Maßnahme 3: Aufrechterhaltung des Betriebs, Backup und Krisenmanagement.
Das Gesetz verlangt, dass Sie den Betrieb bei Störungen aufrechterhalten, Daten sichern und nach einem Notfall wiederherstellen können und für Krisen organisiert sind.
- § 30 Abs. 2 Nr. 3 BSIG
- Stand: 19.10.2026
- Lesezeit: 7 Min.
Kurzantwort.
Sie ermitteln, welche Geschäftsprozesse zeitkritisch sind und wie lange sie ausfallen dürfen. Daraus leiten Sie Wiederherstellungsziele, ein geschütztes Backup-Konzept und Notfallpläne ab. Sie testen Wiederherstellungen, benennen einen Krisenstab mit klaren Rollen und üben Notfall- und Krisenszenarien regelmäßig. Ergebnisse, Abweichungen und Verbesserungen dokumentieren Sie nachvollziehbar.
Was das Gesetz verlangt.
§ 30 Abs. 2 Nr. 3 BSIG nennt als dritte Mindestmaßnahme die „Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement“. Die Vorgabe entspricht Art. 21 Abs. 2 Buchst. c der Richtlinie (EU) 2022/2555. Sie dient dem Ziel aus § 30 Abs. 1 BSIG, Störungen der Verfügbarkeit der Systeme, Komponenten und Prozesse zu vermeiden, die für die Erbringung der Dienste genutzt werden, und die Auswirkungen von Sicherheitsvorfällen möglichst gering zu halten.
Den Begriff Business Continuity Management verwendet das Gesetz nicht. Das BSI weist aber darauf hin, dass die verlangten Maßnahmen wesentliche Elemente eines Business Continuity Management Systems sind, und empfiehlt, ein solches System aufzubauen, etwa nach dem BSI-Standard 200-4. Nach § 30 Abs. 2 Satz 1 BSIG sollen die Maßnahmen den Stand der Technik einhalten, einschlägige Normen berücksichtigen und auf einem gefahrenübergreifenden Ansatz beruhen. Neben Cyberangriffen gehören damit Strom-, Gebäude-, Personal- und Dienstleisterausfälle in die Planung.
Wie umfangreich Notfallvorsorge und Krisenorganisation ausfallen, richtet sich nach § 30 Abs. 1 Satz 2 BSIG nach Risikoexposition, Größe der Einrichtung, Umsetzungskosten sowie Eintrittswahrscheinlichkeit, Schwere und Auswirkungen von Vorfällen. § 30 Abs. 1 Satz 3 BSIG verlangt, die Einhaltung zu dokumentieren.
Für Anbieter digitaler Dienste wie Cloud- und Rechenzentrumsdienste und Managed Service Provider gehen nach § 30 Abs. 3 BSIG die Anforderungen der Durchführungsverordnung (EU) 2024/2690 vor. Betreiber kritischer Anlagen setzen für die maßgeblichen Systeme nach § 31 Abs. 1 BSIG auch ein höheres Schutzniveau als verhältnismäßig an, was sich bei Wiederherstellungszielen und Redundanz unmittelbar auswirkt.
Nachweise.
Das BSI kann nach § 61 BSIG bei besonders wichtigen Einrichtungen Nachweise anfordern und Prüfungen anordnen, bei wichtigen Einrichtungen nach § 62 BSIG anlassbezogen. Für die Aufrechterhaltung des Betriebs werden typischerweise diese Unterlagen relevant sein. Die Tabelle ist ein Vorschlag; feste Formvorgaben hat das BSI für Nachweise nach § 30 BSIG bisher nicht veröffentlicht.
| Nachweis | Form | Verantwortlich | Turnus |
|---|---|---|---|
| Business-Impact-Analyse | Zeitkritische Prozesse mit Abhängigkeiten, freigegebenen RTO und RPO | Notfallmanagement mit Prozessverantwortlichen, Freigabe durch Geschäftsleitung | Jährlich und bei wesentlichen Änderungen |
| Backup-Konzept | Dokument mit Umfang, Aufbewahrung, Trennung, Schutz und Zugriffsregeln | IT-Betrieb | Jährlich und bei Systemänderungen |
| Backup-Jobberichte | Protokolle mit Fehlern und deren Behebung | IT-Betrieb | Laufend, Auswertung monatlich |
| Wiederherstellungstests | Testprotokoll mit erreichter Zeit gegenüber RTO und RPO | IT-Betrieb mit Fachbereich | Nach Risiko, mindestens jährlich je kritischem System |
| Notfallhandbuch und Wiederanlaufpläne | Freigegebene, versionierte Pläne, auch offline verfügbar | Notfallmanagement | Jährlich und nach Übungen |
| Krisenorganisation | Krisenstab mit Rollen, Vertretungen, Erreichbarkeiten und Eskalationskriterien | Geschäftsleitung | Halbjährlich prüfen |
| Übungsberichte | Szenario, Teilnehmende, Ergebnisse und Maßnahmen | Notfallmanagement | Mindestens jährlich |
Typische Lücken.
