Ein Plan zählt erst, wenn ihn jemand geübt hat

Was die Rolle tatsächlich tut, und was Leute fälschlich erwarten

Der größte Teil der Arbeit besteht aus Gesprächen mit Fachbereichen, in denen es darum geht, einen Prozess so zu beschreiben, dass sich sein Ausfall bewerten lässt. Das klingt trocken und ist die eigentliche Leistung: Die meisten Beteiligten kennen ihren Ablauf, haben aber nie darüber nachgedacht, was nach vier Stunden, nach zwei Tagen und nach einer Woche ohne ihn passiert. Aus diesen Gesprächen entstehen die Zahlen, mit denen alle anderen weiterarbeiten.

Der zweite Teil ist Pflege. Ein Notfallhandbuch veraltet schneller als jede andere Dokumentation, weil Systeme, Zuständigkeiten und Telefonnummern sich ständig ändern. Wer eine solche Sammlung einmal aufbaut und dann liegen lässt, hat den schlimmsten aller Zustände hergestellt: Es gibt ein Dokument, alle verlassen sich darauf, und es stimmt nicht mehr. Deshalb gehört ein fester Pflegeturnus zur Rolle, und er ist unbeliebt.

Falsch erwartet wird vor allem die Nähe zur IT. Notfallvorsorge kommt in vielen Häusern über die IT ins Haus, weil dort die spürbaren Ausfälle passieren, aber die Rolle betrachtet Geschäftsprozesse und alle Ressourcen, die sie tragen: Personen, Gebäude, Lieferanten, Maschinen, Daten. Der Ausfall einer einzelnen Person mit Sonderwissen ist in kleineren Häusern der häufigste realistische Fall, und er steht in keinem Serverplan.

Die zweite falsche Erwartung betrifft die Krise selbst. Im Ernstfall leitet nicht das Notfallmanagement, sondern ein Krisenstab unter Führung der Geschäftsführung. Die Rolle liefert die Grundlagen, führt Protokoll, hält die Verfahren bereit und erinnert daran, was vereinbart war. Wer diese Grenze nicht kennt, gerät im Ernstfall in eine Position, für die er weder Befugnis noch Rückendeckung hat.

Der Weg in die Rolle, und welche Nachweise zählen

Es gibt keinen Ausbildungsweg mit diesem Namen. Die Leute kommen aus vier Richtungen: aus dem IT-Betrieb, wo Sicherung und Wiederanlauf ohnehin Alltag sind, aus dem Risikomanagement, aus der internen Revision und aus dem Qualitäts- oder Arbeitsschutzbereich, wo das Denken in Verfahren und Nachweisen bereits verankert ist. In Behörden und im Gesundheitswesen kommt der Weg über die Notfallplanung im engeren Sinn dazu.

Fachlich führt der geradlinigste Weg über die anerkannten Standards. Das BSI beschreibt im Standard 200-4 ein Vorgehen, das ausdrücklich in Stufen aufgebaut ist, von einem ersten reaktiven Aufbau über eine Zwischenstufe bis zu einem vollständigen Managementsystem. Das ist für den Einstieg wertvoll, weil du damit auch in einem Haus anfangen kannst, das noch gar nichts hat. International steht daneben die zertifizierbare Norm für Notfallmanagementsysteme, die denselben Ablauf mit anderer Begriffswelt beschreibt.

In geregelten Branchen kommt der Rechtsrahmen als Treiber dazu. Für den Finanzsektor gilt die europäische Verordnung zur digitalen operationalen Belastbarkeit seit dem 17. Januar 2025 und verlangt unter anderem ein Testprogramm, ein Register ausgelagerter Leistungen und ein geregeltes Meldewesen. Die europäische Richtlinie zur Cybersicherheit zählt Notfallmanagement und Sicherungsverfahren ausdrücklich zu den geforderten Risikomanagementmaßnahmen. Wer in einer betroffenen Branche arbeitet, sollte den jeweiligen Text einmal selbst gelesen haben, statt sich auf Zusammenfassungen zu verlassen.

Was in der Bewerbung zählt, ist eine durchgeführte Analyse und eine durchgeführte Übung. Wer sagen kann, wie er in einem Fachbereich die Kritikalität erhoben hat, welche Abhängigkeit dabei überraschend auftauchte und was die letzte Übung an Erkenntnissen gebracht hat, ist glaubwürdig. Eine Aufzählung von Standards ohne einen einzigen eigenen Durchlauf ist es nicht.

Woran zwei Leute mit gleicher Berufsdauer auseinandergehen

Der erste Unterschied ist der Zugang zu den Fachbereichen. Notfallvorsorge ist eine Zumutung für Leute, die ihren eigentlichen Job machen wollen, und wer mit einem Fragebogen kommt, bekommt Fragebogenantworten. Wer stattdessen zwei Stunden zuhört und den Prozess anschließend so beschreiben kann, dass der Fachbereich sich wiedererkennt, bekommt die Angaben, auf die es ankommt. Das ist eine Gesprächsfähigkeit und keine Fachkenntnis.

Der zweite Unterschied ist der Mut zur unbequemen Übung. Eine Übung, die zeigt, dass der Wiederanlauf doppelt so lange dauert wie vereinbart, ist ein Erfolg, auch wenn sie sich nicht so anfühlt. Wer nur Übungen ansetzt, deren Ausgang feststeht, erzeugt Zufriedenheit und keine Belastbarkeit, und im Ernstfall stellt sich heraus, dass niemand je den Fall geübt hat, der tatsächlich eintritt.

Der dritte Unterschied ist die Fähigkeit, Vorsorge in Geld zu übersetzen. Jede Verkürzung einer Wiederanlaufzeit kostet, und zwar meist nicht linear. Wer der Geschäftsführung zeigen kann, was der Sprung von einem Tag auf vier Stunden kostet und was er verhindert, bekommt eine Entscheidung. Wer nur Anforderungen aus einem Standard vorträgt, bekommt eine Vertagung.

Wohin die Rolle führt

Die erste Richtung ist das Krisenmanagement im engeren Sinn: Aufbau und Übung des Krisenstabs, Alarmierung, Kommunikation nach innen und außen. Das ist weniger analytisch und stärker auf Führung unter Druck ausgerichtet, und viele wachsen aus der Vorsorge dort hinein, weil sie die Verfahren ohnehin kennen.

Die zweite Richtung führt in die Steuerung von Informationssicherheit insgesamt, also in die Rolle, die das Managementsystem verantwortet und die Prüfungen begleitet. Notfallvorsorge ist dort ein Baustein unter mehreren, und wer ihn beherrscht, hat den Teil verstanden, an dem sich die Belastbarkeit einer Organisation am ehesten zeigt.

Die dritte Richtung ist die Prüfseite: interne Revision, externe Prüfung oder Beratung. Wer viele Häuser sieht, entwickelt ein Gespür dafür, welche Vorsorge trägt und welche nur dokumentiert ist. Und in geregelten Branchen entsteht daneben eine eigene Laufbahn rund um die Umsetzung aufsichtsrechtlicher Anforderungen, in der Notfallvorsorge, Auslagerungssteuerung und Meldewesen zusammenlaufen.