Welche Notfallpläne fordert NIS-2 konkret?

Ein Ausfall des zentralen ERP-Systems, ein Ransomware-Angriff oder der Wegfall eines wichtigen Dienstleisters: Im Ernstfall entscheidet nicht die Existenz eines PDF-Dokuments, sondern ob Verantwortliche priorisiert handeln und kritische Leistungen kontrolliert wiederherstellen können. Auf die Frage „Welche Notfallpläne fordert NIS-2?“ gibt es daher keine Liste starrer Musterdokumente. Die Richtlinie fordert vielmehr wirksame Maßnahmen für Business Continuity, Backups, Disaster Recovery und Krisenmanagement. Organisationen müssen diese Anforderungen in eine belastbare, geübte und nachvollziehbar gepflegte Notfallvorsorge übersetzen.

Was NIS-2 tatsächlich verlangt

NIS-2 ist keine reine IT-Sicherheitsvorgabe. Sie verknüpft Cybersicherheit mit der Fähigkeit, wesentliche oder wichtige Einrichtungen auch nach einem Sicherheitsvorfall handlungsfähig zu halten. Artikel 21 der Richtlinie nennt ausdrücklich Maßnahmen zur Aufrechterhaltung des Betriebs, etwa Backup-Management, Wiederherstellung nach Notfällen und Krisenmanagement.

Die Richtlinie schreibt dabei weder eine konkrete Gliederung noch bestimmte Dateinamen für Notfallpläne vor. Sie verlangt einen angemessenen Umgang mit Risiken. Was angemessen ist, hängt unter anderem von Größe, Gefährdungslage, Kritikalität der Services, Abhängigkeiten und möglichen Auswirkungen eines Ausfalls ab. Ein Energieversorger, ein Krankenhaus, ein Managed-Service-Provider und ein produzierendes Unternehmen werden daher unterschiedliche Schwerpunkte setzen müssen.

Entscheidend ist der Nachweis, dass Notfallvorsorge nicht isoliert neben dem Informationssicherheitsmanagement steht. Sie muss an Geschäftsprozesse, IT-Services, Lieferantenbeziehungen und Entscheidungswege angebunden sein. Die nationale Umsetzung schafft den rechtlichen Rahmen in Deutschland. Für die praktische Umsetzung bleibt jedoch die Kernaussage der NIS-2-Richtlinie maßgeblich: Sicherheitsrisiken sind so zu steuern, dass schwerwiegende Störungen bewältigt und Auswirkungen begrenzt werden.

Welche Notfallpläne fordert NIS-2 in der Praxis?

Ein einzelner „NIS-2-Notfallplan“ genügt nicht. Erforderlich ist ein abgestimmtes System aus Plänen, Verfahren und Ressourcen. Je nach Organisation umfasst dieses System mindestens die folgenden Bausteine:

• Business-Continuity-Pläne sichern zeitkritische Geschäftsprozesse und definieren, wie Leistungen bei Ausfällen mit Ausweichverfahren, Ersatzressourcen oder Priorisierung fortgeführt werden.
• IT-Notfall- und Disaster-Recovery-Pläne beschreiben die Wiederherstellung kritischer IT-Services, Anwendungen, Datenbanken, Infrastrukturen und Kommunikationsverbindungen.
• Krisenmanagementpläne regeln Alarmierung, Eskalation, Rollen, Entscheidungsbefugnisse, Lagebild, interne Kommunikation und externe Abstimmung.
• Backup- und Wiederherstellungsverfahren legen fest, welche Daten gesichert werden, wie Sicherungen geschützt und getestet werden und innerhalb welcher Zeit Daten und Systeme wieder verfügbar sein müssen.
• Kommunikations- und Meldeverfahren unterstützen die koordinierte Information von Beschäftigten, Kunden, Partnern, Behörden und gegebenenfalls Aufsichtsstellen.

