IT-Notfallmanagement und IT-Notfallplanung für Unternehmen

IT-Notfallmanagement umfasst alle organisatorischen und technischen Maßnahmen, mit denen sich ein Unternehmen auf schwerwiegende IT-Störungen vorbereitet und im Ernstfall handlungsfähig bleibt.

Ziel ist es, kritische IT-Systeme und Geschäftsprozesse möglichst schnell wiederherzustellen und die Auswirkungen eines Ausfalls zu begrenzen.

Dazu gehören unter anderem Risikoanalysen, Notfall- und Wiederanlaufpläne, klare Verantwortlichkeiten, Kommunikationswege sowie regelmäßige Übungen und Aktualisierungen.

Bei einem schwerwiegenden IT-Ausfall müssen Entscheidungen häufig unter großem Zeitdruck getroffen werden. Ein vorbereiteter IT-Notfallplan legt fest, wer im Ernstfall welche Aufgaben übernimmt, welche Systeme zuerst wiederhergestellt werden müssen und welche internen oder externen Ansprechpartner einzubeziehen sind.

Damit wird wertvolle Zeit gespart und verhindert, dass wichtige Entscheidungen erst während des Notfalls improvisiert werden müssen.

Ein IT-Notfall kann viele Ursachen haben. Typische Szenarien sind Cyberangriffe und Ransomware, Ausfälle von Servern oder Storage-Systemen, Netzwerk- und Internetausfälle, fehlerhafte Software oder Updates, menschliche Fehler sowie physische Ereignisse wie Brand, Wasser oder Stromausfall.

Welche Szenarien für ein Unternehmen besonders relevant sind, sollte im Rahmen einer individuellen Risikoanalyse bewertet werden. Kutzschbach berücksichtigt bei der IT-Notfallplanung sowohl technische als auch organisatorische Risiken.

Ein wirksamer IT-Notfallplan beschreibt die wesentlichen Abläufe für den Ernstfall. Dazu gehören insbesondere Verantwortlichkeiten und Vertretungsregelungen, Alarmierungs- und Eskalationswege, wichtige Ansprechpartner, priorisierte IT-Systeme und Geschäftsprozesse sowie konkrete Handlungs- und Wiederanlaufpläne.

Auch Informationen zu Backups, Ersatzsystemen, Dienstleistern, Kommunikationswegen und benötigten Ressourcen sollten im Notfall schnell und sicher verfügbar sein.

Ein IT-Notfallplan sollte kein einmalig erstelltes Dokument sein. Verantwortlichkeiten, Infrastruktur, Anwendungen, Dienstleister und Geschäftsprozesse verändern sich laufend.

Deshalb sollte die Notfallplanung regelmäßig überprüft und durch Übungen oder Tests auf ihre Praxistauglichkeit geprüft werden. Auch nach größeren Änderungen der IT-Infrastruktur oder nach einem tatsächlichen Sicherheitsvorfall sollte der Notfallplan überprüft und bei Bedarf angepasst werden.

Für Unternehmen, die als besonders wichtige oder wichtige Einrichtungen unter das BSI-Gesetz fallen, gehören Maßnahmen zur Aufrechterhaltung des Betriebs ausdrücklich zu den Anforderungen an das Cyberrisikomanagement. Dazu zählen unter anderem Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement.

Ein strukturiertes IT-Notfallmanagement kann deshalb einen wichtigen Baustein bei der Umsetzung der Anforderungen aus NIS2 und dem BSI-Gesetz darstellen.