Was ist Notfallmanagement?
Notfallmanagement umfasst zwei Teile. Die Notfallvorsorge sind alle präventiven Maßnahmen vor einem Schadensereignis, die Notfallbewältigung alle Tätigkeiten, um nach Eintritt eines Notfalls in einen Notbetrieb zu gelangen, ihn aufrechtzuerhalten und in den Normalbetrieb zurückzukehren. So definiert es das Glossar zum BSI-Standard 200-4, das „Business Continuity Management“ mit „Notfallmanagement“ übersetzt.
Der BSI-Standard 200-4 selbst verwendet den Begriff BCM; seine Änderungshistorie nennt die „Änderung des Begriffs Notfallmanagement in ‚Business Continuity Management (BCM)‘“. In Verträgen, Fragebögen und Audits steht Notfallmanagement deshalb mal für das ganze Business Continuity Management, mal nur für die Bewältigung. Klären Sie, welcher Umfang gemeint ist, bevor Sie eine Anforderung bestätigen.
Störung, Notfall, Krise: Wo liegt die Grenze?
| Ereignis | Definition im BSI-Glossar zu 200-4 | Bearbeitung |
|---|---|---|
| Störung | Prozesse oder Ressourcen stehen nicht wie vorgesehen zur Verfügung | im Normalbetrieb, über Störungsbeseitigung oder Incident-Management |
| Notfall | mindestens ein zeitkritischer Geschäftsprozess ist unterbrochen und im Normalbetrieb nicht innerhalb der maximal tolerierbaren Ausfallzeit wiederherstellbar; die Gefahr einer Unterbrechung genügt | besondere Aufbauorganisation (BAO) mit vorliegenden oder anpassbaren Plänen |
| Krise | massive negative Auswirkung, nicht im Normalbetrieb zu bewältigen, ohne passende Notfallpläne | Krisenmanagement |
Legen Sie vorab fest, wer einen Notfall ausruft, und hinterlegen Sie eine Vertretung. Die Kriterien sollten ohne lange Bewertung anwendbar sein, etwa Ausfalldauer, betroffene Prozesse, absehbarer Schaden, Außenwirkung und ausgelöste Meldepflichten.
Wer führt im Notfall? Die besondere Aufbauorganisation
Für den Notfall tritt neben die Linie eine besondere Aufbauorganisation (BAO): eine zeitlich begrenzte Organisationsform mit eigenen Zuständigkeiten, Hierarchien sowie Kommunikations- und Entscheidungswegen. Dazu gehören eine benannte Leitung, ein Stab mit Protokollführung, Verantwortliche für interne und externe Kommunikation und Fachvertreter, etwa für IT, Betrieb, Recht und Personal. Planen Sie jede Kernrolle mit Vertretung und prüfen Sie die Erreichbarkeitslisten in jeder Übung.
Rechenbeispiel: Wie viel Zeit bleibt für den Wiederanlauf?
Der BSI-Standard 200-4 nennt den Zeitraum vom Erkennen und Alarmieren über das Konstituieren der BAO und die Entscheidung bis zum Ausrufen des Notfalls BAO-Reaktionszeit. Die geforderte Wiederanlaufzeit (RTO) beginnt erst mit dem Ausrufen; deshalb wird die BAO-Reaktionszeit von der maximal tolerierbaren Ausfallzeit (MTA) abgezogen, auf Wunsch mit einem Puffer. Der Standard empfiehlt, die BAO-Reaktionszeit zentral festzulegen und in Alarmierungsübungen zu präzisieren.
Beispiel (fiktiv); die Zeiten sind frei gewählt:
| Größe | Wert |
|---|---|
| MTA des Prozesses Auftragsabwicklung | 8 Stunden |
| BAO-Reaktionszeit, gemessen in der letzten Alarmierungsübung | 2,5 Stunden |
| Puffer | 0,5 Stunden |
| geforderte Wiederanlaufzeit: 8 − 2,5 − 0,5 | 5 Stunden |
| tatsächliche Wiederanlaufzeit des ERP-Systems im Wiederanlauftest | 6 Stunden |
Die Lücke von einer Stunde verlangt eine Entscheidung: die BAO-Reaktionszeit verkürzen, etwa durch eine Rufbereitschaft mit Entscheidungsbefugnis, oder den Wiederanlauf beschleunigen, etwa mit einem vorbereiteten Ersatzsystem. Bleibt beides aus, wird die MTA im Notfall überschritten. Wie MTA und Wiederanlaufzeiten ermittelt werden, beschreibt der Eintrag Business-Impact-Analyse.
