BSI 200-4 Notfallmanagement: BCMS-Leitfaden

In einem Satz. Der BSI-Standard 200-4 (veröffentlicht 2023, löst den alten Standard 100-4 ab) ist das aktuelle deutsche Rahmenwerk für Business Continuity Management Systems (BCMS) — von Business Impact Analyse (BIA) über Wiederanlaufpläne, Notfallorganisation und Krisenstab bis zu regelmäßigen Übungen.

200-4 ist methodisch ISO 22301-kompatibel, aber konkreter und mit Stufenmodell (Reaktiv-, Aufbau-, Standard-BCMS). Für DSGVO-Verfügbarkeit (Art. 32 Abs. 1 lit. b und c) sowie NIS2-Resilienz ist 200-4 der Referenz-Standard. Siehe Business Continuity Plan DSGVO BSI und NIS2 Deutschland. Der vollständige Standard ist als Community Draft und finale Fassung beim Bundesamt für Sicherheit in der Informationstechnik (BSI) abrufbar.

Wichtige Punkte

• BSI 200-4 ersetzte 2023 den Standard 100-4 (Notfallmanagement) und ist erweitert.
• Drei BCMS-Stufen: Reaktiv-BCMS, Aufbau-BCMS, Standard-BCMS.
• BIA mit Bestimmung von MTPD, RTO, RPO, MBCO pro Geschäftsprozess.
• Notfallhandbuch und Wiederanlaufpläne als zentrale Artefakte.
• Pflicht-Übungen mindestens jährlich (Tabletop, Funktional, Voll).

1. Vom 100-4 zum 200-4: Was ist neu?

Der Standard 100-4 stammte aus 2008. 200-4 (2023) ergänzt:

• Stufenmodell für KMU
• Engere Integration mit BSI 200-1 (ISMS)
• Erweitertes Krisenmanagement
• Lessons-Learned und kontinuierliche Verbesserung

2. Drei BCMS-Stufen

Stufe	Reifegrad	Anwender
Reaktiv-BCMS	Minimum, Soforthilfe	Kleinunternehmen, Pilotphase
Aufbau-BCMS	Mittel, dokumentiert	Mittelstand
Standard-BCMS	Vollständig, auditfähig	KRITIS, Großunternehmen

Wahl orientiert sich an Größe, Komplexität, regulatorischen Anforderungen.

3. Business Impact Analyse (BIA)

Kern jeder BCMS-Implementierung. Pro Geschäftsprozess werden bestimmt:

Kennzahl	Bedeutung
MTPD	Maximum Tolerable Period of Disruption — absolute Ausfallgrenze
RTO	Recovery Time Objective — angestrebte Wiederanlaufzeit
RPO	Recovery Point Objective — maximaler Datenverlust
MBCO	Minimum Business Continuity Objective — Mindestleistung im Notbetrieb

Beispiel Onlineshop: MTPD 24h, RTO 4h, RPO 15min, MBCO 50% Bestellkapazität.

4. Risiko- und Bedrohungsanalyse

Analyse möglicher Notfallszenarien:

• Naturkatastrophen (Hochwasser, Sturm)
• Technische Ausfälle (RZ-Brand, Stromausfall)
• Cyberangriffe (Ransomware, DDoS)
• Personalausfall (Pandemie, Streik)
• Lieferanten-/Dienstleisterausfall

Verknüpfung mit der Risikoanalyse nach BSI 200-3; den Gesamtrahmen beschreibt die BSI-Grundschutz-Methodik.

Zu jedem Szenario gehört eine passende Wiederanlaufstrategie. Die häufigsten Kombinationen aus der Praxis:

Szenario	Primäre Auswirkung	Bewährte Strategie
Ransomware / IT-Totalausfall	Datenverlust, Systemstillstand	Georedundante, offline gehaltene Backups + getesteter Restore
Rechenzentrumsausfall	Verfügbarkeit	Zweitstandort / Cloud-Failover
Personalausfall (Pandemie)	Know-how, Kapazität	Vertreterregelung, Cross-Training, Homeoffice-Fähigkeit
Dienstleisterausfall	Lieferkette	Zweitlieferant, vertragliche SLAs, Exit-Konzept
Stromausfall	Betrieb	USV + Notstromaggregat, priorisierter Lastabwurf

Der Ransomware-Fall verdient besondere Aufmerksamkeit: Ohne ein vom Produktivsystem getrenntes (offline oder immutable) Backup nützt die beste RTO nichts, wenn die Verschlüsselung auch die Sicherung erfasst hat. Die BIA muss deshalb nicht nur “Backup vorhanden?” fragen, sondern “Restore in RTO nachweislich getestet?”.

