NIS2 Krisenmanagement: Krisenplan aufbauen und üben

NIS2 Art. 21 Abs. 2 lit. c fordert als Teil der Business-Continuity-Maßnahmen auch Krisenmanagement. Einrichtungen müssen strukturierte Verfahren zur Bewältigung von Cybersecurity-Krisen etablieren: Krisenplan mit definierten Auslösern und Eskalationsstufen, benanntes Krisenteam mit klaren Rollen, Kommunikationswege intern und extern sowie kurzfristige Schadensbegrenzungsmaßnahmen und Wiederherstellungsschritte.

Ein NIS2-konformer Krisenplan enthält: Eskalationskriterien (wann wird Krisenplan aktiviert?), Krisenteam-Zusammensetzung mit Stellvertretungen, Kommunikationskonzept intern und extern, Entscheidungskompetenzen im Krisenfall, kurzfristige Sofortmaßnahmen zur Schadensbegrenzung, mittel- und langfristige Wiederherstellungsschritte sowie Schnittstellen zu BCM und Incident-Response-Prozessen. Der Plan muss erreichbar, aktuell und getestet sein.

BCM und Krisenmanagement nach NIS2 sind eng verzahnt, aber unterschiedlich: BCM fokussiert auf die Aufrechterhaltung und Wiederherstellung des Betriebs nach Störungen (technische Perspektive: Backup, DRP, RTO). Krisenmanagement adressiert die Führung und Koordination in akuten Krisensituationen (Management-Perspektive: Entscheidungsstrukturen, Kommunikation, Stakeholder-Management). Beide Disziplinen müssen aufeinander abgestimmt sein.

NIS2 fordert regelmäßige Tests zur Sicherstellung wirksamer Krisenpläne. Best Practice: jährliche Tabletop-Übungen (Planspiele) mit dem Krisenteam, alle 2 bis 3 Jahre vollständige Krisensimulationen. Tests sollten verschiedene Szenarien abdecken: Ransomware-Angriff, Lieferanten-Ausfall, DDoS-Angriff. Übungsergebnisse müssen dokumentiert, Verbesserungen umgesetzt und Pläne entsprechend aktualisiert werden.

DORA für Finanzunternehmen hat spezifischere Krisenmanagement-Anforderungen als NIS2: Es fordert szenarienbasierte Tests (Threat-Led Penetration Testing für wesentliche Institute), strengere Kommunikationspflichten und detailliertere Krisenpläne. Finanzunternehmen unter beiden Regelwerken sollten DORA-Krisenpläne als Mindeststandard etablieren, da diese gleichzeitig NIS2-Anforderungen erfüllen.

Im Krisenfall unter NIS2 bestehen mehrere Kommunikationspflichten: BSI-Meldung (24h Frühwarnung, 72h Folgemeldung, 1 Monat Abschlussbericht), ggf. BaFin-Meldung im Finanzsektor, interne Krisenkommunikation mit Mitarbeitenden und Management sowie externe Kommunikation mit Kunden und Partnern. Der Krisenplan muss Kommunikationswege und Verantwortlichkeiten klar definieren.