NIS-2 BCM Anforderungen wirksam umsetzen

Ein Cyberangriff, ein Ausfall des Rechenzentrums oder der Wegfall eines zentralen Dienstleisters wird nicht allein dadurch beherrschbar, dass Sicherheitsmaßnahmen vorhanden sind. Entscheidend ist, ob kritische Geschäftsprozesse weitergeführt, IT-Services innerhalb akzeptierter Zeiten wiederhergestellt und Entscheidungen unter Druck getroffen werden können. Genau hier setzen die NIS-2 BCM Anforderungen an: Sie verbinden Cybersicherheit mit der organisatorischen Fähigkeit, Störungen und Krisen wirksam zu bewältigen.

Für betroffene Unternehmen ist Business Continuity Management deshalb keine isolierte Compliance-Aufgabe. BCM schafft die Grundlage, um Auswirkungen auf Kunden, Versorgung, Produktion, Verwaltung und Lieferfähigkeit zu verstehen, Prioritäten verbindlich festzulegen und im Ernstfall handlungsfähig zu bleiben. Die rechtlichen Anforderungen müssen dabei in belastbare Betriebsabläufe, Notfallpläne und überprüfbare Nachweise übersetzt werden.

Was NIS-2 von BCM und ITSCM verlangt

NIS-2 fordert ein angemessenes Risikomanagement für die Cybersicherheit. Dazu gehören ausdrücklich die Aufrechterhaltung des Geschäftsbetriebs, Backup-Management, Wiederherstellung nach einem Notfall sowie Krisenmanagement. Die Richtlinie verlangt damit nicht lediglich präventive Informationssicherheit. Sie nimmt auch die Fähigkeit in den Blick, nach einem Sicherheitsvorfall geordnet zu reagieren und kritische Leistungen wiederherzustellen.

Wie konkret die Umsetzung ausfällt, hängt vom jeweiligen Unternehmen ab. Maßgeblich sind unter anderem die Kritikalität der Dienstleistungen, die Abhängigkeit von Informationssystemen, mögliche Schadensszenarien, Lieferkettenrisiken und die Folgen eines längeren Ausfalls. Ein Energieversorger, ein Hersteller mit just-in-time-Produktion und ein Managed-Service-Provider benötigen unterschiedliche Wiederanlaufstrategien. Gemeinsam ist ihnen die Pflicht, Risiken nachvollziehbar zu bewerten und geeignete Maßnahmen nicht nur zu beschließen, sondern wirksam zu betreiben.

BCM, IT Service Continuity Management und Krisenmanagement erfüllen dabei unterschiedliche Aufgaben. BCM betrachtet die Fortführung kritischer Geschäftsprozesse. ITSCM stellt sicher, dass unterstützende IT-Services entsprechend den fachlichen Prioritäten wiederhergestellt werden. Krisenmanagement organisiert Führung, Kommunikation, Lagebild und Entscheidungen, wenn ein Ereignis den normalen Störungsprozess übersteigt. Erst das Zusammenspiel dieser Disziplinen schafft belastbare Resilienz.

NIS-2 BCM Anforderungen in konkrete Strukturen übersetzen

Der häufigste Fehler besteht darin, vorhandene Notfallpläne als ausreichenden Nachweis zu betrachten. Einzelne Dokumente helfen nur dann, wenn sie auf einer aktuellen Risiko- und Auswirkungsanalyse beruhen, Verantwortlichkeiten eindeutig zugeordnet sind und die beschriebenen Maßnahmen technisch sowie organisatorisch umsetzbar bleiben.

Kritische Prozesse und Abhängigkeiten bestimmen

Am Anfang steht eine Business Impact Analysis. Sie ermittelt, welche Prozesse für die Leistungserbringung, regulatorische Pflichten, Kundenversorgung oder wirtschaftliche Stabilität zeitkritisch sind. Für diese Prozesse werden tolerierbare Ausfallzeiten, Wiederanlaufprioritäten und maximal akzeptierbare Datenverluste festgelegt.

