IT-Notfallplan KMU: Wann ein 1-Seiten-Format als Startpunkt taugt

Welche regulatorischen Grundlagen sind einschlägig?

Die Anforderungen an einen IT-Notfallplan ergeben sich aus mehreren parallelen Rechts- und Standard-Quellen, deren Anwendbarkeit je nach Unternehmenskontext zu prüfen ist:

• DSGVO Art. 33 verpflichtet bei einer Verletzung des Schutzes personenbezogener Daten zur Meldung an die zuständige Aufsichtsbehörde binnen 72 Stunden ab Kenntnisnahme. Der Bußgeldrahmen liegt bei bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes.

Detail

• NIS2-Richtlinie (EU) 2022/2555 verlangt in Art. 21 Abs. 2 ein dokumentiertes Incident-Handling, sofern das Unternehmen in den persönlichen Anwendungsbereich der nationalen Umsetzung fällt. Welche Sektoren und Schwellenwerte einschlägig sind, ergibt sich aus dem NIS2-Umsetzungsgesetz und dem jeweiligen Aufsichtsregime.
• BSI IT-Grundschutz Baustein DER.2.1 (Behandlung von Sicherheitsvorfällen) beschreibt einen vollständigen Reaktionsprozess, der über ein 1-Seiten-Format hinausgeht. Er gilt als anerkannte Referenz für die Auslegung der „angemessenen technisch-organisatorischen Maßnahmen" nach Art. 32 DSGVO.
• ISO/IEC 27035-1:2023 definiert international den Lebenszyklus eines Incident-Response-Prozesses (Plan and Prepare, Detect and Report, Assess and Decide, Respond, Lessons Learned).

Welche dieser Quellen mit welcher Bindungswirkung gilt, ist im Einzelfall zu prüfen — eine Solo-Selbstständigkeit mit reiner Cloud-Arbeitsweise hat einen anderen Pflichtenkreis als ein NIS2-pflichtiger Maschinenbauer mit Produktionsanlagen.

Welche Schutzbedarfs-Stufe passt typisch zu KMU?

Die Maßnahmen-Tiefe eines Notfallplans richtet sich nach dem Schutzbedarf der verarbeiteten Daten und der betroffenen Systeme. Eine typische KMU-Einstufung (in Anlehnung an BSI-Schutzbedarfskategorien) kann sein:

Detail

• Normaler Schutzbedarf (Bürobetrieb, allgemeine Geschäftskorrespondenz, Buchhaltungssoftware): Ein gestuftes Reaktions-Quickreference plus dokumentierter Eskalationsweg kann als Startpunkt dienen, sofern Backup-, Authentifizierungs- und Logging-Grundlagen vorhanden sind.
• Hoher Schutzbedarf (vertrauliche Branchen-Daten, Geschäftsgeheimnisse, größere Kundendatenbestände): Hier sind ein dokumentierter IRP nach BSI DER.2.1 oder ISO/IEC 27035-1, geübte Rollen und ein Forensik-Vertrag in Erwägung zu ziehen.
• Sehr hoher Schutzbedarf (Gesundheitsdaten, kritische Infrastrukturen, KRITIS-relevante Sektoren): Ein deutlich umfangreicherer Notfallplan mit redundanten Kommunikationswegen, geschultem CSIRT-Personal und regelmäßigen Tabletop-Übungen ist regelmäßig erforderlich.

Die Schutzbedarfsanalyse selbst ist nach BSI IT-Grundschutz Baustein ISMS.1 Bestandteil eines tragfähigen Sicherheitsmanagements und sollte vor der Auswahl des Notfallplan-Formats stehen.

Welcher Aufbau-Rahmen ist verbreitet?

Ein 1-2-Seiten-Notfall-Quickreference, wie er für KMU mit überschaubarem IT-Scope diskutiert wird, enthält typischerweise vier Bestandteile. Er ist als Reaktionsanker im Akutfall konzipiert — nicht als vollständige IRP-Dokumentation.

Detail

1. Meldekette mit benannten Personen und Vertretungen. Geschäftsführung, IT-Verantwortliche oder externer IT-Dienstleister, Cyber-Versicherer, Hausanwalt, Datenschutzaufsicht des jeweiligen Bundeslandes, polizeiliche Cybercrime-Dienststelle, BSI-CERT-Bund. Funktionsbezeichnungen ohne konkrete Personen und Rufnummern verlieren im Akutfall ihren Wert.

2. Eindämmungs-Routine in den ersten Minuten. Nach BSI-Empfehlung zur Ransomware-Behandlung ist die Netz-Isolation befallener Systeme (Trennung vom Netz, ohne Shutdown, um flüchtige Forensik-Spuren im Arbeitsspeicher zu erhalten) ein verbreiteter erster Schritt. Welche Eindämmungsstrategie passt, hängt von Vorfallstyp, Systemkritikalität und Wiederherstellungsoptionen ab.

