Was ist gesicherte Notfallkommunikation?
Gesicherte Notfallkommunikation bezeichnet risikogerecht abgesicherte, für Notfälle vorbereitete Kommunikationssysteme innerhalb einer Einrichtung; sie ist keine gesetzliche Begriffsdefinition.
Technisch können dabei insbesondere Verfügbarkeit, Vertraulichkeit, Integrität und Authentizität berücksichtigt werden. Der Begriff ist von allgemeiner gesicherter Sprach-, Video- und Textkommunikation, von Meldungen an Behörden und von externer Krisenkommunikation zu unterscheiden. Ein Out-of-Band-Kanal kann eine Ausgestaltung sein, gehört aber nicht zwingend zur Definition.
Der Normwortlaut
Normtext aus § 30 Absatz 1 BSIG:
„Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, die in Absatz 2 konkretisiert werden, zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und Auswirkungen von Sicherheitsvorfällen möglichst gering zu halten.“
„Bei der Bewertung der Verhältnismäßigkeit der Maßnahmen sind insbesondere das Ausmaß der Risikoexposition, die Größe der Einrichtung und die Umsetzungskosten sowie die Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen einschließlich ihrer gesellschaftlichen und wirtschaftlichen Auswirkungen zu berücksichtigen. Die Einhaltung der Verpflichtung nach Satz 1 ist von den Einrichtungen zu dokumentieren.“
Normtext aus § 30 Absatz 2 Sätze 1 und 2 Nummer 10 BSIG:
„Maßnahmen nach Absatz 1 sollen den Stand der Technik einhalten, die einschlägigen europäischen und internationalen Normen berücksichtigen und müssen auf einem gefahrenübergreifenden Ansatz beruhen. Die Maßnahmen müssen zumindest Folgendes umfassen: […] 10. Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung.“
Operative Vorrangregeln aus § 30 Absätze 3 und 4 BSIG:
„Für Anbieter von DNS-Diensten, TLD-Namenregister, Anbieter von Cloud-Computing-Diensten, Anbieter von Rechenzentrumsdiensten, Betreiber von Inhaltszustellnetzen, Anbieter verwalteter Dienste, Anbieter verwalteter Sicherheitsdienste, Anbieter von Online-Marktplätzen, Online-Suchmaschinen und Plattformen für Dienste sozialer Netzwerke sowie Vertrauensdiensteanbieter hat der Durchführungsrechtsakt (EU) 2024/2690 […] Vorrang vor den Anforderungen nach Absatz 2.“
„Durchführungsrechtsakte nach Artikel 21 Absatz 5 Unterabsatz 2 der Richtlinie (EU) 2022/2555 haben Vorrang vor den Anforderungen nach Absatz 2, soweit die Anforderungen des Durchführungsrechtsakts den Anforderungen nach Absatz 2 entgegenstehen.“
Verweisung und persönliche Ausnahmen aus § 29 Absätze 2 und 3 BSIG:
„Für Einrichtungen der Bundesverwaltung gelten die Regelungen für besonders wichtige Einrichtungen entsprechend, soweit in diesem Gesetz nichts anderes bestimmt ist. Absatz 2 ist nicht anzuwenden auf die Geschäftsbereiche des Auswärtigen Amts und des Bundesministeriums der Verteidigung sowie den Bundesnachrichtendienst und das Bundesamt für Verfassungsschutz.“
Rechtliche Einordnung: „Gegebenenfalls“ beschränkt nur die gesicherten Notfallkommunikationssysteme. Die gesicherte Sprach-, Video- und Textkommunikation steht nicht unter diesem Vorbehalt. Zusätzlich sind die zitierten Vorrangregeln des § 30 Absätze 3 und 4 sowie die Verweisungs- und Ausnahmebestimmungen des § 29 Absätze 2 und 3 zu beachten.
Wen trifft die Pflicht?
Die ausdrückliche Pflicht aus § 30 BSIG richtet sich an besonders wichtige und wichtige Einrichtungen. Sie erfasst die informationstechnischen Systeme, Komponenten und Prozesse, welche diese Einrichtungen zur Erbringung ihrer Dienste nutzen. Für Einrichtungen der Bundesverwaltung gelten die Verweisungen des § 29 Absatz 2 und die Ausnahmen des § 29 Absatz 3: Die dort ausgenommenen Geschäftsbereiche des Auswärtigen Amts und des Bundesministeriums der Verteidigung sowie der Bundesnachrichtendienst und das Bundesamt für Verfassungsschutz dürfen nicht als Adressaten des § 30 dargestellt werden.
Muss erst ein Notfall eintreten?
Nein. § 30 begründet eine präventive Risikomanagementpflicht. Ob zusätzlich ein gesichertes Notfallkommunikationssystem innerhalb der Einrichtung angezeigt ist, richtet sich nach Geeignetheit, Wirksamkeit und Verhältnismäßigkeit. Bei der Verhältnismäßigkeitsbewertung sind insbesondere Risikoexposition, Größe, Umsetzungskosten sowie Eintrittswahrscheinlichkeit und Schwere möglicher Sicherheitsvorfälle einschließlich ihrer gesellschaftlichen und wirtschaftlichen Auswirkungen zu berücksichtigen.
