NIS2-Krisenkommunikation: Wer was an wen kommunizieren muss – abgestimmt auf die 24-Stunden-BSI-Meldung

VonMichael Rewers
Abstraktes Konzept einer Krisenkommunikation im Cybersicherheitsnotfall, navy und rot

Ihr SOC bestätigt einen Ransomware-Befall im ERP-System. Die Frist für die frühe Erstmeldung an die gemeinsame Meldestelle von BSI und BBK – spätestens 24 Stunden nach Kenntniserlangung – läuft bereits. Aber weiß der Vertrieb, ob er die Störung am Telefon überhaupt erwähnen darf, bevor die Meldung raus ist? Weiß die Belegschaft, was sie sagen soll, wenn ein Kunde fragt? Genau an dieser Stelle scheitern viele Krisenpläne in der Praxis – nicht an der Technik, sondern an der Kommunikation.

NIS2 behandelt Krisenmanagement – und damit auch die Kommunikation in der Krise – nicht als Kür: § 30 Abs. 2 Nr. 3 BSIG nennt unter den Mindestmaßnahmen für besonders wichtige und wichtige Einrichtungen die „Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement“ [1]. Auf EU-Ebene steht dieselbe Anforderung in Artikel 21 Absatz 2 Buchstabe c der NIS2-Richtlinie [2]. Dieser Beitrag zeigt, was im Ernstfall konkret kommuniziert werden muss, wer dafür verantwortlich ist und wie Krisenkommunikation zeitlich mit der BSI-Meldepflicht zusammenpasst — als praktische Ergänzung zu unserem Grundlagenartikel zur NIS2-Business-Continuity.

Warum Krisenkommunikation zur gesetzlichen Pflicht Krisenmanagement gehört

Kurz gesagt: Krisenkommunikation ist keine PR-Kür, sondern Teil des Krisenmanagements, das Einrichtungen nach § 30 BSIG umsetzen müssen; die Einhaltung dieser Pflicht ist nach § 30 Abs. 1 Satz 3 BSIG zu dokumentieren [1]. § 30 Abs. 2 Nr. 3 BSIG nennt Krisenmanagement im selben Punkt wie Backup-Management und Notfallwiederherstellung als eine der zehn Mindestmaßnahmen [1]. Technische Detailanforderungen an den Krisenmanagementprozess enthält die europäische Durchführungsverordnung CIR 2024/2690. Sie gilt allerdings nur für bestimmte Anbieter (DNS-Diensteanbieter, TLD-Registries, Cloud, Rechenzentren, CDN, MSP/MSSP, Online-Marktplätze, Suchmaschinen, soziale Netzwerke, Vertrauensdiensteanbieter); für sie hat sie nach § 30 Abs. 3 BSIG Vorrang [1]. Für alle anderen Einrichtungen ist sie nicht verbindlich, kann aber als Orientierung dienen. Nach Anhang Nr. 4.3.2 muss der Krisenmanagementprozess mindestens drei Elemente abdecken: Rollen und Verantwortlichkeiten des Personals und, soweit angemessen, der Anbieter und Diensteanbieter; geeignete Kommunikationsmittel zwischen der Einrichtung und den zuständigen Behörden – ausdrücklich einschließlich Pflichtmeldungen und ihrer Fristen –; sowie Maßnahmen zur Aufrechterhaltung der Sicherheit von Netz- und Informationssystemen in Krisensituationen [3].

Der Unterschied zur reinen IT-Notfallwiederherstellung: Ein Recovery-Plan beantwortet die Frage „Wie bekommen wir die Systeme wieder zum Laufen?“. Ein Krisenkommunikationsplan beantwortet die davon unabhängige Frage „Wer sagt was, wann, zu wem?“ — und diese zweite Frage entscheidet in der Praxis oft maßgeblich über den Reputationsschaden. Auch die BSI-Übersichtsseite zu den NIS-2-Risikomanagementmaßnahmen führt Krisenmanagement lediglich als Teil der Maßnahme „Aufrechterhaltung des Betriebs (Business Continuity Management)“ auf und verweist für Einzelheiten auf gesonderte Infopakete [7] — wie die Kommunikation im Ernstfall konkret organisiert wird, legen Einrichtungen daher weitgehend selbst fest.

Kostenloses PDF

Lesen Sie sich gerade in NIS2 ein? Prüfen Sie Ihre Lücken direkt mit.