3. Dokumentations-Vorlage. Ein Papier-Vorfallsprotokoll (Uhrzeit, Aktion, durchführende Person, Beobachtung) ist Voraussetzung für die spätere Aufarbeitung gegenüber Cyber-Versicherer, Aufsichtsbehörde und ggf. Strafverfolgung. Cyber-Versicherungspolicen sehen regelmäßig eine bestimmte chronologische Dokumentationsform vor.

4. Fristen-Übersicht. DSGVO-72h-Frist nach Kenntnisnahme, vertragliche Melde-Fristen aus der Cyber-Police (häufig 24-72 Stunden), Kundenmeldungen aus Lieferanten-Verträgen, sektorspezifische Meldepflichten (z. B. TKG, BSIG, KRITIS-Verordnung).

Der Quickreference verweist auf das vollständige IRP-Dokument — er ersetzt es nicht.

Welche Erstreaktion ist gängige Praxis?

Die im BSI IT-Grundschutz Baustein DER.2.1 und in ISO/IEC 27035-1 beschriebene Erstreaktion folgt einem gestuften Vorgehen. Die zeitliche Tiefe ist konditional zu sehen — je nach Systemkomplexität, Personalverfügbarkeit und Vorfallstyp:

Detail

• Eindämmen. Befallene Systeme vom Netz trennen (Netzkabel, WLAN), bei Server-Vorfall ggf. VLAN-Segment isolieren oder Switch-Port deaktivieren. Bei Ransomware ist nach BSI-Empfehlung der Erhalt flüchtiger Forensik-Spuren in Erwägung zu ziehen, bevor Systeme heruntergefahren werden.
• Lage erfassen. Welche Systeme sind betroffen, sind Backups erreichbar, sind personenbezogene Daten betroffen. Diese Bestandsaufnahme ist Voraussetzung für die DSGVO-Meldebewertung.
• Eskalation einleiten. Geschäftsführung, IT-Verantwortliche, Cyber-Versicherer. Vertragliche Versicherungsbedingungen sehen häufig die Beauftragung eines vom Versicherer benannten Forensik-Dienstleisters vor — eine eigenständige Beauftragung kann den Versicherungsschutz gefährden.

Welche Konstellationen erfordern abweichendes Vorgehen?

Ein 1-2-seitiger Quickreference ist nicht für alle Unternehmensprofile geeignet. In den folgenden Konstellationen ist ein deutlich umfangreicheres Incident-Response-Programm erforderlich:

• NIS2-pflichtige Unternehmen (wesentliche und wichtige Einrichtungen nach NIS2-Umsetzungsgesetz): Erforderlich ist ein dokumentierter Incident-Response-Prozess inklusive Rollendefinition, Reaktionsklassen, Eskalationswege und regelmäßiger Übung. Verstöße gegen die NIS2-Pflichten können nach derzeitigem Diskussionsstand erhebliche Bußgelder nach sich ziehen.
• KRITIS-Betreiber nach BSI-KritisV: Es gelten zusätzliche Meldepflichten an das BSI sowie spezielle Anforderungen an die Verfügbarkeitsmanagement-Prozesse.

Detail

• Unternehmen mit Multi-Site- oder Produktionsumgebungen: Komplexe IT/OT-Landschaften erfordern segmentspezifische Reaktionspläne, gesonderte Kommunikationswege in produktionskritischen Phasen und ein OT-spezifisches Forensik-Vorgehen.
• Sektorspezifische Pflichtenkreise (Banken nach BAIT/MaRisk, Versicherer nach VAIT, Energieversorger nach IT-Sicherheitskatalog, Telekommunikations-Anbieter nach TKG, Gesundheitssektor nach KHZG/B3S Krankenhaus): Die jeweiligen Aufsichtsregime sehen detailliertere Vorgaben vor, die ein 1-Seiten-Format nicht abbildet.
• Cyber-Police mit erweiterten Anforderungen: Versicherungsverträge schreiben häufig ein dokumentiertes IRP, regelmäßige Übungen und einen vorab abgestimmten Forensik-Partner als Deckungsvoraussetzung vor.

Bei Unsicherheit über die Einordnung ist eine fachliche Beratung (qualifizierte:r IT-Sicherheitsberater:in, Datenschutzbeauftragte:r, Fachanwält:in für IT-Recht) den Verzicht-Optionen vorzuziehen.

Nächster Schritt

Eine erste Strukturierung der Reaktionsorganisation lässt sich über den Incident-Response-Plan-Generator anlegen. Der Generator bildet einen Standard-Rahmen ab; die unternehmensspezifische Anpassung an Schutzbedarf, Sektorpflichten und Versicherungsanforderungen ist im Anschluss erforderlich.

Eine Einordnung der NIS2-Pflichten im Verhältnis zum Notfallmanagement findet sich in NIS2 Incident-Handling: was wirklich umsetzbar ist.

Diese Einordnung beruht auf den oben genannten Quellen mit Stand 2026-05-16. Sie ersetzt keine Einzelfallprüfung durch eine qualifizierte Beratung.