Wie erstellt man einen Wiederanlaufplan für kritische Geschäftsprozesse unter NIS2?

Alexander Brütsch · 15 Okt. 2026

Einen Wiederanlaufplan für kritische Geschäftsprozesse unter NIS2 erstellt man in strukturierten Schritten: Prozesse identifizieren, Wiederherstellungsziele definieren, Verantwortlichkeiten festlegen, technische und organisatorische Maßnahmen dokumentieren und das Ganze regelmäßig testen. NIS2 macht Business Continuity zur Pflicht für alle betroffenen Einrichtungen, nicht zur Kür. Die folgenden Abschnitte beantworten die wichtigsten Fragen rund um Aufbau, Test und häufige Fehler bei der Wiederanlaufplanung.

Welche Anforderungen stellt NIS2 konkret an die Wiederanlaufplanung?

NIS2 verpflichtet betroffene Einrichtungen ausdrücklich dazu, Maßnahmen zur Aufrechterhaltung des Betriebs und zur Wiederherstellung nach Sicherheitsvorfällen zu treffen. Das umfasst Backup-Management, Notfallpläne und die Fähigkeit, kritische Dienste in einem definierten Zeitrahmen wieder betriebsbereit zu machen. Diese Anforderungen gelten für wesentliche und wichtige Einrichtungen gleichermaßen.

Konkret verlangt die Richtlinie, dass Unternehmen Konzepte für Business Continuity und Disaster Recovery vorhalten, die dokumentiert, erprobt und aktuell sind. Dazu gehören klare Verantwortlichkeiten, definierte Wiederherstellungsziele (RTO und RPO) sowie Meldeprozesse für erhebliche Vorfälle. Wer unter die NIS2-Pflichten fällt, muss nachweisen können, dass diese Planung nicht nur auf dem Papier existiert, sondern tatsächlich funktioniert.

Ein zentraler Punkt: NIS2 fordert keine spezifische Vorlage, sondern eine angemessene und verhältnismäßige Umsetzung. Das bedeutet, der Umfang des Wiederanlaufplans muss zur Größe, Kritikalität und Risikolage des Unternehmens passen.

Was sind kritische Geschäftsprozesse und wie identifiziert man sie?

Kritische Geschäftsprozesse sind jene Abläufe, deren Ausfall die Handlungsfähigkeit eines Unternehmens direkt und erheblich beeinträchtigt, sei es durch Umsatzverlust, Vertragsbruch, Sicherheitsrisiken oder regulatorische Konsequenzen. Die Identifikation erfolgt durch eine strukturierte Business-Impact-Analyse (BIA).

In der BIA bewertet man für jeden Prozess, welche Folgen ein Ausfall nach zwei, acht oder 24 Stunden hätte. Dabei spielen folgende Fragen eine Rolle: Welche IT-Systeme und Daten sind für den Prozess notwendig? Welche Abhängigkeiten bestehen von Lieferanten oder Dienstleistern? Welche vertraglichen oder gesetzlichen Fristen sind zu beachten?

Typische kritische Geschäftsprozesse in mittelständischen Unternehmen sind Auftragsbearbeitung, Produktionssteuerung, Kundenkommunikation, Buchhaltung und IT-Infrastruktur selbst. Die Priorisierung dieser Prozesse bildet die Grundlage für alle weiteren Schritte der Wiederanlaufplanung nach NIS2.

Wie ist ein NIS2-konformer Wiederanlaufplan aufgebaut?

Ein NIS2-konformer Wiederanlaufplan besteht aus mehreren aufeinander aufbauenden Elementen: der Risikoanalyse, der Definition von Wiederherstellungszielen, konkreten Wiederanlaufprozeduren, Kommunikationsplänen und der Zuweisung klarer Verantwortlichkeiten. Das Dokument muss praxistauglich und für alle Beteiligten verständlich sein.

Wiederherstellungsziele und Eskalationsstufen

Für jeden kritischen Prozess legt man zwei Kennzahlen fest: das Recovery Time Objective (RTO), also die maximale Ausfallzeit, und das Recovery Point Objective (RPO), also den maximalen Datenverlust in Stunden oder Minuten. Diese Ziele müssen realistisch sein und durch technische Maßnahmen wie Backups, Redundanzen oder Cloud-Failover tatsächlich erreichbar sein.

Eskalationsstufen definieren, wann welche Maßnahme greift. Ein kurzer Systemausfall erfordert andere Reaktionen als ein vollständiger Ransomware-Angriff. Der Plan muss beide Szenarien abdecken und klare Auslöser benennen.

Verantwortlichkeiten und Kommunikation

Jeder Schritt im Wiederanlaufplan braucht eine namentlich benannte verantwortliche Person sowie eine Vertretung. Kommunikationspläne regeln, wer intern informiert wird, wer externe Stellen wie Behörden oder Kunden benachrichtigt und wer sich mit Dienstleistern abstimmt. NIS2 stellt explizite Anforderungen an Meldeprozesse bei erheblichen Sicherheitsvorfällen. Diese müssen in den Wiederanlaufplan integriert sein.

