Was die Richtlinie verlangt
Artikel 21 Absatz 2 der NIS-2-Richtlinie listet die Mindestmaßnahmen auf, die wesentliche und wichtige Einrichtungen umsetzen müssen. Buchstabe c nennt ausdrücklich vier Dinge:
Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement.
Die deutsche Umsetzung konkretisiert das weiter und verlangt einen Notfallplan für die Aufrechterhaltung und die Wiederherstellung des Betriebs, der bei Sicherheitsvorfällen tatsächlich zur Anwendung kommt.
Zwei Wörter tragen die ganze Anforderung: Aufrechterhaltung und Wiederherstellung. Sie meinen nicht dasselbe, und der Unterschied ist der Grund, warum die meisten E-Mail-Notfallpläne die Prüfung nicht bestehen.
Sicherung ist nicht Aufrechterhaltung
Die häufigste Antwort auf die Frage nach dem E-Mail-Notfallplan lautet: wir haben ein Backup. Das ist eine Antwort auf die Wiederherstellung, nicht auf die Aufrechterhaltung.
Eine Sicherung beantwortet die Frage: wie bekommen wir die Daten zurück, nachdem der Vorfall vorbei ist. Sie beantwortet nicht die Frage: wie arbeiten die Menschen weiter, während er läuft.
Der Unterschied ist in Zahlen greifbar. Ein Mittelständler mit 80 Beschäftigten, deren Arbeit überwiegend über E-Mail läuft, verliert bei einem Ausfall von einem Arbeitstag rund 80 Personentage. Die Sicherung ändert daran nichts. Sie sorgt dafür, dass danach nichts fehlt.
Wer in einem Audit auf die Frage nach der Aufrechterhaltung mit der Sicherungsstrategie antwortet, hat die Frage nicht beantwortet.
Was für den Mailkanal konkret gilt
Eingehende Mail ist bei einem Ausfall zunächst nicht verloren. Der sendende Server hält sie in seiner Warteschlange und wiederholt, typischerweise über 24 bis 48 Stunden. Das ist eine belastbare Grundlage, aber sie hat drei Grenzen, die im Notfallplan benannt gehören.
Erstens: die Frist liegt bei anderen. Wie lange wiederholt wird, entscheidet der Absender, nicht das eigene Unternehmen. Der Plan darf sich nicht auf eine Zahl stützen, die niemand kontrolliert.
Zweitens: es geht nur um Verlust, nicht um Betrieb. Während der Wiederholung steht die Arbeit. Niemand liest, niemand antwortet, keine Frist wird gewahrt.
Drittens: der Rückstau kommt gebündelt. Nach der Wiederherstellung trifft die gesamte angestaute Mail auf ein gerade wieder anlaufendes System. Ein Notfallplan, der die Wiederanlaufreihenfolge nicht regelt, produziert den zweiten Ausfall direkt nach dem ersten.
Was in den Notfallplan gehört
Sieben Punkte, die konkret und prüfbar sein müssen.
1. Erkennung. Wer merkt den Ausfall, woran, und wie schnell. Ohne definierte Erkennung beginnt jede Frist erst dann, wenn zufällig jemand etwas bemerkt.
2. Meldeweg. Wer wird in welcher Reihenfolge informiert. Bewusst über einen Weg, der nicht selbst von E-Mail abhängt.
3. Ersatzverfahren für die Erreichbarkeit. Wie erreichen Kunden und Lieferanten das Unternehmen, und wie erreicht die Belegschaft sie. Das ist der Kern der Aufrechterhaltung und der Punkt, der am häufigsten fehlt.
4. Zuständigkeiten im Krisenstab. Namen, keine Rollen. Rollen sind nachts um drei nicht erreichbar, Menschen mit Nummer schon.
5. Wiederanlaufreihenfolge. Was zuerst hochkommt, und wie der Rückstau gedrosselt eingespielt wird.
6. Wiederherstellungsziele. Wie viel Datenverlust ist hinnehmbar und wie lange darf die Wiederherstellung dauern. Beide Werte müssen mit einem echten Wiederherstellungsversuch belegt sein, nicht mit einer Annahme.
7. Übung. Die Richtlinie verlangt, dass der Plan zur Anwendung kommt. Ein Plan, der nie geprobt wurde, ist im Ernstfall ein Dokument, kein Verfahren. Ein ungetesteter Wiederherstellungsweg ist der häufigste Befund in Audits.
Der Prüfsatz für den eigenen Plan
Eine einzige Frage trennt einen echten Notfallplan von einem Dokument:
Was tun 80 Menschen morgen früh um neun, wenn das Mailsystem heute Nacht ausgefallen ist und in drei Tagen wieder läuft?
Steht die Antwort im Plan, ist der Punkt Aufrechterhaltung erfüllt. Steht dort nur, wie das System wiederhergestellt wird, fehlt die Hälfte der Anforderung.
Weiterführend: NIS-2-Pflichten für die E-Mail-Sicherheit, Paragraf 30 BSIG und die konkreten Maßnahmen und Mailserver ausgefallen, was mit den eingehenden E-Mails passiert.
