die Dokumentation. Und je mehr ich das aufbau, je mehr ich diese Mechanismen habe und so mehr kriegen wir das überhaupt hin. Ist aber nicht nur in der Verwaltung halt so. Jetzt eben vorhin hat es auf jeden Fall mal gesagt, dass jeder Notfallplanen präzibel individuell ist für jedes Unternehmen individuell ist. Später es aber gesagt, es gibt oder es ist hilfreich, wenn nur Verplan eine feste Struktur hat. Damit ich auch Abteilungsübergreifend immer weiß, wo kann ich nachgucken, fachbremne dritter quasi aus IT gucken kann, ja, ich hier im Marketing habt ja sehr irgendwie ein Thema. So dann kann ich mir schneller zurecht finden. Es gibt ja auch Notfallplanen Vorlagen, soweit ich weiß hier und dort, aber es scheint ja nicht wirklich so diese eine Vorlage zu geben, wie so nur Verplan aussehen soll. Wenn ich jetzt jeden gehe und sage, ich habe jetzt hier meine Fälle, meine Worstcase erfasst, für die Dinge, will ich jetzt generell Betonfallplanen aufbauen, was gehörten da mindestens rein. Was sind so Sachen, die ihr immer reinschreibt von der Struktur, dass man sich das mal so vorstellen kann, was so für Fragen damit beantwortet werden? Also, wer ist der verantwortlich für den jeweiligen Bereich, das kann eine Abteilung sein, das ist keine kosteschelle sein, etc. Wer sind die Stellvertreter, also heißen, da gibt es einen technischen Ansprechpartner, da gibt es einen organisatorischen Ansprechpartner, etc., die das den Basis informationen, die ich in jedem Notfallplanen haben muss, dann eine Übersicht aller notwendigen S-Hits, also heißt, was brauche ich, was, wie sieht mein Betriebskonzept aus, was an Infrastruktur brauche ich für den Betrieb dieses Bereich ist. Und dann eben halt auch eine Übersicht darüber, wie wichtig ist dieser Bereich. Also, heißt, wenn ich diesen Bereich ausfallen lasse, welche Gefahren gehen dafür für die Organisation aus. Also, habe ich finanzielle Verluste, habe ich personelle Einschränkungen, habe ich eventuell intern irgendwelche Services, die ich nicht mehr erbringen kann, die aber für andere Bereiche dringend notwendig sind, also heißt, wie sehen meine Prozesse aus, wie sehen meine Unterstützungsprozesse aus, wer liefert für was? Und was ist von was anderem abhängig. Und das sind eben halt die essentiellen Sachen. Mit gleichfür mich, meint ich vorhin im Ögrigen nicht die Notfallpläne an sich, sondern tatsächlich der Aufbau der Dokumentationen. Also, heißt, dass ich mir vorher ein Konstrukt überlege, na, wie ist meine Dokumenten hier rasch? Welche Informationen finde ich in welchem Dokument? Was finde ich in einer Richtlinie? Was finde ich in einem Konzept? Was finde ich in einer Arbeitsanweisung? Was sind Vorgabedokumente? Wann gucke ich genau da rein? Wer guckt da rein? Für wen ist was interessant? Das macht es mir auch viel einfacher. Viele denken eben halt so eine Richtlinie. Das ist für den Karl Heinz, der unten am Band arbeitet. Für den ist wichtig, war den eine Richtlinie gestellt. und ihr sagt "Ne, ihr so nicht, den interessiert gar nicht, den interessiert nicht, was in der richtlichen Städte interessiert, was er praktisch jetzt machen soll, den interessiert die Arbeitsanweise". Den Abteilungsleiter, der der es konzeptt und die Arbeitsanweise umschreiben muss, für seinen Bereich, also heißt die Idee, die er dahinter hat und der Arbeitsanweise um wir, das für den Karl Heinz dann aufbereitet, damit er eben halt anarbeiten kann. Das ist wichtig und er braucht eben halt die Richtlinie, weil er wissen muss, wenn er ein Konzept schreiber ist, wo nach dem was muss dann alles in meinem Konzept enthalten sein, welche Punkte muss ich alle berücksichtigen, wofür muss ich nachweise bringen, das steht in der Richtlinie drin. Und wenn ich das anfange zu trennen und wenn ich die Dokumente