Notfall- und Krisenmanagement

Beide Begriffe werden in der Praxis oft synonym verwendet, fachlich besteht aber eine Abstufung. Ein Notfall ist ein Schadens­fall mit nennenswerter, aber begrenzter Auswirkung — etwa der Ausfall eines Servers oder ein lokaler Brand. Eine Krise nimmt existenz- oder reputations­bedrohende Dimension an und erfordert einen konstituierten Krisenstab — etwa ein Ransomware-Angriff mit konzern­weiter Verschlüsse­lung oder ein gravierender Daten­schutz­vorfall. Notfall- und Krisen­management deckt beide Stufen ab: Pläne für die abgrenz­baren Schäden, Krisenstabs-Strukturen für das, was darüber hinausgeht.

Tendenziell ja — wobei die Tiefe der Vorbereitung an die Größe angepasst sein darf und sollte. Ein 30-Mit­arbeitenden-Unter­nehmen ohne Schicht-Betrieb braucht keine 24/7-Krisenstabs-Strukturen, aber sehr wohl einen benannten Verant­wortlichen, einen plausiblen Sofort-Plan für die Top-Szenarien und eine Daten­sicherung, die im Ernstfall trägt. In der Praxis sind gerade mittel­ständische Unter­nehmen anfälliger — sie haben weniger personelle Reserve, weniger redundante IT und weniger Erfahrung mit Krisen-Lagen. Die Folge eines unvorbereiteten Vorfalls ist hier oft existenz­bedrohender als bei Konzern-Strukturen.

Das ist genau eine der drei Leitfragen unserer Beratung — pauschal nicht beantwortbar. Allgemeine Sorgfalts­pflichten aus § 91 Abs. 2 AktG, § 43 GmbHG und dem StaRUG (Krisen-Früh­erkennung) treffen jede Geschäfts­leitung. Branchen­spezifisch werden die Pflichten in regulierten Sektoren — KRITIS, NIS2, DORA, BAIT/VAIT/MaRisk im Finanz­sektor, GwG-bezogene Pflichten bei verpflichteten Unter­nehmen. Im Daten­schutz: Art. 32 DSGVO verlangt Verfügbar­keit als Schutzziel, Art. 33 die Melde­pflicht bestimmter Vorfälle. Welche Norm für Sie konkret gilt und in welcher Tiefe, klären wir im ersten Beratungs­block.

Realistisch sind zwei bis vier Monate vom Projekt­start bis zur Tabletop-Übung, abhängig vom Reifegrad Ihrer Organisation und der gewählten Tiefe. Mandanten mit unmittelbarem Anlass erhalten eine kompakte Status-Aufnahme als ersten Block in vier bis sechs Wochen; die Konzept- und Übungs-Phasen folgen darauf. Für regulatorische Akut-Lagen — etwa kurz vor einem Konzern-Audit oder einer NIS2-Prüfung — ist auch ein gestufter Einstieg möglich, der zunächst die formalen Lücken schließt und die Tiefe in einer zweiten Phase nachzieht.

Die Kosten richten sich nach Geltungs­bereich und Tiefe. Mandate werden als Tagessatz-Kontingent oder als phasen­bezogener Festpreis ausgewiesen. Eine kompakte Beratung mit Resilienz-Check, Bedrohungs-Inventur, Pflichten-Analyse, schlankem Konzept und einer Tabletop-Übung für ein klar abgegrenztes mittel­ständisches Unter­nehmen liegt typischer­weise im niedrigen fünf­stelligen Bereich. Eine breitere Beratung mit Konzern-relevanten Aspekten oder regulatorischer Tiefe entsprechend höher. Im Erstgespräch erhalten Sie eine konkrete Aufwands­schätzung mit transparent ausgewiesenen Phasen.

Für viele Mittel­ständler ohne regulatorische Pflicht zu zertifiziertem BCMS reicht das schlanke Konzept der Beratung — mit jährlicher Pflege und einer Tabletop-Übung im laufenden Jahr. Ein vollwertiges BCMS nach ISO 22301 oder BSI-Standard 200-4 wird notwendig, wenn Konzernmutter, Großkunde, Versicherer oder Regulierung das verlangen — oder wenn die organisatorische Komplexität so hoch ist, dass die schlanke Form nicht mehr trägt. Wir empfehlen die ehrliche, an Ihre Lage angepasste Variante. Wenn ein BCMS sinnvoll wird, beschreiben wir den Pfad auf der separaten BCM-Beratungs-Seite.

Wenn während eines laufenden Beratungs-Mandats ein Vorfall eintritt, schalten wir um auf Akut-Begleitung — Strukturierung der Lage, Krisenstab-Moderation, Behörden- und Versicherungs-Kommunikation, Lage-Doku­mentation für die spätere forensische und juristische Aufarbeitung. Die technische Forensik übernimmt eine spezialisierte IR-Firma oder Ihre Cyber-Versicherung; wir sind keine technischen Incident-Responder, sondern strukturierende Begleitung. Die laufende Beratung wird unterbrochen und nach der Akut-Phase mit den Lessons-Learned des Vorfalls fortgesetzt.

Im laufenden Betrieb nach Beratungs-Abschluss hält sich der Aufwand bei einem schlanken Konzept im Rahmen — typisch sind eine jährliche Tabletop-Übung mit dem Krisenstab (Halbtages-Termin), ein jährlicher Management-Review der Pläne (zwei bis drei Stunden), anlass­bezogene Aktualisierungen bei größeren Änderungen der IT- oder Prozess-Aufstellung. In Summe meist drei bis fünf Personen­tage pro Jahr für Geschäfts­leitung und Krisenstab. Bei vollwertigem BCMS ist der laufende Aufwand höher.

Eine zentrale — bei den IT-bezogenen Notfall-Szenarien arbeiten wir eng mit Ihrem IT-Dienst­leister oder Ihrer internen IT zusammen. Wieder­anlauf-Zeiten von IT-Systemen, Backup-Strategie, Cloud-Anbieter-Verträge mit ihren SLAs, Disaster-Recovery-Setups: alle diese Aspekte werden vom IT-Dienst­leister verantwortet, in der Beratung aber strukturiert geprüft. Wir machen sichtbar, wo Annahmen und Realität auseinander­laufen — etwa wenn der Vertrag eine vier­stündige Wieder­anlauf-Zeit zusichert, die so noch nie getestet wurde.

Cyber-Versicherer fordern in der Regel ein dokumentiertes Notfall- und Krisen­management als Voraussetzung für die Police — und mit zunehmender Schadens­häufigkeit auch wachsende Tiefe. Ein schlankes, gelebtes Konzept aus unserer Beratung erfüllt häufig die formalen Anforderungen für mittel­ständische Policen. Bei höheren Versicherungs-Summen oder regulierten Branchen verlangen Versicherer zunehmend ein vollwertiges BCMS. Wir berücksichtigen die konkreten Anforderungen Ihrer Police im Beratungs-Mandat und stimmen das Konzept-Niveau mit Ihrer Versicherungs-Vermittlung oder dem Underwriter ab.