Besondere Aufmerksamkeit verdienen Abhängigkeiten. Ein kritischer Prozess hängt selten nur von einer Anwendung ab. Häufig sind Identitätsdienste, Netzwerkverbindungen, Cloud-Plattformen, Fachverfahren, Telefonie, Gebäudezugang, Personal, Dienstleister und Vorleistungen beteiligt. Werden diese Abhängigkeiten nicht transparent gemacht, bleibt ein Wiederanlaufplan auf dem Papier plausibel, scheitert aber im Ereignisfall an einem übersehenen Engpass.

Die Ergebnisse der Analyse müssen zwischen Fachbereich, IT, Informationssicherheit und Unternehmensleitung abgestimmt sein. Recovery Time Objectives und Recovery Point Objectives sind keine rein technischen Kennzahlen. Sie sind Entscheidungen über akzeptierte Geschäftsrisiken und müssen deshalb fachlich begründet, genehmigt und regelmäßig überprüft werden.

Wiederanlauf und Wiederherstellung realistisch planen

Aus den Prioritäten entstehen BCM- und ITSCM-Strategien. Dazu können redundante Betriebsmodelle, geografisch getrennte Sicherungen, Ersatzarbeitsplätze, manuelle Ausweichverfahren, Wiederanlaufreihenfolgen oder vertraglich geregelte Leistungen von Dienstleistern gehören. Nicht jede kritische Anwendung benötigt Hochverfügbarkeit. Umgekehrt ist ein tägliches Backup für einen Service mit sehr niedriger Datenverlusttoleranz oft unzureichend.

Wesentlich ist die technische und organisatorische Konsistenz. Ein Backup ist erst dann Teil einer tragfähigen Wiederherstellungsstrategie, wenn Integrität, Schutz vor Manipulation, Zugriffsrechte, Wiederherstellungsdauer und regelmäßige Restore-Tests geklärt sind. Ebenso muss ein Notbetrieb fachlich funktionieren: Können Mitarbeitende auf die notwendigen Informationen zugreifen, dürfen sie definierte Ersatzprozesse nutzen und werden die Ergebnisse später kontrolliert in die führenden Systeme zurückgeführt?

Krisenführung nicht mit Incident Management verwechseln

Ein Security Incident muss nicht zwangsläufig eine Unternehmenskrise auslösen. Eskaliert ein Vorfall jedoch zu einem längerfristigen Ausfall, einer erheblichen Versorgungsbeeinträchtigung, einem Reputationsrisiko oder einer meldepflichtigen Lage, reichen technische Tickets und operative Abstimmungen nicht mehr aus.

Ein Krisenmanagement benötigt einen benannten Krisenstab, Stellvertretungsregelungen, erreichbare Kommunikationswege und eine klare Entscheidungslogik. Es legt fest, wer das Lagebild bewertet, welche Maßnahmen freigegeben werden, wie Kunden und Behörden informiert werden und wie die Geschäftsleitung eingebunden ist. Gerade bei Ransomware-Szenarien ist diese Struktur entscheidend: Die Wiederherstellung von Systemen, die forensische Sicherung, die externe Kommunikation und die Priorisierung des Geschäftsbetriebs müssen parallel gesteuert werden.

Governance und Nachweise: Was prüfbar sein muss

NIS-2 erhöht auch die Verantwortung der Leitungsorgane. Managemententscheidungen zu Cyberrisiken und Resilienz dürfen nicht vollständig delegiert werden. Die Unternehmensleitung benötigt Transparenz über kritische Risiken, akzeptierte Restrisiken, den Reifegrad der Notfallvorsorge und offene Maßnahmen. Sie sollte BCM- und ITSCM-Ziele verbindlich bestätigen und ausreichende personelle sowie finanzielle Ressourcen bereitstellen.

