Notfallmanagement nach NIS2: BIA, Pläne und Übungen

Dieser Leitfaden zeigt, wie Sie das in sechs Schritten aufbauen, worauf es in Produktion und OT ankommt und welche Unterlagen eine Prüfung sehen will. Die Beispiele sind erfunden.

Was Gesetz und Standards verlangen

• BSIG: § 30 Abs. 2 Nr. 3 BSIG nennt als Mindestmaßnahme die Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement. Nach § 30 Abs. 1 BSIG müssen die Maßnahmen geeignet, verhältnismäßig und wirksam sein, und Sie müssen ihre Einhaltung dokumentieren.
• Geschäftsleitung: Nach § 38 Abs. 1 BSIG muss die Geschäftsleitung die Maßnahmen nach § 30 umsetzen und ihre Umsetzung überwachen. Notfallmanagement ist also Chefsache, nicht nur ein IT-Thema.
• Durchführungsverordnung (EU) 2024/2690: Für elf Arten von Einrichtungen, etwa DNS-Diensteanbieter, Cloud- und Rechenzentrumsanbieter, Managed Service Provider, Managed Security Service Provider und Vertrauensdiensteanbieter, legt Anhang Nr. 4 die Anforderungen genau fest. Nach § 30 Abs. 3 BSIG hat sie für diese Einrichtungsarten Vorrang. Für alle anderen ist sie eine gute Orientierung, was „angemessen“ bedeuten kann. Die EU-Agentur ENISA hat dazu eine technische Umsetzungshilfe veröffentlicht.
• BSI-Standard 200-4: Der Standard des BSI zum Business Continuity Management beschreibt Business-Impact-Analyse, Notfallvorsorge, Pläne und Übungen. Er bietet einen Einstieg in Stufen, vom Reaktiv-BCMS über das Aufbau-BCMS bis zum Standard-BCMS.
• ISO 22301: Die internationale Norm „Security and resilience – Business continuity management systems – Requirements“ in der Fassung von 2019 beschreibt ein zertifizierbares Managementsystem für Business Continuity. ISO/IEC 27001 enthält im Anhang A zwei verwandte Maßnahmen: Informationssicherheit bei Störungen (A.5.29) und IKT-Bereitschaft für Business Continuity (A.5.30).

Die Begriffe in einem Satz

• Business-Impact-Analyse (BIA): Sie bewerten je Prozess, welcher Schaden entsteht, wenn er eine Stunde, einen Tag oder eine Woche ausfällt.
• Maximal tolerierbare Ausfallzeit (MTPD): Ab diesem Zeitpunkt wird der Schaden für das Unternehmen nicht mehr tragbar.
• Wiederanlaufzeit (RTO): Bis dahin soll der Prozess wieder laufen, mindestens im Notbetrieb. Die RTO liegt unter der MTPD.
• Maximaler Datenverlust (RPO): So viele Stunden Daten dürfen höchstens verloren gehen. Daraus folgt, wie oft Sie sichern.
• Notbetrieb: Der Prozess läuft eingeschränkt weiter, etwa mit Papierlisten, einer Ersatzmaschine oder einem Partnerwerk.

In sechs Schritten zum Notfallmanagement

1. Umfang und Verantwortung festlegen. Bestimmen Sie Standorte, Prozesse und eine verantwortliche Person. Die Geschäftsleitung beschließt Vorgehen und Ziele und lässt sich regelmäßig berichten.
2. Business-Impact-Analyse durchführen. Bewerten Sie je Prozess den Schaden über die Zeit, etwa für Lieferfähigkeit, Finanzen, Recht und Sicherheit von Menschen. Halten Sie Abhängigkeiten fest: Systeme, Maschinen, Personal, Lieferanten.
3. Wiederanlaufziele festlegen. Leiten Sie aus der BIA MTPD, RTO und RPO je Prozess ab. Ein Ziel, das die Technik heute nicht erreicht, ist kein Fehler, sondern ein Ergebnis, das Sie bearbeiten.
4. Strategien und Backups planen. Entscheiden Sie je Prozess, wie Sie die Ziele erreichen: Notbetrieb, Redundanz, Ersatzteile, Ausweichstandort, Backups mit passender Häufigkeit.
5. Pläne schreiben und Krisenstab benennen. Wiederanlauf-, Notbetriebs- und Alarmierungspläne, ein Krisenstab mit Vertretungen und erreichbaren Kontakten, alles in einem Notfallhandbuch.
6. Üben und verbessern. Testen Sie Pläne, Backups und Alarmierung regelmäßig, halten Sie Ergebnisse fest und arbeiten Sie Feststellungen ab.

