Seit dem 6. Dezember 2025 verpflichtet das NIS2-Umsetzungsgesetz (NIS2UmsuCG) tausende deutsche Unternehmen zu wirksamen Maßnahmen für Backup, Wiederherstellung nach einem Notfall und Krisenmanagement (§ 30 BSIG). Cyber-Versicherungen verlangen im Schadenfall zudem einen dokumentierten, getesteten Wiederherstellungsplan; sonst drohen Bußgelder und Leistungsverweigerung. Hier der Aufbau eines IT-Notfallhandbuchs nach BSI-Standard 200-4: Stufeneinstieg, Business-Impact-Analyse, Alarmierungskette, Wiederanlaufplan.

Voraussetzungen

Management-Commitment der Geschäftsführung (§ 38 BSIG: Umsetzungs- und Überwachungspflicht, Haftung der Geschäftsleitung)
Benannter BCM-Beauftragter mit klarer Stellvertretungsregelung
Liste der 5–10 kritischen Geschäftsprozesse für den KMU-Einstieg
Zugänglichkeit der Prozessverantwortlichen für BIA-Interviews (je 1–2 Stunden pro Prozess)
Aktuelle Systemdokumentation: Netzwerkplan, Server-/VM-Inventar, Softwarelizenzen, Zugangsdaten (sicher verwahrt)
BSI-Vorlagenpaket (kostenlos downloadbar, s. Schritt 1)
Backup-Konzept mit 3-2-1-Strategie als technische Grundlage für RPO-Einhaltung
Offline-Druckversion oder verschlüsselter USB-Stick für das Notfallhandbuch (Ransomware-Szenario)
Eingeplante Zeit für mindestens jährliche Tabletop-Übung und Restore-Test
Ggf. NIS2-Betroffenheitsprüfung (BSI-Tool oder Branchenverband)

Schritt 1: BSI-Vorlagen herunterladen und Stufenmodell verstehen

Das BSI stellt unter „Hilfsmittel zum BSI-Standard 200-4“ rund 20 Word-, Excel-, PowerPoint- und PDF-Hilfsmittel kostenlos bereit. Die vier Kerndokumente:

# BSI-Vorlagen direkt herunterladen (PowerShell)
Invoke-WebRequest -Uri 'https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/Hilfsmittel/Standard200_4_BCM/Standard_200-4_Vorlage_Notfallhandbuch.docx?__blob=publicationFile&v=2' -OutFile 'Notfallhandbuch_BSI200-4.docx'

Invoke-WebRequest -Uri 'https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/Hilfsmittel/Standard200_4_BCM/Standard_200-4_Vorlage_Wiederanlaufplan.docx?__blob=publicationFile' -OutFile 'Wiederanlaufplan_BSI200-4.docx'

Invoke-WebRequest -Uri 'https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/Hilfsmittel/Standard200_4_BCM/Standard_200-4_BIA_Auswertungsbogen_mit_BSP.xlsx?__blob=publicationFile' -OutFile 'BIA_Auswertungsbogen_mit_Beispielen.xlsx'

Invoke-WebRequest -Uri 'https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/Hilfsmittel/Standard200_4_BCM/Standard_200-4_Vorlage_Notfallvorsorgekonzept.docx?__blob=publicationFile&v=3' -OutFile 'Notfallvorsorgekonzept_BSI200-4.docx'

Das Stufenmodell (Dauerangaben sind Erfahrungswerte, keine BSI-Vorgabe):

Stufe	Bezeichnung	Dauer KMU	Inhalt	Zertifizierung
1	Reaktiv-BCMS	Wenige Wochen	Notfallhandbuch, Alarmierungskette, einfache Sofortmaßnahmen	Nein
2	Aufbau-BCMS	3–6 Monate	BIA, RTO/RPO, Wiederanlaufpläne, Notfallorganisation	Nein
3	Standard-BCMS	6–12 Monate	PDCA-Reife, vollständiges BCMS, interne Audits	ISO 22301:2019

Empfehlung für KMU: Ohne regulatorische Pflichten ist das Reaktiv-BCMS laut BSI ein geeigneter Einstieg, um binnen weniger Wochen handlungsfähig zu sein; nach einem Zyklus muss es zum Aufbau- oder Standard-BCMS weiterentwickelt werden. Unter NIS2 empfiehlt das BSI direkt Aufbau- oder Standard-BCMS. Ziel ist immer das Standard-BCMS; nur damit ist eine ISO-22301-Zertifizierung erreichbar.

