Krisenfähigkeit für besonders wichtige und wichtige Einrichtungen

NIS2 Krisenmanagement: Krisenplan aufbauen und üben

§ 30 BSIG verlangt neben Backup und Wiederherstellung ausdrücklich ein Krisenmanagement.

  • 01Krisenplan mit Auslösern, Eskalationsstufen und Entscheidungsbefugnissen
  • 02Krisenstab mit klaren Rollen und Stellvertretungen
  • 03Krisenkommunikation, die BSI-Meldefristen sicher einhält
  • 04Geübte Abläufe durch Planspiele und Krisenübungen
Leistungen ansehen
11+Jahre Erfahrung
120+Mitarbeitende
540+Projekte
ISO 27001zertifiziert

NIS2 Krisenmanagement: was § 30 BSIG verlangt

Krisenmanagement gehört nach § 30 Abs. 2 Nr. 3 BSIG (Art. 21 Abs. 2 lit. c NIS2) zur Aufrechterhaltung des Betriebs. Es beginnt dort, wo normale Notfallpläne nicht mehr reichen: Ein Krisenstab übernimmt die Führung, entscheidet unter Unsicherheit und steuert die Kommunikation nach innen, zu Kunden und zu Behörden. Für Cloud-, Rechenzentrums- und weitere digitale Anbieter konkretisiert die Durchführungsverordnung (EU) 2024/2690 in Nr. 4.3, was dazugehört: Rollen und Verantwortlichkeiten auch von Dienstleistern, Kommunikationswege zu den Behörden einschließlich der Meldefristen, Maßnahmen zur Aufrechterhaltung der Sicherheit in der Krise und Tests des Krisenplans in geplanten Abständen.

Wir entwickeln Ihr Krisenmanagement von der Alarmierung bis zur Nachbereitung: Krisenplan und Krisenhandbuch, Zusammensetzung und Arbeitsweise des Krisenstabs, Erreichbarkeit rund um die Uhr, Vorlagen für Krisenkommunikation und Behördenmeldungen sowie Übungen mit Geschäftsleitung und Krisenstab. Grundlage sind BSI-Standard 200-4 und ISO 22361. Die Wiederherstellung des Betriebs beschreibt unsere Leistung NIS2 Business Continuity Management, die technische Vorfallsbewältigung die Leistung NIS2 Incident Response.

2 Leistungsbausteine

Leistungsumfang

01

Krisenreaktion und Krisenkommunikation

Wir legen Auslöser, Eskalationsstufen und Alarmierungswege fest, besetzen den Krisenstab und bereiten Kommunikationsvorlagen für Beschäftigte, Kunden, Medien und Behörden vor, einschließlich der Meldungen an das BSI binnen 24 und 72 Stunden.

  • Krisenplan mit Auslösern und Eskalationsstufen
  • Alarmierung und Erreichbarkeit rund um die Uhr
  • Vorlagen und Abläufe für Krisenkommunikation
  • Vorbereitete Meldungen an das BSI und weitere Behörden
02

Fortführung und Wiederanlauf in der Krise

Wir stimmen das Krisenmanagement mit Ihrer Business-Impact-Analyse und Ihren Notfallplänen ab, damit der Krisenstab weiß, welche Prozesse zuerst wieder laufen müssen und welche Ausweichlösungen bereitstehen.

  • Abgleich mit Business-Impact-Analyse und Wiederanlaufstrategien
  • Ausweich- und Notbetrieb
  • Ausfall von Lieferanten und Dienstleistern als Krisenszenario
  • Wiederanlauftests und Nachweis

5 Phasen

Unser Vorgehen im Krisenmanagement

Wir bauen Ihr Krisenmanagement in fünf Schritten auf und verbinden es mit Notfallmanagement und Incident Response, damit im Ernstfall keine Lücke zwischen Technik und Führung entsteht.

  1. Risiken bewerten und Krisenszenarien festlegen

  2. Krisenplan und Krisenhandbuch entwickeln

  3. Krisenstab besetzen und schulen

  4. Planspiele und Krisenübungen durchführen

  5. Auswerten, Erkenntnisse umsetzen und den Plan aktualisieren

Sarah Richter

Ansprechpartner

Sarah Richter

Head of Informationssicherheit, Cyber Security

10+ Jahre Erfahrung, CISA, CISM, Lead Auditor, DORA, NIS2, BCM, Cyber- und Informationssicherheit

+49 69 913 113-01 info@advisori.de LinkedIn

Unsere Expertise im Krisenmanagement

  • 01Spezialisierte NIS2-Kenntnisse und sektorspezifische Erfahrung
  • 02Erprobte Krisenpläne aus kritischen Infrastrukturen
  • 03Verbindung von IT-Sicherheit und physischer Sicherheit
  • 04Krisenmanagement aus einer Hand, von der Vorsorge bis zum Wiederanlauf

Bußgeldrisiko bei fehlendem Krisenmanagement

Fehlt das geforderte Krisenmanagement, drohen nach § 65 BSIG Geldbußen bis zu 10 Mio. Euro für besonders wichtige und bis zu 7 Mio. Euro für wichtige Einrichtungen, bei mehr als 500 Mio. Euro Gesamtumsatz bis zu 2 % beziehungsweise 1,4 % des Gesamtumsatzes. Schwerer wiegt meist der Schaden einer schlecht geführten Krise.

