BCM in NIS2 und KRITIS

Der Case für BCM in KRITIS und NIS2

Resilienzmanagement spielt seit der Umsetzung von NIS2 und dem KRITIS-Dachgesetz in Deutschland eine wichtige Rolle bei regulierten Einrichtungen und Betreibern kritischer Anlagen. In der früheren KRITIS-Regulierung normativ noch eher unbedeutend, sind BCM und Krisenmanagement seit 2026 ein zentraler Baustein im Risikomanagement regulierter Unternehmen.

Anforderungen

• NIS2 (BSIG) : Die deutsche NIS2-Umsetzung enthält, konform zur EU-Richtlinie, Vorgaben zu BCM und Krisenmanagement konkretisiert durch die NIS2-Durchführungsverordnung, DVO (EU)
• KRITIS-Dachgesetz: Die deutsche CER-Umsetzung fordert von Betreibern kritischer Anlagen (KRITIS) ein umfangreiches Resilienzmanagement mit BCM, Krisenmanagement und mehr
• Standards: BCM und Notfall­management spielen in relevanten Cybersecurity Standards wie ISO 27001, ISO 22301 und BSI C5 eine Rolle in der Vorsorge und Bewältigung von Notfällen.

BCM-Werkzeuge

1. Analysen: Werkzeuge und Methoden zur Analyse von Risiken und Kritikalität von Geschäftsprozessen und Assets wie BIA und RIA.
2. Pläne: Aufrechterhaltung des Betriebs durch Notfallpläne, Wiederanlauf­pläne und Wieder­herstellungs­pläne (WAP, WHP) und Übungen.
3. Reaktion: Definierte Prozesse und eingeübte Abläufe zur Bewältigung von Vorfällen, Notfällen und Krisen mit besetzten Rollen und Stäben, IT-Tools.
4. IT-Notfälle: Organisation für das Management von IT-Notfällen mit Reaktions­fähigkeiten und Präventions­maßnahmen für resiliente IT.
5. Krisenmanagement: Schnittstelle und Vorbereitung für die Krisenmanagement-Organisation mit Plänen, Abläufen und Übungen

Einsatz in Kritischen Infrastrukturen

BCM-Methoden können bei Einrichtungen und Betreibern wie folgt unterstützen.

Management-System

Für die Behandlung von Ausfallrisiken in KRITIS-Anlagen sind klare Verantwortlichkeiten und Prozesse notwendig — unterstützt durch ein Management-System für Betriebskontinuität (BCMS), das im Geltungsbereich die Resilienz der Geschäftsprozesse und IT erhöht. Mit NIS2 wird Krisenmanagement explizit gefordert – was bei KRITIS bisher fehlte.

Rollen

Das BCMS legt dazu Rollen und Aufgaben für Kontinuität im Geltungsbereich fest:

• Leiter BCMS: Leitung BCMS und Verantwortung für Vorgaben der Betriebskontinuität
• Leiter IT-Notfallmanagement: Leitung der Vorsorge und Reaktion auf IT-Notfälle
• Asset-Verantwortliche: Schutz der eigenen Assets durch Vorsorge-Maßnahmen

Im Krisenmanagement müssen zusätzlich folgende Rollen besetzt werden:

• Leiter Krisenmanagement: Leitung und Verantwortung für Krisenvorsorge und Management
• Krisenstab: Operative Leitung im Krisenfall

Verantwortlichkeiten

Die Verantwortungen für Betriebskontinuität müssen verbindlich festgelegt werden — eindeutig (A und R) und getrennt in Vorgaben, Umsetzung und Kontrolle (Funktionstrennung). Mögliche Orte für die Festlegungen durch das BCMS sind:

1. Rollenbeschreibungen
2. RACI-Matrizen
3. Prozessbeschreibungen
4. Funktionsbeschreibungen
5. Ernennungsurkunden

Prozesse

Das BCMS steuert die betriebliche Kontinuität im Betrieb durch Prozesse, u.a.:

• Steuerung: Betrieb des Management-Systems — Ausübung der BCM-Governance
• Risikoanalyse: Analyse der Ausfallrisiken von Assets und der IT, Durchführung der Business Impact Analyse (BIA), Feststellung von Risiken (RIA)
• Risikobehandlung: Entscheidung und Auswahl von Optionen in der Risikobehandlung, primär durch Business Continuity Pläne (BCP) und Maßnahmen
• Übungen und Tests: Durchführen von realistischen Tests der Pläne (BCPs), Ableiten von Maßnahmen und Lessons Learned
• Krisen: Umfassende Vorsorge für Krisenfälle im Unternehmen und organisierte Behandlung in Krisen durch geübte Abläfe, Organisation und Systeme

Nachweise

Artefakte als Nachweis für ein laufendes und funktionierendes Management-System sind u.a.:

1. Protokolle
2. Entscheidungen
3. Business Impact Analysen
4. Maßnahmen

Richtlinien

Die Ziele des BCM zur betrieblichen Kontinuität bei etwaigen Störungen werden durch das BCMS in einer zentralen Leitlinie (Policy) verankert. Die Leitlinie legt für das BCMS gültige Analysemethoden, Parameter, Szenarien und Auswirkungen fest.