Verifizieren: Die vier Vorlagen liegen lokal vor und lassen sich in Word bzw. Excel öffnen. Die gewählte BCMS-Stufe ist mit Datum und Unterschrift der Geschäftsführung dokumentiert.

Schritt 2: Notfallorganisation und Rollen definieren

Vor der BIA besetzen Sie die BCM-Kernrollen nach BSI 200-4:

BCM-Beauftragter: koordiniert das BCMS, berichtet an die Geschäftsführung, pflegt das Notfallhandbuch; braucht eine benannte Stellvertretung.
Lenkungsausschuss BCM: Strategie und Budget; Geschäftsführung und Bereichsleitungen.
Krisenstab: Operative Krisenleitung im Notfall. Pflichtmitglieder: Krisenstabsleitung, IT-Notfallkoordinator, Kommunikationsverantwortlicher.
Prozessverantwortliche: liefern BIA-Daten, erste Ansprechpartner bei prozessbezogenen Notfällen.

BSI 200-4 unterscheidet Störung, Notfall und Krise; die Abgrenzung legt jede Institution selbst fest. Störungen behebt der Normalbetrieb, bei Notfällen und Krisen tritt die Besondere Aufbauorganisation (BAO, der Krisenstab) zusammen. Beispiel für eine feinere KMU-Abstufung mit Vorstufe:

Stufe	Ereignis	Zuständig	Reaktionszeit
1	Lokale IT-Störung	Fachbereichsleitung / First-Level-Support	Innerhalb der Arbeitszeit
2	Störung mit Eskalationsrisiko	BCM-Beauftragter	< 2 Stunden
3	Notfall / Systemausfall	Krisenstab	< 1 Stunde (24/7)
4	Unternehmensweite Krise	Geschäftsführung	Sofort

Verifizieren: Rollenliste und Eskalationsstufen stehen im Notfallhandbuch, jede Rolle hat eine namentlich benannte Stellvertretung, und die Geschäftsführung hat die Besetzung freigegeben.

Schritt 3: Business-Impact-Analyse (BIA) durchführen

Die BIA ist das Herzstück des BSI 200-4 und startet bei Geschäftsprozessen, nicht bei IT-Systemen. Nutzen Sie den BSI-BIA-Auswertungsbogen (Standard_200-4_BIA_Auswertungsbogen_mit_BSP.xlsx) und füllen Sie ihn pro Prozess in 1–2-stündigen Interviews mit den Prozessverantwortlichen aus.

Typische Felder und Beispielwerte für ein produzierendes KMU (vereinfacht, der BSI-Bogen ist ausführlicher):

# BIA-Tabelle: vereinfachte Beispielwerte (angelehnt an BSI-Standard 200-4)
Prozessname          | Prozessverant- | Kritikalität | RTO   | RPO   | MTPD  | Abh. IT-Systeme   | Mindest-  | Notfallstrategie
                     | wortlicher     | (1-4)        | (Std) | (Std) | (Std) |                   | Personal  |
---------------------|----------------|--------------|-------|-------|-------|-------------------|-----------|------------------------
ERP/Auftragserfassung| Max Mustermann | 1 (kritisch) |   8   |   4   |  24   | ERP-Server, AD    | 2 MA Vertrieb | Manuelle Erfassung + Cloud-Backup
Produktion/MES       | Anna Schmidt   | 1 (kritisch) |   4   |   1   |  16   | MES-Server, SPS   | 3 MA Produktion | Failover-VM, Papierprotokoll
E-Mail/Kommunikation | IT-Abteilung   | 2 (wichtig)  |   4   |   1   |  24   | Exchange, DNS     | 1 MA IT   | Exchange Online Fallback
Lagerverwaltung      | Karl Weber     | 2 (wichtig)  |  24   |  12   |  48   | WMS-Server        | 1 MA Lager | Manuelle Papierliste
Fakturierung         | Maria Braun    | 2 (wichtig)  |  48   |  24   |  72   | ERP, Drucker      | 1 MA Buchhalt. | Manuelle Rechnung per PDF
HR-Systeme           | HR-Leitung     | 3 (normal)   | 120   |  24   | 240   | HR-Server         | 1 MA HR   | Excel-Notfalllösung

Klar zu trennende Begriffe:

RTO (Recovery Time Objective): Wie lange darf ein Prozess maximal ausfallen? Die RTO muss kleiner als die MTPD sein.
RPO (Recovery Point Objective): Wie viele Stunden Datenverlust kann der Prozess verkraften? Bestimmt Ihre Backup-Frequenz.
MTPD (Maximum Tolerable Period of Disruption): Ab wann wird der Schaden existenzbedrohend? Harte Obergrenze für die RTO.