Wie testet und aktualisiert man einen Wiederanlaufplan nach NIS2?

Ein Wiederanlaufplan, der nie getestet wurde, ist kein verlässlicher Plan. NIS2 erwartet, dass Unternehmen ihre Notfallplanung regelmäßig erproben und nach jedem Test sowie nach relevanten Veränderungen im Unternehmen aktualisieren. Mindestens einmal jährlich sollte ein strukturierter Test stattfinden.

Bewährte Testformate sind Tabletop-Übungen, bei denen das Team ein Szenario durchspricht, ohne echte Systeme zu beeinflussen, sowie technische Failover-Tests, die den tatsächlichen Wiederanlauf simulieren. Nach jedem Test hält man fest, was funktioniert hat und was nicht, und passt den Plan entsprechend an.

Aktualisierungspflichten entstehen auch durch Veränderungen in der IT-Infrastruktur, bei Dienstleistern, durch neue Bedrohungsszenarien oder nach einem tatsächlichen Vorfall. Ein veralteter Plan kann im Ernstfall mehr schaden als nutzen, weil er falsche Sicherheit vermittelt.

Welche typischen Fehler machen Unternehmen bei der Wiederanlaufplanung?

Der häufigste Fehler ist, einen Wiederanlaufplan zu erstellen, ihn abzulegen und nie wieder anzufassen. Daneben gibt es weitere wiederkehrende Schwachstellen, die in der Praxis immer wieder auftreten.

Fehlende Business-Impact-Analyse: Ohne Priorisierung der Prozesse fehlt dem Plan die Grundlage.
Unrealistische RTO/RPO-Ziele: Ziele, die technisch nicht erreichbar sind, erzeugen ein falsches Sicherheitsgefühl.
Keine Vertretungsregelungen: Wenn Schlüsselpersonen im Ernstfall nicht erreichbar sind, blockiert das den gesamten Wiederanlauf.
Lieferkette nicht berücksichtigt: NIS2 verlangt ausdrücklich, auch Abhängigkeiten von Dienstleistern und Zulieferern einzubeziehen.
Kein Testnachweis: Ohne dokumentierte Tests lässt sich die Wirksamkeit im Audit nicht nachweisen.

Ein weiterer Punkt, der unterschätzt wird: Wiederanlaufpläne, die ausschließlich auf IT-Ebene gedacht werden, greifen zu kurz. Kritische Geschäftsprozesse umfassen auch manuelle Abläufe, Kommunikationswege und externe Partner, die alle Teil des Plans sein müssen.

Wann braucht man externe Unterstützung beim Wiederanlaufplan?

Externe Unterstützung ist sinnvoll, wenn intern das Fachwissen für eine strukturierte Business-Impact-Analyse fehlt, wenn NIS2-Betroffenheit unklar ist oder wenn der Plan erstmals aufgebaut werden soll. Auch Unternehmen, die bereits einen Plan haben, aber nie getestet haben, profitieren von einer externen Perspektive.

Typische Situationen, in denen externe Experten den Unterschied machen:

Erstmalige NIS2-Umsetzung ohne eigene Compliance-Ressourcen
Audit-Vorbereitung mit engem Zeitrahmen
Komplexe IT-Infrastruktur mit vielen externen Abhängigkeiten
Fehlender interner Informationssicherheitsbeauftragter

Gerade für mittelständische Unternehmen ohne spezialisiertes Sicherheitsteam ist die Kombination aus technischem Know-how und Auditoren-Erfahrung entscheidend, weil Wiederanlaufplanung nicht nur dokumentiert, sondern auch technisch umsetzbar sein muss.

Wie UBESAFE bei der Wiederanlaufplanung nach NIS2 unterstützt

UBESAFE begleitet Unternehmen durch den gesamten Prozess der NIS2-konformen Wiederanlaufplanung, von der Betroffenheitsprüfung bis zur nachweisbaren Umsetzung. Das Angebot ist konkret und umsetzungsorientiert:

NIS2-Audit mit GAP-Analyse: Bewertung des aktuellen Stands der Notfallplanung und Identifikation offener Punkte
Business-Impact-Analyse und Prozessidentifikation für kritische Geschäftsprozesse
Aufbau und Dokumentation des Wiederanlaufplans inklusive RTO/RPO-Definition
Integration von Meldeprozessen und Lieferkettensicherheit gemäß NIS2-Anforderungen
Technische Maßnahmen wie 24/7-Monitoring, SIEM und Patchmanagement als Managed Service
Begleitung von Tests und regelmäßige Reviews zur dauerhaften Compliance

UBESAFE liefert dabei nicht nur Konzepte, sondern setzt technisch um, was der Plan vorsieht. Wer wissen möchte, wo das eigene Unternehmen in der NIS2-Umsetzung steht, kann mit einem kostenlosen Erstaudit starten und sich ein klares Bild verschaffen, ohne Verpflichtung.