Informationssicherheit
IT‑Notfallplan: Wer entscheidet, wenn nichts mehr geht?
Ein Notfallplan nützt nur, wenn er im Ernstfall noch stimmt. Wir prüfen Ihren bestehenden Plan gegen die heutige Realität Ihres Unternehmens: Systeme, Zuständigkeiten, Erreichbarkeiten. Fehlt der Plan, erstellen wir ihn. Und wir üben ihn mit Ihnen, bevor es ernst wird.
Was ein IT‑Notfallplan ist, und was nicht
Ein IT‑Notfallplan legt fest, was passiert, wenn die IT länger ausfällt, als der Betrieb es verkraftet: Wer wird alarmiert, wer führt, wer darf entscheiden, welche Abläufe laufen zuerst wieder an, wie arbeitet der Betrieb so lange ohne IT, wer informiert Belegschaft, Kunden, Versicherer und Behörden. Dazu gehören Erreichbarkeiten, Dienstleisterkontakte, Meldewege und ein Protokoll der Entscheidungen. Der Plan ist Teil des Notfallmanagements, wie es der BSI‑Standard 200-4 beschreibt, und er muss auch dann lesbar sein, wenn das Firmennetz steht: auf Papier oder auf einem Gerät außerhalb Ihrer Systeme.
Ein Notfallplan ist kein Backup. Die Sicherung stellt Daten bereit, sie entscheidet nicht, ob die Produktion oder die Auftragsabwicklung zuerst wieder läuft. Er ist auch keine Forensik: Wer den Angriff untersucht, beantwortet andere Fragen als der, der den Betrieb am Laufen hält. Und er ist kein Ordner, der einmal geschrieben wurde. Systeme, Zuständigkeiten und Telefonnummern ändern sich, der Plan muss mitziehen.
Eine Störung bearbeitet die IT im Tagesgeschäft. Ein Notfall beginnt dort, wo die Geschäftsführung entscheiden muss: Betrieb stoppen oder weiterlaufen lassen, wer bekommt zuerst Ware, wer ruft den Versicherer an. Dafür ist der Plan da.
Für wen ein Notfallplan Pflicht ist, und wer ihn trotzdem braucht
Unternehmen unter NIS2.
Das BSI‑Gesetz verlangt von betroffenen Einrichtungen, den Betrieb aufrechtzuerhalten, nach einem Notfall wiederherzustellen und Krisen zu bewältigen. Dazu kommen Meldefristen von 24 Stunden, 72 Stunden und einem Monat, die ab Kenntnis laufen. Ohne Plan ist das nicht zu schaffen. Ob Sie betroffen sind, klärt die NIS2-Betroffenheitsprüfung.
Unternehmen mit ISO 27001.
Die Norm verlangt, dass Informationssicherheit bei Unterbrechungen geplant ist und die IT für die Fortführung des Geschäfts bereitsteht. Wer ein ISMS betreibt, braucht den Plan als Nachweis, auch zwischen den Audits.
Sozialwirtschaft, Kirchen und Bistümer.
Wenn die IT ausfällt, müssen Betreuung, Pflege und Verwaltung weiterlaufen, oft an vielen Standorten. Dazu kommen eigene Meldepflichten im kirchlichen Datenschutz, die anders laufen als die DSGVO.
Industrie und Großhandel.
Wo ein IT‑Ausfall Lieferfähigkeit, Lohnabrechnung oder Zahlungsfähigkeit gefährdet, braucht es keinen Paragrafen. Es reicht, einmal durchzurechnen, was ein Stillstand von drei Tagen kostet.
Eine Pflicht allein wegen der Mitarbeiterzahl gibt es nicht. Die DSGVO verlangt aber von jedem Unternehmen, dass Daten wiederherstellbar sind und Datenpannen binnen 72 Stunden gemeldet werden. Auch das steht im Plan.
Einmal erstellen oder jährlich prüfen und üben?