Die kostenlose NIS2-Selbsteinschätzung — über 90 prüfbare Punkte zu Art. 21 / § 30 BSIG. Sofort als PDF.

✓ Bitte prüfen Sie Ihr Postfach — das PDF ist unterwegs.

Interne vs. externe Kommunikation: Wer zuerst informiert wird

Bewährt hat sich, die Reihenfolge der Kommunikation vorab festzulegen. Die Transferstelle Cybersicherheit (Initiative IT-Sicherheit in der Wirtschaft des Bundeswirtschaftsministeriums) empfiehlt beispielsweise, nach dem Krisenstab die weiteren Mitarbeitenden zu informieren und erst im zweiten Schritt extern an Partner, Kunden, Dienstleister und Behörden zu kommunizieren [5]. Gesetzliche Meldungen – etwa an die gemeinsame Meldestelle von BSI und BBK – laufen unabhängig davon in ihren eigenen Fristen [6].

Reihenfolge Zielgruppe Zeitpunkt Verantwortlich
1 Krisenstab / IT-Sicherheitsverantwortliche Sofort bei begründetem Verdacht CISO / IT-Leitung
2 Geschäftsführung Erste Krisenstabssitzung Krisenstabsleitung
3 Belegschaft (intern, unternehmensweit) Vor jeder externen Kommunikation Kommunikationsverantwortliche
parallel Behörden (Meldestelle BSI/BBK, ggf. Datenschutzaufsicht) Innerhalb der gesetzlichen Fristen (§ 32 BSIG, Art. 33 DSGVO) Compliance / Rechtsabteilung
4 Direkt Betroffene (Kunden, Vertragspartner) Nach Freigabe durch den Krisenstab; bei BSI-Anordnung nach § 35 BSIG unverzüglich Kommunikationsverantwortliche / Compliance
5 Öffentlichkeit / Medien Nur bei Bedarf, nach interner Freigabe Unternehmenskommunikation / Geschäftsführung

Der Grund für diese Reihenfolge ist praktisch, nicht nur protokollarisch: Erfährt die eigene Belegschaft aus der Presse vom Angriff auf das eigene Unternehmen, verlieren Sie die Kontrolle über die interne Faktenlage — und riskieren, dass unabgestimmte Aussagen nach außen dringen, bevor der Sachverhalt geklärt ist. Für die externe Kommunikation selbst nennt der Online-Kurs Notfallmanagement des BSI vier Regeln, an denen sich jede Formulierung messen lassen sollte: rechtzeitig informieren (wer wesentliche Sachverhalte zu lange verschweigt, gefährdet die eigene Reputation), wahrheitsgemäß informieren (nicht jedes Detail muss berichtet werden, das Gesagte muss aber stimmen), sachlich informieren (Spekulationen vermeiden) und verständlich informieren (zu viele Details erschweren das Verständnis) [4].

Eskalationswege: Vom Erstverdacht zum Krisenstab

Eskalation ist der Mechanismus, der Kommunikation überhaupt erst auslöst — ohne klar definierte Schwellenwerte bleibt jede Krisenkommunikationsplanung Theorie. Ein praxisübliches Modell arbeitet mit vier Stufen; die Reaktionszeiten in der Tabelle sind Orientierungswerte, keine gesetzlichen Vorgaben.

Stufe Auslöser Wer wird aktiviert Typische Reaktionszeit
1 — Verdacht SOC/IT-Monitoring meldet Anomalie IT-Sicherheitsverantwortliche Minuten
2 — Bestätigung Vorfall als sicherheitsrelevant eingestuft Krisenstab (Kernteam) Unter 1 Stunde
3 — Einordnung Prüfung, ob ein erheblicher Sicherheitsvorfall (§ 2 Nr. 11 BSIG) vorliegt und damit die Meldepflicht nach § 32 BSIG greift Geschäftsführung, Compliance/Recht Innerhalb weniger Stunden
4 — Externe Kommunikation Meldepflicht ausgelöst oder Unterrichtung von Betroffenen erforderlich Compliance/Recht (Meldung), Unternehmenskommunikation, Geschäftsführung Frühe Erstmeldung spätestens 24 Stunden nach Kenntniserlangung; externe Kommunikation nach Freigabe

Für die von CIR 2024/2690 erfassten Anbieter verlangt Anhang Nr. 4.3.2 ausdrücklich, dass bei der Zuweisung der Rollen in Krisensituationen auch spezifische zu befolgende Schritte festgelegt werden — nicht nur, wer zuständig ist, sondern was diese Person tut [3]. Für andere Einrichtungen ist das eine sinnvolle Orientierung. In der Praxis bedeutet das: Jede Eskalationsstufe braucht eine benannte Person mit Vertretungsregelung, nicht nur eine Funktionsbezeichnung.

