NIS2 Geschäftskontinuität-Paket

Beschreibung

Sie haben schon einen Kontinuitätsplan. Der nächste Ausfall fragt nicht danach — er fragt nach einer dokumentierten Business-Impact-Analyse, einer Wiederherstellungsstrategie, einem Krisenmanagementplan und einem getesteten Disaster-Recovery-Plan, alles zugeordnet zu Art. 21(2)(c) NIS2 und § 30 Abs. 2 Nr. 3 BSIG. Das Geschäftskontinuität-Paket liefert Ihnen einen durchgängigen BCM-Dokumentationspfad, den ein Prüfer Schritt für Schritt nachvollziehen kann: von der BIA-Methodik bis zum Disaster-Recovery-Plan — editierbar, auf Deutsch, sofort einsatzbereit.

Der Ausfall wartet nicht, bis Sie einen Plan geschrieben haben

§ 30 Abs. 2 Nr. 3 BSIG verpflichtet besonders wichtige und wichtige Einrichtungen zu Maßnahmen zur „Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement“ — wortgleich mit Art. 21(2)(c) NIS2. Konkreter wird die Durchführungsverordnung (EU) 2024/2690 (Anhang Nr. 4.1–4.3): Sie verlangt eine Analyse der betrieblichen Auswirkungen (BIA), einen Notfallplan mit Wiederherstellungszielen, Rollen und Aktivierungsbedingungen, Backup-Pläne mit Wiederherstellungszeiten, ein Krisenmanagementverfahren — und regelmäßige Tests. Verbindlich ist sie nur für die elf in § 30 Abs. 3 BSIG genannten Einrichtungsarten (u. a. Cloud-, Rechenzentrums- und Managed-Service-Anbieter); allen anderen Einrichtungen dient sie als Orientierung. Die Einhaltung ist nach § 30 Abs. 1 Satz 3 BSIG zu dokumentieren.

Aber hier ist Ihr eigentliches Problem: Ein Ausfall wartet nicht, bis Sie das richtige Dokument gefunden haben. Sie spüren es vor allen anderen — wenn die Störung eintritt und Sie keinen getesteten, belegten Plan haben, liegt die Wiederherstellung bei Ihnen. Und danach die Frage des Prüfers. Sie haben wahrscheinlich schon eine Art Kontinuitätsplan, wie die meisten Unternehmen. Was oft fehlt, ist die dokumentierte Kette, die ein Prüfer nachvollziehen will: eine BIA-Methodik, die Ihre Wiederherstellungsprioritäten begründet, eine Strategie, die diese Prioritäten mit Ressourcenentscheidungen verknüpft, operative Pläne für Kontinuität und Krise — und ein eigenständiger Disaster-Recovery-Plan für Ihre IT-Systeme. Ohne diese Kette sieht ein Prüfer einzelne Dateien, kein Programm. Und Sie sollten Ihren Wiederherstellungsplan nicht zum ersten Mal schreiben, wenn die Systeme schon ausgefallen sind.

Die finanzielle Risikolage ist eindeutig: Wer § 30-Maßnahmen nicht ergreift oder nicht dokumentiert, riskiert nach § 65 BSIG Bußgelder von bis zu 10 Millionen Euro (besonders wichtige Einrichtungen) bzw. bis zu 7 Millionen Euro (wichtige Einrichtungen) — bei mehr als 500 Millionen Euro Gesamtumsatz bis zu 2 % bzw. 1,4 % des weltweiten Umsatzes. Hinzu kommen die Haftung der Geschäftsleitung gegenüber der eigenen Einrichtung nach § 38 Abs. 2 BSIG (nach Gesellschaftsrecht) und, bei besonders wichtigen Einrichtungen, die Möglichkeit, dass das BSI die Veröffentlichung von Verstößen anordnet (§ 61 Abs. 8 BSIG). Diese sieben Kern-Vorlagen geben Ihnen das Gerüst für den BCM-Dokumentationspfad.

