Kurz gesagt: Ein IT-Notfallplan beantwortet drei Fragen, bevor der Ernstfall eintritt: Wer entscheidet, wen rufen wir an, und in welcher Reihenfolge fahren wir wieder hoch. Das BSI stellt dafür kostenlose Vorlagen bereit, darunter ein Notfallhandbuch, einen Geschäftsfortführungsplan und die IT-Notfallkarte zum Aushängen. Nach einer forsa-Befragung im Auftrag des GDV vom 22. September 2025 haben 48 Prozent der kleinen und mittleren Unternehmen keinen Notfallplan.
Wenn es gerade brennt: Unser IT-Notdienst in Osnabrück hilft sofort per Fernwartung, bei Bedarf kommt ein Techniker vor Ort.
Der Standard dahinter: BSI 200-4
Das Bundesamt für Sicherheit in der Informationstechnik hat am 14. Juni 2023 den BSI-Standard 200-4 Business Continuity Management veröffentlicht. Er modernisiert den älteren Standard 100-4 Notfallmanagement, der weiterhin anwendbar bleibt.
Für den Mittelstand entscheidend ist das Stufenmodell. Sie müssen nicht mit dem vollständigen Managementsystem anfangen:
- Reaktiv-BCMS: der schnellste Einstieg für Organisationen, die sich möglichst zügig in die Lage versetzen wollen, angemessen auf Notfälle zu reagieren. Es priorisiert ausgewählte zeitkritische Prozesse.
- Aufbau-BCMS: analysiert einen Ausschnitt näher und wird schrittweise erweitert. Gedacht für Organisationen mit wenig Vorerfahrung.
- Standard-BCMS: das vollständige System, das zur Zertifizierung nach ISO 22301 befähigt.
Für ein Unternehmen mit 20 bis 80 Arbeitsplätzen ist das Reaktiv-BCMS der realistische Startpunkt.
Die drei Kennzahlen, die alles steuern
Bevor Sie Technik planen, brauchen Sie Zahlen. Das BSI definiert dafür im Rahmen der Business-Impact-Analyse, also der Analyse potenzieller direkter und indirekter Folgeschäden:
- Maximal tolerierbare Ausfallzeit (MTA): die Zeit, bei deren Überschreitung die Lebensfähigkeit des Prozesses oder der Institution mittel- bis langfristig ernsthaft bedroht ist.
- Wiederanlaufzeit (RTO): die Zeit, die der Wiederanlauf eines Prozesses oder der benötigten Ressourcen braucht. Sie muss kleiner sein als die maximal tolerierbare Ausfallzeit.
- Wiederanlaufpunkt (RPO): der maximal hinnehmbare Datenverlust, gemessen als Zeitspanne zwischen der letzten verwertbaren Sicherung und dem Schadenszeitpunkt. Dieser Begriff stammt aus der Normenwelt rund um ISO 22301, nicht aus dem BSI-Glossar.
In der Praxis reicht ein Gespräch von zwei Stunden, um für die fünf wichtigsten Prozesse festzuhalten: Wie lange können wir ohne auskommen, und wie viele Stunden Arbeit dürfen verloren gehen? Erst danach lässt sich beurteilen, ob ein nächtliches Backup genügt oder nicht.
Was das BSI kostenlos bereitstellt
Sie müssen nichts von null schreiben. Das BSI und die Allianz für Cyber-Sicherheit stellen fertige Dokumente bereit:
- Dokumentenvorlage Notfallhandbuch (Version 2, Stand 29. Juni 2021). Es enthält alle Informationen, die während und für die Notfall- und Krisenbewältigung gebraucht werden, inklusive der besonderen Aufbauorganisation.
- Dokumentenvorlage Geschäftsfortführungsplan (Version 1, Stand 31. August 2021) sowie eine eigene Vorlage für den Wiederanlaufplan.
- IT-Notfallkarte „Verhalten bei IT-Notfällen“ im Format DIN A4, gedacht als Aushang analog zur Brandschutzordnung, wahlweise mit Platz für Ihr Logo, verfügbar in zehn Sprachen.
- Maßnahmenkatalog zum Notfallmanagement, Fokus IT-Notfälle (Stand 18. Juni 2024), gegliedert in die vier Phasen Vorbereitung, Bereitschaft, Bewältigung und Nachbereitung. Adressiert ausdrücklich Geschäftsführende und IT-Verantwortliche in kleineren und mittleren Betrieben.
- One-Pager „Einstieg ins IT-Notfallmanagement für KMU“ (18. Mai 2021), der die Kernmaßnahmen auf eine Seite verdichtet.
- TOP 12 Maßnahmen bei Cyber-Angriffen, ausdrücklich für IT-Verantwortliche in kleinen und mittleren Unternehmen.