Beides hat seinen Platz. Die Frage ist, wer den Plan danach am Leben hält.
| Kriterium | Einmal erstellen | Jährlich prüfen und üben |
|---|---|---|
| Ausgangslage | Kein Plan, oder einer, dem niemand mehr traut | Ein Plan, der aktuell bleiben soll |
| Ergebnis | Notfallhandbuch, Rollen, Notbetrieb, erste Übung | Geprüfte Kontakte, Systeme und Zuständigkeiten, eine Übung mit Befunden |
| Aufwand bei Ihnen | Workshops mit Geschäftsführung und Fachbereichen | Ein bis zwei Termine im Jahr, Änderungen zwischendurch melden |
| Risiko | Der Plan veraltet, sobald niemand ihn pflegt | Gering, solange die Übung Konsequenzen hat |
| Pflege | Liegt bei Ihnen | Terminverfolgung bei uns, Verantwortung bei Ihnen |
| Passt, wenn | Sie intern jemanden haben, der den Plan lebt | Niemand intern Zeit hat, Telefonnummern und Systeme nachzuhalten |
Die meisten Pläne scheitern nicht am Schreiben, sondern am Nachführen. Ein Plan von vor drei Jahren mit der Handynummer des früheren IT‑Leiters ist im Ernstfall schlechter als keiner, weil man sich auf ihn verlässt.
Notfallplan
Was der IT‑Notfallplan von itkomm umfasst
Prüfen, was da ist. Erstellen, was fehlt. Üben, bevor es ernst wird. Die Technik dahinter, also Sicherung, Wiederherstellung und Ersatzsysteme, liefert Ihr Systemhaus. Wir gleichen seine Zusagen mit dem ab, was Ihr Betrieb braucht.
Bestandsaufnahme.
Vorhandene Pläne, Verträge, Versicherungsbedingungen, Meldewege und Dienstleisterzusagen. Was stimmt noch, was ist Stand von vor drei Jahren.
Kritische Abläufe und Zielwerte.
Mit den Fachbereichen: Was darf wie lange stehen, wie alt dürfen die Daten nach der Wiederherstellung sein, was ist der Mindestbetrieb. Die Geschäftsführung entscheidet, wir bereiten die Entscheidung vor.
Krisenstab und Alarmierung.
Wer führt, wer vertritt, wer darf den Betrieb stoppen, wer ruft wen an. Mit Erreichbarkeiten, die außerhalb des Firmennetzes liegen.
Notbetrieb und Wiederanlauf.
Wie Versand, Produktion oder Verwaltung ohne IT weiterarbeiten, mit Formularen, Freigaben und Nacherfassung. Und in welcher Reihenfolge die Systeme zurückkommen.
Kommunikation und Meldewege.
Belegschaft, Kunden, Lieferanten, Versicherer, Behörden. Mit den Fristen aus NIS2 und DSGVO und einem Kommunikationsweg, der ohne die IT funktioniert.
Übung und Freigabe.
Ein Szenario, meist ein Verschlüsselungsangriff, wird am Tisch durchgespielt. Befunde bekommen Verantwortliche und Termine, danach gibt die Geschäftsführung den Plan frei. Wer den Plan laufend betreut haben will, findet das beim externen ISB.
Was nicht enthalten ist: die Wiederherstellung von Systemen, die Forensik nach einem Angriff, Zusagen zur Versicherungsdeckung und die Rechtsberatung. Dafür binden wir Ihr Systemhaus, Forensiker, Versicherer und Kanzleien in den Plan ein, ohne Provision.
So entsteht der Notfallplan
01
Bestand und Prioritäten.
Vorhandene Unterlagen, Gespräche mit Geschäftsführung und Fachbereichen, Zielwerte für Wiederanlauf und Datenverlust.
02
Plan und Abgleich.
Rollen, Alarmierung, Notbetrieb, Wiederanlauf, Kommunikation. Abgleich mit den Zusagen Ihres Systemhauses. Lücken werden sichtbar und bekommen einen Verantwortlichen.
03
Übung und Freigabe.
Szenario am Tisch, Befunde mit Terminen, Freigabe durch die Geschäftsführung. Danach jährlich prüfen und üben, Kontakte vierteljährlich.
Was kostet ein IT‑Notfallplan?
