Der Fragebogen fragt, ob wir einen Notfallplan für einen Cybervorfall haben

Krisenplan fällt unter Geschäftskontinuität, nicht unter Incident Response

Die Frage nach einem "Krisenplan bei einem Hack" fragt in der Praxis nach zwei Dingen gleichzeitig, und die Antwort hängt davon ab, welches der beiden du hast. Das erste ist ein Kontinuitätsplan: wie bleibt die Dienstleistung am Laufen oder wie stellst du sie wieder her, unabhängig davon, was genau passiert ist. Das zweite ist ein Incident-Response-Plan: wer tut was, sobald ein Hack entdeckt wird, wer wird benachrichtigt, wie wird der Vorfall eingedämmt. Viele Unternehmer haben das zweite wohl und das erste nicht, oder umgekehrt, und kreuzen dann "ja" bei einer Frage an, die eigentlich beide verlangt.

Hast du nur einen informellen Plan — ein paar Absprachen, die jeder kennt, aber die nirgendwo schriftlich festgehalten sind — dann ist "nein" meist die ehrlichste Antwort, mit einer Erläuterung, dass der Ansatz zwar existiert, aber nicht dokumentiert ist. Hast du einen Kontinuitätsplan ohne separate Cyber-Komponente, prüfe dann, ob dieser explizit ein Cyber-Incident als Szenario benennt; wenn nicht, dann ist das eine Lücke, die der Kunde häufiger anmerkt. Dieses Thema berührt stark gibt es Sicherungen und eine Notfallvorkehrung zur Wiederherstellung der Dienstleistung und gibt es ein Verfahren zur Behandlung von Sicherheitsvorfällen — beantworte diese zwei zuerst, dann fällt diese Frage oft von selbst an ihren Platz.

Wo dies in Artikel 21 Absatz 2 NIS2 zurückkommt

Artikel 21 Absatz 2 der Richtlinie (EU) 2022/2555 nennt "business continuity, such as backup management and disaster recovery, and crisis management" als eine der zehn erforderlichen Maßnahmen — also Kontinuität und Krisenmanagement stehen dort zusammen, nicht als zwei getrennte Anforderungen. Anlage A der ISO/IEC 27001 kennt eine vergleichbare Managementmaßnahme für ICT-Bereitschaft bei Geschäftsunterbrechung. Das niederländische Cybersicherheitsgesetz, das diese Verpflichtung umsetzt, tritt am 15. August 2026 in Kraft.