Incident-Response-Pläne: Was NIS-2-Audits in der Praxis tatsächlich prüfen

Ein Incident-Response-Plan lässt sich in wenigen Tagen erstellen. Vorlagen sind reichlich verfügbar, die Gliederung ist eingespielt, das Ergebnis sieht ordentlich aus. In der Prüfsituation entscheidet aber nicht, ob der Plan existiert, sondern ob er belegbar benutzt wurde.

§ 30 Absatz 2 Nummer 2 BSIG verlangt Maßnahmen zur Bewältigung von Sicherheitsvorfällen. § 30 Absatz 1 Satz 3 verlangt, dass die Einhaltung dokumentiert wird, und Nummer 6 verlangt ein Verfahren zur Bewertung der Wirksamkeit. Aus dieser Kombination ergibt sich, worauf Prüfer tatsächlich schauen.

1. Ausgangslage: Das Dokument ist die Eintrittskarte, nicht der Nachweis

Seit dem 6. Dezember 2025 gilt das neu gefasste BSI-Gesetz. Die zehn Mindestmaßnahmen aus § 30 Absatz 2 sind seither die Messlatte. Die Bewältigung von Sicherheitsvorfällen steht dort an zweiter Stelle, unmittelbar nach den Konzepten zur Risikoanalyse.

Auffällig ist, was die Norm nicht verlangt: eine bestimmte Gliederung, eine Mindestseitenzahl oder ein bestimmtes Rahmenwerk. Verlangt wird Wirksamkeit. Genau deshalb prüfen Auditoren nicht den Aufbau des Plans, sondern seine Spuren.

2. Wer ist betroffen?

• Besonders wichtige und wichtige Einrichtungen nach § 28 BSIG
• Betreiber kritischer Anlagen, für die zusätzlich die regelmäßigen Nachweispflichten nach § 39 BSIG gelten
• Unternehmen, die als Zulieferer über die Lieferkettenanforderungen ihrer Kunden geprüft werden
• Finanzunternehmen, für die parallel die spezielleren DORA-Anforderungen greifen

3. Wie hoch ist die Priorität?

Hoch. Die Vorfallbewältigung ist die Maßnahme, an der im Ernstfall die Meldefristen hängen. Ein Plan, der Rollen und Eskalation offenlässt, gefährdet nicht nur den Prüfbefund, sondern die Einhaltung der 24-Stunden-Frist nach § 32 BSIG.

4. Warum ist das wichtig? Die fünf Prüfschwerpunkte

Rollen mit Namen statt Funktionsbezeichnungen

Ein Plan, der die Zuständigkeit einer Abteilung zuweist, beantwortet die Frage nicht, wer nachts um drei Uhr entscheidet. Geprüft wird, ob benannte Personen mit Vertretung und Erreichbarkeit hinterlegt sind und ob diese Angaben aktuell sind.

Eskalationsschwellen, die eine Entscheidung auslösen

Kriterien wie erheblich oder kritisch tragen nur, wenn sie an beobachtbare Merkmale gebunden sind. Prüfer fragen typischerweise, welcher konkrete Befund die Eskalation auslöst und wer sie ausspricht.

Übungen mit Protokoll und Befunden

Eine Tabletop-Übung ohne Protokoll ist aus Prüfsicht nicht stattgefunden. Verlangt wird nicht Perfektion, im Gegenteil: Eine Übung, die Schwächen zutage fördert und deren Behebung dokumentiert, ist der stärkere Nachweis.

Die Verbindung zur Meldekette

Der Plan muss die Meldepflichten nach § 32 BSIG abbilden, einschließlich Zuständigkeit, Portalzugang und Zeitstempel. Wo mehrere Regime gleichzeitig greifen, gehört auch das hinein. Die Unterschiede beschreibt der Beitrag zu den Meldewegen nach NIS-2, DORA und CRA.