Was als meldepflichtig gilt, ist dabei keine Ermessensfrage im luftleeren Raum: Erheblich ist ein Sicherheitsvorfall nach § 2 Nr. 11 BSIG, wenn er schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann oder andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann [8]. Für die von der CIR erfassten Anbieter konkretisieren Art. 3 und 4 CIR 2024/2690 die Schwellen, etwa einen direkten finanziellen Verlust von mehr als 500.000 Euro oder 5 % des Jahresumsatzes, je nachdem, welcher Betrag niedriger ist [3]. § 32 Abs. 1 BSIG knüpft die Fristen an die Kenntniserlangung von einem erheblichen Sicherheitsvorfall [6] — nicht an eine abgeschlossene forensische Analyse. Übertragen auf die Eskalationsstufen bedeutet das: Stufe 2 (Bestätigung) darf nicht auf einen vollständigen Untersuchungsbericht warten, sondern muss bereits bei plausiblen ersten Anhaltspunkten auslösen — sonst verstreicht wertvolle Zeit innerhalb der 24-Stunden-Frist, bevor überhaupt mit der Kommunikationsvorbereitung begonnen wird.

Abstimmung mit der BSI-Meldung: Kommunikation und Meldefristen im Gleichschritt

Die Meldepflicht nach § 32 BSIG richtet sich an die gemeinsame Meldestelle von BSI und BBK (Meldeweg: BSI-Portal) und ist gestuft: eine frühe Erstmeldung unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung (Abs. 1 Nr. 1); eine Meldung mit einer ersten Bewertung des Vorfalls einschließlich Schweregrad und Auswirkungen spätestens innerhalb von 72 Stunden (Nr. 2); auf Ersuchen des BSI eine Zwischenmeldung (Nr. 3); und spätestens einen Monat nach der Meldung nach Nr. 2 eine Abschlussmeldung (Nr. 4) — dauert der Vorfall dann noch an, stattdessen eine Fortschrittsmeldung (Abs. 2) [6]. Die genauen Inhalte und Fristen dieser Meldekaskade sind in unserem Beitrag zur NIS2-Vorfallmeldung ans BSI und zu den NIS2-Meldepflichten im Detail beschrieben. Entscheidend für die Krisenkommunikation ist die Verzahnung mit dieser Kaskade, nicht die Kaskade selbst.

Zeitpunkt Meldepflicht-Ereignis Parallele Kommunikationsaufgabe
T+0 Kenntniserlangung von einem erheblichen Sicherheitsvorfall Interne Erstinformation an Krisenstab, Kommunikationssperre nach außen
Bis T+24h Frühe Erstmeldung an die Meldestelle (§ 32 Abs. 1 Nr. 1 BSIG) Internes Fact-Sheet fertigstellen, Sprachregelung für Belegschaft freigeben
Bis T+72h Meldung mit erster Bewertung (Nr. 2) Entscheidung über externe Kommunikation an Kunden/Partner treffen
Auf Ersuchen des BSI Zwischenmeldung (Nr. 3) Sprachregelungen an neue Erkenntnisse anpassen
Bis 1 Monat nach der Meldung (Nr. 2) Abschlussmeldung (Nr. 4) bzw. Fortschrittsmeldung (Abs. 2) Abschließende externe Kommunikation, Lessons Learned dokumentieren

Eine in der Praxis unterschätzte Regel: Was extern kommuniziert wird, darf dem BSI-Meldetext zu keinem Zeitpunkt widersprechen — unterschiedliche Zielgruppen erfordern unterschiedliche Sprache, aber dieselben Fakten. Weichen die Formulierungen an Kunden von der behördlichen Meldung ab, kann ein zusätzliches rechtliches und Reputationsrisiko entstehen, das mit dem eigentlichen Sicherheitsvorfall nichts mehr zu tun hat. Ein dokumentierter Abgleichschritt zwischen Meldetext und externer Kommunikation — als fester Punkt im Freigabeprozess, nicht als informelle Erinnerung — schließt diese Lücke in der Praxis am zuverlässigsten. Betrifft der Vorfall zusätzlich personenbezogene Daten, ist die Verletzung nach Art. 33 DSGVO unverzüglich und möglichst binnen 72 Stunden der Datenschutzaufsichtsbehörde zu melden, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Betroffenen; bei voraussichtlich hohem Risiko sind nach Art. 34 DSGVO zusätzlich die betroffenen Personen unverzüglich zu benachrichtigen [9] — ein zweiter Meldeweg mit eigener Fristenlogik, der in der externen Kommunikation mitgedacht werden sollte.

