4 Störung, Notfall und Krise
Drei Stufen mit Merkmalen, Zuständigkeit und Folgen. Die IT-Verantwortlichen stufen innerhalb einer festgelegten Frist ein, die Geschäftsleitung entscheidet über die Ausrufung, und im Zweifel wird der Notfall ausgerufen.
Vorlage aus dem NIS2-Paket
Notfallkonzept mit Wiederanlaufplan, Krisenstab und Alarmierung
Zwei Word-Vorlagen für den Ernstfall: Das Notfallkonzept sagt, was in welcher Reihenfolge wieder laufen muss, das zweite Dokument regelt, wer entscheidet und wie alle erreicht werden. Beide sind im NIS2-Paket enthalten.
- NIS-KZ-07 Word, 13 Seiten
- NIS-NW-08 Word, 11 Seiten
- Voll bearbeitbar, ohne Kopierschutz
Das Dokument
Was Notfallkonzept mit Krisenstab regelt
Das Notfallkonzept mit Wiederanlaufplan (NIS-KZ-07, 13 Seiten) legt fest, wie Ihr Unternehmen kritische Geschäftsprozesse bei einem Ausfall von IT-Systemen, Dienstleistern, Räumen oder Personal aufrechterhält und wieder herstellt. Es unterscheidet Störung, Notfall und Krise, führt die kritischen Prozesse mit tolerierbarer Ausfallzeit, tolerierbarem Datenverlust und Ersatzbetrieb ohne IT auf und beschreibt fünf Ausfallszenarien: Serverraum oder Rechenzentrum, Verschlüsselung durch Schadsoftware, Cloud-Dienst oder Dienstleister, Personal sowie Strom, Netzwerk oder Internetanbindung.
Die Wiederanlaufreihenfolge ist eine Tabelle mit neun Positionen vom Netzwerk über Verzeichnisdienst, Datensicherungssystem, Fernzugang, E-Mail und Dateiablage bis zum ERP-System und den Arbeitsplätzen, jeweils mit Voraussetzung, Zielzeit ab Beginn des Wiederanlaufs, durchführender Person mit Vertretung und Abnahme. Anhang A ist ein Protokoll der Notfallübung, in dem gemessene Zeiten den Zielzeiten gegenübergestellt werden.
Das Dokument Krisenstab und Alarmierungsliste (NIS-NW-08, 11 Seiten) ergänzt das Konzept: sieben Funktionen im Krisenstab mit Hauptperson und Vertretung, Kriterien für die Einberufung, Befugnisse, ein Alarmierungsweg in fünf Schritten mit Zweitweg bei Ausfall der eigenen Technik, die Alarmierungsliste, externe Kontakte vom IT-Dienstleister bis zur Versicherung und als Anhang A ein Aushang für alle Beschäftigten.
Vorschau
So sieht die Vorlage aus
Verkleinerte Darstellung aus der Datei im Paket. Eckige Klammern markieren die Stellen, die Sie anpassen.
NIS-KZ-07: Deckblatt mit Dokumentenlenkung
NIS-KZ-07: Inhalt und Änderungshistorie
NIS-NW-08: Deckblatt mit Dokumentenlenkung
Gliederung
Inhalt der Dateien
Die Gliederung stammt aus der ausgelieferten Datei. Jedes Word-Dokument hat zusätzlich Deckblatt mit Dokumentenlenkung, Inhaltsverzeichnis und Änderungshistorie.
WordNIS-KZ-07 Notfallkonzept mit Wiederanlaufplan
- 1 Zweck
- 2 Geltungsbereich
- 3 Rollen und Verantwortung
- 4 Störung, Notfall und Krise
- 5 Kritische Geschäftsprozesse und abhängige Systeme
- 6 Ausfallszenarien: Sofortmaßnahmen und Wiederanlauf
- 7 Wiederanlaufreihenfolge
- 8 Rückkehr in den Normalbetrieb
- 9 Übung und Test des Notfallkonzepts
- 10 Pflege und Verfügbarkeit des Konzepts
- 11 Mitgeltende Dokumente
- Anhang A: Protokoll der Notfallübung
WordNIS-NW-08 Krisenstab und Alarmierungsliste
- 1 Zweck
- 2 Geltungsbereich
- 3 Rollen und Verantwortung
- 4 Besetzung des Krisenstabs
- 5 Einberufung und Befugnisse
- 6 Alarmierungsweg und Zweitweg
- 7 Arbeitsweise im Notfall
- 8 Alarmierungsliste
- 9 Externe Kontakte
- 10 Pflege, Aushang und Datenschutz
- 11 Mitgeltende Dokumente
- Anhang A: Aushang Notfall und Sicherheitsvorfall
5 Kritische Geschäftsprozesse und abhängige Systeme
Tabelle mit Prozess, abhängigen Systemen, tolerierbarer Ausfallzeit, tolerierbarem Datenverlust, fachlicher Verantwortung und Ersatzbetrieb ohne IT. Der tolerierbare Datenverlust bestimmt den Sicherungsrhythmus.