Nicht jede Organisation benötigt für jeden Service ein umfangreiches separates Dokument. Zu viele Einzeldokumente können die Pflege erschweren und im Krisenfall Orientierung kosten. Sinnvoller ist eine klare Planarchitektur: zentrale Krisenführungsdokumente, prozessbezogene BCM-Pläne und technisch detaillierte ITSCM-Runbooks greifen ineinander. Die Detailtiefe richtet sich nach der Rolle des jeweiligen Services für die Leistungserbringung.

BCM: Kritische Geschäftsprozesse priorisieren

Business Continuity Management beginnt nicht mit einem Notfallhandbuch, sondern mit der Frage, welche Prozesse unter welchen Bedingungen ausfallen dürfen. Eine Business Impact Analyse identifiziert zeitkritische Prozesse, Abhängigkeiten, maximale Ausfallzeiten und notwendige Ressourcen. Daraus entstehen nachvollziehbare Wiederanlaufprioritäten.

Ein BCM-Plan sollte deshalb nicht nur allgemeine Verhaltenshinweise enthalten. Er muss konkret zeigen, welche Mindestleistung in den ersten Stunden und Tagen erreicht werden soll, wer Entscheidungen trifft und welche manuellen oder alternativen Verfahren verfügbar sind. Bei einem Ausfall des Warenwirtschaftssystems kann das beispielsweise bedeuten, priorisierte Aufträge zunächst über definierte Ersatzlisten abzuwickeln. Ob ein solcher Workaround tragfähig ist, muss vor dem Ereignis bewertet und geübt werden.

NIS-2 verlangt keine feste Recovery Time Objective für alle Unternehmen. Dennoch müssen Zielzeiten und Wiederherstellungsreihenfolgen aus der Risiko- und Auswirkungsbewertung ableitbar sein. Wer im Vorfeld nicht bestimmt hat, welche Prozesse zuerst wieder anlaufen müssen, kann diese Priorisierung im Krisenmodus kaum belastbar treffen.

ITSCM: Wiederherstellung technisch beherrschen

IT Service Continuity Management übersetzt geschäftliche Anforderungen in technische Wiederanlaufkonzepte. Dabei geht es nicht allein um die Verfügbarkeit von Servern. Kritische IT-Services bestehen aus Anwendungen, Daten, Identitäten, Netzwerken, Schnittstellen, Cloud-Diensten, Betriebswissen und externen Leistungen.

Ein IT-Notfallplan sollte daher eindeutige Auslösekriterien, technische Verantwortlichkeiten, Eskalationswege und Wiederherstellungsschritte enthalten. Er muss beantworten, welche Abhängigkeiten vor der Zielanwendung wiederhergestellt werden müssen und wie die technische Funktionsfähigkeit geprüft wird. Besonders bei Cyberangriffen reicht es nicht, Systeme möglichst schnell wieder einzuschalten. Vor dem Wiederanlauf muss geklärt werden, ob die Ursache beseitigt, privilegierte Zugänge kontrolliert und Wiederherstellungsdaten vertrauenswürdig sind.

Backups sind hierbei ein zentraler, aber kein ausreichender Baustein. Erforderlich sind dokumentierte Sicherungsintervalle, Schutz vor Manipulation und Verschlüsselung, getrennte Aufbewahrung sowie regelmäßig getestete Restore-Verfahren. Ein Backup, dessen Wiederherstellungsdauer unbekannt ist oder das nicht die nötigen Abhängigkeiten berücksichtigt, erfüllt seine Funktion im Notfall nur eingeschränkt.

Krisenmanagement: Entscheiden und kommunizieren

Bei einem erheblichen Sicherheitsvorfall laufen technische Abwehr, Betriebsfortführung, Kommunikation und regulatorische Pflichten parallel. Ein Krisenmanagementplan schafft dafür eine verbindliche Führungsstruktur. Er definiert Krisenstabsrollen, Vertretungen, Einberufung, Entscheidungsrechte und die Erstellung eines gemeinsamen Lagebilds.

