KRITIS Notfallkonzepte & Ressourcenplanung

Ein KRITIS-Notfallkonzept nach BSI-Standard 200–4 umfasst mehrere Kernbestandteile: eine Business-Impact-Analyse (BIA) zur Identifikation kritischer Geschäftsprozesse, eine Risikoanalyse der relevanten Bedrohungsszenarien, dokumentierte Wiederanlaufpläne mit definierten Recovery Time Objectives (RTO) und Recovery Point Objectives (RPO), Krisenkommunikationspläne für interne und externe Stakeholder sowie ein Übungsprogramm mit regelmäßigen Tests. Der BSI-Standard 200–4 sieht dabei ein dreistufiges Modell vor: Reaktiv-BCMS, Aufbau-BCMS und Standard-BCMS, sodass Organisationen schrittweise ein vollständiges Business Continuity Management aufbauen können.

Das KRITIS-Dachgesetz sieht folgende Zeitvorgaben vor: Die Registrierung als kritische Anlage muss bis Juli

2026 erfolgen. Anschließend haben Betreiber etwa

9 Monate für die Durchführung einer vollständigen Risikoanalyse und weitere

10 Monate für die Umsetzung der daraus abgeleiteten Maßnahmen, einschließlich der Notfallkonzepte. Die Resilienzpläne müssen regelmäßig aktualisiert und bei wesentlichen Änderungen der Bedrohungslage überarbeitet werden. ADVISORI empfiehlt, frühzeitig mit dem Aufbau zu beginnen, da die Erstellung belastbarer Notfallkonzepte erfahrungsgemäß

6 bis

12 Monate in Anspruch nimmt.

Die Ressourcenplanung im Business Continuity Management geht über die reine Budgetplanung hinaus: Sie erfasst systematisch alle Ressourcen, die für die Aufrechterhaltung kritischer Dienstleistungen im Notfall benötigt werden. Das umfasst Personal mit Schlüsselkompetenzen und deren Vertretungsregelungen, technische Ausweichkapazitäten und Redundanzen, Kommunikationsinfrastruktur für den Krisenstab, Verträge mit Notfalldienstleistern und Lieferanten sowie Lagerbestände kritischer Ersatzteile. Die Herausforderung liegt darin, die richtige Balance zwischen Vorhaltekosten und Wiederherstellungsgeschwindigkeit zu finden. ADVISORI nutzt datengestützte Modelle, um diese Abwägung für jeden KRITIS-Sektor individuell zu optimieren.

Die NIS2-Richtlinie erweitert die Anforderungen an das Notfallmanagement für KRITIS-Betreiber erheblich. Sie fordert unter anderem Maßnahmen zur Bewältigung von Sicherheitsvorfällen (Incident Handling), Business-Continuity-Management einschließlich Backup-Management und Disaster Recovery sowie Krisenmanagement-Verfahren. Zudem verschärft NIS 2 die Meldepflichten: Erhebliche Sicherheitsvorfälle müssen innerhalb von

24 Stunden als Frühwarnung und innerhalb von

72 Stunden mit einer vollständigen Meldung an das BSI gemeldet werden. ADVISORI integriert die NIS2-Anforderungen nahtlos in bestehende Notfallkonzepte und stellt sicher, dass beide Regelwerke parallel erfüllt werden.

Der BSI-Standard 200–4 und das KRITIS-Dachgesetz verlangen regelmäßige Überprüfungen und Übungen. In der Praxis bedeutet das: mindestens jährliche Notfallübungen mit verschiedenen Szenarien (Tabletop-Übungen, funktionale Tests und Vollübungen im Wechsel), eine anlassbezogene Überarbeitung bei organisatorischen Veränderungen, neuen Bedrohungen oder nach tatsächlichen Vorfällen sowie eine formale Überprüfung der gesamten Notfalldokumentation mindestens alle zwei Jahre. ADVISORI begleitet die Konzeption und Durchführung von Übungen und unterstützt bei der systematischen Auswertung, damit erkannte Schwachstellen direkt in verbesserte Notfallkonzepte einfließen.