Verfügt das Unternehmen über einen Plan zur Fortsetzung der Geschäftstätigkeit bei einer schwerwiegenden Störung?

Geschäftskontinuität als Einzelmaßnahme gemäß Artikel 21 Absatz 2

Diese Frage befasst sich mit Business-Continuity-Management: Hat das Unternehmen einen Plan zur Fortsetzung des Geschäftsbetriebs, falls ein Incident den normalen Betriebsablauf stört. Dies ist eine der zehn Maßnahmen, die Artikel 21 Absatz 2 der NIS2-Richtlinie vorsieht, neben anderen wie Risikoanalyse, Incident Management und Zugangsrichtlinien. Der Wortlaut dieses Absatzes nennt explizit Sicherung, Notfallwiederherstellung und Krisenkommunikation als Bestandteile dieses Themas — es geht also nicht nur um einen schriftlichen Plan, sondern um ein kohärentes Ensemble von Wiederherstellungsvorkehrungen.

Ein vollständiges "Ja" setzt mehr als eine Absichtserklärung voraus. Fragesteller erwarten in der Regel, dass ein Kontinuitätsplan vorhanden ist, dass dieser getestet oder geübt wurde, und dass er konkrete Elemente enthält: einen Ausweichstandort oder eine Ausweichvorrichtung, eine Backup-Strategie mit Wiederherstellungspunkten, und eine Krisenorganisation mit Rollen und Eskalationswegen. Fehlt einer dieser Bestandteile, ist "noch zu bestimmen" oder "teilweise" oft eine ehrlichere Antwort als ein vollständiges "Ja" — zumal viele Kundenportale hierauf mit einer Aufforderung zum Upload des Plans oder einer Zusammenfassung folgen.

Was als Nachweis verlangt wird

Die Begründung ergibt sich unmittelbar aus Artikel 21 Absatz 2 Buchstabe c der Richtlinie (EU) 2022/2555: Geschäftskontinuität, wie die Verwaltung von Sicherungen und Notfallwiederherstellung, und Krisenmanagement. Dies ist eine der zehn konkreten Maßnahmen, die die Richtlinie als Teil des Risikomanagements nennt, das Einrichtungen ergreifen müssen. Wer die Antwort begründet, tut dies in der Regel mit dem Kontinuitätsplan selbst, einem Bericht über die letzte Übung oder einer Übersicht der Backup- und Ausweichvorkehrungen. Dies entspricht der Art und Weise, wie der Sektor, in dem das Unternehmen tätig ist Einfluss darauf hat, was ein Fragesteller als "ausreichend" betrachtet: Ein kritischer Sektor erhält oft strengere Folgefragen als ein Unternehmen, das nur gelegentlich an größere Abnehmer liefert. Auch die Frage nach der Anzahl der Mitarbeiter des Unternehmens spielt hier manchmal eine Rolle, da die Größe der Organisation Auswirkungen darauf hat, was ein realistischer Kontinuitätsplan beinhaltet — ein Einzelunternehmer mit einem externen Hosting-Partner hat nun einmal andere Ausweichbedarfe als ein Unternehmen mit seinem eigenen Serverpark.