Grundschutz++ Notfallplanung: Vorsorge, Wiederanlauf und Datensicherung (NOT)
Grundschutz++ Notfallplanung: was die Praktik NOT zu Notfallorganisation, Wiederanlaufplan und Datensicherung verlangt und wie kleine Betriebe vorsorgen.
Die Grundschutz++ Notfallplanung sorgt dafür, dass Ihr Betrieb auch dann weiterarbeiten kann, wenn die IT schwer gestört ist: nach einem Cyberangriff, einem Brand, einem Wasserschaden oder dem Ausfall eines wichtigen Dienstleisters. Die Praktik «Notfallplanung» (Kürzel NOT) im neuen IT-Grundschutz des BSI beschreibt die Vorsorge dafür, einschließlich der Datensicherung.
Warum das wichtig ist
Im Notfall bleibt keine Zeit, sich zu überlegen, wer entscheidet, wen man anruft und in welcher Reihenfolge die Systeme wieder hochgefahren werden. Wer das vorher geregelt hat, verkürzt den Ausfall erheblich. Und ohne funktionierende, getrennt aufbewahrte Datensicherung ist nach einem Verschlüsselungsangriff oft nichts mehr zu retten.
Was verbindlich ist
Verpflichtend ist ein festgelegtes Vorgehen zur Notfallvorsorge, das aufgeschrieben, Zuständigen zugewiesen, bekannt gemacht und regelmäßig überprüft wird. Empfohlen sind unter anderem eine Notfallorganisation mit Alarmierung, ein Wiederanlaufplan für zeitkritische Systeme, Ausweich-Kommunikationswege und eine regelmäßige, automatische, versionierte und getrennt aufbewahrte Datensicherung mit Offline-Kopie und Wiederherstellungstests.
Der erste Schritt
Beantworten Sie mit Ihrer IT drei Fragen: Welche Systeme müssen nach einem Ausfall zuerst wieder laufen? Wer entscheidet im Notfall? Wann wurde zuletzt getestet, ob sich die Datensicherung tatsächlich zurückspielen lässt? Halten Sie die Antworten schriftlich fest.
Die Praktik «Notfallplanung» (NOT) regelt im Anwenderkatalog Grundschutz++ die Vorsorge für Notfälle und Krisen der Informationssicherheit. Sie umfasst ausdrücklich auch die Datensicherung. Dieser Artikel beschreibt die Grundschutz++ Notfallplanung nach dem Katalogstand vom 22. Oktober 2026.
Ziel der Praktik
Nach der Katalogbeschreibung stellt die Notfallplanung sicher, «dass bei schwerwiegenden Störungen oder Krisen schnell und koordiniert reagiert wird, um den Fortbestand kritischer Geschäftsprozesse und die Wiederherstellung der betroffenen Systeme zu gewährleisten».
Der Katalog grenzt NOT von der Sicherheitsvorfallsbehandlung (REA) ab: Notfallplanung adressiert umfassende Notfälle und Krisensituationen, die Vorfallsbehandlung konzentriert sich auf Informationssicherheitsvorfälle. Notfallmanagement ist nach dieser Beschreibung strategisch und organisatorisch umfassender, die Vorfallsbehandlung operativer.
Aufbau: vier Gruppen, 37 Anforderungen
| Gruppe | Inhalt |
|---|---|
| NOT.1 Grundlagen | Verfahren und Regelungen zur Notfallvorsorge, Zuständigkeiten, Überprüfung, bei erhöhter Stufe ein BCMS nach BSI-Standard 200-4 |
| NOT.2 Besondere Aufbauorganisation | BAO für Notfälle und Krisen, Rollen für Stab und Notfallteams, Alarmierung; bei erhöhter Stufe Stabsraum und Stabsübungen |
| NOT.3 Notfallvorsorge | Wiederanlaufplan, Sensibilisierung, Ausweich-Telekommunikation, alternative Sicherheitsmechanismen; bei erhöhter Stufe Geschäftsfortführungsplan und Funktionstests |
| NOT.4 Datensicherung | zu sichernde Daten, regelmäßige und automatische Sicherung, Archivierung, geschützte und getrennte Aufbewahrung, Versionierung, Verschlüsselung, Offline-Kopie, Wiederherstellung und Tests |
Die verbindlichen MUSS-Anforderungen
NOT.1.1 «Notfallplanung MUSS Verfahren und Regelungen zur Vorsorge für Notfälle der Informationssicherheit verankern.»