Rückführung der Erkenntnisse

Aus jedem Vorfall und jeder Übung muss erkennbar etwas in den Plan zurückfließen. Ein seit drei Jahren unveränderter Plan ist ein Indiz dafür, dass die Wirksamkeitsbewertung nach § 30 Absatz 2 Nummer 6 nicht stattfindet.

5. Was muss konkret getan werden?

• ✓ Namentliche Zuständigkeiten mit Vertretung und Erreichbarkeit außerhalb der Geschäftszeiten festlegen
• ✓ Eskalationsschwellen an beobachtbare Kriterien binden statt an Adjektive
• ✓ Mindestens eine dokumentierte Übung pro Jahr durchführen, mit Protokoll, Befunden und Maßnahmen
• ✓ Meldewege einschließlich Portalzugängen im Plan verankern und die Zugänge testen
• ✓ Vorfalljournal mit Zeitstempeln für Kenntnis, Bewertung und Meldung führen
• ✓ Nach jedem Vorfall eine Nachbereitung mit dokumentierter Rückführung in den Plan durchführen
• ✓ Versionsstand und Freigabe des Plans nachvollziehbar halten

6. Welche Dokumente werden benötigt?

• Incident-Response-Plan mit Versionsstand, Freigabedatum und benannten Rollen
• Erreichbarkeits- und Eskalationsplan mit Rufbereitschaft
• Übungsprotokolle der letzten Zyklen mit Befunden und Maßnahmenstatus
• Vorfalljournal mit Zeitstempeln und Bewertungsentscheidungen
• Nachweise abgesetzter Meldungen und der zugehörigen Fristwahrung
• Berichte der Nachbereitung mit Rückführung in Plan und Risikoregister
• Dokumentierte Wirksamkeitsbewertung nach § 30 Absatz 2 Nummer 6 BSIG

7. BAM-Mapping: Cross-Control-Mapping über die Frameworks

8. Unsere Empfehlung

Zu beobachten bleibt, dass der Datenteil des Digital Omnibus auch Änderungen an der NIS-2-Richtlinie vorsieht und bislang nicht verabschiedet ist. Die Einordnung dazu findet sich im Beitrag zur Bewertung des Digital Omnibus.

Häufige Fragen zu Incident-Response-Plänen unter NIS-2

Schreibt das BSIG ein bestimmtes Format für den Plan vor?

Nein. § 30 Absatz 2 Nummer 2 BSIG verlangt Maßnahmen zur Bewältigung von Sicherheitsvorfällen, ohne Gliederung oder Rahmenwerk vorzugeben. Maßgeblich sind Angemessenheit, Verhältnismäßigkeit und Wirksamkeit sowie die Dokumentation nach § 30 Absatz 1 Satz 3.

Wie oft muss geübt werden?

Eine feste Frequenz nennt das Gesetz nicht. Da die Wirksamkeit nach § 30 Absatz 2 Nummer 6 zu bewerten ist, gilt in der Praxis mindestens eine dokumentierte Übung pro Jahr als belastbarer Nachweis.

Gilt die Nachweispflicht nach § 39 BSIG für alle betroffenen Einrichtungen?

Nein. Die regelmäßigen Nachweispflichten nach § 39 BSIG richten sich an Betreiber kritischer Anlagen. Andere besonders wichtige und wichtige Einrichtungen unterliegen der Dokumentationspflicht nach § 30 sowie den Aufsichtsbefugnissen des BSI.

Quellen

• § 30 BSIG in der Fassung des NIS2UmsuCG, Risikomanagementmaßnahmen, in Kraft seit 6. Dezember 2025
• § 32 BSIG (Meldepflichten) und § 39 BSIG (Nachweispflichten für Betreiber kritischer Anlagen)
• BSI, Infopaket zu den NIS-2-Risikomanagementmaßnahmen
• Richtlinie (EU) 2022/2555 (NIS-2), Art. 21 und Art. 23
• ISO/IEC 27001:2022, Anhang A.5.24 bis A.5.27