Verifizieren: Für jeden der ausgewählten Prozesse ist der Auswertungsbogen ausgefüllt, jede Zeile enthält RTO, RPO und MTPD, und überall gilt RTO kleiner als MTPD. Die Prozessverantwortlichen haben ihre Werte bestätigt.

Schritt 4: Alarmierungskette im Notfallhandbuch dokumentieren

Die Alarmierungskette gehört als ausfüllbare Kontaktliste ins Notfallhandbuch, und zwar offline: Bei Ransomware sind alle digitalen Systeme verschlüsselt. Ausgedruckt an einem sicheren, für alle Schlüsselpersonen zugänglichen Ort hinterlegen.

# Alarmierungskette: Stufe-3-Notfall (Systemausfall) – Reihenfolge einhalten
1. IT-Notfallkoordinator:       [Name] | Mobil: [+49...]  | Signal/Teams: [ID]
2. BCM-Beauftragter:            [Name] | Mobil: [+49...]  | E-Mail: [Adresse]
3. Geschäftsführung:            [Name] | Mobil: [+49...]  | Stellvertretung: [Name+Tel]
4. Datenschutzbeauftragter:     [Name] | Mobil: [+49...]  | (bei Datenpanne Pflicht!)
5. Externer IT-Dienstleister:   [Firma] | 24/7-Hotline: [Tel] | Vertragsnummer: [Nr]
6. Cyber-Versicherung:          [Versicherung] | Schadennummer: [Nr] | Notfall-Hotline: [Tel]
7. BSI-Meldestelle (NIS2): Meldung über das BSI-Portal; Service-Center 0800 274 1000 (Mo–Do 8–17, Fr 8–16 Uhr)

Hinweis: Jede Position braucht eine benannte Stellvertretung, die bei Urlaub oder Krankheit sofort handlungsfähig ist; BSI 200-4 fordert Vertretungsregelungen für alle Schlüsselpositionen ausdrücklich.

Verifizieren: Ein Probeanruf entlang der Kette erreicht jede Position oder deren Stellvertretung, und die ausgedruckte Fassung liegt am vereinbarten Ort mit aktuellem Datum.

Schritt 5: Wiederanlaufplan (WAP) mit Prioritätenliste erstellen

Der Wiederanlaufplan beschreibt die geordnete Rückkehr zum Normalbetrieb. Grundlage ist die BSI-Vorlage Standard_200-4_Vorlage_Wiederanlaufplan.docx, die Prioritäten leiten Sie aus den BIA-RTO-Werten ab:

# Wiederanlaufreihenfolge: Prioritätsliste (aus BIA-RTO abgeleitet)
Priorität 1 (RTO <= 4h):   Active Directory / DNS, VPN-Gateway, Produktionssteuerung (MES)
Priorität 2 (RTO <= 8h):   ERP-System, E-Mail-Server, Backup-Server
Priorität 3 (RTO <= 24h):  Lagerverwaltung, CRM, Netzwerkdrucker
Priorität 4 (RTO <= 48h):  Fakturierung, Dateiablage (Sekundär), Webseite
Priorität 5 (RTO <= 5 AT): HR-Systeme, Archiv, Reportingsysteme

Je Prioritätsblock dokumentieren: Wiederherstellungsschritte (technisch, step-by-step), Verantwortliche, Zeitschätzung, Ressourcen (Zugangsdaten, Hardware, externe Hilfe) und Testnachweis mit Datum.

Verifizieren: Jedes System aus der BIA taucht genau einmal in der Prioritätenliste auf, die Priorität passt zur RTO, und jeder Block nennt eine verantwortliche Person und eine Zeitschätzung.