5. Notfallvorsorge-Konzept

Maßnahmen zur Vermeidung und Begrenzung:

• Redundante RZ, georedundante Backups
• USV, Notstromaggregate
• Lieferantenredundanz
• Mitarbeiter-Cross-Training
• Cyberversicherung

Wie redundante Rechenzentren konkret ausgelegt werden, zeigt unser Leitfaden zur Hochverfügbarkeit im Rechenzentrum.

6. Notfallhandbuch

Zentrales Dokument mit:

• Alarmierungs- und Eskalationsschema
• Rollen und Verantwortungen (Krisenstab, BCM-Beauftragter, Notfallteams)
• Wiederanlaufpläne pro Geschäftsprozess
• Kommunikationsvorlagen (intern, extern, Behörden, Presse)
• Checklisten für die ersten 60/120/240 Minuten

Entscheidend ist die Verfügbarkeit im Ernstfall: Ein Notfallhandbuch, das nur im verschlüsselten Fileshare liegt, ist bei einem Ransomware-Angriff wertlos. Es gehört zusätzlich in eine offline verfügbare Form (gedruckt beim Krisenstab, auf einem separaten, gehärteten System). Ebenso müssen Kontaktdaten von Dienstleistern, Versicherung und Aufsichtsbehörde außerhalb der betroffenen Systeme greifbar sein. In geübten Organisationen liegt beim BCM-Beauftragten und bei den Krisenstabsmitgliedern jeweils eine aktuelle “Notfallmappe” — Papier schlägt im Krisenfall jede Cloud.

7. Notfallorganisation und Krisenstab

Klare Strukturen:

• BCM-Beauftragter — operative Verantwortung
• Krisenstab — strategische Entscheidungen, Geschäftsleitung
• Notfallteams — fachliche Wiederherstellung (IT, HR, Kommunikation)
• Beobachter/Protokoll — Dokumentation und Lessons Learned

8. Übungen und Tests

Pflicht für Standard-BCMS, mindestens jährlich:

Übungstyp	Aufwand	Erkenntnistiefe
Tabletop	gering	Konzeptprüfung
Funktional	mittel	Einzelne Wiederanlaufpläne
Voll	hoch	Gesamtszenario

Nach jeder Übung: Protokoll, Verbesserungsmaßnahmen, Nachverfolgung. Die Übungsprotokolle sind zugleich der stärkste Nachweis gegenüber Aufsichtsbehörde, Versicherung und Kunden — sie belegen, dass die Pläne nicht nur auf dem Papier existieren, sondern funktionieren. Eine Vollübung, die zeigt, dass der Restore aus dem Backup die RTO tatsächlich einhält, ist im Schadensfall mehr wert als jede Zertifikatsurkunde. Empfehlenswert ist ein rollierendes Programm: jährlich mindestens eine Tabletop-Übung für den Krisenstab plus eine funktionale Übung für die kritischsten Wiederanlaufpläne, ergänzt alle zwei bis drei Jahre um eine Vollübung.

9. Der Aufbauprozess Schritt für Schritt

Ein BCMS nach 200-4 entsteht nicht in einem Wurf. Der Standard beschreibt einen PDCA-Zyklus, der sich in der Praxis in klar abgrenzbare Etappen gliedert:

1. Initiierung. Leitlinie zum Notfallmanagement, Mandat der Geschäftsleitung, Benennung des BCM-Beauftragten und Festlegung der angestrebten BCMS-Stufe.
2. Voranalyse. Grober Überblick über kritische Prozesse und offensichtliche Einzelrisiken — Basis für die Stufenwahl.
3. Business Impact Analyse. Ermittlung von MTPD, RTO, RPO und MBCO je Prozess; Ableitung der zeitkritischen Ressourcen (IT-Systeme, Personal, Dienstleister, Standorte).
4. Risikoanalyse. Bewertung der Bedrohungen gegen die kritischen Ressourcen, verzahnt mit der Risikoanalyse nach BSI 200-3.
5. Strategie und Vorsorge. Auswahl von Kontinuitätsstrategien (Redundanz, Ausweichstandort, manueller Notbetrieb) und Umsetzung der Vorsorgemaßnahmen.
6. Notfallbewältigung. Erstellung von Notfallhandbuch, Wiederanlauf- und Geschäftsfortführungsplänen.
7. Test und Übung. Planung und Durchführung des jährlichen Übungsprogramms.
8. Aufrechterhaltung. Reviews, Lessons Learned, Anpassung an Organisationsänderungen.

