{
  "bam_id": "CROSS-BCM-001",
  "regulation": "CROSS",
  "article": "NIS-2 Art. 21 §2c + DORA Art. 11-12 + ISO 27001 A.17",
  "status": "ausstehend",
  "tags": [
    "bcm",
    "backup",
    "wiederherstellung",
    "cross"
  ],
  "cross_refs": [
    "NIS2-021c-BCM",
    "DORA-011-BCM"
  ],
  "requirement": {
    "text": "Business Continuity und Backup-Management werden sowohl von NIS-2 als auch von DORA gefordert. Ein einziges BCM-Programm erfüllt beide.",
    "source": "NIS-2 Art. 21 §2c + DORA Art. 11-12",
    "priority": "hoch"
  },
  "gap_check": {
    "question": "Ist ein vollständiges BCM-Programm mit dokumentierten RTO/RPO, getesteten Backups und BCP für kritische Systeme implementiert?",
    "if_yes": "NIS-2 und DORA BCM-Anforderungen gleichzeitig erfüllt. Tests protokollieren.",
    "if_no": "BCM fehlt – betrifft NIS-2 und DORA gleichzeitig. Höchste Priorität.",
    "if_partial": "Teils implementiert. RTO/RPO und Testnachweise ergänzen."
  },
  "remediation": {
    "summary": "Collect Once, Comply Many: BCM-Programm deckt NIS-2 und DORA gleichzeitig ab",
    "steps": [
      "Kritische Systeme und Funktionen inventarisieren",
      "RTO/RPO je System definieren und dokumentieren",
      "3-2-1-Backup mit air-gapped Offsite-Kopie implementieren",
      "Halbjährliche Wiederherstellungstests mit Protokollen",
      "BCP-Dokument für NIS-2 und DORA gemeinsam erstellen"
    ],
    "effort": "mittel",
    "deadline": "kurzfristig",
    "tools": [
      "Backup-Software",
      "BCP-Template",
      "Testprotokoll"
    ],
    "compliance_coverage": [
      "NIS-2 Art. 21 §2c",
      "DORA Art. 11-12"
    ],
    "effort_reduction": "50%",
    "book_reference": {
      "book": "NIS-2 Survival Kit + DORA für Nicht-Finanzexperten",
      "chapter": "Kap. 6 (NIS-2) + Kap. 8.4 (DORA)"
    },
    "cost_estimate": {
      "pt_min": 5,
      "pt_max": 10,
      "note": "Deckt NIS-2+DORA – kombinierter Aufwand"
    }
  },
  "risk": {
    "likelihood": 3,
    "impact": 5,
    "score": 8,
    "description": "Fehlende BCM-Maßnahmen treffen zwei Regulierungen gleichzeitig.",
    "regulatory_fine": {
      "max_eur": 35000000,
      "max_pct": "bis zu 7% Jahresumsatz",
      "basis": "Höchste der zutreffenden Regulierungen"
    }
  },
  "control": {
    "measure": "BCM-Programm mit RTO/RPO, 3-2-1-Backup und halbjährlichen Wiederherstellungstests",
    "priority": "sofort",
    "type": "technisch"
  },
  "evidence": {
    "type": "BCP-Dokument + RTO/RPO-Matrix + Testprotokolle",
    "template": "Cross-Control BCM-Policy",
    "audit_ready": true
  },
  "iso27001_mapping": {
    "controls": [
      "A.12.3.1",
      "A.17.1.1",
      "A.17.1.2",
      "A.17.1.3",
      "A.17.2.1"
    ],
    "coverage": "vollständig",
    "note": "ISO A.12.3 und A.17 decken BCM vollständig ab. Cross-Control reduziert Implementierungsaufwand für NIS-2 + DORA um 50%."
  },
  "iso27001_2022_controls": [
    "5.29",
    "5.30",
    "8.13"
  ],
  "_bam_uri": "https://bam.brain-media.de/id/CROSS-BCM-001",
  "_model_version": "2.0",
  "_service": "Compliance Trace",
  "_license": "CC BY-SA 4.0 (see LICENSE-DATA)",
  "_attribution": "Brain-Media Audit Model (BAM), Dr. Holger Reibold, brain-media.de"
}