Wer nur Pläne bespricht, hat den Stab nicht geübt

Einmal im Jahr steht „Notfallübung“ im Kalender. Zwei Stunden im Besprechungsraum, die Leitung, die IT, der Datenschutz. Der Ransomware-Plan wird Seite für Seite durchgegangen, an zwei Stellen wird eine Telefonnummer korrigiert. Danach gibt es ein Protokoll, und die Übung ist erledigt.

Das ist keine schlechte Übung. Es ist nur nicht die, für die man sie hält.

Fünf Übungsarten, fünf Ziele

BSI-Standard 200-4 unterscheidet in Kapitel 13 fünf Übungsarten: Planbesprechung, Stabsübung, Stabsrahmenübung, Alarmierungsübung und Funktionstest. Der Unterschied liegt nicht im Aufwand, sondern im Ziel.

Die Planbesprechung, auch „Schreibtischtest“ genannt, ist die moderierte Besprechung eines Notfallplans, ohne dass Handlungsschritte real ausgeführt werden. Ihr Ziel laut Tabelle 34: Planinhalte hinsichtlich ihrer realistischen Anwendbarkeit prüfen, also ob die Pläne plausibel, vollständig, korrekt und aktuell sind. Genau das ist im Besprechungsraum passiert.

Die Stabsübung dagegen ist das praktische Üben der Stabsarbeit an einem vorgegebenen Notfallszenario. Ihr Ziel ist ein anderes:

„Die Zusammenarbeit der Mitglieder des Stabs und die Grundelemente der Stabsarbeit üben, z. B. Führungszyklus, Lagebesprechungen, Protokollierung, Visualisierung etc.“

Und der Standard ist klar, welche davon Pflicht sind. In Kapitel 13.1 heißt es: „Für das Reaktiv-BCMS müssen die Übungsarten Stabsübung und Alarmierungsübung regelmäßig durchgeführt werden.“ Die Planbesprechung ist dort empfohlen, nicht verlangt. Wer nur Pläne bespricht, hat also ausgerechnet die Pflichtübung ausgelassen.

Die Namen sind dabei nicht heilig. Die Bezeichnungen der Übungsarten dürfen laut 200-4 institutionsspezifisch angepasst werden, solange der jeweilige Inhalt berücksichtigt wird. Eine „Tabletop-Übung“ oder ein „IR-Planspiel“ kann also eine Stabsübung sein, wenn sie deren Inhalt hat.

Was eine Besprechung nicht prüft

• Entscheidungen unter Zeitdruck. Im Besprechungsraum kann man jede Frage vertagen. Im Ernstfall muss jemand entscheiden, ob Systeme vom Netz gehen, bevor alle Informationen da sind.
• Lagebilder, die sich ändern. Ein Plan liest sich linear. Ein Vorfall nicht: Nach einer Stunde kommt die Erpressernachricht, nach zwei Stunden ruft die Presse an.
• Meldefristen. Ob jemand an die Fristen nach DSGVO und NIS2 denkt, während die Technik brennt, zeigt sich erst, wenn die Uhr läuft.
• Die Nacharbeit. Ein Protokoll ist kein Maßnahmenplan. Was nach der Übung niemandem mit Termin zugewiesen ist, ist bei der nächsten Übung wieder offen.

Wie isidaten das abbildet

Das IR-Planspiel führt ein Team durch ein Szenario aus der Bibliothek, etwa Ransomware, CEO-Fraud oder Datenpanne mit Medienanfrage. Lageeinspielungen stellen das Team vor Entscheidungen mit bepunkteten Alternativen, und die Uhr läuft. Die Scorecard bewertet fünf Dimensionen: Erkennung, Eindämmung, Kommunikation, Meldepflichten und Wiederanlauf. Jede Session hängt an einer Übung im BCM-Modul und zählt dort als solche. Aus dem Ergebnis entsteht ein 30/60/90-Tage-Plan, dessen Punkte an die Korrekturmaßnahmen des BCM und an Aufgaben übergeben werden.

Die Prüffrage

Wann hat Ihr Stab zuletzt unter Zeitdruck eine Entscheidung getroffen, deren Folge er danach gesehen hat, statt einen Plan vorzulesen?

Wenn die letzte Übung ein Durchsprechen war, ist das ein guter Anfang. Die Pflichtübung steht dann noch aus.

Quellen

BSI-Standard 200-4, Business Continuity Management, Version 1.0 (Mai 2023), Kapitel 13 (Tabelle 34 „Übungsarten gemäß BSI-Standard 200-4“) und 13.1.