Backups, die im Notfall tragen

Die Durchführungsverordnung (EU) 2024/2690 beschreibt in Anhang Nr. 4.2, was ein belastbares Backup ausmacht. Auch wenn Ihr Unternehmen nicht unter die Verordnung fällt, sind das gute Prüffragen:

• Vollständig: Sind Konfigurationsdaten und Daten in Cloud-Diensten mit gesichert?
• Getrennt: Liegt mindestens eine Kopie nicht im selben Netz und weit genug entfernt vom Hauptstandort?
• Geschützt: Ist der Zugriff auf die Sicherungen so streng geregelt wie auf die Originaldaten?
• Geprüft: Prüfen Sie die Integrität der Sicherungen und testen Sie die Wiederherstellung regelmäßig, mit dokumentiertem Ergebnis?

In der Produktion gehört mehr dazu als Server und ERP: Steuerungsprogramme, Engineering-Projekte, Konfigurationen von Bedienstationen und Switches, Rezepturen sowie die passenden Firmwarestände und Lizenzen. Liegen diese Dateien nur auf einem Servicelaptop, ist der Wiederanlauf nach einem Steuerungstausch Glückssache.

Beispiel aus der Industrie

Das Beispiel ist erfunden. Ein Hersteller von Kunststoffteilen beliefert Autozulieferer per Abruf. Ein Angriff verschlüsselt ERP und Fertigungsleitsystem (MES), die Spritzgießmaschinen laufen technisch weiter. Die BIA hatte das Unternehmen zuvor gemacht:

• Was die Übung vorher gezeigt hatte: Ein Wiederherstellungstest des MES dauerte 40 Stunden und lag damit über der RTO. Das ERP wurde nur nachts gesichert, der RPO von 4 Stunden für den Versand war so nicht zu halten.
• Was daraufhin geändert wurde: Sicherung des ERP alle vier Stunden, eine Kopie unveränderbar außerhalb des Produktionsnetzes, ein vorbereitetes Wiederherstellungsverfahren für das MES und ausgedruckte Prüfpläne an jeder Maschine.
• Im Ernstfall: Der Krisenstab tritt nach dem Alarmierungsplan zusammen, der Versand läuft nach 20 Stunden im Notbetrieb, das MES ist nach 30 Stunden zurück. Das Lagebuch hält jede Entscheidung mit Uhrzeit fest.

Übungen: klein anfangen, regelmäßig steigern

Der BSI-Standard 200-4 kennt verschiedene Übungsarten. Sie müssen nicht mit der Vollübung beginnen:

• Planbesprechung: Die Beteiligten gehen einen Plan am Tisch durch und finden Lücken, ohne Technik anzufassen.
• Alarmierungsübung: Erreicht die Alarmierung den Krisenstab und die Vertretungen, auch nachts und am Wochenende?
• Stabsübung: Der Krisenstab arbeitet ein Szenario durch und trifft Entscheidungen unter Zeitdruck.
• Funktions- und Wiederherstellungstest: Ein System wird tatsächlich umgeschaltet oder aus dem Backup wiederhergestellt, die Zeit wird gemessen.
• Notfallübung: Mehrere Bereiche üben einen Ausfall gemeinsam, möglichst nah an der Realität.

Wichtig ist nicht die Größe der Übung, sondern das Ergebnis: gemessene Zeiten im Vergleich mit den Zielen, Feststellungen mit Zuständigen und Termin, aktualisierte Pläne.

Welche Nachweise eine Prüfung sehen will

• Freigegebene BIA mit Datum, Zielen je Prozess und nächstem Prüftermin.
• Freigegebene Pläne in nachvollziehbaren Versionen und ein aktuelles Notfallhandbuch.
• Liste des Krisenstabs mit Vertretungen und Erreichbarkeit.
• Backup-Konzept, Protokolle der Wiederherstellungstests und deren Ergebnisse.
• Übungsberichte mit Feststellungen und dem Stand ihrer Bearbeitung.
• Beschluss der Geschäftsleitung und Berichte über den Stand der Umsetzung.

Halten Sie das Notfallhandbuch zusätzlich offline bereit, gedruckt oder auf einem getrennten Gerät. Wenn die IT ausfällt, muss der Plan trotzdem lesbar sein.

Checkliste

• Umfang, verantwortliche Person und Beschluss der Geschäftsleitung stehen fest.
• Für jeden wichtigen Prozess gibt es eine BIA mit Abhängigkeiten.
• MTPD, RTO und RPO sind je Prozess festgelegt, die RTO liegt unter der MTPD.
• Backups passen zum RPO, eine Kopie liegt getrennt und geschützt.
• Steuerungsprogramme, Engineering-Projekte und Konfigurationen der OT sind gesichert.
• Wiederanlauf-, Notbetriebs- und Alarmierungspläne sind freigegeben.
• Der Krisenstab ist benannt, mit Vertretungen und aktuellen Kontakten.
• Das Notfallhandbuch ist auch offline verfügbar.
• Übungen und Wiederherstellungstests sind geplant, durchgeführt und ausgewertet.
• Feststellungen aus Übungen haben Zuständige und Termine.