Sie sind nicht die Ersten, die vor dieser Lücke stehen — das bekommen Sie

Wenn Sie schon einmal auf einen halbfertigen Business-Continuity-Plan gestarrt haben und sich gefragt haben, ob er einen echten Ausfall überstehen würde — geschweige denn eine Prüfung —, sind Sie in guter Gesellschaft. Genau diese Lücke zwischen „wir haben einen Plan“ und „wir können ein getestetes Programm nachweisen“ schließt dieses Paket als Ihr Wegweiser. Sie erhalten die Kerndokumente für ein Kontinuitätsprogramm, das sich an Art. 21(2)(c) NIS2 und § 30 Abs. 2 Nr. 3 BSIG orientiert — mit vorbereiteten Tabellen und rot markierten Platzhaltern, die Sie mit Ihren eigenen Prozessen, RTO/RPO-Werten und Verantwortlichen füllen.

Ihre 7 Kern-Vorlagen, von der BIA bis zum Disaster-Recovery-Plan

Zusammen bilden diese sieben Dokumente das Gerüst eines Kontinuitätsprogramms: Sie analysieren die Geschäftsauswirkung → definieren die Wiederherstellungsstrategie → dokumentieren operative Pläne → bereiten sich auf Krisenszenarien vor → planen die IT-Wiederherstellung → stellen sicher, dass Backups jedes Wiederherstellungsziel stützen. Jede Ebene baut auf der vorherigen auf, sodass der Prüfer Ihrer Logik von der Begründung bis zur Umsetzung lückenlos folgen kann. Ihr Download enthält zusätzlich 2 System-Anleitungen (Master-Map, Abhängigkeits-Map) — 9 Dateien insgesamt.

So kommen Sie in drei Schritten zu einer nachvollziehbaren BCM-Dokumentation

1. Sofort herunterladen — Sie haben alle 9 Dateien in dem Moment, in dem die Zahlung bestätigt ist, ohne Wartezeit.
2. Rot markierte Felder ausfüllen — Sie ersetzen die markierten Platzhalter durch Ihre Prozesse, RTO/RPO-Werte und Teams; die Struktur steht bereits.
3. Programm belegen — Sie verfügen über eine zusammenhängende Kette von der BIA bis zum DR-Plan, mit der Sie die Dokumentation nach § 30 Abs. 1 Satz 3 BSIG belegen können — etwa wenn das BSI Nachweise anfordert oder Sie als Betreiber kritischer Anlagen Nachweise nach § 39 BSIG erbringen.

Auf welche Vorschriften sich diese Dokumente beziehen

Wer das Geschäftskontinuität-Paket nutzt

IT-Leiter und BCM-Beauftragte in besonders wichtigen und wichtigen Einrichtungen — die eine praxistaugliche BCM-Dokumentation von der BIA bis zum getesteten DR-Plan aufbauen wollen, orientiert an § 30 Abs. 2 Nr. 3 BSIG und nachvollziehbar für Prüfer.

Compliance-Manager und externe Berater — die Unternehmen bei der NIS2-Implementierung unterstützen und editierbare DOCX- und XLSX-Vorlagen benötigen, die sie an das Kundenprofil anpassen können, ohne BCM-Dokumentation von Grund auf neu zu entwickeln.

Geschäftsführer und Vorstände — die nach § 38 Abs. 1 BSIG die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen müssen. Dok. 37 enthält ein Freigabefeld für die Geschäftsleitung und einen regelmäßigen Überprüfungszyklus, mit dem sich diese Überwachung dokumentieren lässt.

Häufige Fragen zum Geschäftskontinuität-Paket

Sind diese Vorlagen Rechtsberatung?

Nein. Diese Vorlagen sind allgemeine Muster als Ausgangspunkt für Ihre BCM-Dokumentation. Sie stellen keine Rechtsberatung dar. Lassen Sie jedes Dokument vor der Verwendung von einem qualifizierten Fachmann prüfen — unter Berücksichtigung Ihrer Branche, Ihres Standorts und Ihrer Organisationsstruktur.

Muss der Business-Continuity-Plan vor der BSI-Registrierung getestet sein?

