Cyberkrisenmanagement und Cyber-Notfallplan erklärt

Was sind Cyberkrisenmanagement und Cyber-Notfallplan?

Cyberkrisenmanagement steuert Führung, Entscheidungen, Kommunikation und Koordination in einer Cyberkrise; der Cyber-Notfallplan legt Aktivierung, Zuständigkeiten, Eskalation, Kommunikation und Maßnahmen vorab fest.

Beide Elemente müssen mit Incident Response und Business Continuity Management (BCM) verzahnt werden. Sie ersetzen weder die technische Behandlung eines Sicherheitsvorfalls noch Wiederanlauf und Wiederherstellung. Im BSIG sind die Begriffe nicht legaldefiniert; diese Einordnung folgt der Systematik des BSI-Standards 200-4.

Der Normwortlaut

§ 30 Absatz 1 und Absatz 2 BSIG bestimmen für besonders wichtige und wichtige Einrichtungen auszugsweise:

„(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, die in Absatz 2 konkretisiert werden, zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und Auswirkungen von Sicherheitsvorfällen möglichst gering zu halten. Bei der Bewertung der Verhältnismäßigkeit der Maßnahmen nach Satz 1 sind das Ausmaß der Risikoexposition, die Größe der Einrichtung, die Umsetzungskosten und die Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen sowie ihre gesellschaftlichen und wirtschaftlichen Auswirkungen zu berücksichtigen. Die Einhaltung der Verpflichtung nach Satz 1 ist durch die Einrichtungen zu dokumentieren.

(2) Maßnahmen nach Absatz 1 sollen den Stand der Technik einhalten, die einschlägigen europäischen und internationalen Normen berücksichtigen und müssen auf einem gefahrenübergreifenden Ansatz beruhen. Die Maßnahmen müssen zumindest Folgendes umfassen: […] 2. Bewältigung von Sicherheitsvorfällen, 3. Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement,“

Quelle des Wortlauts: § 30 Absatz 1 und Absatz 2 BSIG. Dabei ist sprachlich zu unterscheiden: Die Maßnahmen müssen gefahrenübergreifend sein und die gesetzlichen Mindestbereiche umfassen; den Stand der Technik sollen sie einhalten. Für die in Absatz 3 genannten Einrichtungsarten hat der dort bezeichnete EU-Durchführungsrechtsakt Vorrang. Nach Absatz 4 gehen Anforderungen eines einschlägigen EU-Durchführungsrechtsakts entgegenstehenden Anforderungen des Absatzes 2 vor.

Welche rechtliche Grundlage ist entscheidend?

§ 30 BSIG begründet eine präventive Risikomanagementpflicht. Er verlangt kein Dokument mit der gesetzlichen Bezeichnung „Cyber-Notfallplan“, nennt aber die Bewältigung von Sicherheitsvorfällen, Betriebsaufrechterhaltung, Wiederherstellung nach einem Notfall und Krisenmanagement als Mindestbereiche. Der Cyber-Notfallplan ist eine organisatorische Konkretisierung dieser Anforderungen, nicht selbst ein gesetzlich definierter Plantyp.

Für wen gilt § 30 BSIG?

Die Pflicht gilt nicht für jedes Unternehmen, sondern für besonders wichtige und wichtige Einrichtungen nach § 28 BSIG. Maßgeblich sind Einrichtungstyp, Zuordnung zu Anlage 1 oder 2, Beschäftigten- beziehungsweise Finanzmerkmale und gesetzliche Ausnahmen. Betreiber kritischer Anlagen sind besonders wichtige Einrichtungen.

Bei sonstigen Einrichtungen nach § 28 Absatz 1 Nummer 4 setzt die Einordnung grundsätzlich eine Tätigkeit nach Anlage 1 sowie mindestens 250 Beschäftigte oder mehr als 50 Millionen Euro Jahresumsatz und mehr als 43 Millionen Euro Jahresbilanzsumme voraus. Sonstige Einrichtungen nach § 28 Absatz 2 Nummer 3 müssen einer Einrichtungsart der Anlage 1 oder 2 zuzuordnen sein und entweder mindestens 50 Beschäftigte haben oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro aufweisen; zudem dürfen sie keine besonders wichtigen Einrichtungen sein. Die konkrete Einstufung muss stets am vollständigen Tatbestand geprüft werden.