6 Ausfallszenarien: Sofortmaßnahmen und Wiederanlauf
Fünf Szenarien mit Sofortmaßnahmen und Wiederanlauf. Bei Schadsoftware etwa: Geräte vom Netz trennen, nicht ausschalten, die geschützte Sicherung auf Unversehrtheit prüfen und Systeme neu aufsetzen statt bereinigen.
7 Wiederanlaufreihenfolge
Neun Positionen mit Voraussetzung, Zielzeit, Durchführung und Abnahme. Jedes System wird vor der Freigabe abgenommen: Anmeldung möglich, Daten vorhanden, keine Fehlermeldungen, Schutz vor Schadsoftware aktiv.
6 Alarmierungsweg und Zweitweg
Fünf Schritte von der meldenden Person bis zur Information der Beschäftigten, je mit erstem Weg, Zweitweg und Frist, dazu ein Notfallkanal, der nicht von den eigenen Servern abhängt.
10 Pflege, Aushang und Datenschutz
Regelmäßige Prüfung aller Einträge per Testanruf, Austausch aller Ausdrucke nach jeder Änderung und Regeln für private Rufnummern, die nur mit Einwilligung in Textform aufgenommen werden.
Auszug
Wörtlich aus der Vorlage
Im Zweifel wird der Notfall ausgerufen.
Ein Notfallkonzept, das nie geübt wurde, ist im Ernstfall eine Vermutung.
Die Alarmierung erfolgt niemals allein per E-Mail: E-Mail kann im Notfall ausgefallen oder vom Angreifer mitgelesen sein.
Was Sie anpassen
| Platzhalter | Was Sie festlegen | Dokument |
|---|---|---|
[8 Stunden] | Tolerierbare Ausfallzeit je kritischem Prozess, im Beispiel für Auftragsabwicklung und Rechnung. | NIS-KZ-07 |
[Ersatzstandort, Ersatzsysteme, Cloud-Kapazität beim Dienstleister] | Wohin der Wiederanlauf ausweicht, wenn Serverraum oder Rechenzentrum ausfallen. | NIS-KZ-07 |
[Mobilfunkrouter, zweiter Anbieter] | Ihr Zweitweg für die Internetanbindung. | NIS-KZ-07 |
[Betrag] | Bis zu welchem Betrag je Entscheidung der Krisenstab ohne weitere Freigabe Ausgaben veranlassen darf. | NIS-NW-08 |
[Raum, Standort] | Treffpunkt des Krisenstabs, ergänzt um einen Ersatztreffpunkt außerhalb des Gebäudes. | NIS-NW-08 |
[Dienst] | Der Notfallkanal, der weder von Ihren Servern noch von Ihrem E-Mail-System abhängt. | NIS-NW-08 |
Einsatz
Wofür Sie das Notfallkonzept brauchen
Das Konzept setzt nach eigener Aussage die Anforderung des § 30 Abs. 2 BSIG an die Aufrechterhaltung des Betriebs, die Wiederherstellung nach einem Notfall und das Krisenmanagement um, im NIS2-Paket der Bereich Nr. 3. Es verbindet die Richtlinie Datensicherung und Wiederherstellung mit dem Krisenstab und sagt, was mit den Sicherungen und dem Krisenstab im Ernstfall geschieht.