NOT.1.1.1 «Notfallplanung MUSS die Verfahren und Regelungen dokumentieren.»
NOT.1.1.2 «Notfallplanung MUSS die mit den Verfahren und Regelungen verbundenen Aufgaben zuständigen Personen oder Rollen zuweisen.»
NOT.1.1.3 «Notfallplanung MUSS die zuständigen Personen oder Rollen über die Verfahren und Regelungen informieren.»
NOT.1.2 «Notfallplanung MUSS die Verfahren und Regelungen regelmäßig und anlassbezogen auf Aktualität überprüfen.»
Wichtige SOLLTE-Anforderungen
SOLLTE heißt nach der BSI-Definition, dass eine Anforderung normalerweise erfüllt werden muss und Abweichungen sorgfältig abzuwägen und stichhaltig zu begründen sind.
NOT.2.1 «Notfallplanung SOLLTE Verfahren und Regelungen für eine Besondere Aufbauorganisation (BAO) zur Behandlung von Notfällen und Krisen verankern.»
NOT.2.1.2 «Notfallplanung SOLLTE die Alarmierung der BAO verankern.»
NOT.3.1 «Notfallplanung SOLLTE einen Wiederanlaufplan für zeitkritische Systeme und Anwendungen dokumentieren.»
NOT.3.5 «Notfallplanung SOLLTE Ausweich-Telekommunikationsdienste verankern.»
NOT.4.4 «Notfallplanung für Daten SOLLTE die Datensicherung durch einen automatisierten Mechanismus ausführen.»
NOT.4.7 «Notfallplanung SOLLTE eine Versionierung der Datensicherung verankern.»
NOT.4.10 «Notfallplanung SOLLTE die Datensicherung getrennt von den Originaldaten platzieren.»
NOT.4.14 «Notfallplanung für Daten SOLLTE eine Offline-Kopie regelmäßig ausführen.»
NOT.4.16.1 «Notfallplanung für Daten SOLLTE die Wiederherstellung mindestens anhand von repräsentativen Stichproben regelmäßig überprüfen.»
Bemerkenswert ist NOT.4.13: Auch Daten, die bei einem Dienstleister verarbeitet werden, sollen nach einem anerkannten Standard regelmäßig gesichert werden. Das betrifft etwa Cloud-Dienste, bei denen viele Betriebe stillschweigend davon ausgehen, dass der Anbieter sichert.
Normale und erhöhte Sicherheitsstufe
30 Anforderungen gehören zur Standard-Sicherheitsstufe «normal-SdT» (5 MUSS, 25 SOLLTE), 7 zur Stufe «erhöht», alle als KANN formuliert und damit nach BSI je nach Situation, also nach Risikoanalyse, umzusetzen:
- NOT.1.1.4 ein Reaktiv-, Aufbau- oder Standard-BCMS nach BSI-Standard 200-4
- NOT.2.1.3 und NOT.2.1.4 Stabsraum und Stabsübungen
- NOT.3.2 ein Geschäftsfortführungsplan für zeitkritische Geschäftsprozesse
- NOT.3.4 Funktionstests der Notfallpläne
- NOT.4.12 georedundante Aufbewahrung mindestens einer Kopie der Datensicherung
- NOT.4.17 Funktionstest von Anwendungen nach der Wiederherstellung
Damit ist ein vollständiges Business Continuity Management nach BSI-Standard 200-4 im Grundschutz++ eine Option der erhöhten Stufe. Für die Standard-Stufe genügen Notfallorganisation, Wiederanlaufplan und Datensicherung.
Typische Nachweise
- Datensicherungskonzept (20 Anforderungen): was, wie oft, wohin, wie lange, wie verschlüsselt gesichert wird, wie wiederhergestellt und getestet wird
- Notfallhandbuch (9): BAO, Rollen, Alarmierung, Wiederanlaufplan, Ausweichkommunikation
- BC-Leitlinie (2): Grundsatzregelung zur Notfallvorsorge
- außerdem IT-Betriebskonzept, Geschäftsverteilungsplan, Schulungsplan, Übungsplan und Übungs- und Prüfplan
Betroffene Zielobjekte
Die meisten Anforderungen gelten für die Notfallplanung insgesamt. In der Datensicherung werden Daten (7 Anforderungen), Anwendungen, IT-Systeme und Outsourcing ausdrücklich genannt, bei der Sensibilisierung zum Notfallverhalten die Nutzenden.
