Ein Notfallkonzept hat zwei Teile. Das Notfallvorsorgekonzept beschreibt, wie Sie Notfälle verhindern und sich vorbereiten. Das Notfallhandbuch regelt, wer im Notfall was tut: Alarmierung, Krisenstab, Sofortmaßnahmen, Wiederanlauf, Rückkehr in den Normalbetrieb. Beide bauen auf der Business-Impact-Analyse (BIA) auf. Sie zeigt, welche Prozesse wie schnell wieder laufen müssen. Ohne Übung gilt das Konzept nicht als nachgewiesen.
Welche Regelwerke es verlangen
Welches Regelwerk für Sie gilt, hängt von Ihrem Unternehmen und Ihren Kunden ab. Die Tabelle zeigt die häufigsten.
| Regelwerk | Anforderung | Was der Prüfer sehen will |
|---|---|---|
| BSI-Standard 200-4 | Business Continuity Management System (BCMS) in drei Stufen | BIA, Notfallvorsorgekonzept, Notfallhandbuch, Übungen |
| ISO 22301:2019 | Managementsystem für Business Continuity, zertifizierbar | Kontext, BIA, Risikoanalyse, Strategien, Pläne, Übungen, Bewertung |
| ISO/IEC 27001:2022 Anhang A 5.29, 5.30 | Informationssicherheit bei Störungen, IKT-Bereitschaft für Business Continuity | Getestete Pläne für den Ausfall der IT |
| § 30 Abs. 2 Nr. 3 BSIG, für Einrichtungen unter dem BSI-Gesetz | Aufrechterhaltung des Betriebs, Backup-Management, Wiederherstellung, Krisenmanagement | Bei Betreibern kritischer Anlagen: Bewertung des BCMS nach Reife- und Umsetzungsgrad (RUN) im KRITIS-Nachweis |
| DORA Art. 11, für Finanzunternehmen | IKT-Geschäftsfortführungsleitlinie mit Plänen für kritische oder wichtige Funktionen | Pläne, Tests, Kommunikation, Krisenmanagement |
Ein BCMS ist ein geregeltes Notfallmanagement mit Zuständigkeiten, Plänen und Übungen. Der BSI-Standard 200-4 ist nicht zertifizierbar, ISO 22301 schon. Brauchen Sie beides, bauen Sie nach 200-4 auf und lassen nach 22301 zertifizieren. Die Methoden passen zusammen.
Der Aufbau
Teil 1: Notfallvorsorgekonzept. Geltungsbereich und Ziele. Rollen: BCM-Beauftragter, Krisenstab, Notfallteams. Ergebnisse der BIA und der Risikoanalyse. Für jeden kritischen Prozess eine Strategie, wie er weiterläuft, etwa Ausweichstandort, manueller Notbetrieb oder zweiter Dienstleister. Vorsorgemaßnahmen und ihr Umsetzungsstand.
Teil 2: Notfallhandbuch. Alarmierung und Eskalation mit Erreichbarkeiten. Kriterien, wann ein Notfall vorliegt und wer ihn ausruft. Krisenstabsordnung: Zusammensetzung, Ort, Ablauf der ersten Sitzung, Protokoll. Sofortmaßnahmen je Szenario. Wiederanlaufpläne je kritischem Prozess und je IT-System, in der Reihenfolge aus der BIA. Kommunikationsplan nach innen, zu Kunden und zu Behörden. Rückkehr in den Normalbetrieb und Nachbereitung.
Teil 3: Übungs- und Testkonzept. Welche Übung wann mit wem stattfindet, von der Planbesprechung über das Planspiel bis zur Vollübung. Zu jeder Übung ein Protokoll und die Maßnahmen daraus.
Der Mindestinhalt, wenn die Zeit knapp ist
Steht ein Kundenaudit oder ein ISO-Audit in drei Monaten an, reicht für den Anfang meist ein Aufbau-BCMS nach 200-4. Betreiber kritischer Anlagen messen sich am Standard-BCMS. Mindestens brauchen Sie:
- Eine BIA für die zehn bis zwanzig wichtigsten Prozesse, mit maximal tolerierbarer Ausfallzeit und Wiederanlaufzeit.
- Einen Alarmierungsplan mit Erreichbarkeiten und Vertretung.
- Einen benannten Krisenstab mit Stellvertretern und einem Protokollmuster.
- Wiederanlaufpläne für die IT-Systeme der kritischen Prozesse, mit Backup und Wiederherstellungstest.
- Eine durchgeführte Übung mit Protokoll, mindestens ein Planspiel.
Der Rest kommt im Jahr danach. Ein Prüfer akzeptiert einen Plan mit Terminen. Er akzeptiert kein Konzept ohne BIA und ohne Übung.
Was Prüfer regelmäßig beanstanden
- Das Notfallhandbuch liegt nur auf dem Netzlaufwerk, das im Notfall nicht erreichbar ist.
- Die Erreichbarkeiten sind zwei Jahre alt.
- Die Wiederanlaufpläne haben keine Reihenfolge und kein Zeitziel.
- Dienstleister sind in den Wiederanlauf nicht eingebunden. Im Vertrag fehlt eine Zusage zur Wiederanlaufzeit.
- Die Übung war eine Präsentation, kein Durchspielen.