nach einer gewissen Struktur immer gleich aufbauen, dann fällt es mir als Leser hinter viel viel einfacher, mich in so vielen Dokumenten zu Recht zu finden. Weil wenn ich oben, wenn ich nicht weiß, was in einer Richtlinie steht, aber ich oben im ersten Sachs drinstehende habe, was sich in diesem Dokument finden werde, dann weiß ich doch schon nach dem Kopf, ob ich weitele so oder nicht, ob ich diese, ich will wissen, ob ich die Information, die Suche, ob ich die jetzt hier finde oder ob ich jetzt hier 200 Seiten, diesen muss, bis das ich feststelle, wird das da gar nicht drin. Und selbst wenn ich jetzt gar nicht, wenn ich gar nicht der Adressat von Richtlinie bin, ich aber tatsächlich was in einer Richtlinie suche, dann soll ich mich doch trotzdem gut orientieren können. Und wenn ich weiß, das ist der Aufbau, den ich aus den Arbeitsanwassungen kenne und es ist der Aufbau, den sehe ich aber in einer Richtlinie circa wieder, zwar fachspezifisch auf die Richtlinie ausgeprägt, dann finde ich mich doch auch in einer Richtlinie besser zurecht. Und was wir aber beim Kunden immer halt wieder sehen ist, dass ich in Dokumentereinkucker und ich als Fachmann mit die Frage stelle, was les ich hier gerade. Dann sehe ich eben halt, oben ist eine Einleitung über das, was wir machen wollen und die da sind dann auf einmal Ideologien vom Unternehmen drin. Philosophie und sonstiges, ich denke, bei Dissert jetzt ist das jetzt hier ein Strategie-Papier oder Dissert, dann unten kommt auf einmal warum, dann wird erklärt, seit ein langen Warum man etwas macht, dann stehen da Verantwortlichkeiten auf einmal drin, dann ist eine Vorgabe, dann steht drin, wie man es prüft und dann ist noch eine Handlungsanweise, man muss auch noch einhalten und dann denke ich mir, wenn ich das jetzt lesen muss, auf der Arbeitsebene, ich höre ja nach zwei Sätzen auf, weil ich überhaupt gar nicht weiß, ich verstehe das nicht, ich weiß nicht, was ich jetzt machen soll. Und so geht es jedem, der das in die Hand nimmt, der das erstellt hat, denkt noch, volles Dokument ist alles drin. Und der das, der damit arbeiten muss, dann findet sich aber nicht zu Recht und das ist das, was wir eben halt nicht haben wollen, weil wenn wir jetzt wieder zurückgehen auf den Noverplan, wenn die Dokumentation sauber ist, weil sie auch schnell wo ich rein gucken kann und ich weiß auch selbst, wenn ich mich nicht ausgene, kriege ich mich relativ schnell orientiert. Und das ist ja auch das und was wird zum Beispiel mit den Tools in der Notverplanung auch machen, dass wir immer sagen, okay, wir machen ein Strukturabbild. Das heißt also, ich habe einen Baum, wo eben halt vom Gebäude runter auf den Baum in den Schrank, dann habe ich einen Rek, dann ist, dann weiß ich, was alles in den Rek drin ist. Ich weiß, welche Applikationen auf dem Server laufen und und und, dass ich diese strukturellen Abbildungen dann auch sehe, auch innerhalb des Notverplans, dass ich mit das habe und dass ich am besten dann, wenn ich an einem Server bin, in diesem Plan, dass ich dann alle notwendigen Informationen auch direkt abgreifen kann. Und das ist ja das ideal, was wir haben, schnell auf Informationen zu greifen, schnelle Übersicht bekommen, vielleicht auch noch sehen können, wenn ein Objekt ausfällt, welche Prozesse sind davon beeinträchtigt, um dann sehr, sehr schnell Entscheidungsfähig zu werden. Und das ist der Sinn, warum wir eben halt auch mit Tools arbeiten. Und warum wir eben halt versuchen, diese Strukturen in die Tools reinzubringen, wenn ich an mir diese Struktur habe, pälts auch leichter zu pflegen, also heißt der Aufbau ist tatsächlich das, was am meisten Energie kostet. Und ansonsten ist es noch eine Gewohnheit, das aktuell zu halten. Hab ich aber eine gute Datenbasis, brauche ich die ja