NIS2-Krisenkommunikation: Wer was an wen kommunizieren muss – abgestimmt auf die 24-Stunden-BSI-Meldung

Ihr SOC bestätigt einen Ransomware-Befall im ERP-System. Die 24-Stunden-Frühwarnung an das BSI läuft bereits. Aber weiß der Vertrieb, ob er die Störung am Telefon überhaupt erwähnen darf, bevor die Meldung raus ist? Weiß die Belegschaft, was sie sagen soll, wenn ein Kunde fragt? Genau an dieser Stelle scheitern die meisten Krisenpläne in der Praxis – nicht an der Technik, sondern an der Kommunikation.

NIS2 behandelt Krisenkommunikation nicht als Kür, sondern als eigenständige Pflichtmaßnahme: § 30 Abs. 2 Nr. 3 BSIG verlangt von besonders wichtigen und wichtigen Einrichtungen ausdrücklich Krisenmanagement als eine von zehn Risikomanagementmaßnahmen — im selben Punkt wie Backup-Management und Notfallwiederherstellung [1]. Auf EU-Ebene steht dieselbe Anforderung in Artikel 21 Absatz 2 Buchstabe c der NIS2-Richtlinie [2]. Dieser Beitrag zeigt, was im Ernstfall konkret kommuniziert werden muss, wer dafür verantwortlich ist und wie Krisenkommunikation zeitlich mit der BSI-Meldepflicht zusammenpasst — als praktische Ergänzung zu unserem Grundlagenartikel zur NIS2-Business-Continuity.

Warum Krisenkommunikation rechtlich eine eigene Pflicht ist

Kurz gesagt: Krisenkommunikation ist keine PR-Kür, sondern eine dokumentationspflichtige Maßnahme mit eigenen inhaltlichen Mindestanforderungen. § 30 Abs. 2 Nr. 3 BSIG nennt Krisenmanagement gleichrangig neben Backup-Management und Notfallwiederherstellung als eine der zehn Pflichtmaßnahmen [1]. Die technischen Detailanforderungen an den Krisenmanagementprozess selbst liefert die europäische Durchführungsverordnung CIR 2024/2690. Sie bindet formal nur digitale Infrastrukturanbieter (DNS, Cloud, Rechenzentren, CDN, MSP/MSSP, Marktplätze, Suchmaschinen, soziale Netzwerke, Vertrauensdiensteanbieter) unmittelbar — ihr Anhang-Abschnitt 4.3 „Crisis management“ dient aber als anerkannter Auslegungsmaßstab für alle NIS2-Einrichtungen. Danach muss der Krisenmanagementprozess mindestens drei Elemente abdecken: Rollen und Verantwortlichkeiten für Personal und, soweit relevant, Lieferanten; geeignete Kommunikationsmittel zwischen der Einrichtung und den zuständigen Behörden; sowie Maßnahmen zur Aufrechterhaltung der Netz- und Informationssicherheit während der Krise [3].

Der Unterschied zur reinen IT-Notfallwiederherstellung: Ein Recovery-Plan beantwortet die Frage „Wie bekommen wir die Systeme wieder zum Laufen?“. Ein Krisenkommunikationsplan beantwortet die davon unabhängige Frage „Wer sagt was, wann, zu wem?“ — und diese zweite Frage entscheidet in der Praxis häufiger über Reputationsschaden als die technische Wiederherstellungszeit selbst. Bezeichnend: Selbst das BSI verweist auf seiner eigenen Übersichtsseite zu den zehn NIS-2-Risikomanagementmaßnahmen bei Krisenmanagement nur knapp auf separate BCM-Ressourcen, ohne die Kommunikationsseite auszuführen [7] — die Lücke zwischen Meldepflicht-Dokumentation und tatsächlicher Kommunikationspraxis ist real und wird von den meisten Unternehmen unterschätzt.

Interne vs. externe Kommunikation: Wer zuerst informiert wird

Kommunikation im Ernstfall folgt einer festen Reihenfolge, keiner Prioritätenliste. Sowohl die BSI-eigene Notfallmanagement-Schulung als auch die vom Bundeswirtschaftsministerium geförderte Transferstelle Cybersicherheit stimmen in einem Punkt überein, den viele Krisenpläne übersehen: Der Krisenstab wird zuerst informiert, dann die übrige Belegschaft, und erst danach externe Kreise [4][5].