Bezug zum bisherigen IT-Grundschutz
Im Kompendium 2023 war das Notfallmanagement im Baustein DER.4 beschrieben, die Datensicherung im Baustein CON.3 Datensicherungskonzept. Grundschutz++ führt beides in der Praktik NOT zusammen. Für den Aufbau eines umfassenden BCMS verweist der Katalog in NOT.1.1.4 auf den BSI-Standard 200-4.
Grundschutz++ Notfallplanung im kleinen Unternehmen
- Leitlinie und Notfallhandbuch knapp halten: wenige Seiten mit Zuständigkeiten, Alarmierungskette, Kontaktliste (auch Dienstleister, Versicherung, Behörden) und Wiederanlaufreihenfolge.
- BAO klein denken: In einem kleinen Betrieb besteht der Krisenstab oft aus Geschäftsführung, IT-Verantwortlichem oder Dienstleister und einer Person für Kommunikation. Wichtig sind Vertretungen.
- Zeitkritische Systeme bestimmen: Welche Anwendungen werden zuerst gebraucht, etwa Telefon, E-Mail, Warenwirtschaft, Kassensystem? Daraus ergibt sich der Wiederanlaufplan nach NOT.3.1.
- Ausweichkommunikation vorbereiten: Mobiltelefone, eine externe Kontaktliste auf Papier und eine Alternative zur betrieblichen E-Mail, falls der Server betroffen ist.
- Datensicherung nach NOT.4 prüfen: automatisch, versioniert, verschlüsselt, getrennt aufbewahrt, mit regelmäßiger Offline-Kopie. Cloud-Daten wie Postfächer und Dateiablagen einbeziehen.
- Wiederherstellung üben: regelmäßig Stichproben zurückspielen und das Ergebnis festhalten. Erst ein erfolgreicher Test zeigt, dass die Sicherung im Notfall hilft.
- Jährlich überprüfen: Kontaktdaten, Systemliste und Wiederanlaufplan veralten schnell.
Häufige Fragen
Brauchen wir ein BCMS nach BSI-Standard 200-4?
Nach dem Katalog nicht zwingend. NOT.1.1.4 sieht ein Reaktiv-, Aufbau- oder Standard-BCMS nach BSI-Standard 200-4 als KANN-Anforderung der erhöhten Stufe vor. Für die Standard-Stufe genügen die Anforderungen zu Notfallorganisation, Wiederanlaufplan und Datensicherung.
Was ist eine Besondere Aufbauorganisation (BAO)?
Die BAO ist die Organisationsform, die im Notfall oder in der Krise an die Stelle der normalen Abläufe tritt, mit Stab und Notfallteams. NOT.2.1 empfiehlt Verfahren und Regelungen dafür, NOT.2.1.1 die Zuweisung der Rollen und NOT.2.1.2 die Alarmierung.
Gehört die Datensicherung zur Notfallplanung?
Ja. Im Grundschutz++ steht die Datensicherung als Gruppe NOT.4 in der Praktik Notfallplanung. Sie umfasst 20 Anforderungen, die überwiegend im Datensicherungskonzept dokumentiert werden.
Muss ich auch Cloud-Daten selbst sichern?
NOT.4.13 empfiehlt, Daten, die bei einem Dienstleister verarbeitet werden, nach einem anerkannten Standard regelmäßig zu sichern. Ob der Anbieter das leistet oder Sie selbst sichern müssen, sollten Sie anhand des Vertrags klären und im Datensicherungskonzept festhalten.
Wie oft muss die Wiederherstellung getestet werden?
Der Katalog verlangt in NOT.4.16.1 eine regelmäßige Überprüfung mindestens anhand repräsentativer Stichproben, nennt aber keinen festen Turnus. Legen Sie den Rhythmus im Datensicherungskonzept fest.