nicht nur im Notfall, sondern dann hilft die mir in meinem ganz normalen Alltag. Und das ist wo wir die Kunden hinkriegen wollen, dass wir ja mal sagen, ja, wir fangen zwar mit euch an über die Notverplanung eine Struktur aufzubauen. Aber faktisch machen wir, dass wir eine stabile Basis für den Alltag für unser ganz normales Betriebsgeschäft schaffen. Und wenn wir das hinbekommen, dann ist die Notfallbewältigung für uns eigentlich eher Tagesgeschäft wie Ausnahme. Und wenn wir das schaffen, wenn wir einfach eine schaffen, dass wir unsere Informationen so bereitstellen, dass wir eben halt gar nicht in dieser Krisenabstufung kommen. Dann haben wir ja eine Notfall, dann haben wir ja eine Krise, ja, und wir wollen die Krisensituation, die wir schwer kontrollieren können, da wollen wir ja gar nicht rein, sondern eigentlich wollen wir immer nur in dem Störungsbereich bleiben. Also alles das, was so für uns Tagesgeschäft ist. Und je mehr wir effizient bewältigen können, umso mehr wird eigentlich das, was wir schon als Notfall früher bezeichnet haben, hintere eigentlich eher Tagesgeschäft. Weil wir es ohne große Unterbrechung eigentlich direkt handeln können. Und das ist der große Mehrwert hinter der Notfallplanung, wenn wir sie gut implementieren können und wenn wir eben halt diese Datenbasis sauber halten. Ich habe noch eine kurze Frage zu der Struktur, weil das ist gerade irgendwie so hingeblieben. Das ist jetzt eben gesagt, dass du in den Notfallplan reinschaust und dann hast du halt auch schon die Struktur mit vielleicht gebeuten, mit Server, mit Ansprichpartnern, vielleicht mit Kontaktdaten und so weiter. Hat man dann nicht auch Dopplungen da drin, weil sich Dinge wieder holen, weil in der Dokumentation, sprich mal so in myDudeContext, habe ich ja eine Dokumentation, wo alles abgelegt ist, okay, wir haben das System, wir haben den Service, so und so ist es aufgebaut. Das ist der Ansprichpartnern, das ist der Dienstweister, hier ist die Mitarbeiterin für das zuständig in der Rolle. Und jetzt habe ich diesen Notfallplan und der Notfallplan sagt, verbindet dich mit der Telefonanlage und da geht resten so und ruf den Herrn Müller an mit der Nummer so und so. Und habe da vielleicht Informationen drin, die sich in der Dokumentation wieder holen, dass ich keine golden source of truth habe, wie es eigentlich jeder so haben möchte. Aber das ist ja das, was wir gerade auch in der Notverplanung eben halt machen bei der Strukturierung, dass wir uns eben. überlegen, wo dokumentiere ich was? Ja, also das heißt, ich versuche eben halt nicht ein und dieselbe Informationen, zwei verschiedenen Dokumentationsorten zu halten. Dann entscheide ich mich, dass ich es an einem Punkt halte und in einem anderen Punkt tatsächlich klar auf den einen Verweise. Also, das ist was, was wir jetzt bei uns, wir haben einen Standard entwickelt, der das eben halt macht und das eben halt auch sichtbar macht, dass man eben halt eventuell doppelt Dokumentationen hat und dann eben halt die Entscheidung trifft, wo will ich tatsächlich dokumentieren, aber dann eben halt, dass in dem anderen nicht verliert, sondern in dem anderen praktisch mit einer Verlinkung am besten den Verweise darüber macht. Tools wie zum Beispiel Idoet oder auch die GICs wie die bringen uns eben halt in die Lage, dass wir diese Beziehungen darstellen können und dass wir eben halt diese Dokumentationen nur einfach halten müssen, ich die aber mit allen Objekten natürlich auch verbinden kann und das macht mich natürlich so flexibel. Erstens, ich habe nicht den hohen Dokumentationsaufwand, weil ich eben halt klar strukturiert habe, das dokumentiere ich da, das dokumentiere ich da, das einzige, was ich machen muss, ich muss die Verbindung herstellen und ich kann eben halt sowohl die