Von hoher Bedeutung ist die Trennung und Verbindung der Ebenen: Das technische Incident Response Team analysiert und begrenzt den Vorfall. ITSCM koordiniert Wiederherstellungsmaßnahmen. Der Krisenstab bewertet geschäftliche Folgen, priorisiert Ressourcen und entscheidet über Kommunikation. Diese Rollen können in kleineren Organisationen teilweise durch dieselben Personen wahrgenommen werden. Ihre Aufgaben und Vertretungen müssen dennoch klar sein.

Auch die Meldeprozesse nach NIS-2 gehören in dieses Zusammenspiel. Für erhebliche Sicherheitsvorfälle gelten gestufte Meldungen innerhalb enger Fristen. Dafür benötigen Organisationen belastbare Kriterien zur Bewertung eines Vorfalls, vorab festgelegte Ansprechpartner und eine Dokumentation, die technische Fakten, Auswirkungen und getroffene Maßnahmen zusammenführt. Ein Krisenstab kann nur dann verlässlich kommunizieren, wenn Informationen aus IT, Fachbereichen, Recht und Compliance strukturiert zusammenlaufen.

Lieferketten und externe Services einplanen

Viele kritische Prozesse hängen von Cloud-Plattformen, Rechenzentren, Telekommunikation, Softwareherstellern oder spezialisierten Lieferanten ab. NIS-2 berücksichtigt ausdrücklich Risiken in der Lieferkette. Notfallplanung muss daher prüfen, welche externen Leistungen unverzichtbar sind und welche Ausweichmöglichkeiten tatsächlich bestehen.

Eine Vertragsklausel zur Verfügbarkeit ersetzt keinen Notfallplan. Organisationen sollten Leistungszusagen, Eskalationskontakte, Informationspflichten, Datenzugriff, Exit-Szenarien und Wiederanlaufverantwortlichkeiten kennen. Bei besonders kritischen Dienstleistern kann eine gemeinsame Übung mehr Erkenntnisse liefern als eine jährliche Selbstauskunft. Gleichzeitig ist Verhältnismäßigkeit gefragt: Nicht jeder Lieferant benötigt dieselbe Prüfungstiefe. Maßgeblich sind Kritikalität, Austauschbarkeit und Konzentrationsrisiko.

Dokumentation allein schafft keine Resilienz

NIS-2-konforme Notfallvorsorge ist ein kontinuierlicher Managementprozess. Pläne verlieren an Wert, wenn sich Anwendungen, Ansprechpartner, Dienstleister oder Organisationsstrukturen ändern. Daher gehören feste Pflegezyklen, Freigaben, Änderungsprozesse und Übungen zur Anforderungserfüllung.

Übungen sollten mehr leisten als das bloße Durchsprechen eines Dokuments. Tabletop-Übungen testen Entscheidungswege und Kommunikation. Technische Wiederherstellungstests prüfen, ob Backup, Infrastruktur und Betriebsverfahren die erwarteten Wiederanlaufziele erfüllen. Kombinierte Krisenstabsübungen machen sichtbar, ob Fachbereiche und IT unter Zeitdruck dieselbe Lage verstehen und abgestimmt handeln.

Die Ergebnisse müssen in Verbesserungsmaßnahmen überführt werden. Ein fehlender Stellvertreter, eine nicht erreichbare Rufnummer oder eine unklare Entscheidungskompetenz sind keine Nebensächlichkeiten. Sie sind konkrete Risiken für die Wiederherstellungsfähigkeit. Softwaregestützte Lösungen wie [alive-IT] können helfen, Abhängigkeiten, Pläne, Aufgaben, Kontaktinformationen und Testnachweise konsistent zu konsolidieren und dauerhaft zu pflegen.

Der sinnvollste erste Schritt ist nicht, möglichst schnell ein Musterdokument zu übernehmen. Beginnen Sie mit den kritischen Geschäftsprozessen und IT-Services, klären Sie realistische Ausfallfolgen und prüfen Sie anschließend, ob Ihre bestehenden Pläne im Zusammenspiel funktionieren. Eine Notfallplanung, die Verantwortliche im Ernstfall sicher anwenden können, ist der belastbarste Nachweis gelebter Resilienz.