Der Review eines bestehenden Plans ist ein Festpreis. Die Erstellung ist ein Projektpreis, den wir nach der Bestandsaufnahme festlegen, abhängig von Standorten, Abläufen und Dienstleistern. Die jährliche Prüfung mit Übung bieten wir als festen Jahresbetrag an. Nicht enthalten sind technische Maßnahmen, die der Abgleich aufdeckt, etwa eine schnellere Wiederherstellung. Die setzt Ihr Systemhaus um.
Wer den Notfallplan bei itkomm verantwortet
Oliver Bajunovic ist persönlich nach ISO 27001 zertifiziert und war Führungskraft in der Industrie und im Großhandel, bevor er itkomm gegründet hat. Heute arbeitet er für Industriebetriebe, Mittelständler und Träger der Sozialwirtschaft im Umkreis von rund 100 Kilometern um Fulda und darüber hinaus.
Mehr über itkommHäufige Fragen zum IT‑Notfallplan
Reicht unser Backup nicht?
Nein. Die Sicherung liefert Daten zurück. Sie entscheidet nicht, wer im Ernstfall führt, welche Abläufe zuerst laufen und wie der Betrieb so lange ohne IT arbeitet. Ob die Wiederherstellung in der nötigen Zeit überhaupt klappt, zeigt erst ein Test.
Was passiert bei einem Verschlüsselungsangriff in den ersten 24 Stunden?
Alarmierung und Lagebild, sichere Kommunikationswege, Eindämmung durch Fachleute, Entscheidung über Betriebsstopp und Notbetrieb, Versicherer und Forensik einbinden, Meldefristen bearbeiten. Vieles davon parallel. Was in diesen Stunden nicht vorbereitet ist, wird improvisiert.
Was muss die Geschäftsführung selbst entscheiden?
Betrieb stoppen oder weiterlaufen lassen, wer zuerst beliefert oder versorgt wird, Budget für externe Hilfe, was nach außen gesagt wird, und wann der Betrieb verantwortbar wieder anläuft. Das kann weder die IT noch das Systemhaus abnehmen.
Sollen wir Lösegeld zahlen?
Das BSI rät davon ab. Eine Zahlung garantiert keine Wiederherstellung. Die Entscheidung gehört in den Plan, mit Rechtsberatung, Ermittlungsbehörden und Versicherer, nicht in die Nacht des Angriffs.
Übernimmt die Cyberversicherung alles?
Nein. Es gelten Vertrag, Ausschlüsse, Selbstbehalte und die vereinbarten Abläufe, etwa welche Dienstleister Sie einschalten dürfen. Hotline, Vertragsnummer und Freigabewege gehören in den Plan.
Wen müssen wir wann informieren?
Das hängt davon ab, ob Sie unter NIS2 fallen und ob personenbezogene Daten betroffen sind. Unter NIS2: Erstmeldung binnen 24 Stunden, Folgemeldung binnen 72 Stunden. Datenpannen nach DSGVO binnen 72 Stunden an die Aufsicht. Die Fristen laufen ab Kenntnis, nicht ab Ende der Untersuchung. Kirchliche Träger haben eigene Regeln.
Was bedeuten RTO und RPO?
Zwei Fragen an jeden Ablauf: Bis wann muss er wieder laufen, zumindest eingeschränkt? Und wie alt dürfen die Daten sein, mit denen er wieder anläuft? Das sind Entscheidungen der Geschäftsführung, keine technischen Werte. Das Systemhaus prüft, ob es sie einhalten kann.
Unser Plan ist drei Jahre alt. Reicht ein Update?
Meist ja, wenn die Struktur stimmt. Geprüft werden Systeme, Zuständigkeiten, Telefonnummern, Dienstleister und Versicherungsbedingungen. Danach eine Übung, denn ein Plan, den niemand durchgespielt hat, ist nur eine Vermutung.
Wie oft müssen wir üben?
Einmal im Jahr am Tisch, Kontakte vierteljährlich prüfen, und nach jeder größeren Änderung: neues ERP, neuer Dienstleister, neue Geschäftsführung. Ein Gesetz schreibt den Turnus nicht vor, aber ein Plan ohne Übung belegt nichts.
Sprechen wir über Ihre Situation
Rufen Sie an oder schreiben Sie kurz, worum es geht. Sie erhalten innerhalb eines Werktags eine Antwort.