Wer diese Reihenfolge einhält, vermeidet den häufigsten Fehler — Wiederanlaufpläne zu schreiben, bevor die BIA überhaupt zeigt, welche Prozesse wirklich zeitkritisch sind.

10. 200-4 und DSGVO Artikel 32

Artikel 32 fordert “Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen” — der genaue Wortlaut steht in Art. 32 Abs. 1 lit. b und c des DSGVO-Volltextes auf EUR-Lex. 200-4 ist der direkte technisch-organisatorische Nachweis dieser Anforderung — insbesondere die Wiederanlaufpläne und Übungsprotokolle. Bei einer Datenpanne durch Ausfall (etwa Ransomware) prüft die Aufsicht regelmäßig, ob RTO/RPO definiert waren und die Wiederherstellung geübt wurde. Fehlt die BIA, gilt die Verfügbarkeit faktisch als nicht “nach dem Stand der Technik” gesichert.

11. 200-4 und NIS2

NIS2 verlangt in Art. 21 explizit Business-Continuity- und Backup-Management sowie Krisenmanagement. 200-4 erfüllt diese Anforderung für die deutschen NIS2-Adressaten (KRITIS, wesentliche und wichtige Einrichtungen). Der Audit-Nachweis erfolgt im Rahmen der BSI-Prüfungen; die Meldepflichten bei Vorfällen behandelt separat unser Leitfaden zur NIS2-Meldepflicht ans BSI innerhalb von 24 Stunden.

12. Tool-Unterstützung

Legiscope bildet BIA-Kennzahlen, Wiederanlaufpläne und Übungsprotokolle als auditfähige Artefakte ab — verknüpft mit DSGVO-TOMs und NIS2-Pflichten.

Fazit

200-4 hebt deutsches Notfallmanagement auf ISO-22301-Niveau und macht es zugleich KMU-tauglich. Wer beim nächsten Ransomware-Vorfall keine BIA-Tabelle vorlegen kann, hat ein Erklärungsproblem — gegenüber Aufsichtsbehörde, Kunden und Versicherung.

FAQ

Ist BSI 200-4 verpflichtend?

Für KRITIS-Betreiber faktisch ja, für andere ein anerkannter Standard. NIS2 erhöht den Druck deutlich.

Wie unterscheidet sich 200-4 von ISO 22301?

200-4 ist konkreter (Stufenmodell, BSI-Methodik), ISO 22301 international zertifizierbar. Häufig parallel implementiert.

Was kostet ein BCMS-Aufbau nach 200-4?

Standard-BCMS für Mittelstand: 60-150k Euro externe Kosten, 1-2 Personenjahre intern, je nach Komplexität.

Wie oft sind Übungen Pflicht?

Standard-BCMS: mindestens jährlich, kritische Prozesse häufiger. Empfehlung: gemischter Mix aus Tabletop und Funktionalübungen.

Wer ist im Krisenstab?

Geschäftsführung, BCM-Beauftragter, IT-Leitung, Kommunikation, HR, Rechtsabteilung. Bei Großunternehmen plus Werkschutz, Compliance.

Was ist der Unterschied zwischen RTO und MTPD?

MTPD (Maximum Tolerable Period of Disruption) ist die absolute Obergrenze, ab der ein Ausfall existenzbedrohend wird. Die RTO (Recovery Time Objective) ist die angestrebte Wiederanlaufzeit und muss immer kürzer als die MTPD sein — der Puffer zwischen beiden ist die Sicherheitsreserve.

Muss ich für 200-4 alle drei Stufen durchlaufen?

Nein. Die Stufen sind Zielniveaus, keine Pflichtabfolge. Ein Mittelständler kann direkt ein Aufbau-BCMS anstreben; KRITIS-Betreiber brauchen das auditfähige Standard-BCMS. Das Reaktiv-BCMS ist vor allem Einstieg oder Übergangslösung.