BCM und NIS2: Betriebskontinuität ist seit Dezember 2025 Pflicht
Das BSI-Gesetz in der Fassung des NIS2-Umsetzungsgesetzes ist seit dem 6. Dezember 2025 in Kraft. § 30 BSIG verlangt von betroffenen Einrichtungen Maßnahmen zur Aufrechterhaltung des Betriebs, zu Backup-Management, Wiederherstellung und Krisenmanagement. Diese Seite ordnet ein, was das konkret bedeutet, welche Standards als Rahmen dienen, was das KRITIS-Dachgesetz ergänzt und welche Nachweise erwartet werden.
- 6.12.2025 BSIG in der NIS2-Fassung in Kraft
- § 30 BSIG Betriebskontinuität, Backup, Wiederherstellung, Krisenmanagement
- 24 h Frist für die Erstmeldung erheblicher Vorfälle nach § 32
- 17.3.2026 KRITIS-Dachgesetz in Kraft, mit Resilienzplänen
Was § 30 BSIG zur Betriebskontinuität verlangt
§ 30 BSIG nennt zehn Maßnahmenbereiche. Vier davon betreffen unmittelbar das Business Continuity Management, zwei weitere setzen es voraus.
| Anforderung aus § 30 BSIG | Was das BCM dazu liefert |
|---|---|
| Aufrechterhaltung des Betriebs | Business-Impact-Analyse mit kritischen Prozessen und Kennzahlen, Kontinuitätsstrategien, Notbetriebsverfahren der Fachbereiche, Notfallhandbuch mit Wiederanlaufplänen. |
| Backup-Management | Backup-Konzept, das aus dem RPO der Fachbereiche abgeleitet ist, mit einer Offline- oder unveränderlichen Kopie und getrennten Zugängen. |
| Wiederherstellung nach einem Notfall | Wiederanlaufpläne je System in der Reihenfolge aus der BIA, regelmäßige Wiederherstellungstests mit Zeitmessung gegen das RTO. |
| Krisenmanagement | Krisenstab mit Rollen, Vertretungen, Einberufungsregel und Arbeitsmitteln, Krisenkommunikation, Anbindung an den Meldeprozess nach § 32 BSIG. |
| Bewertung der Wirksamkeit | Übungen mit Übungsbericht, Wiederherstellungstests, jährliche Überprüfung von BIA und Handbuch, Bericht an die Geschäftsleitung. |
| Cyberhygiene und Schulungen | Schulung des Krisenstabs, Schulung der Geschäftsleitung nach § 38 BSIG, Einweisung der Mitarbeitenden in Alarmierung und Notbetrieb. |
Angemessen, nicht maximal: Die Maßnahmen müssen dem Risiko und der Größe der Einrichtung angemessen sein. Ein Unternehmen mit 60 Mitarbeitenden braucht kein BCM-Team, aber eine BIA für seine kritischen Prozesse, geprüfte Backups, ein benutzbares Handbuch und eine Übung pro Jahr.
ISO 22301 und BSI 200-4 als Rahmen
Das Gesetz sagt, was erreicht werden muss, nicht wie. Zwei Standards beschreiben das Wie und liefern zugleich die Struktur, in der Nachweise erwartet werden.
- International
ISO 22301
Der Managementsystem-Standard für Business Continuity: Kontext und Geltungsbereich, Führung und Politik, Planung, BIA und Risikoanalyse, Strategien, Pläne und Verfahren, Übungen, Leistungsbewertung und Verbesserung. Zertifizierbar, international anerkannt, in Ausschreibungen und Lieferantenfragebögen häufig als Referenz genannt.
- Deutschland
BSI-Standard 200-4
Der BSI-Standard für Business Continuity Management: methodisch detaillierter als ISO 22301, auf Deutsch, mit Einstiegsstufen, die den schrittweisen Aufbau von einem reaktiven Notfallmanagement bis zum vollständigen BCMS erlauben. Passt zur BSI-Aufsicht unter NIS2 und lässt sich später gegen ISO 22301 nachweisen.
- Ergänzung
ISO 27001:2022
Verlangt die Planung der Informationssicherheit für Störungen und die IKT-Bereitschaft für Business Continuity. Wer ein ISMS betreibt, hat die IT-Seite des BCM teilweise abgedeckt; die BIA, die Krisenstabsorganisation und der Notbetrieb der Fachbereiche kommen aus dem BCM.
- Empfehlung
Was in der Praxis funktioniert
Aufbau nach BSI 200-4, weil die Methodik konkret ist und die Einstiegsstufen zu Unternehmen ohne BCM-Team passen. Dokumentation so, dass sie den Anforderungen von ISO 22301 entspricht, damit später eine Zertifizierung möglich bleibt, falls Kunden oder Versicherer sie verlangen.