Der Grund für diese Reihenfolge ist praktisch, nicht nur protokollarisch: Erfährt die eigene Belegschaft aus der Presse vom Angriff auf das eigene Unternehmen, verlieren Sie die Kontrolle über die interne Faktenlage — und riskieren, dass unabgestimmte Aussagen nach außen dringen, bevor der Sachverhalt geklärt ist. Für die externe Kommunikation selbst nennt die BSI-eigene Krisenkommunikations-Schulung vier Grundsätze, an denen sich jede Formulierung messen lassen muss: Aktualität (wer wesentliche Sachverhalte zu lange verschweigt, gefährdet die eigene Reputation), Wahrheit (Auslassen ist zulässig, das Gesagte muss aber korrekt sein), Sachlichkeit (Fakten statt Spekulation) und Verständlichkeit (zu viel Fachjargon untergräbt Vertrauen) [4].

Eskalationswege: Vom Erstverdacht zum Krisenstab

Eskalation ist der Mechanismus, der Kommunikation überhaupt erst auslöst — ohne klar definierte Schwellenwerte bleibt jede Krisenkommunikationsplanung Theorie. Der Prozess läuft in der Regel über vier Stufen, deren Reaktionszeit sich verkürzt, je näher der Vorfall an die gesetzliche 24-Stunden-Frist rückt.

Die Krisenmanagementprozess-Anforderungen aus CIR 2024/2690 Abschnitt 4.3 verlangen ausdrücklich, dass die Rollenzuweisung für Krisensituationen konkrete Handlungsschritte je Rolle festlegt — nicht nur, wer zuständig ist, sondern was diese Person in welcher Reihenfolge tut [3]. In der Praxis bedeutet das: Jede Eskalationsstufe braucht eine benannte Person mit Vertretungsregelung, nicht nur eine Funktionsbezeichnung.

Was als hinreichender Verdacht gilt, ist dabei keine Ermessensfrage im luftleeren Raum: § 32 BSIG setzt die Meldeuhr mit der Kenntniserlangung in Gang [6] — nicht erst nach einer abgeschlossenen forensischen Analyse. Übertragen auf die Eskalationsstufen bedeutet das: Stufe 2 (Bestätigung) darf nicht auf einen vollständigen Untersuchungsbericht warten, sondern muss bereits bei plausiblen ersten Anhaltspunkten auslösen — sonst verstreicht wertvolle Zeit innerhalb der 24-Stunden-Frist, bevor überhaupt mit der Kommunikationsvorbereitung begonnen wird.

Abstimmung mit der BSI-Meldung: Kommunikation und Meldefristen im Gleichschritt

Die BSI-Meldepflicht nach § 32 BSIG folgt einer dreistufigen Kaskade: Frühwarnung innerhalb von 24 Stunden nach Kenntniserlangung (Abs. 1 Nr. 1), Erstmeldung mit Lageeinschätzung innerhalb von 72 Stunden (Abs. 1 Nr. 2), und Abschlussbericht spätestens einen Monat nach der Erstmeldung (Abs. 1 Nr. 4) [6]. Die genauen Inhalte und Fristen dieser Meldekaskade sind in unserem Beitrag zur NIS2-Vorfallmeldung ans BSI und zu den NIS2-Meldepflichten im Detail beschrieben. Entscheidend für die Krisenkommunikation ist die Verzahnung mit dieser Kaskade, nicht die Kaskade selbst.

Eine in der Praxis unterschätzte Regel: Was extern kommuniziert wird, darf dem BSI-Meldetext zu keinem Zeitpunkt widersprechen — unterschiedliche Zielgruppen erfordern unterschiedliche Sprache, aber dieselben Fakten. Weichen die Formulierungen an Kunden von der behördlichen Meldung ab, entsteht ein zusätzliches Haftungsrisiko, das mit dem eigentlichen Sicherheitsvorfall nichts mehr zu tun hat. Ein dokumentierter Abgleichschritt zwischen Meldetext und externer Kommunikation — als fester Punkt im Freigabeprozess, nicht als informelle Erinnerung — schließt diese Lücke in der Praxis am zuverlässigsten. Betrifft der Vorfall zusätzlich personenbezogene Daten, läuft parallel die 72-Stunden-Frist der DSGVO an die Datenschutzaufsichtsbehörde — ein zweiter Meldeadressat mit eigener Fristenlogik, der in der externen Kommunikation mitgedacht werden muss, auch wenn er nicht Gegenstand dieses Beitrags ist.