Schritt 6: Backup-Strategie auf RPO ausrichten (3-2-1-Regel)

Technische Grundlage der RPO-Werte ist die Backup-Strategie. BSI 200-4 schreibt keine konkrete Regel vor; bewährt hat sich die 3-2-1-Regel im Notfallvorsorgekonzept:

# 3-2-1-Backup-Strategie (bewährte Praxis, im Notfallvorsorgekonzept festhalten)
3 Kopien der Daten
2 verschiedene Medien (z.B. lokale NAS + Cloud-Speicher)
1 Kopie off-site / air-gapped (physisch getrennt oder unveränderlicher Cloud-Storage)

# Veeam Backup Job: Zeitplan für RPO 4 Stunden (ERP/Auftragserfassung)
Inkrementelles Backup:   alle 4 Stunden (Arbeitstage 06:00–22:00 Uhr)
Tägliches Vollbackup:    22:00 Uhr
Wöchentlicher Restore-Test: Freitag 06:00 Uhr (automatisierter Integritätstest, Sure Backup)
Retention lokal:         30 Tage
Retention Cloud:         90 Tage

Wichtig: Backups regelmäßig mit echten Restore-Tests prüfen; ohne verifizierten Restore sind sie für RPO-Zwecke wertlos.

Verifizieren: Das Backup-Protokoll zeigt für jeden kritischen Prozess ein Intervall, das mindestens so kurz ist wie der RPO, und ein Probe-Restore auf ein Testsystem ist mit Datum dokumentiert.

Schritt 7: Notfallhandbuch finalisieren und testen

Mindestbestandteile des fertigen Notfallhandbuchs:

Krisenteam mit Rollen und Vertretungen
Eskalationsstufen (s. Schritt 2)
Reaktionsprozeduren pro Notfallszenario (Ransomware, Hardwareausfall, Stromausfall usw.)
Wiederanlaufplan mit Prioritätsliste (s. Schritt 5)
Kommunikationsplan (intern und extern, inkl. Behörden)
Alarmierungskette mit Kontakten (s. Schritt 4)
Testprotokoll mit Datum, Teilnehmern und Feststellungen

Der Test ist Pflicht: § 30 BSIG verlangt wirksame Maßnahmen zur Aufrechterhaltung des Betriebs, BSI 200-4 sieht Funktionstests und Stabsübungen mindestens jährlich vor, zusätzlich nach wesentlichen Vorfällen oder Systemveränderungen. Gängige Formate:

Testformat	Aufwand	Als Nachweis geeignet	Versicherung
Tabletop-Übung	ca. 2 Stunden	Ja	Ja (mit Protokoll)
Technischer Restore-Test	halber Tag	Ja	Ja (mit Protokoll)
Volltest (Failover)	1–2 Tage	Ja	Ja (stärkster Nachweis)

Jeden Test dokumentieren (Datum, Teilnehmer, Szenario, Feststellungen, Verbesserungsmaßnahmen) als Nachweis gegenüber Auditor und Versicherung. Konkreter Sofortplan: Ransomware-Notfallplan: Die ersten 60 Minuten.

Verifizieren: Das Notfallhandbuch ist von der Geschäftsführung freigegeben, liegt digital und ausgedruckt vor, und ein Testprotokoll mit Datum, Teilnehmenden und Maßnahmen ist abgelegt.

Troubleshooting / Typische Fehler

RTO für alle Systeme = 1 Stunde gesetzt, ohne BIA: Technisch nicht umsetzbar, von Versicherung/Auditor nicht akzeptiert. Fix: BIA-Interviews, MTPD als Obergrenze (Schritt 3).
Notfallplan nur als PDF, nie getestet: Für NIS2 und Cyber-Versicherungen unzureichend. Fix: dokumentierte Tabletop-Übung, reicht in der Regel als Nachweis.
Alarmierungskette nur digital gespeichert: Fix: ausgedruckt sicher hinterlegen, ggf. verschlüsselter USB-Stick offline (Schritt 4).
BCM-Beauftragter ohne Stellvertretung: Bei Ausfall keine handlungsfähige Notfallorganisation. Fix: sofort nachrüsten (Schritt 4).
BIA analysiert nur IT-Systeme, nicht Geschäftsprozesse: Verfehlt den BSI-200-4-Ansatz. Fix: bei Geschäftsprozessen beginnen, dann auf IT-Abhängigkeiten schließen.
BSI-Vorlage unverändert übernommen: Ohne unternehmensspezifische Kontakte, IP-Adressen und Prozesse im Ernstfall wertlos. Fix: alle Platzhalter mit echten Daten befüllen.
Notfallhandbuch nach Systemmigrationen nicht aktualisiert: BSI 200-4 sieht eine etwa jährliche Überprüfung plus Aktualisierung nach wesentlichen Änderungen vor. Fix: Kalendereintrag, Versionshistorie im Dokument.
Supply-Chain-Risiken ignoriert: Kritische Dienstleister (Cloud-Anbieter, Lohnrechenzentren, Logistikpartner) müssen im Wiederanlaufplan berücksichtigt sein. Fix: BSI-Vorlage Standard_200-4_Grundanforderungskatalog_fuer_Outsourcing_und_Lieferketten.docx verwenden.