Für die praktische Nachweisführung kommt es auf eine nachvollziehbare Managementsystem-Logik an. Dazu gehören ein klarer Geltungsbereich, Rollen und Verantwortlichkeiten, dokumentierte Analysen, genehmigte Strategien, aktuelle Pläne, Maßnahmenverfolgung und Ergebnisse aus Tests sowie Reviews. Versionierte Dokumente allein genügen nicht. Entscheidend ist, ob Änderungen an Prozessen, Anwendungen, Standorten oder Lieferanten kontrolliert in die Notfallvorsorge einfließen.

Eine softwaregestützte Arbeitsweise kann diesen Pflegeaufwand erheblich reduzieren. Sie konsolidiert Abhängigkeiten, Verantwortlichkeiten, Maßnahmen und Prüfintervalle in einer gemeinsamen Datenbasis. Mit einer Plattform wie [alive-IT] lassen sich BCM- und ITSCM-Prozesse strukturiert pflegen, Auswertungen für Management und Prüfung erstellen sowie Aufgaben aus Übungen oder Audits nachvollziehbar nachverfolgen. Die Software ersetzt jedoch keine fachlichen Entscheidungen. Sie unterstützt deren dauerhafte Operationalisierung.

Übungen machen aus Plänen belastbare Fähigkeiten

Ob eine Organisation tatsächlich vorbereitet ist, zeigt sich nicht bei der Freigabe eines Konzepts, sondern in der Übung. Wiederherstellungspläne müssen gegen realistische Szenarien geprüft werden: kompromittierte Administrationskonten, nicht verfügbare Cloud-Dienste, zerstörte Datenbestände, Ausfall eines zentralen Lieferanten oder gleichzeitige Störungen mehrerer Standorte.

Übungen sollten abgestuft geplant werden. Eine Dokumentenprüfung prüft Vollständigkeit und Aktualität. Tabletop-Übungen testen Rollen, Eskalationen und Entscheidungen. Technische Recovery-Tests belegen, ob Systeme und Daten innerhalb der vereinbarten Ziele wiederhergestellt werden können. Krisenstabsübungen verbinden schließlich Lagebewertung, Kommunikation und Führungsfähigkeit unter Zeitdruck.

Dabei darf ein Test auch Schwächen sichtbar machen. Ein unrealistisch erfolgreicher Probelauf liefert keine Sicherheit. Wertvoll sind konkrete Erkenntnisse: fehlende Zugriffe auf Sicherungen, ungeklärte Dienstleisterkontakte, widersprüchliche Wiederanlaufreihenfolgen oder nicht verfügbare Schlüsselpersonen. Diese Erkenntnisse müssen priorisiert, mit Verantwortlichen versehen und bis zur Wirksamkeitsprüfung nachverfolgt werden.

Lieferketten und externe IT-Services einbeziehen

Viele NIS-2-relevante Risiken liegen außerhalb der eigenen Organisation. SaaS-Anbieter, Rechenzentren, Telekommunikationspartner, Managed Security Services, Logistikdienstleister und spezialisierte Zulieferer können kritische Abhängigkeiten darstellen. BCM muss daher vertragliche Zusagen, Notfallkontakte, Informationspflichten, Wiederherstellungsoptionen und Exit-Szenarien berücksichtigen.

Es ist nicht immer wirtschaftlich, für jeden Dienstleister eine vollständige Ausweichlösung vorzuhalten. Dann braucht es eine bewusste Risikogentscheidung: Welche Ausfälle werden akzeptiert, welche manuellen Alternativen sind möglich, und ab wann wird ein alternativer Lieferant aktiviert? Diese Entscheidungen sollten dokumentiert, regelmäßig überprüft und an Veränderungen der Lieferkette angepasst werden.

NIS-2 wird dann beherrschbar, wenn BCM nicht als jährliche Dokumentationspflicht behandelt wird, sondern als Führungs- und Betriebsaufgabe. Wer kritische Prozesse kennt, Wiederanlauf realistisch plant, Krisenstrukturen trainiert und Erkenntnisse konsequent nachhält, schützt nicht nur die Compliance. Er sichert die Fähigkeit des Unternehmens, auch unter erheblichem Druck verlässlich zu handeln.