Der Krisenkommunikationsplan: Pflichtelemente nach CIR 2024/2690 und BSI-Grundsätzen

Ein NIS2-konformer Krisenkommunikationsplan ist mehr als eine Kontaktliste. Aus den drei Pflichtelementen von CIR 2024/2690 Abschnitt 4.3 und den vier externen Kommunikationsgrundsätzen des BSI [3][4] ergibt sich folgende Mindeststruktur:

• Rollenzuweisung mit Vertretungsregelung — wer entscheidet, wer formuliert, wer gibt frei, jeweils mit Stellvertreter
• Primäre und redundante Kommunikationsmittel — inklusive Ausweichkanälen für den Fall, dass das primäre System (E-Mail, Intranet) selbst kompromittiert ist
• Dokumentierte Kontaktlisten — intern (Krisenstab, Belegschaft) und extern (Behörden, Schlüsselkunden, Medienkontakte), inklusive einer Offline-Kopie
• Vorab freigegebene Textbausteine — für die wahrscheinlichsten Szenarien (Ransomware, Datenschutzvorfall, Betriebsunterbrechung), damit im Ernstfall keine neue Freigabeschleife nötig ist
• Freigabeprozess — wer muss vor Veröffentlichung zustimmen, und wie schnell kann diese Zustimmung eingeholt werden
• Regelmäßiger Test — CIR 4.3.4 verlangt ausdrücklich, den Krisenmanagementplan regelmäßig oder nach signifikanten Vorfällen beziehungsweise wesentlichen Änderungen zu testen und zu aktualisieren [3]

Ein verbreiteter Irrtum: Ein generischer Krisenkommunikationsplan aus dem PR-Bereich — ursprünglich für Produktrückrufe oder allgemeine Reputationskrisen entwickelt — deckt diese Anforderungen selten ab. Solche Vorlagen kennen in der Regel weder eine 24-Stunden-Meldefrist an eine Aufsichtsbehörde noch einen Abgleichschritt mit einem parallel laufenden behördlichen Meldetext. Wer einen bestehenden PR-Krisenplan für NIS2 weiterverwenden will, sollte ihn gezielt um genau diese beiden Punkte ergänzen, statt ihn unverändert zu übernehmen.

Rollen und Verantwortlichkeiten: Wer spricht mit wem

NIS2-Krisenkommunikation scheitert am häufigsten daran, dass technische und kommunikative Verantwortung vermischt werden. Die folgende Aufteilung hat sich in der Praxis bewährt:

Ein Beispiel aus der Praxis verdeutlicht das Zusammenspiel: Bei einem Ransomware-Vorfall bestätigt der CISO um 9:00 Uhr die Verschlüsselung mehrerer Fileserver. Bis 9:45 Uhr tagt der Krisenstab und stuft den Vorfall als meldepflichtig ein. Die Kommunikationsverantwortliche erhält daraufhin die technischen Eckdaten — nicht die vollständige forensische Analyse, sondern das, was für eine erste interne Sprachregelung ausreicht — und formuliert bis 11:00 Uhr eine interne Mitteilung an die Belegschaft. Parallel bereitet die Compliance-Abteilung die Frühwarnung ans BSI vor, die spätestens 24 Stunden nach der Kenntniserlangung um 9:00 Uhr übermittelt sein muss. Erst wenn interne Sprachregelung und BSI-Meldetext inhaltlich abgeglichen sind, entscheidet die Geschäftsführung über eine externe Stellungnahme an Kunden. Dieser zeitliche Vorlauf lässt sich nur einhalten, wenn die Rollen vorher feststehen — nicht erst während der Krise verhandelt werden.

Kommunikationsvorlagen: Was vorbereitet sein muss, bevor die Krise beginnt

Die meisten Unternehmen haben einen IT-Notfallplan — deutlich seltener existiert ein ebenso ausgearbeiteter Kommunikationsplan daneben. Die folgende Gegenüberstellung zeigt, wo die typische Lücke liegt und wie hoch der Aufwand ist, sie zu schließen:

Die Transferstelle Cybersicherheit empfiehlt zusätzlich, die Kommunikationsstrategie sowohl digital als auch in gedruckter Form vorzuhalten — ein einfacher, aber häufig übersehener Punkt, wenn die kompromittierte Infrastruktur selbst die einzige Ablage für den Krisenplan ist [5].