Arbeiten für die Aktualisierung an eine Person winden und ich muss nicht ein zweites oder ein drittes Objekt oder Dokument eben halt im Blick haben, dass wenn ich es da ändere, dass ich es da und da aber auch ändern muss und das ist etwas, wo wir eben halt, wenn wir es harmonisieren und wenn wir es klar strukturieren, wo wir eben halt auch diese großen Erleichterung mit dem bekommen. Dafür brauchen wir aber tatsächlich Tools, die uns eben halt genau bei diesen konstrukten unterstützen, womit wir auch diese Verbindung auch da steinen können. Okay, also es entsteht im Prinzip so ein Netz, was ja irgendwie so mit einer Verbuben ist. Genau. Es ist ja eigentlich wie eine Einladung, ich meine wir haben eben eine halbe Stunde gebrochen, das Wort KI reinzubringen, aber das ist ja das Verruf ist heute alles irgendwie immer hinausläuft, aber es wäre ja eigentlich der perfekte Anwendungsfall, viel Text, viel Verlinkungen, viel Fragen, die dann auch aufkommen, das in Kombination mit KI umzusetzen. Ja, die große Herausforderung bei der KI ist an der Stelle tatsächlich, die an der Stelle auch lenken zu können. Das bedeutet also, wenn ich jetzt zum Beispiel einen Konstrukt habe von der Management System, wo ja auch eben halt die Notverplanung zu gehört, also wenn ich jetzt bis das kontinuative Management mache oder eben halt Informationssicherheitsmanagement, dass ich ein sehr, sehr großes Regelwerk habe, dass ich eben halt ein großes Netz habe aus verschiedenen Beziehungstüpeln und dass diese verschiedenen Beziehungstüpeln natürlich dann wiederum verschiedene Situationen erzeugen können. So, wenn ich das eben halt merke oder sehe und ich mir dann überlege, dass so ein Management System, wenn ich das in ganz viel Objekt klasse, doch unterteilen kann, dass eben halt jede Klasse in einer bestimmten Beziehung oder in mehreren Beziehung zu etwas anderem stehen kann, denn ist das ein wahnsinnens Konstrukt. Wenn ich das jetzt an eine KI gebe oder die KI irgendetwas frage, ohne dass ich dieses Konstrukt einmal konstruiert fest irgendwo abgelegt habe, dann wird die KI in kürzester Zeit anfangen, in die Richtung abzuhauen, in die, in die oder die, die jetzt mit Texten einzufangen, ist nahezu unmöglich. Das haben wir, wir versuchen das seit drei Jahren und sind dadurch eben ein Hingegang, dass wir in eigenen Standard entwickelt haben, der genau diese Belächenschips alle abbildet, der die Objektklassen abbildet, der wiederholende Muster abbildet, also das, was eben wir in unserer Arbeit wiedersehen, wie eben halt bestimmte Objekte mit bestimmten Beziehungen zusammenwirken, wie bestimmte Ablaufmuster sind, Beziehungsmuster, etc., also das heißt, also wir arbeiten mittlerweile mit Relationships, mit Objekten, mit Standards, mit Geiz und mit Pattern. Also das heißt, das ist so ein Riesenkonstrukt und wenn du das Konstrukt hast, wir haben jetzt fast ein drei, vierte Jahr dran geschrieben und jetzt haben wir in dem Basis, wo wir eine KI sagen können, was auf das ist die Basis, das ist da in der Entscheidungsgrund lang, da sind dann auch unheimlich viele Prompt-Pattern schon drin, wo eben halt ganz klar diese Eingrenzung auch da ist, wie er damit auch umzugehen hat, etc., und jetzt kann ich tatsächlich hingehen und kann sagen, pass auf, hier hast du ein Konstrukt, zehn Dokumente, da hast du mein Richtlinensatz, prüft diese Dokumente gegen die Richtlinensatz und da bringt uns jetzt KI natürlich dann weiter, aber zu denken, dass das dann immer noch so einfach ist, es ist immer noch nicht, weil auch ich muss dann trotzdem drauf gucken als Fachkompetenz und muss entscheiden, was der mir jetzt geliefert hat. Geht das hier in die richtige Richtung oder geht es noch nicht in die richtige Richtung? Also tatsächlich gibt es dann immer noch ganz