Notfallmanagement in Complass

BIA in Excel, Pläne in Word, der Krisenstab in einer E-Mail-Liste: Spätestens bei der Prüfung fehlt der Zusammenhang. Im Modul Notfallmanagement von Complass hängt alles zusammen:

• Business-Impact-Analyse: Sie bewerten den Schaden je Kategorie über die Zeit in einer Matrix. Complass schlägt daraus MTPD und Kritikalität vor und prüft, dass die RTO unter der MTPD liegt.
• Notfallpläne mit Freigabe: Wiederanlauf-, Notbetriebs- und Alarmierungspläne werden aus der BIA vorbefüllt. Jede Freigabe wird unveränderlich als Version gespeichert, auf Wunsch nach dem Vier-Augen-Prinzip.
• Krisenstab und Notfallhandbuch: Krisenstab, Notfallteams und externe Kontakte mit Vertretung und Erreichbarkeit. Das Notfallhandbuch erhalten Sie als PDF oder Word-Datei, und Complass zeigt, wer ein veraltetes Exemplar heruntergeladen hat.
• Übungen nach BSI-Standard 200-4: Von der Planbesprechung bis zur Notfallübung, mit gemessenen Wiederanlaufzeiten im Vergleich mit den Zielen, Feststellungen als Aufgaben und dem Übungsbericht als PDF.
• Backups und Wiederherstellung: Je System sehen Sie, ob die Sicherung zum tolerierbaren Datenverlust passt, ob eine Kopie offline oder unveränderbar ist und wann zuletzt erfolgreich wiederhergestellt wurde.
• Nachweis mit einem Klick: Notfallhandbuch und Übungsbericht legen Sie als Nachweis in Ihrem NIS2-Projekt ab.

Häufige Fragen

Brauchen wir eine Zertifizierung nach ISO 22301?

Nein, NIS2 und BSIG verlangen keine Zertifizierung nach ISO 22301. Die Norm und der BSI-Standard 200-4 helfen aber, das Notfallmanagement strukturiert aufzubauen. Ob ein Zertifikat sinnvoll ist, hängt meist von Ihren Kunden ab.

Wie oft müssen wir üben?

Weder § 30 BSIG noch Art. 21 NIS2-Richtlinie nennen einen festen Takt. Die Durchführungsverordnung (EU) 2024/2690 sieht für die von ihr erfassten Dienste Tests in geplanten Zeitabständen sowie nach erheblichen Sicherheitsvorfällen oder wesentlichen Änderungen vor. Legen Sie einen Übungsplan fest, der Ihre kritischen Prozesse in einem nachvollziehbaren Rhythmus abdeckt.

Ist Notfallmanagement nicht Aufgabe der IT?

Die IT stellt Systeme und Backups wieder her. Welcher Prozess zuerst laufen muss und wie lange ein Ausfall tragbar ist, entscheiden Fachbereiche und Geschäftsleitung. Deshalb gehört die BIA in deren Hände.

Gilt das auch für die Produktionsanlagen?

§ 30 Abs. 1 BSIG bezieht sich auf die informationstechnischen Systeme, Komponenten und Prozesse, die Sie für die Erbringung Ihrer Dienste nutzen. Vernetzte Steuerungen und Leitsysteme gehören oft dazu, prüfen Sie das für Ihre Anlagen. Unabhängig davon sind sie beim Wiederanlauf häufig der Engpass.

Wie hängen Notfallmanagement und Meldepflicht zusammen?

Ein schwerer Ausfall kann zugleich ein meldepflichtiger Sicherheitsvorfall nach § 32 BSIG sein. Planen Sie die Meldung im Krisenstab ein, damit sie im Notfall nicht untergeht.

In einer Demo zeigen wir Ihnen an der Demo-Firma, wie aus einer BIA Notfallpläne, Übungen und Nachweise für NIS2 werden.

Demo anfragen 14 Tage testen

Weiterlesen

• Leitfaden „NIS2 umsetzen: der Leitfaden in Schritten“
• Leitfaden „NIS2-Meldepflicht in der Praxis“
• Leitfaden „Geschäftsleitung und NIS2: was § 38 BSIG verlangt“
• Whitepaper Notfallmanagement (BCM) nach BSI 200-4
• Notfallmanagement in Complass
• NIS2 in Complass

Keine Rechtsberatung. Dieser Leitfaden gibt einen allgemeinen Überblick und ersetzt nicht die Prüfung im Einzelfall. Maßgeblich sind der aktuelle Wortlaut des BSIG, der NIS2-Richtlinie und der Durchführungsverordnung (EU) 2024/2690, die Veröffentlichungen des BSI und Ihre lizenzierten Ausgaben der Normen. Stand: November 2026.