IT-Notfallplan KMU: Wann ein 1-Seiten-Format als Startpunkt taugt

Welche regulatorischen Grundlagen sind einschlägig?

Die Anforderungen an einen IT-Notfallplan ergeben sich aus mehreren parallelen Rechts- und Standard-Quellen, deren Anwendbarkeit je nach Unternehmenskontext zu prüfen ist:

• DSGVO Art. 33 verpflichtet bei einer Verletzung des Schutzes personenbezogener Daten zur Meldung an die zuständige Aufsichtsbehörde, und zwar unverzüglich und möglichst binnen 72 Stunden, nachdem die Verletzung bekannt wurde, außer sie führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen. Verstöße gegen Art. 33 fallen unter Art. 83 Abs. 4 DSGVO: bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes des Vorjahres, je nachdem, welcher Betrag höher ist.

• NIS2-Richtlinie (EU) 2022/2555 nennt in Art. 21 Abs. 2 lit. b die Bewältigung von Sicherheitsvorfällen als Mindestmaßnahme. In Deutschland ist das in § 30 Abs. 2 Nr. 2 BSIG umgesetzt; nach § 30 Abs. 1 Satz 3 BSIG ist die Einhaltung der Maßnahmen zu dokumentieren. Das gilt für besonders wichtige und wichtige Einrichtungen nach § 28 BSIG, die sich aus Einrichtungsart (Anlagen 1 und 2 BSIG) und Größe ergeben.
• BSI IT-Grundschutz Baustein DER.2.1 (Behandlung von Sicherheitsvorfällen) beschreibt einen vollständigen Reaktionsprozess, der über ein 1-Seiten-Format hinausgeht. Er kann als Orientierung für die Ausgestaltung der technisch-organisatorischen Maßnahmen nach Art. 32 DSGVO dienen.
• ISO/IEC 27035-1:2023 definiert international den Lebenszyklus eines Incident-Response-Prozesses (Plan and Prepare, Detect and Report, Assess and Decide, Respond, Lessons Learned).

Welche dieser Quellen mit welcher Bindungswirkung gilt, ist im Einzelfall zu prüfen, eine Solo-Selbstständigkeit mit reiner Cloud-Arbeitsweise hat einen anderen Pflichtenkreis als ein NIS2-pflichtiger Maschinenbauer mit Produktionsanlagen.

Welche Schutzbedarfs-Stufe passt typisch zu KMU?

Die Maßnahmen-Tiefe eines Notfallplans richtet sich nach dem Schutzbedarf der verarbeiteten Daten und der betroffenen Systeme. Eine typische KMU-Einstufung (in Anlehnung an BSI-Schutzbedarfskategorien) kann sein:

• Normaler Schutzbedarf (Bürobetrieb, allgemeine Geschäftskorrespondenz, Buchhaltungssoftware): Ein gestuftes Reaktions-Quickreference plus dokumentierter Eskalationsweg kann als Startpunkt dienen, sofern Backup-, Authentifizierungs- und Logging-Grundlagen vorhanden sind.
• Hoher Schutzbedarf (vertrauliche Branchen-Daten, Geschäftsgeheimnisse, größere Kundendatenbestände): Hier sind ein dokumentierter IRP nach BSI DER.2.1 oder ISO/IEC 27035-1, geübte Rollen und ein Forensik-Vertrag in Erwägung zu ziehen.
• Sehr hoher Schutzbedarf (etwa wenn ein Ausfall oder Datenabfluss existenzbedrohende Schäden oder Gefahren für Leib und Leben auslösen kann, z. B. bei kritischen Anlagen): Hier kommt ein deutlich umfangreicherer Notfallplan mit redundanten Kommunikationswegen, geschultem Reaktionsteam und regelmäßigen Übungen in Betracht.

Die Schutzbedarfsfeststellung selbst ist in der IT-Grundschutz-Methodik nach BSI-Standard 200-2 beschrieben und sollte vor der Auswahl des Notfallplan-Formats stehen.

