NIS2 Business Continuity: Notfallplanung, die im Ernstfall funktioniert

Ein Ransomware-Angriff legt die Produktion lahm. Der zentrale Cloud-Dienst fällt aus. Ein Rechenzentrum wird durch einen Wasserschaden unbrauchbar. In jedem dieser Szenarien entscheidet nicht die Technik allein darüber, wie schnell ein Unternehmen wieder arbeitsfähig ist. Es entscheidet der Notfallplan, und ob ihn jemand kennt.

Das NIS2UmsuCG macht Business Continuity Management (BCM) zur gesetzlichen Pflicht. §30 Abs. 2 Nr. 3 BSIG verlangt von betroffenen Unternehmen Maßnahmen zur "Aufrechterhaltung des Betriebs", konkret: Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement. Dieser Artikel zeigt, wie Unternehmen diese Anforderung von der Pflicht zur funktionierenden Praxis bringen.

Was verlangt das NIS2UmsuCG für Business Continuity?

§30 Abs. 2 Nr. 3 BSIG nennt drei Säulen der Betriebskontinuität: Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement. Die NIS2UmsVO konkretisiert diese Anforderung in Annex 4.1 mit einem detaillierten Anforderungskatalog für Notfallpläne.

In der Praxis heißt das: Ein Unternehmen muss nicht nur Backups erstellen, sondern einen durchdachten Plan haben, der beschreibt, was bei einem Vorfall passiert, wer welche Entscheidungen trifft und wie der Betrieb wiederhergestellt wird. Die Geschäftsleitung trägt persönliche Verantwortung dafür, dass dieser Plan existiert und funktioniert.

Die vollständige Liste der zehn Maßnahmenbereiche nach §30 behandeln wir im Überblick zu den NIS2-Anforderungen. Dieser Artikel konzentriert sich auf den BCM-Baustein und wie er praktisch umgesetzt wird.

Business Impact Analyse: Welche Prozesse sind kritisch?

Bevor ein Notfallplan geschrieben wird, muss eine Frage beantwortet sein: Welche Geschäftsprozesse dürfen auf keinen Fall ausfallen? Die Business Impact Analyse (BIA) liefert diese Antwort. Sie bewertet jeden Prozess danach, welchen Schaden ein Ausfall nach einer Stunde, nach vier Stunden, nach einem Tag verursacht.

Das Ergebnis ist eine Priorisierungsliste. Nicht jeder Prozess braucht die gleiche Schutzklasse. Der Onlineshop eines E-Commerce-Unternehmens hat andere Anforderungen als das interne Wiki. Wer versucht, alles gleichzeitig abzusichern, sichert am Ende nichts richtig ab.

Drei Schritte machen die BIA handhabbar: Erstens die 5 bis 10 Prozesse identifizieren, die bei einem Totalausfall den größten finanziellen, rechtlichen oder reputationsbezogenen Schaden verursachen. Zweitens für jeden dieser Prozesse die maximal tolerierbare Ausfallzeit bestimmen. Drittens die Abhängigkeiten klären: Welche IT-Systeme, Dienstleister und Datenquellen braucht dieser Prozess?

RPO und RTO: Wiederherstellungsziele festlegen

Aus der BIA ergeben sich zwei Kennzahlen, die das Rückgrat jedes Notfallplans bilden. Das Recovery Point Objective (RPO) definiert den maximal akzeptablen Datenverlust. Ein RPO von 4 Stunden bedeutet: Im schlimmsten Fall gehen die Daten der letzten 4 Stunden verloren. Das Recovery Time Objective (RTO) definiert die maximale Ausfallzeit. Ein RTO von 8 Stunden bedeutet: Der Prozess muss innerhalb von 8 Stunden wieder laufen.

Diese Kennzahlen bestimmen die technische Strategie. Ein RPO von 15 Minuten erfordert synchrone Replikation oder sehr häufige Backups. Ein RPO von 24 Stunden kann mit täglichen Backups erreicht werden. Die technischen Details der Backup-Strategie nach NIS2 behandelt der verlinkte Artikel.

Der Notfallplan: Aufbau und Pflichtinhalte

Die NIS2UmsVO schreibt in Annex 4.1 konkret vor, was ein Notfallplan enthalten muss. Sieben Bestandteile sind Pflicht:

Die häufigste Schwachstelle in der Praxis: Der Plan existiert, aber niemand hat ihn gelesen. Ein 80-seitiges PDF auf dem Fileserver hilft niemandem, wenn das Fileserver gerade der Grund für den Notfall ist. ISMS-Plattformen wie SECJUR Digital Compliance Office lösen dieses Problem, weil der Notfallplan dort zentral gepflegt, versioniert und jederzeit zugreifbar ist, auch wenn Teile der IT-Infrastruktur ausfallen.

Wann ein Sicherheitsvorfall zusätzlich meldepflichtig wird und welche Fristen dann greifen, regelt §32 BSIG. Der Notfallplan sollte eine Schnittstelle zur Meldepflicht enthalten, damit beide Prozesse ineinandergreifen. Wie die Nachweispflicht für BCM-Dokumentation funktioniert, erklären wir im verlinkten Artikel.

"Business Continuity ist kein Dokument, das man einmal erstellt und dann abheftet. Es ist ein Prozess, der regelmäßig getestet und angepasst werden muss. Die Unternehmen, die im Ernstfall am schnellsten wieder arbeitsfähig sind, sind nicht die mit den dicksten Notfallhandbüchern, sondern die, die ihre Pläne einmal im Jahr ernsthaft durchspielen."

Bettina Stearn, ISO/IEC 27001 Auditorin & QM-Fachexpertin bei SECJUR

Tabletop-Übungen: Den Notfallplan unter Stress testen

Ein Notfallplan, der nie getestet wurde, ist eine Hypothese. Die NIS2UmsVO verlangt, dass Notfallpläne "regelmäßig und bei wesentlichen Vorfällen oder Änderungen der Betriebsabläufe" getestet werden. Die effektivste Methode dafür sind Tabletop-Übungen.

Bei einer Tabletop-Übung versammelt sich der Krisenstab an einem Tisch (oder in einem Call) und spielt ein Szenario durch. Kein System wird tatsächlich heruntergefahren, kein Backup wiederhergestellt. Stattdessen geht das Team Schritt für Schritt durch den Notfallplan und beantwortet: Wer wird informiert? Wie lange dauert die Eskalation? Haben wir die Kontaktdaten? Wissen wir, welches System zuerst wiederhergestellt wird?

Solche Übungen decken innerhalb von zwei Stunden Lücken auf, die im Alltag nicht auffallen. Typische Erkenntnisse aus Tabletop-Übungen: Kontaktlisten sind veraltet, Stellvertreterregelungen fehlen, die Wiederherstellungsreihenfolge ist unklar, oder niemand weiß, wo sich die Offline-Kopie des Notfallplans befindet.

Empfehlung: Tabletop-Übungen mindestens einmal jährlich durchführen, zusätzlich nach jeder wesentlichen Änderung der IT-Infrastruktur oder nach einem realen Vorfall. Die Ergebnisse und die daraus abgeleiteten Verbesserungen lassen sich auf einer Plattform wie SECJUR direkt dokumentieren und als Nachweis für das BCM vorhalten.