Im IT-Grundschutz-Kompendium behandelt der Baustein DER.4 Notfallmanagement das Thema. Er ist einmalig auf den gesamten Informationsverbund anzuwenden und hat zwei Standard-Anforderungen: DER.4.A1 Erstellung eines Notfallhandbuchs und DER.4.A2 Integration von Notfallmanagement und Informationssicherheitsmanagement.
Was mindestens im Plan stehen muss
Unabhängig von der gewählten Stufe sollte Ihr Dokument diese Punkte beantworten, und zwar so, dass es auch jemand versteht, der nachts um halb elf allein im Büro steht:
- Wer ruft wen an. Namen, Mobilnummern, Vertretungen. Auf Papier, weil das Telefonverzeichnis im Ausfall womöglich nicht erreichbar ist.
- Wer entscheidet, dass ein Notfall vorliegt, und wer darf Systeme abschalten.
- Was zuerst wieder laufen muss, in belegter Reihenfolge nach der Business-Impact-Analyse.
- Wo die Zugangsdaten liegen, die im Ernstfall gebraucht werden, und wer außer der IT sie erreicht.
- Wie kommuniziert wird, intern und gegenüber Kunden, wenn E-Mail und Telefonanlage betroffen sind.
- Welche Meldepflichten greifen, insbesondere die Meldung an die Datenschutzaufsicht bei einer Verletzung des Schutzes personenbezogener Daten.
- Wann zuletzt geprobt wurde. Ein Plan, der nie getestet wurde, ist eine Vermutung.
NIS2: für wen es jetzt Pflicht ist
Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) wurde am 2. Dezember 2025 ausgefertigt, am 5. Dezember 2025 im Bundesgesetzblatt verkündet (BGBl. I 2025 Nr. 301) und trat am 6. Dezember 2025 in Kraft. Betroffene Einrichtungen mussten sich binnen drei Monaten beim BSI registrieren. Das BSI weist auf seiner Seite für NIS-2-regulierte Unternehmen darauf hin, dass die gesetzliche Registrierungsfrist bereits abgelaufen ist, und fordert nicht registrierte Einrichtungen zur unverzüglichen Registrierung auf.
Ob Sie betroffen sind, hängt von Branche und Größe ab. Für die meisten kleineren Betriebe gilt NIS2 nicht unmittelbar. Relevant wird es trotzdem: über die Lieferkette, weil betroffene Auftraggeber Nachweise von ihren Dienstleistern verlangen.
Häufige Fragen
Wie umfangreich muss ein Notfallplan sein?
So knapp, dass er im Ernstfall gelesen wird. Für ein Unternehmen mit 20 Arbeitsplätzen sind wenige Seiten plus Kontaktliste realistisch. Das BSI sieht mit dem Reaktiv-BCMS ausdrücklich einen schlanken Einstieg vor.
Reicht es, den Plan digital abzulegen?
Nein. Genau die Systeme, auf denen er liegt, können ausgefallen sein. Mindestens Kontaktliste und Sofortmaßnahmen gehören ausgedruckt an einen bekannten Ort.
Wie oft sollte man üben?
Der BSI-Standard 200-4 sieht Tests und Übungen als festen Bestandteil vor. Ein realistischer Einstieg ist eine jährliche Testwiederherstellung aus dem Backup, dokumentiert mit Datum und Dauer.
Was ist der Unterschied zwischen Notfall und Krise?
Der BSI-Baustein DER.4 behandelt Notfälle. Die Entscheidung darüber, ob ein Notfall vorliegt, und das Krisenmanagement sind eigene Themen mit eigenen Bausteinen.
Wir begleiten den Einstieg
Wir führen mit Ihnen die Business-Impact-Analyse für Ihre wichtigsten Prozesse durch, füllen die BSI-Vorlagen mit Ihren Daten und testen die Wiederherstellung aus Ihrem Backup, damit Sie wissen, wie lange sie wirklich dauert. Rufen Sie uns an unter 0541 50798808 oder schreiben Sie an info@team-data.de.
Quellen
- BSI-Standard 200-4 Business Continuity Management, veröffentlicht am 14. Juni 2023, mit Dokumentenvorlagen Notfallhandbuch, Geschäftsfortführungsplan und Wiederanlaufplan
- BSI, IT-Notfallkarte „Verhalten bei IT-Notfällen“ und TOP 12 Maßnahmen bei Cyber-Angriffen
- Allianz für Cyber-Sicherheit, Maßnahmenkatalog zum Notfallmanagement, Fokus IT-Notfälle, Stand 18. Juni 2024, sowie One-Pager Einstieg ins IT-Notfallmanagement für KMU
- IT-Grundschutz-Kompendium, Baustein DER.4 Notfallmanagement
- NIS2UmsuCG, BGBl. I 2025 Nr. 301, in Kraft seit 6. Dezember 2025
- GDV und forsa, Befragung vom 22. September 2025