viele Variationen und manchverstelle ich eben halt fest, dass ich selbst dann noch nicht klage nug die Informationen geliefert habe, die eigentlich zum Arbeiten brauche. Also wenn ich da jetzt zum Beispiel Richtlinien dagegen halte gegen Dokumentensatz und er zum Beispiel ich nur gesagt, er prüft das, prüft das gegen ISO 27002 und gegen die Richtlinien. Und ich ihm nicht sage, ich arbeite für mit der GRC Suite, für das Risikommentagement, für die Business Impact-Analyse, für die Dokumentation der Einzellen assets, für das, für das, also diese Informationen muss ich immer eben halt mitgeben, dann wird er mir ausspucken, da hast du eine Lücke, da hast du eine Lücke, da hast du deine Lücke, weil er eben halt nicht weiß, dass ich mit diesen Tools arbeite und dass das nicht Thema dieser Dokumentation ist oder dieser Dokumente ist, die ich ihm zum Prüfen gebe, sondern dass das eben halt Thema der Tools ist. Na, er wird mir dann anmerken, ja wenn das Thema des Tools ist, fehlt mir vielleicht ein Dokument, wo drin steht, was das Thema der Tools ist. Ja, aber genau das ist das, was wir eben halt haben wollen, wir wollen eben halt die Möglichkeit haben, dass wir diese konstrukte relativ schnell prüfen können und dass wir eben halt die Lücken erkennen, weil das ist die größte Herausforderung, die wir in Zukunft haben werden. Also gerade durch KI wachsen auch unsere Gefahren und unsere Anforderungen werden, noch mal wachsen. Wenn ich jetzt hier letzten 10 Jahre gucke, wie sich alleine der gesetzliche Rahmen und auch der Rahmen, der dadurch bei den Unternehmen und zwischen den Unternehmen untereinander entstanden ist, wie stark der sich verändert hat, wenn wir in Zukunft ohne KI tatsächlich wenig machen können. Aber wir müssen die große Herausforderung wird sein, der KI das genau so beizubringen und diese Konstrukte auch immer wieder zu prüfen, weil davon geht eben halt auch die größte Gefahr aus, dass man eben halt eventuell nur eine Ideologie oder einen Gedanken verfolgt hat, den man da in so einem Standard reingebakt hat. Das war auch bei uns für das entwickeln eben halt sehr wichtig, dass wir gesagt haben, okay, wir wollen es technologieunabhängig machen. Also nicht, ich mache es für Chatty-BT, für Co-Pilot oder sonst irgendwas. Den Standard, den wir gebaut haben, ist eben halt Basis, den kann ich mit Papier und Gleichstift umsetzen, wenn ich das möchte. Und jetzt momentan, wir sprechen von Datenuhalten, und wir wollen alles in Deutschland haben. Deswegen war für uns auch der Anspruch, wenn wir irgendwann eine deutsche KI-System haben, was in deutschen Rechenzentren auch gerustet ist, was wir abschirmen können, wo wir sein können, okay, hier können wir bedenkenlos auch unsere Informationen reingeben als Unternehmen, dass das für uns eben halt die Basis sein soll. Und das ist auch das Ziel, wo hin wir entwickeln sollten, dass wir eben halt auch sagen, und wir machen uns unabhängig von USA oder sonst oder von China. Ja, das ganze AI-Thema entsteht natürlich auch neue Angriffsflächen für Seilbeingriffe. Also man hat zum Beispiel auch das Thema Shadow AI Detection, das ganz wichtig, also nicht nur das, was offiziell sozusagen für Unternehmen wie Claude oder Chatty-BT dazu sagen, die Frage gegeben wurde, sondern auch einfach der Mitarbeiter X, der dann einfach irgendwelche Unternehmensgeheimnisse oder Daten der KI-Hochlead oder so, die dann auch Angriffe abgreifen können, also da, und jetzt zum anderen den Bogen zu spannen, zum Thema Notfallhandbüche und Unvermanagement, gibt ja auch neue Zzenarien, ne, in dem Kontext, die man dann vielleicht auch je nach dem abbilden sollte oder nicht. Ob man die eben halt dediziert abbildet, also es ist immer sehr interessant dafür, wie valide man eben das Zzenario für sich hält. Also