Einrichtungen der Bundesverwaltung sind gesondert nach § 29 BSIG zu behandeln. Für sie gelten grundsätzlich die Regeln für besonders wichtige Einrichtungen, aber nicht pauschal sämtliche Folgevorschriften.

Wann wird der Cyber-Notfallplan aktiviert?

§ 30 BSIG nennt keine einheitliche gesetzliche Aktivierungsschwelle. Die erfasste Einrichtung muss ihre Risikomanagementmaßnahmen präventiv vorhalten und die operativen Auslöser risikobasiert festlegen. Dazu können Schwere, Dynamik, mögliche Dienstausfälle, Entscheidungsbedarf und Kommunikationsumfang einer Lage herangezogen werden; dies ist eine organisatorische Empfehlung, kein zusätzlicher Gesetzeswortlaut.

Der „erhebliche Sicherheitsvorfall“ darf nur dort als gesetzlicher Trigger bezeichnet werden, wo eine daran anknüpfende Pflicht – insbesondere eine Vorfallmeldung – erläutert wird. Er ist nicht die allgemeine Aktivierungsschwelle eines Cyber-Notfallplans.

Welche Ausnahmen und Spezialregime gelten?

Die Anwendbarkeit verlangt eine kumulative Prüfung der sektoralen Ausschlüsse und Rückausnahmen in § 28 Absätze 5 bis 8, der unionsrechtlichen Vorrangregeln in § 30 Absätze 3 und 4 sowie möglicher Ausnahmebescheide nach § 37 BSIG. Bestimmte Telekommunikations- und Energietätigkeiten sind ausgeschlossen; die Rückausnahmen für weitere kritische Anlagen oder weitere erfasste Tätigkeiten bleiben bestehen.

DORA-erfasste Finanzunternehmen und bestimmte Akteure der Telematikinfrastruktur sind nicht lediglich Varianten der allgemeinen §-30-Pflicht. Ihre einschlägigen Spezialregime müssen eigenständig geprüft werden. Ein Ausnahmebescheid nach § 37 setzt voraus, dass die Sicherheit in der Informationstechnik anderweitig gewährleistet und beaufsichtigt wird. Die dortigen Absätze 1 bis 3 gelten nicht für Vertrauensdiensteanbieter; ein Bescheid ist grundsätzlich zu widerrufen, wenn nachträglich Ablehnungsgründe eintreten.

Welche Fristen und Schwellen gibt es für den Plan?

§ 30 BSIG nennt weder eine allgemeine Frist für Erstellung, Übung oder Aktualisierung noch eine einheitliche Aktivierungsschwelle. Vorrangige unionsrechtliche oder sektorale Anforderungen können zusätzliche Vorgaben enthalten.

Wie verhält sich Krisenmanagement zu Incident Response und BCM?

Nach der technischen Einordnung des BSI ist IT-Krisenmanagement ein Sonderfall des ganzheitlichen Notfallmanagements. Cyberlagen können hochdynamisch, schwer vorhersehbar und räumlich oder sachlich kaum begrenzt sein. Deshalb benötigt ihre Bewältigung neben vorbereiteten Plänen eine flexible Führungs-, Entscheidungs- und Kommunikationsstruktur. Incident Response behandelt den Vorfall technisch; BCM, Wiederanlauf und Wiederherstellung sichern beziehungsweise erneuern den Betrieb. Cyberkrisenmanagement koordiniert diese Arbeitsstränge auf übergeordneter Ebene.