Häufige Fragen

Welche BSI-200-4-Stufe ist für ein KMU mit 50 Mitarbeitern nach NIS2 Pflicht?

§ 30 BSIG schreibt keine Stufe vor, sondern wirksame Maßnahmen, darunter Backup-Management, Wiederherstellung und Krisenmanagement. Das BSI empfiehlt bei regulatorischen Pflichten Aufbau- oder Standard-BCMS; Reaktiv-BCMS allein reicht in der Regel nicht. Die genügende Stufe mit dem Auditor abstimmen.

Was ist der Unterschied zwischen Notfallhandbuch, Notfallvorsorgekonzept und Geschäftsfortführungsplan?

Das Notfallvorsorgekonzept umfasst alle BCMS-Dokumente, die nicht im Notfall selbst gebraucht werden (Vorgaben, Vorsorge). Das Notfallhandbuch enthält Sofortmaßnahmen und Alarmierungswege. Der Geschäftsfortführungsplan (GFP) beschreibt den Notbetrieb mit Notlösungen, der Wiederanlaufplan (WAP) die Rückkehr zum Normalbetrieb. Für alle vier gibt es BSI-Vorlagen.

Wie lege ich RTO und RPO konkret für meine Prozesse fest?

Über die BIA (Schritt 3): pro Prozess MTPD ermitteln, RTO darunter festlegen, RPO nach verkraftbarem Datenverlust. Die Werte kommen aus Interviews mit den Prozessverantwortlichen, nicht von der IT; die IT setzt sie technisch um.

Genügt ein Notfallplan ohne Testnachweis für die Cyber-Versicherung?

Nein. Die meisten Cyber-Versicherungen fordern im Schadenfall einen getesteten Wiederherstellungsplan und können sonst ganz oder teilweise die Leistung verweigern. Dokumentierte Tabletop-Übungen werden in der Regel akzeptiert; mindestens jährlich eine durchführen. Maßgeblich sind Ihre Versicherungsbedingungen.

Müssen Sie als KMU einen externen BCM-Berater beauftragen?

Nein. Die BSI-Vorlagen sind kostenlos und intern befüllbar; ein Reaktiv-BCMS schafft ein erfahrener IT-Verantwortlicher selbst (ca. 40–80 Stunden). Bei der BIA kann externe Hilfe sinnvoll sein, da Interviewmethodik und Schadensbewertung Erfahrung erfordern. Der Aufwand für Aufbau- oder Standard-BCMS hängt von Unternehmensgröße und Prozessanzahl ab.

Wie ist BSI 200-4 mit DSGVO und ISO 27001 verknüpft?

BSI 200-4 ergänzt BSI 200-2 (IT-Grundschutz) und lässt sich mit einem ISMS nach ISO 27001 kombinieren; gemeinsam sind Risikoanalyse und Notfallplanung (ISO/IEC 27001:2022 Anhang A, Controls 5.29 und 5.30). DSGVO Art. 32 verlangt Maßnahmen zur Verfügbarkeit, deckungsgleich mit BCM-Anforderungen. Ein bestehendes ISMS ist daher die Basis für das BCMS.

Fazit

Ein IT-Notfallhandbuch nach BSI 200-4 ist seit Dezember 2025 für NIS2-betroffene Unternehmen Pflicht und ein echter Schutz im Ernstfall. Das Stufenmodell erlaubt den schrittweisen Aufbau. Den größten Mehrwert bringt die BIA: realistische RTO/RPO-Werte aus Prozessinterviews statt technischer Wunschlisten. Ohne dokumentierten Test gilt der Plan weder für NIS2-Audits noch für die Cyber-Versicherung.

Weiterführende Anleitungen und Quellen

Quellen: BSI-Standard 200-4 (offizielle Seite) | BSI 200-4 Hilfsmittel und Vorlagen | BSI NIS-2 BCM Infopaket | § 30 BSIG (Risikomanagementmaßnahmen)