Ist ein separater Out-of-Band-Kanal verpflichtend?
Nein. Der Normtext schreibt weder ein bestimmtes Produkt noch stets eine separate Infrastruktur oder einen Out-of-Band-Kanal vor. Als technische Leitlinie kommen hohe Verfügbarkeit, risikogerechte Absicherung und alternative Kommunikationsmöglichkeiten in Betracht. Welche Ausgestaltung geeignet ist, muss zur individuellen Risiko- und Ausfalllage passen.
Welche Ausnahmen und Vorrangregeln gelten?
Für die in § 30 Absatz 3 genannten Einrichtungsarten hat der dort bezeichnete Durchführungsrechtsakt der Europäischen Kommission Vorrang. Nach § 30 Absatz 4 gehen weitere Durchführungsrechtsakte nach Artikel 21 Absatz 5 Unterabsatz 2 der NIS-2-Richtlinie den Anforderungen des § 30 Absatz 2 nur insoweit vor, wie ihre Anforderungen diesen entgegenstehen. Daneben gelten die persönlichen Ausnahmen des § 29 Absatz 3.
Gibt es eine besondere Frist oder einen Schwellenwert?
§ 30 Absatz 2 Satz 2 Nummer 10 enthält keine eigene Frist, keinen besonderen Startpunkt und keinen numerischen Schwellenwert für gesicherte Notfallkommunikationssysteme. Adressaten des § 30 müssen nach Absatz 1 jedoch die Einhaltung ihrer Risikomanagementpflicht dokumentieren. Eigenständige sektorale Fristen können bestehen, folgen aber nicht aus Nummer 10.
Wie lässt sich die Wirksamkeit prüfen?
Technische Empfehlung: Verantwortlichkeiten, Informationsflüsse, erreichbare Kontaktwege und alternative Kommunikationsmöglichkeiten sollten in einem risikobasierten Konzept festgelegt und regelmäßig getestet werden. Das BSI beschreibt Übungen als Mittel, um Notfallplanung und Handlungsfähigkeit zu überprüfen. Daraus entsteht keine zusätzliche Pflicht zu einem bestimmten Produkt oder Übertragungsweg.
Häufige Fehlannahmen
- „Gesicherte Notfallkommunikation ist gesetzlich definiert.“ Nein. Das BSIG nennt die Maßnahme, enthält aber keine Legaldefinition des Ausdrucks.
- „Jede Organisation benötigt zwingend ein separates Out-of-Band-System.“ Nein. Die ausdrückliche Pflicht hat bestimmte Adressaten; Notfallkommunikationssysteme stehen zudem unter „gegebenenfalls“.
- „Auch gesicherte Sprach-, Video- und Textkommunikation ist nur gegebenenfalls nötig.“ Nein. Dieser Vorbehalt bezieht sich nach dem Satzbau nur auf Notfallkommunikationssysteme.
- „Die Pflicht beginnt erst bei Eintritt eines Notfalls.“ Nein. Sie ist Teil präventiver Risikomanagementmaßnahmen.
- „§ 30 Nummer 10 setzt eine feste Umsetzungsfrist oder einen Zahlenwert.“ Nein. Die Vorschrift enthält dafür weder Sonderfrist noch numerischen Schwellenwert.
Was die Geschäftsleitung tun sollte
- Verantwortlichkeiten und Informationsflüsse für Notfälle verbindlich festlegen.
- Erreichbare Kontaktwege und risikogerechte alternative Kommunikationsmöglichkeiten bestimmen.
- Das Konzept anhand von Risikoexposition, Größe, Kosten sowie Wahrscheinlichkeit und Schwere möglicher Vorfälle bewerten.
- Kommunikationswege und Zuständigkeiten regelmäßig in geeigneten Übungen testen und Erkenntnisse nachführen.
- Bei Adressaten des § 30 die Geeignetheit, Verhältnismäßigkeit und Wirksamkeit der Maßnahmen sowie die Einhaltung der Risikomanagementpflicht dokumentieren.
- Prüfen, ob Ausnahmen nach § 29 oder vorrangige Anforderungen nach § 30 Absätze 3 und 4 einschlägig sind.
Diese Schritte sind Praxisempfehlungen. Sie begründen keine zusätzliche produktbezogene Rechtspflicht.
Für die Geschäftsleitung
Entscheidend ist zuerst die Reichweite: § 30 adressiert besonders wichtige und wichtige Einrichtungen unter Beachtung der gesetzlichen Ausnahmen und Vorrangregeln. Die Leitung sollte risikobasiert entscheiden, ob neben gesicherter Sprach-, Video- und Textkommunikation ein zusätzliches Notfallkommunikationssystem erforderlich ist. Nachweisbar sein sollten die Bewertung, die gewählte Ausgestaltung, festgelegte Verantwortlichkeiten und Tests; für §-30-Adressaten ist die Einhaltung der Risikomanagementpflicht zu dokumentieren.