Resilienzpläne für Betreiber kritischer Anlagen
Seit dem 17. März 2026 gilt neben dem BSIG das KRITIS-Dachgesetz. Es erweitert den Blick von der IT-Sicherheit auf die physische und organisatorische Resilienz.
-
Wen es betrifft
Betreiber kritischer Anlagen in den KRITIS-Sektoren, die die festgelegten Schwellenwerte erreichen. Diese Betreiber sind zugleich besonders wichtige Einrichtungen nach dem BSIG und unterliegen beiden Regelwerken nebeneinander.
-
Was es verlangt
Resilienzmaßnahmen gegen Naturgefahren, Sabotage, Ausfälle von Lieferketten und Versorgung sowie deren Dokumentation in einem Resilienzplan: Risikoanalyse, Vorbeugung, Bewältigung, Wiederherstellung, Verantwortlichkeiten. Die Maßnahmen sind innerhalb von zehn Monaten nach der Registrierung umzusetzen.
-
Wie BCM dabei hilft
Resilienzplan und BCM beantworten dieselben Fragen. Die BIA liefert die kritischen Prozesse und Anlagen, die Risikoanalyse deckt physische Szenarien mit ab, das Notfallhandbuch beschreibt Bewältigung und Wiederherstellung. Ein bestehendes BCM wird um physische Szenarien erweitert, nicht neu aufgebaut.
Der Krisenstab muss die Meldefristen halten
Krisenmanagement nach § 30 und Meldepflicht nach § 32 BSIG laufen im Ernstfall parallel. Wer den Krisenstab aufbaut, baut den Meldeprozess mit.
-
Erstmeldung an das BSI
Binnen 24 Stunden nach Kenntnis eines erheblichen Sicherheitsvorfalls: Verdacht, ob rechtswidrige oder böswillige Handlung, ob grenzüberschreitende Auswirkungen. Der Krisenstab braucht dafür einen benannten Meldeverantwortlichen, eine Vorlage und eine Freigaberegel.
-
Meldung mit Bewertung
Binnen 72 Stunden: Bestätigung oder Aktualisierung der Erstmeldung, erste Bewertung von Schwere und Auswirkungen, Kompromittierungsindikatoren. Parallel läuft bei personenbezogenen Daten die 72-Stunden-Frist nach Art. 33 DSGVO an die Datenschutzaufsicht.
-
Abschlussmeldung
Spätestens einen Monat nach der Erstmeldung: ausführliche Beschreibung, Art der Bedrohung, Ursache, Maßnahmen, grenzüberschreitende Auswirkungen. Bei andauernden Vorfällen ein Fortschrittsbericht und die Abschlussmeldung nach Bewältigung.
-
Fristen im Szenario mitüben
In jeder Krisenstabsübung wird gemessen, wann der Entwurf der Erstmeldung steht und wer ihn freigibt. Der Übungsbericht dokumentiert die Zeit und ist zugleich Nachweis, dass Krisenmanagement und Meldeprozess funktionieren.
Was das BSI, ein Auditor oder ein Versicherer sehen will
Nach § 39 BSIG kann das BSI Nachweise über die Umsetzung verlangen. Ein gut geführtes BCM erzeugt sie nebenbei; die Kunst ist, sie auffindbar zu halten.
| Nachweis | Belegt | Aktualität |
|---|---|---|
| Business-Impact-Analyse | Dass kritische Prozesse systematisch identifiziert und Kennzahlen begründet wurden. | Jährlich überprüft, Datum und Freigabe dokumentiert. |
| Backup-Konzept und Testprotokolle | Dass das Backup-Management zum RPO passt und die Wiederherstellung tatsächlich funktioniert, mit gemessener Dauer. | Wiederherstellungstest mindestens jährlich, Protokoll je Test. |
| Notfallhandbuch mit Krisenstabsordnung | Dass Krisenmanagement und Wiederherstellung organisiert sind: Rollen, Alarmierung, Wiederanlaufpläne, Kommunikation. | Versioniert, jährlich geprüft, nach Übungen aktualisiert. |
| Übungsberichte | Dass die Wirksamkeit der Maßnahmen bewertet wird und Erkenntnisse in Verbesserungen fließen. | Mindestens eine Übung pro Jahr, Maßnahmenliste nachverfolgt. |
| Beschlüsse der Geschäftsleitung | Dass die Geschäftsleitung die Maßnahmen gebilligt hat und ihre Umsetzung überwacht, wie § 38 BSIG es verlangt. | Beschluss zum Geltungsbereich, jährlicher Bericht, Kenntnisnahme der Übungsberichte. |
| Schulungsnachweise | Dass Krisenstab, Geschäftsleitung und Mitarbeitende ihre Rollen kennen. | Teilnahmelisten je Schulung und Übung. |
Evidenz-Ordner: Alle Nachweise an einem Ort, nach den Maßnahmenbereichen aus § 30 BSIG gegliedert, mit Stand und Verantwortlichem. Bei einer BSI-Anfrage, einem Audit oder einem Versicherungsfragebogen ist die Antwort dann eine Frage von Stunden, nicht von Wochen.