Nein — die Registrierung nach § 33 BSIG hängt nicht von einem BCM-Test ab. § 30 Abs. 1 BSIG verlangt aber wirksame Maßnahmen, und § 30 Abs. 2 Nr. 6 BSIG Verfahren zur Bewertung ihrer Wirksamkeit. Für die Einrichtungsarten der CIR 2024/2690 schreibt Anhang Nr. 4.1.4 ausdrücklich vor, die Pläne in geplanten Abständen zu testen. Dok. 64 (DR-Plan) enthält dazu einen Testplan mit Testarten und -häufigkeiten sowie eine Checkliste, was je Test zu dokumentieren ist.

Was ist der Unterschied zwischen Business-Continuity-Plan (Dok. 38) und Krisenmanagementplan (Dok. 39)?

Der Business-Continuity-Plan (Dok. 38) konzentriert sich auf die Aufrechterhaltung kritischer Geschäftsprozesse bei Störungen — wer tut was, um den Betrieb zu sichern. Der Krisenmanagementplan (Dok. 39) konzentriert sich auf die Führungsstruktur während schwerwiegender Ereignisse: Krisenstabsaktivierung, Kommunikationsketten und Entscheidungsbefugnisse. Das Gesetz schreibt keine bestimmte Aufteilung in Dokumente vor; beide Pläne ergänzen sich.

Muss die BIA extern beauftragt werden, oder können wir sie intern durchführen?

Weder NIS2 noch das BSIG schreiben eine externe Beauftragung vor. Dok. 35 (BIA-Methodik) und Dok. 36 (BIA-Fragebogen) sind so gestaltet, dass interne Teams die Analyse mit Unterstützung der Fachabteilungen selbst durchführen können. Viele mittelständische Unternehmen führen die BIA intern durch und lassen das Ergebnis von einem externen Berater validieren.

Gilt das Paket auch für Einrichtungen ohne eigenes Rechenzentrum?

Ja. Auch wenn IT-Infrastruktur in der Cloud oder bei externen Dienstleistern betrieben wird, bleibt die Einrichtung für ihre Maßnahmen nach § 30 BSIG verantwortlich. Die Vorlagen berücksichtigen Cloud- und Drittanbieter-Szenarien und können entsprechend angepasst werden. Lieferketten- und Dienstleisterrisiken werden im Lieferketten-Paket gesondert behandelt.

Sind Updates enthalten?

Ja. Ihr Kauf umfasst 12 Monate Updates. Sobald sich EU-Vorgaben weiterentwickeln — neue ENISA-Veröffentlichungen, Änderungen des BSIG oder BSI-Auslegungen — laden Sie aktualisierte Vorlagen kostenlos herunter.

Was ist, wenn eine Vorlage nicht zu meinem Unternehmen passt?

Dafür gibt es die 30-Tage-Zusage: Passt eine Vorlage nicht zu Ihrer Compliance-Umgebung — oder benötigen Sie ein Dokument außerhalb des Standardumfangs — schreiben Sie uns innerhalb von 30 Tagen, und wir aktualisieren oder ergänzen es. Sie behalten in jedem Fall alles. Eine rechtliche Prüfung Ihres Einzelfalls ist nicht enthalten.

Dokumentieren Sie Ihre Ausfallvorsorge, bevor der Ernstfall eintritt

Der nächste Ausfall hält sich nicht an Ihren Zeitplan — Sie wollen Ihren Wiederherstellungsplan nicht erst schreiben, wenn er schon da ist. Mit dem Geschäftskontinuität-Paket erhalten Sie 7 editierbare, rechtlich zugeordnete Kern-Vorlagen (plus 2 System-Anleitungen), die sich an Art. 21(2)(c) NIS2 und § 30 Abs. 2 Nr. 3 BSIG orientieren — von der BIA-Methodik über das Krisenmanagement bis zum Disaster-Recovery-Plan. Laden Sie noch heute herunter, füllen Sie die rot markierten Felder aus, und Sie haben ein Kontinuitätsprogramm, das für Prüfer nachvollziehbar dokumentiert ist — bereit, bevor es getestet wird, nicht danach.