Notfallplanung, Backup und Wiederherstellung nach § 30 BSIG

NIS2 Business Continuity Management: Notfallplanung, Backup und Wiederherstellung

§ 30 BSIG verlangt die Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, sowie Krisenmanagement.

  • 01Business-Impact-Analyse mit festgelegten Wiederanlaufzeiten (RTO, RPO)
  • 02Notfallpläne, die getestet und den Beschäftigten bekannt sind
  • 03Backup-Konzept mit nachgewiesener Wiederherstellbarkeit
  • 04Prüffähige Dokumentation für Nachweise gegenüber dem BSI
Leistungen ansehen
11+Jahre Erfahrung
120+Mitarbeitende
540+Projekte
ISO 27001zertifiziert

Business Continuity Management nach NIS2 und § 30 BSIG

Das BSIG spricht nicht wörtlich von Business Continuity Management, verlangt aber dessen Kern: Aufrechterhaltung des Betriebs, Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement (§ 30 Abs. 2 Nr. 3). Dazu kommen gesicherte Notfallkommunikationssysteme nach Nr. 10. Das BSI empfiehlt deshalb ein Business Continuity Management System, etwa nach BSI-Standard 200-4.

Für Cloud-, Rechenzentrums-, Managed-Service- und weitere digitale Anbieter konkretisiert die Durchführungsverordnung (EU) 2024/2690 die Anforderungen in Abschnitt 4: Notfallplan, Backup- und Redundanzmanagement sowie Krisenmanagement.

Wir beginnen mit der Business-Impact-Analyse Ihrer zeitkritischen Prozesse, leiten daraus Wiederanlaufzeiten und Strategien ab und erstellen Notfall-, Wiederanlauf- und Backup-Konzepte inklusive Redundanzen und Abhängigkeiten von Dienstleistern. Anschließend testen wir die Pläne in Übungen und verankern Verantwortung und Berichtswege bei der Geschäftsleitung.

Das Krisenmanagement beschreibt unsere Leistung NIS2 Krisenmanagement, die Behandlung einzelner Sicherheitsvorfälle die Leistung NIS2 Incident Response.

2 Leistungsbausteine

Leistungsumfang

01

Business-Impact-Analyse nach NIS2

Systematische Analyse Ihrer kritischen Geschäftsprozesse und deren Abhängigkeiten im Kontext der NIS2-Anforderungen.

  • Identifikation kritischer Geschäftsprozesse nach NIS2-Kriterien
  • Bewertung von Abhängigkeiten und Single Points of Failure
  • Festlegung von Wiederanlaufzeit (RTO) und maximal tolerierbarem Datenverlust (RPO)
  • Priorisierung von Wiederherstellungsmaßnahmen
02

BCM-Strategie, Notfallpläne und Governance

Wir entwickeln Ihre Business-Continuity-Strategie, erstellen Notfall- und Wiederanlaufpläne mit Backup- und Redundanzkonzept und verankern Rollen und Berichtswege bis zur Geschäftsleitung.

  • BCM-Leitlinie und Strategien nach NIS2
  • Notfall- und Wiederanlaufpläne mit Backup- und Redundanzkonzept
  • Definition von Rollen und Verantwortlichkeiten
  • Einbindung in bestehende Managementsysteme wie ISO 27001 oder ISO 22301

5 Phasen

Unser Vorgehen im NIS2 BCM

Wir entwickeln ein systematisches Business Continuity Management, das vollständig auf die spezifischen Anforderungen der NIS2-Richtlinie abgestimmt ist.

  1. Bestandsaufnahme der BCM-Reife und NIS2-Gap-Analyse

  2. Identifikation kritischer Geschäftsprozesse und Abhängigkeiten

  3. Entwicklung NIS2-konformer BCM-Strategien und -Richtlinien

  4. Notfallpläne umsetzen und in Übungen testen

  5. Etablierung kontinuierlicher Überwachung und Verbesserung

Sarah Richter

Ansprechpartner

Sarah Richter

Head of Informationssicherheit, Cyber Security

10+ Jahre Erfahrung, CISA, CISM, Lead Auditor, DORA, NIS2, BCM, Cyber- und Informationssicherheit

+49 69 913 113-01 info@advisori.de LinkedIn

Unsere Expertise im NIS2 BCM

  • 01Tiefgreifende Kenntnis der NIS2-Richtlinie und ihrer nationalen Umsetzung
  • 02Langjährige Erfahrung im Business Continuity Management für kritische Infrastrukturen und den Mittelstand
  • 03Praxiserprobte Methodiken und bewährte internationale BCM-Standards
  • 04Ganzheitliche Betrachtung von Cyber-Sicherheit und Business Continuity

Pflicht für besonders wichtige und wichtige Einrichtungen

Die Aufrechterhaltung des Betriebs gehört zu den zehn Mindestmaßnahmen aus § 30 BSIG. Einrichtungen müssen ihre Umsetzung dokumentieren und auf Anforderung gegenüber dem BSI nachweisen.