Bei einem erheblichen Sicherheitsvorfall laufen Notfallbetrieb und Meldung nach § 32 BSIG parallel. Das Szenario Verschlüsselung durch Schadsoftware verweist für die Meldepflicht auf den Meldeprozess, der Krisenstab prüft bei jeder Lagebesprechung, ob eine Meldung auszulösen oder zu aktualisieren ist, und die interne Meldestelle (ISB) steht an erster Stelle der Alarmierungsliste; die Vorlage schlägt für sie eine Rufbereitschaft vor, weil die Fristen rund um die Uhr laufen.
Fragt ein Kunde oder ein Prüfer nach einem geübten Notfallplan, belegen Sie das mit den Übungsprotokollen nach Anhang A. Vorgesehen sind eine regelmäßige Notfallübung mit mindestens einem Szenario, der Durchlauf der Wiederanlaufreihenfolge und das Alarmieren des Krisenstabs. Maßnahmen aus der Übung werden in das Risikoregister aufgenommen.
Wie die Dokumente zusammenspielen
Die beiden Dokumente trennen Inhalt und Organisation. Das Notfallkonzept (NIS-KZ-07) regelt, was im Notfall zu tun ist: Einstufung, kritische Prozesse, Szenarien, Wiederanlaufreihenfolge, Rückkehr in den Normalbetrieb und Übungen. Krisenstab und Alarmierungsliste (NIS-NW-08) regelt, wer entscheidet, welche Befugnisse der Krisenstab hat und wie die Beteiligten erreicht werden, auch wenn E-Mail, Telefonanlage und Netzwerk ausgefallen sind. Ausgehängt wird nur der Einseiter in Anhang A des zweiten Dokuments.
Im NIS2-Paket enthalten
1.490 €netto, zzgl. USt. Einmalig, 25 Dokumente in Word und Excel
Häufige Fragen
Fragen zur Vorlage
Wie viele Szenarien deckt das Notfallkonzept ab?
Fünf: Ausfall des Serverraums oder Rechenzentrums, Verschlüsselung durch Schadsoftware, Ausfall eines Cloud-Dienstes oder Dienstleisters, Ausfall von Personal sowie Ausfall von Strom, Netzwerk oder Internetanbindung. Jedes Szenario hat Sofortmaßnahmen und Schritte für den Wiederanlauf. Weitere Szenarien ergänzen Sie nach demselben Muster.
Wie viele kritische Prozesse sollte ich eintragen?
So wenige wie möglich. Die Vorlage nennt vier Beispielprozesse und weist darauf hin, dass eine Liste mit zwanzig "kritischen" Prozessen im Notfall nicht hilft, weil dann nichts Vorrang hat. Tragen Sie nur Prozesse ein, deren Ausfall Sie tatsächlich nicht länger als die angegebene Zeit verkraften.
Wo muss das Konzept im Notfall liegen?
So, dass es ohne die eigenen IT-Systeme lesbar ist: als Ausdruck bei der Geschäftsleitung und bei der oder dem ISB sowie auf einem verschlüsselten Datenträger außerhalb des Betriebs. Nach jeder Änderung werden die Kopien innerhalb einer festgelegten Frist ersetzt.
Dürfen private Rufnummern in die Alarmierungsliste?
Die Vorlage sieht sie nur mit Einwilligung der betroffenen Person in Textform vor, mit Zweck, Empfängerkreis und Aufbewahrung, und beteiligt vorher die datenschutzbeauftragte Person. Der Aushang enthält nur dienstliche Rufnummern und Notfallnummern externer Stellen. Prüfen Sie die Regelung mit Ihrer Datenschutzberatung.
Gibt es Notfallkonzept und Alarmierungsliste einzeln?
Nein, beide sind im NIS2-Paket enthalten. Sie verweisen auf weitere Dokumente des Pakets, etwa die Richtlinie Datensicherung und Wiederherstellung, die Lieferantenbewertung und den Meldeprozess mit Fristen und Meldevorlagen.
Die Vorlagen sind Arbeitshilfen und keine Rechtsberatung. Sie müssen an Ihr Unternehmen angepasst werden. Eine Zusage, dass ein Audit oder eine Prüfung bestanden wird, geben wir nicht.
Weiterlesen
Passende Seiten
Frist im Nacken?
Auslieferung als Download nach Zahlungseingang. Eckige Klammern markieren die Stellen, die Sie anpassen.