Welcher Aufbau-Rahmen ist verbreitet?

Ein 1-2-Seiten-Notfall-Quickreference, wie er für KMU mit überschaubarem IT-Scope diskutiert wird, enthält typischerweise vier Bestandteile. Er ist als Reaktionsanker im Akutfall konzipiert, nicht als vollständige IRP-Dokumentation.

1. Meldekette mit benannten Personen und Vertretungen. Geschäftsführung, IT-Verantwortliche oder externer IT-Dienstleister, Cyber-Versicherer, Hausanwalt, Datenschutzaufsicht des jeweiligen Bundeslandes, polizeiliche Cybercrime-Dienststelle, BSI-CERT-Bund. Funktionsbezeichnungen ohne konkrete Personen und Rufnummern verlieren im Akutfall ihren Wert.

2. Eindämmungs-Routine in den ersten Minuten. Nach BSI-Empfehlung zur Ransomware-Behandlung ist die Netz-Isolation befallener Systeme (Trennung vom Netz, ohne Shutdown, um flüchtige Forensik-Spuren im Arbeitsspeicher zu erhalten) ein verbreiteter erster Schritt. Welche Eindämmungsstrategie passt, hängt von Vorfallstyp, Systemkritikalität und Wiederherstellungsoptionen ab.

3. Dokumentations-Vorlage. Ein Papier-Vorfallsprotokoll (Uhrzeit, Aktion, durchführende Person, Beobachtung) ist Voraussetzung für die spätere Aufarbeitung gegenüber Cyber-Versicherer, Aufsichtsbehörde und ggf. Strafverfolgung. Welche Dokumentation der Versicherer verlangt, ergibt sich aus den Obliegenheiten der jeweiligen Police.

4. Fristen-Übersicht. DSGVO-72h-Frist nach Kenntnisnahme, vertragliche Melde-Fristen aus der Cyber-Police (Wortlaut der Obliegenheiten prüfen), Kundenmeldungen aus Lieferanten-Verträgen, gesetzliche Meldepflichten für NIS2-Einrichtungen nach § 32 BSIG (frühe Erstmeldung binnen 24 Stunden, Meldung binnen 72 Stunden nach Kenntniserlangung, Abschlussmeldung spätestens einen Monat nach der Meldung) sowie sektorspezifische Pflichten (z. B. TKG).

Der Quickreference verweist auf das vollständige IRP-Dokument, er ersetzt es nicht.

Welche Erstreaktion ist gängige Praxis?

Die im BSI IT-Grundschutz Baustein DER.2.1 und in ISO/IEC 27035-1 beschriebene Erstreaktion folgt einem gestuften Vorgehen. Die zeitliche Tiefe ist konditional zu sehen, je nach Systemkomplexität, Personalverfügbarkeit und Vorfallstyp:

• Eindämmen. Befallene Systeme vom Netz trennen (Netzkabel, WLAN), bei Server-Vorfall ggf. VLAN-Segment isolieren oder Switch-Port deaktivieren. Bei Ransomware ist nach BSI-Empfehlung der Erhalt flüchtiger Forensik-Spuren in Erwägung zu ziehen, bevor Systeme heruntergefahren werden.
• Lage erfassen. Welche Systeme sind betroffen, sind Backups erreichbar, sind personenbezogene Daten betroffen. Diese Bestandsaufnahme ist Voraussetzung für die DSGVO-Meldebewertung.
• Eskalation einleiten. Geschäftsführung, IT-Verantwortliche, Cyber-Versicherer. Vertragliche Versicherungsbedingungen sehen häufig die Beauftragung eines vom Versicherer benannten Forensik-Dienstleisters vor, eine eigenständige Beauftragung kann den Versicherungsschutz gefährden.

Welche Konstellationen erfordern abweichendes Vorgehen?