Häufige Fehlannahmen

„§ 30 BSIG gilt für jedes Unternehmen.“ Nein. Erfasst sind besonders wichtige und wichtige Einrichtungen; Einstufung, Ausnahmen und Spezialregime sind zu prüfen.
„Die Pflicht entsteht erst, wenn eine Cyberkrise eintritt.“ Nein. § 30 verlangt präventive Risikomanagementmaßnahmen.
„Der Cyber-Notfallplan ersetzt Incident Response oder BCM.“ Nein. Er muss mit technischer Vorfallbehandlung, Betriebsaufrechterhaltung und Wiederherstellung verzahnt werden.
„Der Stand der Technik ist ausnahmslos ein Muss-Wortlaut.“ Nein. § 30 Absatz 2 verwendet hierfür „sollen“; der gefahrenübergreifende Ansatz und die Mindestbereiche sind dagegen Muss-Vorgaben.
„Das BSIG schreibt einen festen Übungsrhythmus und eine Aktivierungsschwelle vor.“ Nein. § 30 enthält beides nicht.
„DORA-Unternehmen und Akteure der Telematikinfrastruktur folgen einfach derselben Regel.“ Nein. Die jeweiligen Ausschlüsse und Spezialregime sind eigenständig zu prüfen.

Was die Geschäftsleitung tun sollte

Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen, die § 30 unterliegen, müssen die Maßnahmen nach § 30 umsetzen und ihre Umsetzung überwachen. Nach § 38 müssen diese Geschäftsleitungen außerdem regelmäßig an den dort beschriebenen Schulungen teilnehmen; ein festes Schulungsintervall nennt die Vorschrift nicht. Daraus und aus der BSI-Systematik ergeben sich folgende Umsetzungsschritte:

Anwendungsbereich klären: Einstufung nach § 28, sektorale Ausschlüsse, Rückausnahmen, EU-Vorrang und mögliche Spezialregime nachvollziehbar prüfen.
Krisenorganisation beschließen: Entscheidungsbefugnisse, Stellvertretungen, Eskalationswege, Kommunikationsrollen und erreichbare Krisenstabsfunktionen festlegen.
Arbeitsstränge verzahnen: Cyber-Notfallplan, Incident Response, BCM, Backup-Management, Wiederanlauf und Wiederherstellung mit eindeutigen Übergaben verbinden.
Auslöser und Ressourcen festlegen: risikobasierte Aktivierungskriterien bestimmen und Personal, Kommunikationsmittel, Zugänge sowie alternative Arbeitsmöglichkeiten absichern.
Umsetzung nachweisen: Maßnahmen, Entscheidungen, Übungen, erkannte Lücken und Verbesserungen dokumentieren und durch die Geschäftsleitung überwachen lassen.
Fähigkeiten erhalten: die gesetzlich verlangten regelmäßigen Leitungsschulungen organisieren und Krisenabläufe praktisch erproben; der Übungsrhythmus ist risikobasiert festzulegen.

Diese organisatorischen Konkretisierungen sind Empfehlungen und kein eigenständiger Wortlaut der §§ 30 oder 38 BSIG. § 38 wird nach § 29 Absatz 2 nicht auf Einrichtungen der Bundesverwaltung übertragen; für sie ist die gesonderte Behandlung nach § 29 zu beachten. Für die Leitung von Einrichtungen der Bundesverwaltung sind die besonderen Anforderungen des § 43 BSIG eigenständig zu prüfen.

Für die Geschäftsleitung

Reichweite: Zuerst ist belastbar festzustellen, ob und nach welchem Regelwerk die Einrichtung erfasst ist. Entscheidung: Die Leitung muss bei Anwendbarkeit die Maßnahmen nach § 30 umsetzen und überwachen sowie eine handlungsfähige, mit Incident Response und BCM verzahnte Krisenorganisation verantworten. Nachweis: Die Einhaltung der Verpflichtung aus § 30 Absatz 1 Satz 1 muss dokumentiert werden. Zusätzlich sollten Einstufung, die zugrunde gelegte Verhältnismäßigkeitsbewertung, Zuständigkeiten, Überwachungsentscheidungen, Übungen, erkannte Lücken und Verbesserungen so dokumentiert sein, dass Entscheidungen und Umsetzung nachvollziehbar bleiben.