Was gehört in einen IT-Notfallplan?
| Baustein | Inhalt |
|---|---|
| Alarmierung | wer einen Notfall ausruft und wie alle informiert werden |
| Kontaktliste | Geschäftsführung, IT-Dienstleister, Versicherung, Datenschutzbeauftragte, Polizei, wichtige Lieferanten |
| Sofortmaßnahmen | Systeme vom Netz trennen, Passwörter sperren, Spuren sichern |
| Kommunikation | Ersatzkanäle außerhalb des Firmennetzes, Vorlagen für Kunden und Mitarbeitende |
| Wiederanlauf | Reihenfolge der Systeme und wie lange jedes ausfallen darf |
| Notbetrieb | wie Aufträge, Telefon und Abrechnung ohne IT weiterlaufen |
| Meldepflichten | Datenschutzaufsicht, gegebenenfalls BSI, Versicherung |
Damit der Plan im Ernstfall funktioniert
Das BSI empfiehlt, sich auf den Fall vorzubereiten, dass das gesamte Netz verschlüsselt ist: alternative Kommunikationswege außerhalb des kompromittierten Netzes vorbereiten, wichtige Kontakte auf Papier bereithalten und die Wiederherstellung üben.[1] Zur Vorbereitung gehören außerdem Ablaufpläne, Kommunikationswege, eine Liste der Dienstleister und regelmäßige Übungen; die Notfalldokumente sollen ausgedruckt verfügbar sein.[2]
Für Unternehmen unter NIS2 ist Betriebskontinuität mit Backup-Management, Notfallwiederherstellung und Krisenmanagement eine Pflichtmaßnahme.[3] Erhebliche Sicherheitsvorfälle sind dort spätestens 24 Stunden nach Kenntnis erstmals zu melden.[4] Datenschutzverletzungen sind der Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden zu melden.[5] Diese Fristen gehören mit den zuständigen Stellen in den Plan.
Beispiel aus der Praxis
Ein Bauunternehmen mit 35 Mitarbeitenden hat einen Notfallplan von vier Seiten, ausgedruckt in einem roten Ordner bei der Geschäftsführung und im Büro. Bei einer Übung wird angenommen, dass der Server verschlüsselt ist. Dabei fällt auf: Die Telefonnummer des IT-Dienstleisters steht nur im Outlook, und niemand weiß, wie die Baustellen ohne die Projektsoftware Material bestellen. Beides wird ergänzt. Ein halbes Jahr später fällt der Server tatsächlich aus. Nach zwei Stunden ist der Notbetrieb eingerichtet, nach einem Tag läuft alles wieder.
IT-Notfallplan vs. Business Continuity Management
Der IT-Notfallplan regelt die Reaktion auf IT-Ausfälle. Business Continuity Management (BCM) ist breiter und betrachtet alle Ausfälle, die den Betrieb gefährden, also auch Brand, Personalausfall oder den Ausfall eines Lieferanten. Für die meisten Mittelständler ist der IT-Notfallplan der erste und wichtigste Baustein.
Kurz gesagt
Ein IT-Notfallplan regelt, wer im Ernstfall was tut, wen er informiert und in welcher Reihenfolge Systeme zurückkommen. Er muss ohne funktionierende IT nutzbar sein, die Meldefristen enthalten und mindestens einmal im Jahr geübt werden.
Weiterlesen: Server-Ausfall: Notfallplan für die Firma, Leitfaden für IT-Notfallübungen, Notfallkommunikation im Unternehmen planen