Backups ohne Wiederherstellungstest.
Grüne Jobberichte zeigen nur, dass gesichert wurde. Ob sich ein System in der geforderten Zeit wiederherstellen lässt, zeigt erst ein Test. Ohne Protokoll mit gemessener Dauer lässt sich die Zielerreichung nicht belegen.
Sicherungen sind vom Angriff mitbetroffen.
Liegen Backups im selben Verzeichnisdienst oder sind sie mit denselben Administrationskonten erreichbar, verschlüsselt ein Ransomware-Angriff sie mit. Getrennte, gegen Manipulation geschützte Sicherungen mit eigenem Zugriffsschutz sind deshalb der Kern dieser Maßnahme.
Wiederherstellungsziele ohne Grundlage.
RTO und RPO werden oft von der IT festgelegt, ohne dass die Fachbereiche beteiligt waren. Die Ziele müssen aus der Business-Impact-Analyse folgen und von der Geschäftsleitung freigegeben sein, sonst passen Technik und tatsächlicher Bedarf nicht zusammen.
Der Notfallplan liegt im ausgefallenen System.
Ein Notfallhandbuch, das nur im Intranet oder auf dem Dateiserver liegt, ist im Ernstfall nicht erreichbar. Gleiches gilt für Kontaktlisten in einem E-Mail-System, das selbst betroffen ist. Planen Sie Offline-Exemplare und einen unabhängigen Kommunikationsweg.
Dienstleister fehlen in der Planung.
Viele zeitkritische Prozesse hängen an Cloud-Diensten, Rechenzentren oder IT-Dienstleistern. Ohne abgestimmte Wiederanlaufzusagen und einen Plan für deren Ausfall bleibt die Notfallvorsorge unvollständig.
Umsetzung in Schritten.
Geltungsbereich und Verantwortung festlegen.
Benennen Sie eine verantwortliche Person für das Notfallmanagement und legen Sie fest, welche Dienste, Standorte und Organisationseinheiten einbezogen sind. Für kleinere Einrichtungen beschreibt der BSI-Leitfaden „Einstieg in das BCM für KMU“ einen stufenweisen Aufbau.
Business-Impact-Analyse durchführen.
Ermitteln Sie mit den Fachbereichen, welche Prozesse zeitkritisch sind, welche Systeme, Daten, Räume, Personen und Dienstleister sie benötigen und wie lange ein Ausfall tragbar ist. Leiten Sie daraus Wiederanlaufprioritäten, RTO und RPO ab und lassen Sie sie freigeben.
Backup-Konzept umsetzen.
Sichern Sie Daten und Konfigurationen entsprechend dem RPO, mindestens eine Kopie getrennt und gegen Veränderung geschützt. Regeln Sie, wer auf Sicherungen zugreifen und sie löschen darf, und überwachen Sie fehlgeschlagene Jobs.
Wiederherstellung testen.
Planen Sie Restore-Tests nach Risiko, vom einzelnen Datensatz bis zum vollständigen Wiederanlauf eines kritischen Systems. Messen Sie die Dauer, vergleichen Sie sie mit dem RTO und halten Sie Abweichungen als Maßnahmen fest.
Notfallpläne erstellen.
Beschreiben Sie für die wichtigsten Szenarien Sofortmaßnahmen, Wiederanlauf und manuelle Ersatzverfahren. Halten Sie die Pläne auch offline vor und stimmen Sie die Wiederanlaufzusagen kritischer Dienstleister ab.
Krisenorganisation aufbauen.
Legen Sie einen Krisenstab mit Rollen, Vertretungen und Entscheidungsbefugnissen fest, definieren Sie Kriterien für die Ausrufung einer Krise und bestimmen Sie Kommunikationswege, die auch bei Ausfall von E-Mail und Telefonie funktionieren.
Üben und verbessern.
Beginnen Sie mit Planbesprechungen und Stabsübungen und steigern Sie zu technischen Wiederanlauftests. Halten Sie nach jeder Übung und jedem Vorfall die Erkenntnisse fest und passen Sie Pläne und Ziele an.
In Secani.
