Das Berufsbild
Was macht ein Business Continuity Manager?
Die Rolle gehört zum Bereich Steuerung und Kontrolle und sitzt meist neben dem Informationssicherheitsbeauftragten, im operationellen Risikomanagement oder in einer Stabsstelle Sicherheit. Kundenkontakt und Vertriebsziele gibt es nicht. Im Mittelpunkt steht die Frage, welche Prozesse wie lange ausfallen dürfen: Zahlungsverkehr, Handel, Kreditauszahlung, Kundenservice. Dazu führt der Business Continuity Manager mit den Fachbereichen Business-Impact-Analysen durch, legt Wiederanlaufzeiten fest, gleicht sie mit den Zusagen von IT und Dienstleistern ab und schreibt Notfall- und Wiederanlaufpläne. Ein großer Teil der Arbeit besteht aus Tests: Ausweicharbeitsplätze in Betrieb nehmen, Krisenstabsübungen moderieren, Rechenzentrumsumschaltungen mit der IT begleiten und die Ergebnisse dokumentieren. Im Ernstfall, etwa bei einem Cyberangriff oder einem Stromausfall, unterstützt die Rolle den Krisenstab. In einer Sparkasse oder Volksbank ist sie oft mit Informationssicherheit oder Auslagerungsmanagement in einer Person kombiniert; der IT-Betrieb liegt dort bei Finanz Informatik oder Atruvia, deren Notfallkonzepte eingebunden werden müssen. In Großbanken gibt es eigene Teams mit Zuständigkeit für einzelne Länder oder Geschäftsfelder.
Der Weg in die Rolle
Einen festgelegten Ausbildungsweg gibt es nicht. Viele kommen als Bankkaufleute mit Erfahrung in Organisation, Betrieb oder operationellem Risiko in die Rolle, andere nach einem Studium der Wirtschaftsinformatik, Betriebswirtschaft oder Sicherheitsmanagement. Quereinsteiger aus IT-Betrieb, Wirtschaftsprüfung oder Behörden mit Krisenmanagement sind verbreitet. Gesetzlich vorgeschriebene Nachweise bestehen nicht. Üblich und in Anzeigen oft gewünscht sind Zertifikate nach ISO 22301, eine Qualifikation zum BSI-Standard 200-4 oder ein Abschluss des Business Continuity Institute.
Was die Rolle verlangt
Der regulatorische Rahmen ist dicht: MaRisk AT 7.3 zum Notfallmanagement, seit 2025 die DORA-Verordnung mit ihren Vorgaben zur IKT-Geschäftsfortführung und zu Tests, dazu Anforderungen an ausgelagerte Dienstleister. Ein erheblicher Teil der Arbeit ist Dokumentation für Aufsicht, Prüfer und Revision, und Feststellungen aus Sonderprüfungen müssen mit Fristen abgearbeitet werden. Schwer fällt oft, Fachbereiche zur Mitarbeit an Analysen und Übungen zu bewegen, die dort als Zusatzlast gelten, ohne Weisungsbefugnis zu haben. Notfalltests und Umschaltungen finden häufig am Wochenende oder nachts statt, und in vielen Häusern gehört eine Rufbereitschaft für den Krisenstab dazu. Gefragt sind Verständnis für Prozesse und IT-Architektur, Moderationsgeschick und Ruhe in angespannten Lagen.
Aussichten
Die Nachfrage ist gestiegen, weil DORA das Thema in allen Instituten aufgewertet und die Anforderungen an Tests und Dienstleistersteuerung verschärft hat. Kleinere Häuser suchen Personal, das die Rolle neben anderen Aufgaben ausfüllt, größere bauen spezialisierte Teams auf. Cyberresilienz und die Abhängigkeit von Cloud-Anbietern verschieben den Schwerpunkt weiter in Richtung IT. Entwicklungswege führen zur Leitung des Notfallmanagements, in das Informationssicherheits- oder Auslagerungsmanagement, in das operationelle Risikocontrolling oder in die IT-Revision.
Die Aufgaben
- Business-Impact-Analysen mit den Fachbereichen durchführen und Wiederanlaufzeiten festlegen
- Notfall-, Krisen- und Wiederanlaufpläne erstellen und aktuell halten
- Notfalltests, Umschaltungen und Krisenstabsübungen planen, begleiten und auswerten
- Notfallkonzepte von Rechenzentrale und Auslagerungsdienstleistern prüfen und einbinden
- Den Krisenstab im Ernstfall organisatorisch unterstützen
- Anforderungen aus MaRisk und DORA umsetzen und gegenüber Aufsicht und Revision nachweisen
- Prüfungsfeststellungen nachverfolgen und an Vorstand und Risikoausschuss berichten
Das sollten Sie mitbringen
- • Abgeschlossene Bankausbildung mit Berufserfahrung oder Studium der Wirtschaftsinformatik, Betriebswirtschaft oder Sicherheitsmanagement
- • Kenntnisse von MaRisk AT 7.3, DORA sowie ISO 22301 und BSI-Standard 200-4
- • Verständnis für Bankprozesse und IT-Betrieb
- • Zertifikat im Business Continuity Management von Vorteil, aber nicht vorgeschrieben
- • Moderations- und Durchsetzungsfähigkeit ohne disziplinarische Befugnis
- • Bereitschaft zu Wochenendtests und Rufbereitschaft
Der Weg in die Rolle
Üblich ist eine dreijährige Ausbildung zur Bankkauffrau oder zum Bankkaufmann mit anschließenden Jahren in Organisation, Betrieb oder Risikomanagement, oft ergänzt um den Bankfachwirt oder ein mehrtägiges Zertifikat nach ISO 22301 oder BSI 200-4. Alternativ führt ein Bachelor- oder Masterstudium von drei bis fünf Jahren in Wirtschaftsinformatik oder Betriebswirtschaft mit Berufserfahrung in IT oder Prüfung in die Rolle.
Wo gearbeitet wird
- Stabsstelle Sicherheit oder Organisation einer Sparkasse
- Operationelles Risikomanagement einer Volks- oder Raiffeisenbank
- Zentrale einer Großbank oder Privatbank
- Landesbank oder Förderbank
- Rechenzentrale einer Bankengruppe
- Direktbank