Was gehört ins Notfallhandbuch, und wie läuft die Alarmierung?
Das Notfallhandbuch enthält nach dem BSI-Glossar alle Informationen für die Notfallbewältigung, etwa die Notfallpläne, die Geschäftsordnung des Stabes und das Kommunikationskonzept. Zu den Notfallplänen zählen Geschäftsfortführungs-, Wiederanlauf- und Wiederherstellungspläne. Halten Sie das Handbuch unabhängig von den Systemen verfügbar, deren Ausfall es behandelt.
Der Meldeweg muss in beide Richtungen funktionieren: von der Feststellung zur Entscheidung und von der Entscheidung zurück zu den Betroffenen. Dazu gehören eine jederzeit erreichbare Meldestelle, Eskalationsstufen, ein Ersatzkommunikationsweg für den Fall, dass die eigene IT betroffen ist, und ein Protokoll ab der ersten Meldung. Aus diesem Protokoll entstehen die Meldungen an Aufsicht, Kunden und Versicherer.
Was verlangen BSIG und NIS2-Durchführungsverordnung?
Besonders wichtige und wichtige Einrichtungen müssen nach § 30 Abs. 2 Satz 2 Nr. 3 BSIG die Aufrechterhaltung des Betriebs regeln, „wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement“. § 30 gilt grundsätzlich nicht für Betreiber öffentlicher Telekommunikationsnetze und Anbieter öffentlich zugänglicher Telekommunikationsdienste (§ 28 Abs. 5 BSIG). Dasselbe gilt für Energieunternehmen, die den §§ 5c bis 5e EnWG unterliegen, und nach § 28 Abs. 6 BSIG für Finanzunternehmen nach DORA.
Für Einrichtungen der in § 30 Abs. 3 BSIG genannten Arten, etwa Cloud-Computing-Dienstleister, wird Anhang Nr. 4.1 der Durchführungsverordnung (EU) 2024/2690 konkret. Der Notfallplan umfasst, soweit angemessen, unter anderem Rollen und Verantwortlichkeiten, Kontakte und Kommunikationskanäle, Bedingungen für Aktivierung und Deaktivierung, die Reihenfolge der Wiederherstellung und Wiederherstellungsziele. Er wird in geplanten Abständen sowie bei erheblichen Sicherheitsvorfällen oder wesentlichen Änderungen der Betriebsabläufe oder Risiken getestet, überprüft und soweit angemessen aktualisiert. Wie das Notfallmanagement in ein ISMS eingebettet wird, beschreibt der Ratgeber ISMS einführen, den Aufbau eines BCM der BCM-Leitfaden.
IT-Notfallmanagement ist ein Teil davon
IT-Notfallmanagement und Wiederanlaufpläne für Systeme decken einen Teil ab. Maßstab bleibt der Geschäftsprozess. Ein Wiederanlauftest kann die Systeme in der Zielzeit wieder in Betrieb nehmen, während der Prozess weiter steht, weil Berechtigungen nicht greifen, die Fachabteilung nicht erreichbar ist oder ein Dienstleister nicht eingebunden wurde. Üben Sie deshalb den Prozess, nicht nur den Systemwiederanlauf.
Notfallmanagement in Rizzqo
In Rizzqo verknüpfen Sie Ihre Prozesse und Dienste mit dem, wovon sie abhängen, etwa einem IT-System, einem Netzwerk oder dem Dienst eines Dienstleisters. So sehen Sie vor einem Notfall, welche Prozesse an einem bestimmten System oder Dienstleister hängen. Für diese Ressourcen gelten die Anforderungen von Frameworks wie ISO 27002, und Maßnahmen aus einer Notfallübung laufen als Aufgaben, die sich in beide Richtungen mit Jira synchronisieren.