Rahmenwerk

Basierend auf der Leitlinie legt das BCMS in weiteren Richtlinien die Methoden, Hilfsmittel und Tools fest, die bei Analysen (BIA/RIA) und Maßnahmen zu nutzen sind.

Nachweise

Nachweise für effektive Vorgaben und Richtlinien im BCMS sind u.a.:

1. Aktuelle Richtlinien
2. Freigaben
3. Revisionhistorien
4. Änderungen
5. Entscheidungen

Pläne und Maßnahmen

Die Ergebnisse eines BCMS sind in Analysen, Transparenz über Ausfallrisiken und Pläne zum Umgang mit den Risiken – präventive und korrektive Maßnahmen, Reaktionsoptionen und Bewältigung.

Für die Behandlung der Resilienz-Risiken hat das BCMS mehrere Optionen:

• Maßnahmen: Präventive oder korrektive Maßnahmen im Betrieb oder Prozessen können Ausfallrisiken mindern.
• Pläne: Dokumentation von Business Continuity Plänen (BCPs), die für Aus- und Notfälle einzelner Assets und Prozesse die notwendigen Schritte zum Wiederanlauf dokumentieren.
• Andere: Bestimmte Risiken oder Situationen kann das BCMS an weitere Disziplinen verweisen — wie das Krisen-Management, IT-Notfallmanagement oder auch das ISMS.

Der Resilienzplan ist regulatorisch vom KRITIS-Dachgesetz gefordert und umfasst mindestens eine Darstellung der getroffenen Resilienzmaßnahmen und Pläne.

Im IT-Notfallmanagement (IT-SCM) müssen folgende Funktionen oder Prozesse eingerichtet werden:

• IT-Notfallvorsorge: Präventive Maßnahmen zur Vorsorge und Vermeidung von IT-Notfällen durch resiliente IT-Architektur und SLAs, Listen zur IT-Priorisierung und Wiederanlauf.
• IT-Notfallbewältigung: Reaktionsorganisation zur operativen Bewältigung von IT-Notfällen mit geübten Abläufen und Hilfsmitteln zur Bewältigung — zusammen mit der IT.

Nachweise

Artefakte als Nachweis für effektive Maßnahmen sind u.a.:

1. BCPs
2. Notfallpläne
3. Umgesetzte Maßnahmen
4. Verminderte Risiken
5. Pläne
6. Priorisierungslisten
7. Wiederanlaufpläne

Übungen

Zur Verbesserung des BCMS und Weiterentwicklung der betrieblichen Kontinuität müssen regelmäßig Tests und Übungen der definierten Pläne und Maßnahmen durchgeführt werden. Dies umfasst Krisenübungen, Notfalltests, Durchspielen einzelner Pläne oder Übungen zu Kommunikation und Meldewegen. Die Übungen sollten geregelt ausgewertet und vom Betrieb und BCMS in der kontinuierlichen Verbesserung berücksichtigt werden.

Nachweise

Nachweise für effektive Übungen und Verbesserung des BCMS sind u.a.:

1. Übungsberichte
2. Auditberichte
3. Lessons Learned
4. Umgesetzte Maßnahmen

Audits und Prüfungen

Das BCMS muss regelmäßig Audits im Geltungsbereich durchführen oder veranlassen, um die Compliance von Prozessen und Diensten sowie das Management mit Risiken zu überprüfen. Dies dient der Compliance mit eigenen BCMS-Vorgaben und regulatorischen (gesetzlichen) Vorgaben aber auch der kontinuierlichen Verbesserung und Weiterentwicklung des BCMS (KVP).

Nachweise

Nachweise für effektive Audits des BCMS sind u.a.:

1. Auditberichte
2. Management Reviews
3. Umgesetzte Maßnahmen

Integration im Unternehmen

Das BCMS muss für das Management von Ausfallrisiken im Betrieb mit weiteren Management-Systemen vernetzt sein.

• Risiko-Management: Meldung von Risiken und Maßnahmen an das Unternehmens-Risiko-Management, Austausch zu Methoden und Definitionen
• Asset-Management: Abgleich von Asset-Informationen der Assets in Scope der Anlage
• IT-Betrieb und IT-Sicherheit: Definition und Begleitung der Maßnahmen-Umsetzung im Betrieb; Austausch zu operativen Risiken und Bedrohungen
• ISMS: Behandlungsoption für Maßnahmen zur Ausfallsicherheit; gemeinsame Sicht auf IT-Assets und deren Risiken
• Stabsstelle: Abgleich Geltungsbereich ISMS und Geltungsbereich KRITIS; Definition der IT-Systeme und Prozesse im Scope; Zusammenarbeit im Meldewesen
• Unternehmenssicherheit: Abgleich und Integration für KRITIS-Dachgesetz, physische Sicherheit und Resilienz

Literatur

1. Business Continuity Planning Suite, Ready.gov - DHS National Protection and Programs Directorate, März 2021
2. IT Disaster Recovery Plan, Ready.gov, Februar 2021
3. IT-Grundschutz-Baustein (200-1): DER.4: Notfallmanagement, Bundesamt für Sicherheit in der Informationstechnik, Februar 2021