Weiterführend

6 FRAGEN, KURZ BEANTWORTET

Häufig gestellte Fragen zu NIS2 Business Continuity Management

Was fordert NIS2 für Business Continuity?

§ 30 Abs. 2 Nr. 3 BSIG (Art. 21 Abs. 2 lit. c NIS2) verpflichtet besonders wichtige und wichtige Einrichtungen zur Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und zu Krisenmanagement. Feste Werte für Wiederanlaufzeiten nennt das Gesetz nicht; sie ergeben sich aus Ihrer Business-Impact-Analyse. Die Umsetzung ist zu dokumentieren und muss wirksam sein. Das BSI empfiehlt den BSI-Standard 200‑4 als Umsetzungsrahmen.

Was muss ein NIS2-konformes BCM-Programm enthalten?

Ein BCM, das die NIS2-Pflicht erfüllt, umfasst typischerweise: Business-Impact-Analyse der zeitkritischen Prozesse, Business-Continuity-Pläne mit Wiederanlaufzeiten, Wiederherstellungspläne für IT-Systeme, ein Backup-Konzept (etwa nach der 3‑2-1-Regel), Redundanzen für kritische Versorgung, Krisenmanagement mit festgelegten Rollen, gesicherte Notfallkommunikation und regelmäßige Tests. Die Pläne müssen den Beschäftigten bekannt, erreichbar und aktuell sein.

Wie oft müssen BCM-Pläne nach NIS2 getestet werden?

Weder NIS2 noch das BSIG schreiben eine feste Testfrequenz vor. Für Cloud-, Rechenzentrums- und weitere digitale Anbieter verlangt die Durchführungsverordnung (EU) 2024/2690, Notfallpläne in geplanten Abständen sowie nach erheblichen Vorfällen oder wesentlichen Änderungen zu testen. In der Praxis bewähren sich jährliche Planspiele und in größeren Abständen umfassende Übungen. Testergebnisse und Verbesserungen sind zu dokumentieren.

Wie unterscheidet sich NIS2 BCM von ISO 22301?

ISO 22301 ist die internationale Norm für Business-Continuity-Managementsysteme und zertifizierbar. Sie geht in der Systematik über die NIS2-Pflicht hinaus. Wer nach ISO 22301 zertifiziert ist, erfüllt die BCM-Anforderungen aus § 30 Abs. 2 Nr. 3 BSIG weitgehend, muss aber Krisenmanagement, Backup-Konzept und Dokumentation gegen das BSIG abgleichen. Umgekehrt reicht NIS2-Compliance nicht für eine ISO‑22301-Zertifizierung. Der BSI-Standard 200‑4 ist die deutsche Umsetzungshilfe und lässt sich auf ISO 22301 abbilden.

Gilt NIS2 BCM auch für Finanzunternehmen unter DORA?

Nein, nicht direkt. Für Finanzunternehmen im Sinne der DORA-Verordnung (EU) 2022/2554 gelten die §§ 30, 31 und 32 BSIG nicht (§ 28 Abs. 6 BSIG). Ihre Pflichten zu Business Continuity, Backup und Wiederherstellung ergeben sich aus DORA, etwa den Vorgaben zu IKT-Geschäftsfortführung und zu Tests der digitalen operationalen Resilienz einschließlich bedrohungsorientierter Penetrationstests (TLPT) für ausgewählte Unternehmen. Gruppen mit Finanz- und Nichtfinanzgesellschaften brauchen deshalb eine saubere Abgrenzung, welche Einheit welchem Regime unterliegt.

Welche Backup-Anforderungen stellt NIS2?

Das BSIG nennt Backup-Management ausdrücklich als Teil der Aufrechterhaltung des Betriebs (§ 30 Abs. 2 Nr. 3), schreibt aber keine Technik vor. Bewährt haben sich: die 3‑2-1-Regel (drei Kopien, zwei Medien, eine Kopie außer Haus), unveränderliche oder vom Netz getrennte Sicherungen gegen Ransomware, festgelegte RPO und RTO und regelmäßige Wiederherstellungstests mit dokumentiertem Ergebnis. Entscheidend für den Nachweis ist die geprüfte Wiederherstellbarkeit, nicht die bloße Existenz von Backups.