wir sprechen ja mittlerweile, wenn wir ja Risiko betrachtung machen, auch im Notfallbereich, sprechen wir ja nicht von reinen Wahrscheinlichkeiten, von der Eintritts-Wahrscheinlichkeit, weil wie wahrscheinlich der Eintritt ist, interessiert mich nur, wenn ich auch weiß, wie oft dieses Zzenario abläuft. Also das heißt, also wenn ich jetzt die Wahrscheinlichkeit von 1% habe für eine Eignis, was aber nur alle 10 Jahre einmal abläuft, dann dürfte mich das relativ wenig interessieren. Hab ich die Wahrscheinlichkeit von 1%, dass das Eintritt aber das Zzenario läuft, ungefähr 20.000 mal in der Stunde ab, dann weiß ich, wie viele Eignisse ich in einer Stunde habe. Das interessiert mich dann wahrscheinlich doch sehr doll, absolut. Wir sind jetzt von der Zeit schon ein bisschen fortgeschritten, also wir sind eigentlich schon am Ende angekommen, wir können wahrscheinlich noch zwei Stunden weiter sprechen über das Thema, sehr so eine fast ohne Boden, wenn man möchte. Ich würde jetzt noch mal eine Abschlussfrage stellen. Was würde es sagen, wenn die Zuhörer und Zuhörerin jetzt das ganze Hören, wenn die eine Sache prüfen sollten morgen? welche, welche wäre das in diesem Zusammenhang? Grundsätzlich, ob sie in der Lage sind, in ihrem Unternehmen uneingeschränkt zu kommunizieren und ob sie eben halt auch alleine nur schon Übersicht haben, wer für was ansprechbar ist und ob die Personen das auch tatsächlich wissen. Also meistens ist es so, dass irgendeine Idee hat, nur ach, die wissen schon alle, was sie zu tun haben und wenn man da mal fragt, dass das eben halt tatsächlich gar nicht so klar ist, dass das eben halt verantwortungsübergänge nicht klar abgegrenzt sind. Also, dass sie grenzen nicht klar sind, dass man nicht, wenn man Bereiche beschreibt, dass man vergessen hat, zu beschreiben, wo diese Bereich auch aufhört. Also, wie in einem Projekt, was es inhalt eines Projektes und was ist die Abgrenzung, was wird auf gar keinen Fall inhalt sein. Das ist in den Strukturen im Unternehmen ganz genauso und das ist so, da fängt auch alles an, das ist so die Minimumbasis. Ich brauche nicht wissen, welcher IT-Objekte ich brauche oder sonst so an was, wenn ich das nicht habe, kann ich schon die einfachsten Fragen nicht stellen. Ich kann keine Frage nachstellen, was sind die Business-Impact, welcher Auswirkung habe ich in einem Auswahlzeit, wenn ich klar ist, dass es sein verantwortungsbar ist, dass es seiner. Wenn ich das nicht klar, wenn ich diese Grenzen nicht klar kenne, weiß ich nicht, habe ich irgendwo bestimmte Bereiche, die gar nicht abgedeckt sind. Und das ist das, was wir immer da immer wieder sehen. Jeder kennt zu seinen Gebiet und dann gibt es so eine Grauzone und die Grauzone ist gar nicht abgedeckt, weil der eine ist nicht zu seinem Bereich zählt und andere nicht zu sein. Der Chef sagt, wie so, das ist doch logisch. Das gehört ganz klar dahin und wenn man die in einem Frage hat, ne ne ne ne, also damit habe ich überhaupt gar nichts zu tun. Und das ist so, dass das wäre so das erste womit ein Unternehmen tatsächlich anfangen sollte und wo es sich selber abrufen kann. Ja, sehr schön. Dann danke ich dir auf jeden Fall, dass du sehr wichtig hier warst. Spannendes Thema, ich glaube da kann man wirklich noch Stunden lang über sprechen. Wenn ich die, wenn die Leute auf dich zukommen wollen, dann findest du dich wahrscheinlich am besten, liegt in auf deiner Webseite, geordnet dich auch in den, auf der, auf der Internetseite von Adul, natürlich. Ah ja, dann nüch, stehe also unter den Partnern. Naja, ist so ein Mobil zu finden. Wir haben eine eigene Internetpräsenz, wir sind auf LinkedIn zu finden. Also, Besuch, der findet uns schon ganz gezielt. Alles klar, dann herzlichen Dank. Sehr gerne. Und Dankeschön. Bis zum nächsten Mal.