IT-Notfallplan: Ein IT-Notfallplan legt fest, wie ein Unternehmen bei Systemausfällen, Cyberangriffen oder Datenverlust reagiert, um Betrieb und kritische Prozesse schnellstmöglich wiederherzustellen; ISO 27001 Anhang A fordert entsprechende Vorkehrungen zur Aufrechterhaltung der Informationssicherheit in Störungen.
Ein wirksamer IT-Notfallplan definiert für die wichtigsten IT-Systeme konkrete Wiederanlaufzeiten (Recovery Time Objective, RTO) und maximal tolerierbaren Datenverlust (Recovery Point Objective, RPO), benennt Verantwortliche mit Vertretungsregelung und beschreibt Schritt für Schritt, wie Systeme aus Backups wiederhergestellt werden.
- Alarmierungskette: Wer wird in welcher Reihenfolge informiert?
- Sofortmaßnahmen: Systeme isolieren, Beweise sichern, Kommunikation nach außen
- Wiederherstellung: Reihenfolge der Systeme nach Kritikalität
- Nachbereitung: Ursachenanalyse, Lessons Learned, Aktualisierung des Plans
Der IT-Notfallplan ist ein Teilaspekt des umfassenderen Business Continuity Managements, konzentriert sich aber gezielt auf IT-Systeme und Daten statt auf den gesamten Geschäftsbetrieb. Er sollte mindestens jährlich durch eine Simulationsübung getestet werden, da ungetestete Pläne im Ernstfall regelmäßig an unvorhergesehenen Details scheitern, etwa fehlenden Zugangsdaten oder veralteten Kontaktlisten.
Wichtig ist zudem eine Offline-Kopie des Plans selbst: Liegt er nur auf dem betroffenen System, ist er im Ernstfall unter Umständen nicht abrufbar.
Auch die Kommunikation nach außen gehört zum IT-Notfallplan: Kunden, Lieferanten oder Aufsichtsbehörden müssen bei einem größeren Sicherheitsvorfall unter Umständen innerhalb gesetzlicher Fristen informiert werden, etwa im Rahmen der NIS2-Meldepflichten. Ein vorbereiteter Kommunikationsleitfaden mit Textbausteinen verhindert im Ernstfall, dass wertvolle Zeit mit der Formulierung erster Stellungnahmen verloren geht.
Relevanz für die Zertifizierung
ISO 27001 verlangt in Anhang A unter anderem Vorkehrungen zur Aufrechterhaltung der Informationssicherheit bei Störungen sowie Redundanzen für kritische Systeme; ein dokumentierter, getesteter IT-Notfallplan ist der übliche Nachweis dafür im Audit. KCERT prüft, ob der Plan zu den tatsächlich eingesetzten Systemen passt und ob mindestens eine Testübung nachweisbar stattgefunden hat – ein Plan, der nur auf dem Papier existiert, gilt im Audit als Abweichung. Die Erstellung des Plans selbst ist Aufgabe des Unternehmens oder eines beauftragten IT-Dienstleisters; KCERT berät hier bewusst nicht, da Beratung und Zertifizierung strikt getrennt bleiben.
Häufige Fragen zu IT-Notfallplan
Ja, sinngemäß. ISO 27001 Anhang A verlangt Vorkehrungen zur Aufrechterhaltung der Informationssicherheit während Störungen sowie Redundanzen für verfügbarkeitskritische Systeme. Ein Unternehmen kann diese Anforderung im Statement of Applicability zwar begründet ausschließen, für die meisten Betriebe mit geschäftskritischer IT ist ein dokumentierter, getesteter Notfallplan in der Praxis aber kaum vermeidbar.
Die Norm nennt kein festes Intervall, verlangt aber eine regelmäßige Überprüfung der Wirksamkeit. In der Praxis hat sich mindestens eine jährliche Simulationsübung etabliert, etwa die Wiederherstellung eines Systems aus dem Backup unter realistischen Bedingungen. Ungetestete Pläne fallen im Audit häufig auf, weil Kontaktdaten veraltet oder Wiederherstellungsschritte lückenhaft dokumentiert sind.
Das Backup-Konzept regelt, wie und wie oft Daten gesichert werden. Der IT-Notfallplan geht weiter und beschreibt den gesamten Ablauf im Krisenfall: Alarmierung, Sofortmaßnahmen, Wiederherstellungsreihenfolge und Verantwortlichkeiten. Das Backup-Konzept ist damit ein wichtiger Baustein des IT-Notfallplans, ersetzt diesen als eigenständiges Dokument aber nicht vollständig.