Weiterführend

6 FRAGEN, KURZ BEANTWORTET

Häufig gestellte Fragen zu NIS2 Krisenmanagement

Was ist NIS2 Krisenmanagement und was wird gefordert?

§ 30 Abs. 2 Nr. 3 BSIG (Art. 21 Abs. 2 lit. c NIS2) verlangt Krisenmanagement als Teil der Aufrechterhaltung des Betriebs. Einrichtungen brauchen strukturierte Verfahren zur Bewältigung von Krisen: einen Krisenplan mit Auslösern und Eskalationsstufen, einen benannten Krisenstab mit klaren Rollen, Kommunikationswege nach innen und außen einschließlich der Meldewege an das BSI sowie Sofortmaßnahmen zur Schadensbegrenzung und Schritte zum Wiederanlauf.

Was muss ein NIS2-konformer Krisenplan enthalten?

Ein NIS2-konformer Krisenplan enthält: Eskalationskriterien (wann wird Krisenplan aktiviert?), Krisenteam-Zusammensetzung mit Stellvertretungen, Kommunikationskonzept intern und extern, Entscheidungskompetenzen im Krisenfall, kurzfristige Sofortmaßnahmen zur Schadensbegrenzung, mittel- und langfristige Wiederherstellungsschritte sowie Schnittstellen zu BCM und Incident-Response-Prozessen. Der Plan muss erreichbar, aktuell und getestet sein.

Wie unterscheidet sich NIS2-Krisenmanagement von BCM?

Business Continuity Management und Krisenmanagement sind eng verzahnt, aber verschieden. BCM sorgt dafür, dass zeitkritische Prozesse nach einer Störung weiterlaufen oder schnell wieder anlaufen (Backup, Wiederanlaufpläne, RTO). Krisenmanagement übernimmt, wenn eine Lage die normalen Strukturen überfordert: Der Krisenstab führt, entscheidet und kommuniziert. Beide brauchen abgestimmte Auslöser und Schnittstellen.

Welche Krisenübungen verlangt NIS2?

Das BSIG nennt keine feste Übungsfrequenz. Für Cloud-, Rechenzentrums- und weitere digitale Anbieter verlangt die Durchführungsverordnung (EU) 2024/2690 (Nr. 4.3.4), den Krisenplan in geplanten Abständen sowie nach erheblichen Sicherheitsvorfällen oder wesentlichen Änderungen zu testen. Für alle anderen folgt die Testpflicht aus der Pflicht, die Wirksamkeit der Maßnahmen zu bewerten (§ 30 Abs. 2 Nr. 6 BSIG). Bewährt haben sich jährliche Planspiele mit dem Krisenstab und in größeren Abständen umfassende Übungen zu Szenarien wie Ransomware, Ausfall eines Dienstleisters oder DDoS-Angriff. Ergebnisse sind zu dokumentieren und in den Plan zu übernehmen.

Wie verhält sich NIS2-Krisenmanagement zu DORA?

Für Finanzunternehmen im Sinne der DORA-Verordnung (EU) 2022/2554 gelten die §§ 30 bis 32 BSIG nicht (§ 28 Abs. 6 BSIG). Ihr Krisenmanagement, die Krisenkommunikation und die Tests der digitalen operationalen Resilienz einschließlich bedrohungsorientierter Penetrationstests (TLPT) für ausgewählte Unternehmen richten sich nach DORA. Unternehmensgruppen mit Finanz- und Nichtfinanzgesellschaften sollten ein gemeinsames Krisenmanagement aufbauen, das beide Regime bedient.

Welche Kommunikationspflichten gelten im NIS2-Krisenfall?

Bei einem erheblichen Sicherheitsvorfall gilt die Meldepflicht nach § 32 BSIG: frühe Erstmeldung binnen 24 Stunden nach Kenntniserlangung, Meldung mit erster Bewertung binnen 72 Stunden, Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung. Hinzu kommen gegebenenfalls Meldungen nach DSGVO, interne Krisenkommunikation mit Beschäftigten und Geschäftsleitung sowie die Information von Kunden und Partnern. Das BSI kann zudem anordnen, die Empfänger Ihrer Dienste zu unterrichten. Der Krisenplan muss Wege und Zuständigkeiten für all das festlegen.