Im Katalog „NIS2 Deutschland“ der Framework-Bibliothek ist § 30 Abs. 2 Nr. 3 BSIG als Anforderung DE-REQ-07 abgebildet, mit den Controls DE-CTL-11 für die Business-Impact-Analyse, DE-CTL-12 für Backups und Wiederherstellung und DE-CTL-13 für Notfall- und Krisenpläne. Vertiefungen wie DE-CTL-47 zum Ausfall von Cloud-Diensten und DE-CTL-49 zum OT-Wiederanlauf fügen Sie hinzu, wo sie zutreffen. Ein Control kann zugleich Anforderungen aus ISO/IEC 27001 oder IT-Grundschutz erfüllen.
Die Abhängigkeiten zeitkritischer Prozesse bilden Sie im Inventar mit Systemen, Diensten und Dienstleistern ab. Business-Impact-Analyse, Backup-Konzept, Restore-Protokolle und Übungsberichte laden Sie als Nachweise hoch und verknüpfen sie mit dem jeweiligen Control; das Nachweis-Register zeigt, welche Nachweise veraltet sind. Restore-Tests und Übungen planen Sie als wiederkehrende Aufgaben.
Notfallpläne und Wiederherstellungsziele geben Sie über Freigaben mit Vier-Augen-Prinzip frei. Im Register für Sicherheitsvorfälle sehen Sie, wann ein Vorfall eingedämmt und wann der Betrieb wiederhergestellt war, und können diese Werte mit den Zielen vergleichen.
Controls im Katalog „NIS2 Deutschland“
- DE-REQ-07Betrieb aufrechterhalten und wiederherstellen
- DE-CTL-11Kritische Geschäftsprozesse analysieren
- DE-CTL-12Backups absichern und Wiederherstellung testen
- DE-CTL-13Notfall- und Krisenpläne üben
- DE-CTL-25Sichere Regel- und Notfallkommunikation
Verwandte Maßnahmen.
- Maßnahme 2: Sicherheitsvorfälle
Die Vorfallbewältigung endet mit dem Wiederanlauf; dafür braucht sie die Backups und Notfallpläne aus dieser Maßnahme.
- Maßnahme 10: MFA und Kommunikation
Gesicherte Notfallkommunikationssysteme nach § 30 Abs. 2 Nr. 10 BSIG sind das Werkzeug des Krisenstabs, wenn die üblichen Kanäle ausfallen.
- Maßnahme 6: Wirksamkeit
Restore-Tests und Notfallübungen sind die naheliegendsten Belege dafür, dass eine Maßnahme im Ernstfall wirkt.
- Alle zehn Maßnahmen im Überblick
Häufige Fragen.
Das Gesetz schreibt keinen bestimmten Standard vor und spricht nicht ausdrücklich von Business Continuity Management. § 30 Abs. 2 Nr. 3 BSIG verlangt aber Aufrechterhaltung des Betriebs, Backup-Management, Wiederherstellung und Krisenmanagement. Das BSI empfiehlt, dafür ein BCMS aufzubauen, und nennt den BSI-Standard 200-4 als Grundlage. ISO 22301 oder eine stufenweise Umsetzung sind ebenfalls möglich.
Das BSIG nennt keinen Turnus. Maßstab ist die Verhältnismäßigkeit nach § 30 Abs. 1 Satz 2 BSIG: Kritische Systeme mit kurzen Wiederherstellungszielen sollten häufiger getestet werden als weniger wichtige. Eine jährliche vollständige Wiederherstellung je kritischem System ist ein verbreiteter Ausgangspunkt, ergänzt um Tests nach größeren Änderungen. Entscheidend ist ein Protokoll, das die erreichte Zeit mit dem Ziel vergleicht.
Notfallmanagement bereitet auf Ausfälle vor, für die Pläne bestehen, etwa den Ausfall eines Rechenzentrums, und regelt den Wiederanlauf. Krisenmanagement greift, wenn eine Lage mit den vorhandenen Plänen nicht mehr zu bewältigen ist und die Leitung Entscheidungen treffen muss. § 30 Abs. 2 Nr. 3 BSIG nennt beides; der Krisenstab braucht dafür festgelegte Rollen, Befugnisse und Kommunikationswege.
Sie kann Teil des Konzepts sein, ersetzt es aber nicht. Prüfen Sie, ob die Sicherung vom Produktivsystem und seinen Administrationskonten getrennt und gegen Löschung oder Verschlüsselung geschützt ist, ob die Wiederherstellung in der geforderten Zeit gelingt und was bei einem Ausfall des Anbieters selbst geschieht. Die Abhängigkeit vom Anbieter gehört in die Business-Impact-Analyse.
Noch nicht sicher, ob NIS2 für Sie gilt?
Der kostenlose Check ordnet Ihre Einrichtung nach § 28 BSIG ein.
Diese Seite fasst die Rechtslage nach bestem Wissen zusammen und ersetzt keine Rechtsberatung. Maßgeblich sind der Gesetzestext und die Festlegungen des BSI.