Zwei weitere Kommunikationspflichten gehören in den Plan: Nach § 35 Abs. 1 BSIG kann das BSI im Fall eines erheblichen Sicherheitsvorfalls anordnen, dass Einrichtungen die Empfänger ihrer Dienste unverzüglich über den Vorfall unterrichten, wenn er die Erbringung des Dienstes beeinträchtigen könnte; die Unterrichtung kann auch über die eigene Internetseite erfolgen [10]. Einrichtungen aus den Sektoren Finanzwesen, Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende, digitale Infrastruktur, Verwaltung von IKT-Diensten und Digitale Dienste müssen nach § 35 Abs. 2 BSIG zudem die potenziell von einer erheblichen Cyberbedrohung betroffenen Empfänger ihrer Dienste und das BSI unverzüglich über mögliche Abhilfemaßnahmen und über die Bedrohung selbst informieren — soweit in der Abwägung die Interessen der Empfänger überwiegen [10]. Eine darüber hinausgehende feste Frist, Kunden binnen einer bestimmten Stundenzahl zu informieren, enthält das BSIG nicht. Für börsennotierte Emittenten kann ein schwerwiegender Vorfall außerdem eine Insiderinformation sein, die nach Art. 17 der Marktmissbrauchsverordnung (MAR) so bald wie möglich zu veröffentlichen ist [11] — das ist im Einzelfall rechtlich zu prüfen.

Der Krisenkommunikationsplan: Elemente nach CIR 2024/2690 und BSI-Grundsätzen

Ein belastbarer Krisenkommunikationsplan ist mehr als eine Kontaktliste. Orientiert man sich an den drei Elementen aus Anhang Nr. 4.3.2 CIR 2024/2690 (für die erfassten Anbieter verbindlich) und an den vier Regeln für externe Kommunikation aus dem BSI-Online-Kurs [3][4], ergibt sich folgende sinnvolle Struktur:

  • Rollenzuweisung mit Vertretungsregelung — wer entscheidet, wer formuliert, wer gibt frei, jeweils mit Stellvertreter
  • Primäre und redundante Kommunikationsmittel — inklusive Ausweichkanälen für den Fall, dass das primäre System (E-Mail, Intranet) selbst kompromittiert ist
  • Dokumentierte Kontaktlisten — intern (Krisenstab, Belegschaft) und extern (Behörden, Schlüsselkunden, Medienkontakte), inklusive einer Offline-Kopie
  • Vorab freigegebene Textbausteine — für die wahrscheinlichsten Szenarien (Ransomware, Datenschutzvorfall, Betriebsunterbrechung), damit im Ernstfall keine neue Freigabeschleife nötig ist
  • Freigabeprozess — wer muss vor Veröffentlichung zustimmen, und wie schnell kann diese Zustimmung eingeholt werden
  • Regelmäßiger Test — für CIR-Einrichtungen verlangt Anhang Nr. 4.3.4, den Krisenmanagementplan in geplanten Zeitabständen oder nach erheblichen Sicherheitsvorfällen oder wesentlichen Änderungen der Betriebsabläufe oder Risiken zu testen und, soweit angemessen, zu aktualisieren [3]; für andere Einrichtungen ist das gute Praxis

Ein verbreiteter Irrtum: Ein generischer Krisenkommunikationsplan aus dem PR-Bereich — ursprünglich für Produktrückrufe oder allgemeine Reputationskrisen entwickelt — deckt diese Anforderungen selten ab. Solche Vorlagen kennen in der Regel weder eine 24-Stunden-Meldefrist an eine Aufsichtsbehörde noch einen Abgleichschritt mit einem parallel laufenden behördlichen Meldetext. Wer einen bestehenden PR-Krisenplan für NIS2 weiterverwenden will, sollte ihn gezielt um genau diese beiden Punkte ergänzen, statt ihn unverändert zu übernehmen.

