IT-Notfallplan
Dokumentierte Handlungsanweisungen, mit denen ein Unternehmen den IT-Betrieb nach einem Ausfall oder Sicherheitsvorfall geordnet aufrechterhält und wiederherstellt.
Der IT-Notfallplan ist das schriftlich fixierte Regelwerk, das beschreibt, wer im Ernstfall welche Entscheidungen trifft, welche Systeme mit welcher Priorität wiederhergestellt werden und über welche Kanäle intern wie extern kommuniziert wird. Er bildet die organisatorische Klammer zwischen dem übergeordneten Business Continuity Plan und dem technisch ausgerichteten Disaster Recovery Plan und macht aus Einzelmaßnahmen einen koordinierten Ablauf.
Abgrenzung zu BCP, DRP und Incident Response
Diese vier Begriffe werden in der Praxis häufig vermischt, decken aber unterschiedliche Ebenen ab. Der IT-Notfallplan betrifft den Erhalt des IT-Betriebs als Ganzes — vom Ausfall eines Rechenzentrums bis zum großflächigen Cyberangriff.
| Dokument | Fokus | Zeitlicher Schwerpunkt |
|---|---|---|
| Incident Response Plan | Erkennung und Eindämmung einzelner Sicherheitsvorfälle | Akutphase, Stunden |
| IT-Notfallplan | Aufrechterhaltung kritischer IT-Dienste im Notbetrieb | Stunden bis Tage |
| Disaster Recovery Plan | Technische Wiederherstellung von Systemen und Daten | Stunden bis Wochen |
| Business Continuity Plan | Fortführung des Gesamtgeschäfts inkl. nicht-IT-Prozessen | Tage bis Monate |
Der Incident-Response-Prozess kann der Auslöser sein, der den IT-Notfallplan aktiviert — etwa wenn ein Ransomware-Befall eine geordnete Wiederherstellung erforderlich macht.
Aufbau nach BSI-Standard 200-4
Im deutschen Raum ist der BSI-Standard 200-4 „Business Continuity Management" die zentrale Referenz für den IT-Notfallplan. Er hat den älteren BSI-Standard 100-4 abgelöst und definiert ein dreistufiges Modell: Reaktiv-BCMS (Notfallbewältigung), Aufbau-BCMS (Etablierung) und Standard-BCMS (vollständige Umsetzung). Ein vollständiger IT-Notfallplan enthält typischerweise eine Notfallorganisation mit klaren Rollen, eine Klassifikation kritischer Geschäftsprozesse mit zugehörigen RTO- und RPO-Werten, Wiederanlauf- und Wiederherstellungspläne pro System sowie Kommunikations- und Eskalationswege.
Anforderungen aus NIS2 und Cyber-Versicherern
Mit NIS2 wird ein dokumentiertes Notfallmanagement für betroffene Unternehmen zur gesetzlichen Pflicht — § 30 NIS2UmsuCG (BSIG-neu) verlangt explizit Maßnahmen für Business Continuity und Krisenmanagement. Cyber-Versicherer fragen den IT-Notfallplan im Risikodialog ab und koppeln Prämien und Deckungssummen an dessen Existenz und Testpraxis. Der BSI IT-Grundschutz-Baustein DER.4 „Notfallmanagement" bildet die operative Grundlage für Aufbau und Pflege.
Der häufigste Fehler: Plan ohne Übung
In Assessments finden wir IT-Notfallpläne, die seit Jahren nicht aktualisiert und nie unter realistischen Bedingungen geprobt wurden — mit veralteten Kontaktdaten, abgeschalteten Dienstleistern oder Wiederherstellungsschritten, die mit der heutigen Infrastruktur nicht mehr funktionieren. Ein Plan, der nicht mindestens jährlich in einer Tabletop-Übung oder einem technischen Recovery-Test überprüft wird, ist im Ernstfall unbrauchbar.
Relevanz für KMUs
Für mittelständische Unternehmen ist der IT-Notfallplan oft die erste Berührung mit strukturiertem Notfallmanagement. Der pragmatische Einstieg: drei bis fünf wirklich geschäftskritische Prozesse identifizieren, deren IT-Abhängigkeiten dokumentieren und realistische Wiederanlaufzeiten festlegen. Bereits ein zehnseitiges Dokument mit klaren Rollen, Kontaktketten und Prioritäten ist im Ernstfall mehr wert als ein hundertseitiges Werk, das niemand kennt. Halbjährliche Tabletop-Übungen mit IT-Leitung und Geschäftsführung halten den Plan aktuell und schaffen Routine, bevor sie tatsächlich gebraucht wird.