Fazit: Kommunikation ist der Teil des Krisenplans, der am seltensten getestet wird

Die technische Wiederherstellung nach einem Sicherheitsvorfall lässt sich in Tabletop-Übungen relativ leicht simulieren. Wer wann was zu wem sagt, wird in der Praxis dagegen selten durchgespielt — obwohl CIR 2024/2690 Abschnitt 4.3.4 genau das ausdrücklich verlangt [3]. Der pragmatischste erste Schritt ist deshalb kein neues Dokument, sondern ein Abgleich: Prüfen Sie, ob Ihr bestehender Krisenstab heute schon weiß, wer innerhalb der ersten Stunde nach einem bestätigten Vorfall das Wort führt — intern wie extern, und mit welcher Formulierung. Fehlt diese Antwort, ist das der Punkt, an dem die nächste Krisenübung ansetzen sollte, nicht bei der Technik.

Häufig gestellte Fragen

Ist ein separater Krisenkommunikationsplan gesetzlich vorgeschrieben, oder reicht der IT-Notfallplan?

§ 30 Abs. 2 Nr. 3 BSIG nennt Krisenmanagement als eigene Maßnahme neben Backup-Management und Wiederherstellung [1]. Ein reiner IT-Notfallplan ohne dokumentierte Kommunikationsrollen deckt diese Anforderung nicht ab.

Wer muss den Krisenkommunikationsplan freigeben?

Nach CIR 2024/2690 Abschnitt 4.3 muss die Rollenzuweisung für Krisensituationen dokumentiert sein [3]; in der Praxis liegt die Freigabe typischerweise bei der Geschäftsführung, da diese nach § 20 NIS2-Richtlinie die Umsetzung der Risikomanagementmaßnahmen überwacht.

Dürfen Mitarbeiter vor der BSI-Meldung überhaupt extern über den Vorfall sprechen?

Es gibt keine gesetzliche Pflicht, mit externer Kommunikation bis nach der Meldung zu warten — die 24-Stunden-Frist betrifft ausschließlich das Verhältnis zum BSI [6]. Empfehlenswert ist trotzdem eine interne Kommunikationssperre bis zur ersten Krisenstabsfreigabe, damit keine unabgestimmten oder widersprüchlichen Aussagen entstehen.

Wie oft muss der Krisenkommunikationsplan getestet werden?

CIR 2024/2690 Abschnitt 4.3.4 verlangt eine regelmäßige Überprüfung oder eine Aktualisierung nach signifikanten Vorfällen beziehungsweise wesentlichen betrieblichen Änderungen, ohne ein festes Intervall vorzugeben [3]. In der Praxis hat sich ein jährlicher Test als Mindestrhythmus etabliert, ergänzt um einen Test nach jeder wesentlichen Änderung der Krisenstabsbesetzung.

Was passiert, wenn interne und externe Kommunikation widersprüchlich sind?

Widersprüchliche Aussagen zwischen interner Sprachregelung, externer Kommunikation und BSI-Meldetext schaffen ein zusätzliches Haftungsrisiko, das über den eigentlichen Sicherheitsvorfall hinausgeht. Ein dokumentierter Abgleichschritt im Freigabeprozess ist der zuverlässigste Weg, dies zu vermeiden.

Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechts- oder Fachberatung dar. Anforderungen können je nach Rechtsraum und Unternehmenstyp variieren. Für eine auf Ihre Situation zugeschnittene Einschätzung konsultieren Sie einen qualifizierten Rechtsanwalt oder Compliance-Spezialisten.

Quellen

• [1] § 30 BSIG — Risikomanagementmaßnahmen (gesetze-im-internet.de)
• [2] Article 21 — NIS2 Directive (nis-2-directive.com)
• [3] CIR 2024/2690 — Technical and methodological requirements, Section 4.3 (advisera.com)
• [4] Krisenkommunikation — BSI IT-Grundschutz Online-Kurs Notfallmanagement (bsi.bund.de)
• [5] Cyberangriff: So gelingt die Krisenkommunikation im Notfall (transferstelle-cybersicherheit.de, BMWK-gefördert)
• [6] § 32 BSIG — Meldepflichten (gesetze-im-internet.de)
• [7] #nis2know: NIS-2 Risikomanagementmaßnahmen (bsi.bund.de)