Zu BCM und NIS2
Verlangt NIS2 ein zertifiziertes BCM nach ISO 22301?
Nein. § 30 BSIG verlangt geeignete, verhältnismäßige und wirksame Maßnahmen nach dem Stand der Technik, darunter Aufrechterhaltung des Betriebs, Backup-Management, Wiederherstellung und Krisenmanagement. Eine Zertifizierung ist nicht vorgeschrieben. ISO 22301 und BSI-Standard 200-4 sind anerkannte Wege, diese Anforderung strukturiert umzusetzen und nachzuweisen; welcher Rahmen gewählt wird, entscheidet das Unternehmen.
Wir haben ISO 27001. Ist Business Continuity damit abgedeckt?
Teilweise. ISO 27001:2022 verlangt die Planung der Informationssicherheit für Störungen und die IKT-Bereitschaft für Business Continuity, also dass die IT die Kontinuitätsanforderungen des Unternehmens kennt und erfüllen kann. Die Anforderungen selbst, also welche Prozesse wie lange ausfallen dürfen, stammen aus einer Business-Impact-Analyse, die ISO 27001 voraussetzt, aber nicht beschreibt. Die Lücke ist meist die BIA und die Krisenstabsorganisation, nicht die Technik.
Was gilt zusätzlich für Betreiber kritischer Anlagen?
Neben dem BSIG das KRITIS-Dachgesetz, in Kraft seit dem 17. März 2026. Es verlangt Resilienzmaßnahmen gegen physische und organisatorische Risiken und deren Dokumentation in Resilienzplänen; die Maßnahmen sind innerhalb von zehn Monaten nach der Registrierung umzusetzen. BCM nach ISO 22301 oder BSI 200-4 ist die natürliche Grundlage für diese Resilienzpläne, weil es dieselben Fragen beantwortet: Was ist kritisch, was bedroht es, wie wird der Betrieb aufrechterhalten und wiederhergestellt?
Welche Nachweise kann das BSI verlangen?
Das BSI kann nach § 39 BSIG Nachweise über die Umsetzung der Maßnahmen aus § 30 verlangen und Prüfungen anordnen. Für die Betriebskontinuität sind das in der Praxis: die Business-Impact-Analyse mit Kennzahlen, das Backup-Konzept mit Protokollen der Wiederherstellungstests, das Notfallhandbuch mit Krisenstabsordnung, Übungsberichte mit Maßnahmenlisten und die Beschlüsse der Geschäftsleitung, die die Maßnahmen billigen. Betreiber kritischer Anlagen erbringen Nachweise regelmäßig alle drei Jahre.
Wo fangen wir an, wenn noch nichts existiert?
Mit den Maßnahmen, die sofort greifen: geprüfte Offline- oder unveränderliche Backups, ein benannter Krisenstab mit Alarmierungskette und ein geübter Meldeprozess für die 24-Stunden-Frist. Parallel startet die Business-Impact-Analyse für die kritischsten Prozesse. Ein einsatzfähiger erster Stand ist deutlich schneller erreichbar als ein vollständiges Managementsystem, und er ist bereits ein Nachweis.
Vertiefung zum Business Continuity Management
-
Business-Impact-Analyse
Wie kritische Prozesse, Abhängigkeiten und die Kennzahlen MTPD, RTO und RPO ermittelt werden, im Workshop-Format mit Ergebnisdokument.
-
Notfallhandbuch
Aufbau mit Alarmierung, Krisenstab, Sofortmaßnahmen, Wiederanlaufplänen, Kommunikation und Kontaktlisten, und wie es offline verfügbar bleibt.
-
BCM-Beratung im Überblick
Bausteine, Kennzahlen, regulatorische Treiber, unser Vorgehen und die häufigsten Fragen auf der Startseite.
Tobias Mogk
Wo steht Ihre Betriebskontinuität gegenüber § 30 BSIG?
Im kostenlosen Erstgespräch gleichen wir Ihre vorhandenen Maßnahmen mit den Anforderungen aus BSIG und KRITIS-Dachgesetz ab und benennen die Lücken, die zuerst geschlossen werden sollten.
- Abgleich mit den BCM-relevanten Bereichen aus § 30 BSIG
- Einschätzung, welcher Standard als Rahmen passt
- Aufbau eines Evidenz-Ordners für BSI, Auditor und Versicherer
Danke, wir rufen Sie an.
Sie hören innerhalb eines Werktags von uns, meist deutlich schneller. Wenn Sie lieber gleich einen festen Termin wählen möchten, geht das direkt im Kalender auf jamorie.eu.
Termin selbst wählen