NIS2 Business Continuity verbindet Cyber und Geschäft
§ 30 BSIG verlangt Maßnahmen zur Aufrechterhaltung des Betriebs, einschließlich Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement. Business Continuity übersetzt diese technische Resilienz in die Frage, welche Geschäftsleistungen wie lange ausfallen dürfen und wie das Unternehmen unter Störung handlungsfähig bleibt.
Business Impact Analysis als Ausgangspunkt
Die BIA identifiziert kritische Produkte, Services und Prozesse, maximale tolerierbare Ausfallzeiten, Mindestressourcen und zeitkritische Abhängigkeiten. Erst daraus sollten Wiederherstellungsziele für IT, Personal, Standorte, Lieferanten und Kommunikation abgeleitet werden.
Abhängigkeiten sichtbar machen
Kritische Geschäftsservices hängen häufig von Identitäten, Netzwerk, ERP, Produktionssystemen, EDI, Cloud-Diensten, Lieferanten, Gebäudetechnik und Schlüsselpersonen gleichzeitig ab. BCM muss diese Ketten betrachten – nicht nur einzelne Server.
Continuity-Strategien
Für kritische Services sollte entschieden sein, ob Ausfall durch Redundanz vermieden, durch Notbetrieb überbrückt, durch alternative Standorte/Provider abgefangen oder durch priorisierte Wiederherstellung begrenzt wird. Strategie und Kosten müssen zum Risiko passen.
Krisenmanagement und Cybervorfall
Ein Cyberincident kann gleichzeitig technische, operative, rechtliche, kommunikative und kommerzielle Entscheidungen auslösen. Krisenmanagement braucht daher klare Führungsstruktur, Lagebild, Entscheidungslog, Kommunikationswege und Schnittstelle zum Incident Management.
BCM muss getestet werden
Tabletops prüfen Entscheidungsfähigkeit. Wiederanlaufübungen prüfen technische und organisatorische Realität. Besonders wertvoll sind End-to-End-Szenarien, die einen geschäftskritischen Service und seine Abhängigkeiten bis zur tatsächlichen Nutzbarkeit testen.
Fünf Fragen für die Geschäftsleitung
- Welche Services dürfen höchstens wie lange ausfallen?
- Welche gemeinsamen Abhängigkeiten bedrohen mehrere kritische Services?
- Welche Notbetriebsoptionen funktionieren ohne zentrale IT?
- Wann wurden die wichtigsten Szenarien zuletzt getestet?
- Welche Test-Findings sind noch offen und welches Restrisiko bleibt?
Passende NIS2 Resources
Die Fachseite ordnet das Thema ein. Für die strukturierte Standortbestimmung und die organisatorische Umsetzung stehen die NIS2 Toolkits bereit.
NIS2 Self-Assessment Toolkit
Executive Capabilities bewerten, Gaps erkennen und Handlungsbedarf priorisieren.
NIS2 Governance Toolkit
Governance-Dokumente, Prozesse, Rollen, Register, Nachweise und Implementierungshilfen für die Umsetzung.
Verwandte NIS2-Themen
Quellen und Rechtsstand
Inhaltlicher Stand: 9. August 2026. Maßgeblich bleiben der jeweils geltende Gesetzes- und Behördenstand sowie die konkrete Situation der Einrichtung.
Hinweis: Fachliche Orientierung; keine Rechtsberatung.