Notfallplan

Ausführliche Erklärung

Ein Notfallplan legt fest, wie ein Unternehmen auf schwerwiegende Störungen reagiert – sei es ein Cyberangriff, ein IT-Systemausfall, eine Datenpanne oder eine Naturkatastrophe. Im Zentrum steht die Frage: Wer muss was tun, damit kritische Geschäftsprozesse weiterlaufen oder möglichst rasch wiederhergestellt werden können? Der Plan definiert klare Zuständigkeiten, Kommunikationswege und konkrete Handlungsanweisungen für verschiedene Notfallszenarien.

Für österreichische und deutsche KMU sind Notfallpläne nicht nur eine betriebswirtschaftliche Absicherung, sondern zunehmend auch rechtliche Pflicht. Artikel 32 der DSGVO verlangt technische und organisatorische Maßnahmen, die „die Verfügbarkeit der personenbezogenen Daten bei einem physischen oder technischen Zwischenfall rasch wiederherstellen". Fehlt ein belastbarer Notfallplan, kann dies bereits einen DSGVO-Verstoß darstellen. Auch die NIS-2-Richtlinie fordert seit der Umsetzung in nationales Recht explizit Notfallpläne, regelmäßige Backups und Krisenmanagement-Prozesse – bei Nichteinhaltung drohen in Deutschland Bußgelder bis zu 10 Millionen Euro.

Ein praxistauglicher Notfallplan besteht aus mehreren Komponenten: einer Risikoanalyse, die kritische Prozesse und deren maximal tolerierbare Ausfallzeiten identifiziert, klaren Rollen im Notfallteam, Schritt-für-Schritt-Anleitungen zur Wiederherstellung sowie Eskalationswegen und Kontaktlisten. Wichtig ist: Der Plan muss bekannt, regelmäßig getestet und aktualisiert werden. Ein Dokument, das in der Schublade verstaubt, hilft im Ernstfall nicht. Empfohlen werden mindestens jährliche Tests und eine Aktualisierung nach jeder größeren Änderung im Betrieb oder nach einem tatsächlichen Vorfall.

In KMU ist häufig keine eigene IT-Abteilung vorhanden. Umso wichtiger ist es, externe Partner einzubeziehen und den Plan so zu gestalten, dass auch fachfremde Mitarbeitende im Notfall handlungsfähig bleiben. Das Bundesamt für Sicherheit in der Informationstechnik bietet mit dem BSI-Standard 200-4 einen praxisnahen Leitfaden, der in drei Reifegraden von einer reaktiven Einstiegsstufe bis zu einem vollständigen Business Continuity Management System skaliert werden kann.