Ein 1-2-seitiger Quickreference ist nicht für alle Unternehmensprofile geeignet. In den folgenden Konstellationen ist ein deutlich umfangreicheres Incident-Response-Programm erforderlich:

• NIS2-pflichtige Unternehmen (besonders wichtige und wichtige Einrichtungen nach § 28 BSIG): § 30 Abs. 2 Nr. 2 und 3 BSIG verlangen die Bewältigung von Sicherheitsvorfällen sowie Aufrechterhaltung des Betriebs und Krisenmanagement, die Umsetzung ist zu dokumentieren (§ 30 Abs. 1 Satz 3 BSIG). Ein 1-Seiten-Format bildet das in der Regel nicht vollständig ab. Die Pflichten gelten seit Inkrafttreten der deutschen Umsetzung am 06.12.2025 (BGBl. 2025 I Nr. 301) im BSIG; Meldungen richten sich nach § 32 BSIG (nicht für Energie- und TK-Betreiber nach § 28 Abs. 5 BSIG und Finanzunternehmen unter DORA nach § 28 Abs. 6 BSIG, für die eigene Regime gelten), Bußgelder nach § 65 BSIG reichen bis 10 Mio. € (besonders wichtige) bzw. 7 Mio. € (wichtige Einrichtungen), umsatzbezogen bis 2 % bzw. 1,4 % bei mehr als 500 Mio. € Jahresumsatz.
• Betreiber kritischer Anlagen: Sie gelten nach § 28 Abs. 1 Nr. 1 BSIG als besonders wichtige Einrichtungen, unterliegen den Meldepflichten nach § 32 BSIG (mit Zusatzangaben nach § 32 Abs. 3) und müssen die Umsetzung der Maßnahmen zusätzlich zu einem vom BSI festgelegten Zeitpunkt und danach alle drei Jahre gegenüber dem BSI nachweisen (§ 39 Abs. 1 BSIG). Ausgenommen sind die Fälle des § 28 Abs. 5 und 6 BSIG (Energie, Telekommunikation, Finanzunternehmen unter DORA).

• Unternehmen mit Multi-Site- oder Produktionsumgebungen: Komplexe IT/OT-Landschaften erfordern segmentspezifische Reaktionspläne, gesonderte Kommunikationswege in produktionskritischen Phasen und ein OT-spezifisches Forensik-Vorgehen.
• Sektorspezifische Pflichtenkreise (Banken, Versicherer und weitere Finanzunternehmen nach DORA mit den Meldefristen der Delegierten Verordnung (EU) 2025/301, Energieversorger nach §§ 5c–5e EnWG und dem IT-Sicherheitskatalog der Bundesnetzagentur, Telekommunikations-Anbieter nach TKG, Krankenhäuser nach BSIG): Die jeweiligen Aufsichtsregime sehen detailliertere Vorgaben vor, die ein 1-Seiten-Format nicht abbildet.
• Cyber-Police mit erweiterten Anforderungen: Versicherungsverträge schreiben häufig ein dokumentiertes IRP, regelmäßige Übungen und einen vorab abgestimmten Forensik-Partner als Deckungsvoraussetzung vor.

Bei Unsicherheit über die Einordnung ist eine fachliche Beratung (qualifizierte:r IT-Sicherheitsberater:in, Datenschutzbeauftragte:r, Fachanwält:in für IT-Recht) den Verzicht-Optionen vorzuziehen.

Nächster Schritt

Eine erste Strukturierung der Reaktionsorganisation lässt sich über den Incident-Response-Plan-Generator anlegen. Der Generator bildet einen Standard-Rahmen ab; die unternehmensspezifische Anpassung an Schutzbedarf, Sektorpflichten und Versicherungsanforderungen ist im Anschluss erforderlich.

Eine Einordnung der NIS2-Pflichten im Verhältnis zum Notfallmanagement findet sich in NIS2 Incident-Handling: was wirklich umsetzbar ist.

Diese Einordnung beruht auf den oben genannten Quellen mit Stand 18.09.2026. Sie ersetzt keine Einzelfallprüfung durch eine qualifizierte Beratung.