Ein Ransomware-Angriff, ein Rechenzentrumsausfall, ein kritischer Personalausfall – Geschäftskontinuität ist kein Nice-to-have mehr. Das NIS2-Umsetzungsgesetz macht Business Continuity Management (BCM) zur gesetzlichen Pflicht nach §30 Abs. 2 Nr. 5 BSIG.
Was das Gesetz konkret fordert
§30 Abs. 2 Nr. 5 BSIG verlangt „Maßnahmen zur Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, sowie Krisenmanagement". Das bedeutet für KMU in der Praxis:
- Schriftlicher Business Continuity Plan (BCP) für kritische Prozesse
- Definierte Recovery Time Objectives (RTO) und Recovery Point Objectives (RPO)
- Dokumentiertes Backup-Konzept mit Testnachweis
- Krisenorganisation mit benannten Rollen und Notfallkontakten
- Regelmäßige Tests und Übungen (mindestens jährlich empfohlen)
Das BSI-Standard 200-4 (Notfallmanagement) gibt den methodischen Rahmen vor. Der Standard ist kostenlos verfügbar, aber seine Umsetzung dauert erfahrungsgemäß Wochen.
Wieso KMU hier besonders gefährdet sind
Laut dem Allianz Risk Barometer 2025 ist Betriebsunterbrechung das größte Unternehmensrisiko weltweit – und gleichzeitig das am schlechtesten vorbereitete. Bei KMU fehlt ein BCP in über 70 % der Fälle vollständig.
Ein BCP nach NIS2-Standard muss mindestens abdecken:
- Business Impact Analysis (BIA): Welche Prozesse sind kritisch, welche Ausfallzeiten sind tolerierbar?
- Notfallszenarien: Cyberangriff, Stromausfall, Ausfall zentraler IT-Systeme, Pandemie/Personalausfall
- Wiederanlaufplan mit Schritt-für-Schritt-Anweisungen pro Szenario
- Kommunikationsplan: Wer informiert wen? (intern, Kunden, BSI)
- Testprotokoll für jährliche Notfallübungen
Unser Business Continuity Kit – fertig in Stunden statt Wochen
Das NIS2Have Business Continuity Kit enthält alle benötigten Dokumente als ausfüllbare Vorlagen:
- Business Impact Analysis (BIA) – Vorlage mit vordefinierten Kritikalitätsstufen
- Business Continuity Plan (BCP) – anpassbare Word-Vorlage mit 5 Notfallszenarien
- Backup-Konzept-Vorlage mit 3-2-1-Regel und Testprotokoll
- Krisenteam-Checkliste mit Rollenverteilung
- Kommunikationsplan (intern/extern/BSI) nach §32 BSIG