Rollen und Verantwortlichkeiten: Wer spricht mit wem

NIS2-Krisenkommunikation scheitert am häufigsten daran, dass technische und kommunikative Verantwortung vermischt werden. Die folgende Aufteilung hat sich in der Praxis bewährt:

Rolle Verantwortung in der Krisenkommunikation Sollte NICHT tun
CISO / IT-Sicherheitsverantwortliche Technische Fakten liefern, Schweregrad einschätzen, Krisenstab technisch briefen Nicht selbst gegenüber Medien oder Kunden kommunizieren
Kommunikationsverantwortliche Externe Botschaften formulieren, Textbausteine pflegen, Medienanfragen bündeln Nicht ohne Freigabe des Krisenstabs technische Details bestätigen oder dementieren
Compliance-Beauftragte / Rechtsabteilung Abgleich zwischen BSI-Meldetext und externer Kommunikation, Fristenüberwachung Nicht die frühe Erstmeldung (24 Stunden) wegen unvollständiger externer Formulierungen verzögern
Geschäftsführung Freigabe strategischer Aussagen, Eskalationsentscheidung für Stufe 4 Nicht ohne Rücksprache mit IT-Sicherheit und Recht öffentlich Stellung beziehen

Ein Beispiel aus der Praxis verdeutlicht das Zusammenspiel: Bei einem Ransomware-Vorfall bestätigt der CISO um 9:00 Uhr die Verschlüsselung mehrerer Fileserver. Bis 9:45 Uhr tagt der Krisenstab und stuft den Vorfall als meldepflichtig ein. Die Kommunikationsverantwortliche erhält daraufhin die technischen Eckdaten — nicht die vollständige forensische Analyse, sondern das, was für eine erste interne Sprachregelung ausreicht — und formuliert bis 11:00 Uhr eine interne Mitteilung an die Belegschaft. Parallel bereitet die Compliance-Abteilung die frühe Erstmeldung an die Meldestelle von BSI und BBK vor, die unverzüglich, spätestens aber 24 Stunden nach der Kenntniserlangung um 9:00 Uhr übermittelt sein muss. Erst wenn interne Sprachregelung und BSI-Meldetext inhaltlich abgeglichen sind, entscheidet die Geschäftsführung über eine externe Stellungnahme an Kunden. Dieser zeitliche Vorlauf lässt sich nur einhalten, wenn die Rollen vorher feststehen — nicht erst während der Krise verhandelt werden.

Kommunikationsvorlagen: Was vorbereitet sein muss, bevor die Krise beginnt

Die meisten Unternehmen haben einen IT-Notfallplan — deutlich seltener existiert ein ebenso ausgearbeiteter Kommunikationsplan daneben. Die folgende Gegenüberstellung zeigt, wo die typische Lücke liegt und wie hoch der Aufwand ist, sie zu schließen:

Meist bereits vorhanden Für NIS2-konforme Krisenkommunikation zusätzlich nötig Aufwand
IT-Notfallplan (technische Wiederherstellung) Separater Krisenkommunikationsplan mit eigenen Rollen Mittel
Allgemeine Pressekontakte Vorab freigegebene Textbausteine für Ransomware- und Datenschutzszenarien Niedrig
Interne Eskalationsliste Kontaktliste inklusive Ausweichkanälen bei kompromittierter Primär-IT Niedrig bis mittel
Meldeprozess ans BSI Dokumentierter Abgleichschritt zwischen Meldetext und externer Kommunikation Mittel
Ad-hoc-Krisenstab Regelmäßige Tests des Kommunikationsplans (für CIR-Einrichtungen: Anhang Nr. 4.3.4) Hoch

Die Transferstelle Cybersicherheit empfiehlt zusätzlich, die Kommunikationsstrategie sowohl digital als auch in gedruckter Form vorzuhalten — ein einfacher, aber häufig übersehener Punkt, wenn die kompromittierte Infrastruktur selbst die einzige Ablage für den Krisenplan ist [5].

Fazit: Kommunikation ist der Teil des Krisenplans, der am seltensten getestet wird

Die technische Wiederherstellung nach einem Sicherheitsvorfall lässt sich in Tabletop-Übungen relativ leicht simulieren. Wer wann was zu wem sagt, wird in der Praxis dagegen selten durchgespielt — obwohl CIR 2024/2690 (Anhang Nr. 4.3.4) für die erfassten Anbieter regelmäßige Tests des Krisenmanagementplans ausdrücklich verlangt [3]. Der pragmatischste erste Schritt ist deshalb kein neues Dokument, sondern ein Abgleich: Prüfen Sie, ob Ihr bestehender Krisenstab heute schon weiß, wer innerhalb der ersten Stunde nach einem bestätigten Vorfall das Wort führt — intern wie extern, und mit welcher Formulierung. Fehlt diese Antwort, ist das der Punkt, an dem die nächste Krisenübung ansetzen sollte, nicht bei der Technik.

Häufig gestellte Fragen

Ist ein separater Krisenkommunikationsplan gesetzlich vorgeschrieben, oder reicht der IT-Notfallplan?

Ein eigenständiges Dokument namens „Krisenkommunikationsplan“ schreibt das BSIG nicht vor. § 30 Abs. 2 Nr. 3 BSIG nennt aber Krisenmanagement neben Backup-Management und Wiederherstellung [1]. Ein reiner IT-Notfallplan ohne festgelegte Kommunikationsrollen bildet das Krisenmanagement in der Regel nur unvollständig ab; ob die Kommunikationsregeln in einem eigenen Plan oder im Krisenmanagementplan stehen, bleibt der Einrichtung überlassen.

Wer muss den Krisenkommunikationsplan freigeben?

Eine ausdrückliche Freigabepflicht für einen Krisenkommunikationsplan enthält das BSIG nicht. Nach § 38 Abs. 1 BSIG sind die Geschäftsleitungen jedoch verpflichtet, die Risikomanagementmaßnahmen nach § 30 – und damit auch das Krisenmanagement – umzusetzen und ihre Umsetzung zu überwachen [12]. In der Praxis liegt die Freigabe des Plans deshalb typischerweise bei der Geschäftsleitung. Für CIR-Einrichtungen muss der Krisenmanagementprozess zudem die Zuweisung der Rollen in Krisensituationen festlegen (Anhang Nr. 4.3.2) [3].

Dürfen Mitarbeiter vor der BSI-Meldung überhaupt extern über den Vorfall sprechen?

Das BSIG verbietet externe Kommunikation vor der Meldung nicht; die Fristen des § 32 BSIG betreffen die Meldung an die gemeinsame Meldestelle von BSI und BBK [6]. Eigene Kommunikationspflichten können sich zusätzlich aus einer BSI-Anordnung nach § 35 BSIG, aus Art. 34 DSGVO oder – bei börsennotierten Emittenten – aus Art. 17 MAR ergeben [9][10][11]. Empfehlenswert ist trotzdem eine interne Kommunikationssperre bis zur ersten Krisenstabsfreigabe, damit keine unabgestimmten oder widersprüchlichen Aussagen entstehen.

Wie oft muss der Krisenkommunikationsplan getestet werden?

Das BSIG nennt kein Testintervall. Für CIR-Einrichtungen verlangt Anhang Nr. 4.3.4 Tests in geplanten Zeitabständen sowie nach erheblichen Sicherheitsvorfällen oder wesentlichen Änderungen der Betriebsabläufe oder Risiken, ohne ein festes Intervall vorzugeben [3]. Ein mindestens jährlicher Test ist ein verbreiteter Orientierungswert, aber keine gesetzliche Vorgabe; sinnvoll ist zusätzlich ein Test nach jeder wesentlichen Änderung der Krisenstabsbesetzung.

Was passiert, wenn interne und externe Kommunikation widersprüchlich sind?

Widersprüchliche Aussagen zwischen interner Sprachregelung, externer Kommunikation und BSI-Meldetext können ein zusätzliches rechtliches und Reputationsrisiko schaffen, das über den eigentlichen Sicherheitsvorfall hinausgeht. Ein dokumentierter Abgleichschritt im Freigabeprozess ist der zuverlässigste Weg, dies zu vermeiden.

Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechts- oder Fachberatung dar. Anforderungen können je nach Rechtsraum und Unternehmenstyp variieren. Für eine auf Ihre Situation zugeschnittene Einschätzung konsultieren Sie einen qualifizierten Rechtsanwalt oder Compliance-Spezialisten.

Quellen

Ihr nächster Schritt

Sie kennen jetzt die Anforderungen. Wissen Sie, welche Nachweise Ihnen noch fehlen?

Die kostenlose NIS2-Selbsteinschätzung — über 90 prüfbare Punkte zu Art. 21 / § 30 BSIG. Sofort als PDF.

✓ Bitte prüfen Sie Ihr Postfach — das PDF ist unterwegs.

Ähnliche Beiträge