Angenommen, Sie haben den Jahresplan fertig: vier kurze Tests, zwei Tabletops, eine größere Übung, je Termin ein Lernziel und eine verantwortliche Person. In der Leitungsrunde nicken alle freundlich, jemand sagt „gute Sache“, und der Punkt ist nach vier Minuten erledigt. Acht Monate später sind zwei Termine verschoben, die Geschäftsleitung war bei keinem dabei, und das unbequemste Szenario ist aus dem Plan gefallen, weil sich niemand zuständig fühlte, es freizugeben.
Zustimmung ist nicht dasselbe wie eine Entscheidung. Damit ein Übungsprogramm von der Geschäftsleitung wirklich getragen wird, braucht es vier konkrete Festlegungen – und die bekommen Sie nur, wenn Sie ausdrücklich danach fragen. Dieser Beitrag beschreibt diese vier Punkte, zeigt, wie Sie sie in zehn Minuten vorlegen, und benennt die Fragen, die dabei erfahrungsgemäß zuerst kommen.
Warum freundliche Zustimmung nicht reicht
Ein Übungsprogramm ist kein Fachthema, das im Bereich bleiben kann. Es verbraucht Zeit von Menschen, die andernfalls an Zielen arbeiten, an denen sie gemessen werden. Es erzeugt Befunde, die unangenehm sein können. Und es endet in Maßnahmen, die jemand gegen laufende Prioritäten durchsetzen muss. Jeder dieser drei Punkte ist eine Leitungsentscheidung, keine Fachfrage.
Dass Leitungsorgane für das Risikomanagement ihrer Organisation Verantwortung tragen, ist im Übrigen kein neuer Gedanke – unter NIS2 ist er für die erfassten Einrichtungen ausdrücklich angelegt. Ob und in welchem Umfang Ihre Organisation betroffen ist, klären Sie mit Ihrer Rechts- oder Compliance-Funktion; für die Programmplanung ist vor allem die praktische Seite wichtig: Ohne Rückendeckung von oben verliert jede Übungsreihe innerhalb eines Jahres gegen das Tagesgeschäft.
Vier Entscheidungen, die das Programm tragen
Legen Sie die folgenden vier Punkte einzeln vor und lassen Sie sie einzeln entscheiden. Sammelzustimmung zu einem Gesamtpaket ist erfahrungsgemäß das, was später niemand erinnert:
- Budget und Zeit für ein Jahr, nicht für einen Termin. Entschieden wird über den Jahresplan als Ganzes – einschließlich der Arbeitszeit für Vorbereitung, Auswertung und Maßnahmen. Wer nur den Übungstag freigibt, finanziert den kleinsten Teil der Leistung.
- Eigene Teilnahme – in welcher Rolle und wie oft. Spielt die Geschäftsleitung mit, beobachtet sie, oder kommt sie nur zur Auswertung? Alle drei Varianten sind vertretbar, aber sie müssen benannt sein. Nichts prägt die Ernsthaftigkeit einer Übung so stark wie diese Festlegung.
- Freigabe unangenehmer Szenarien (Reputation, Personal, Behörden). Genau die Lagen, die man lieber nicht durchspielt, sind die lehrreichsten. Ohne ausdrückliche Freigabe wird das Szenario im Vorfeld entschärft – meist ohne dass jemand die Entscheidung bewusst trifft.
- Verbindlichkeit der Maßnahmen und Berichtsweg. Werden Maßnahmen aus der Auswertung wie andere Aufgaben geführt, mit Verantwortlichen und Terminen? Wer berichtet wem, in welchem Rhythmus, über den Stand?
Diese vier Punkte tragen das Programm – oder machen es zum Kalendereintrag. Der Satz, den Sie dabei ruhig aussprechen dürfen: Ein Übungsprogramm ohne Termine ist eine Absichtserklärung. Er beschreibt keinen Vorwurf, sondern einen Mechanismus: Was keinen Termin und keine verantwortliche Person hat, wird im Zweifel nicht getan.
Übungsprogramm und Geschäftsleitung: die Vorlage in zehn Minuten
Sie bekommen in der Regel keine halbe Stunde. Planen Sie deshalb mit zehn Minuten und einer Seite. Ein Ablauf, der sich bewährt hat:
- Zwei Minuten Ausgangslage. Eine konkrete Lücke aus der letzten Übung oder einem realen Vorfall – ohne Dramatisierung, ohne Schuldzuweisung.
- Zwei Minuten Plan. Der Jahresrhythmus in vier Zeilen, mit Terminen und Formaten. Keine Szenarien, keine Methodendiskussion.
- Vier Minuten Entscheidungen. Die vier Punkte oben, einzeln, jeweils mit einer klaren Frage und einem Vorschlag, den man nur bestätigen muss.
- Zwei Minuten Nutzen und Nachweis. Was die Organisation danach kann – und was Sie gegenüber Revision und Aufsicht vorlegen können.
Bringen Sie einen entscheidungsfähigen Vorschlag mit, keine Optionsliste. „Ich schlage vier Termine vor, den ersten am 12. März, Ihre Teilnahme bei der Simulation im Herbst als Beobachtung“ ist ein Satz, auf den eine Leitungsrunde antworten kann. „Wir könnten verschiedene Formate prüfen“ ist es nicht. Welche Formate es überhaupt gibt und wofür sie taugen, ordnet der Beitrag Tabletop, Training oder Simulation? So wählen Sie das Format ein.
Fragen, die typischerweise zuerst kommen
Drei Fragen tauchen fast immer auf, und alle drei lassen sich kurz beantworten.
„Wie viel Zeit kostet das meine Leute?“ Antworten Sie in Personenstunden je Termin und in Summe fürs Jahr, nicht in Tagen. Ein Quartalstest von 45 Minuten für acht Personen ist eine überschaubare Größe – sichtbar gerechnet wirkt sie deutlich kleiner als gefühlt.
„Müssen wir wirklich das Reputationsszenario spielen?“ Die ehrliche Antwort: Nein, aber dann wissen Sie im Ernstfall nicht, wie Ihre Organisation damit umgeht. Bieten Sie einen Zwischenschritt an – etwa ein geschlossenes Tabletop ohne schriftliche Dokumentation der Diskussion, mit protokollierten Maßnahmen.
„Was passiert mit den Ergebnissen?“ Diese Frage ist berechtigt und der häufigste stille Grund für Zurückhaltung. Legen Sie vorab fest, wer den Bericht erhält, wie detailliert er ist und was davon in reguläre Berichtswege einfließt. Ein Programm, dessen Ergebnisse berechenbar behandelt werden, bekommt deutlich leichter eine Freigabe. Wie Sie aus einzelnen Terminen einen Jahresplan machen, beschreibt Vom Einzelereignis zum Übungsprogramm.
Nächster Schritt: die vier Punkte auf eine Seite
Schreiben Sie die vier Entscheidungen als vier Fragen auf eine Seite, jeweils mit Ihrem Vorschlag daneben, und setzen Sie den Punkt auf die nächste Leitungsrunde – nicht auf „irgendwann“. Wenn der Jahrestermin mit Tempo, Druck und echtem Gegenspiel ansteht, ist eine Krisensimulation inhouse das passende Format dafür. Sprechen Sie uns an, wenn Sie Ihre Vorlage vor der Sitzung einmal durchgehen möchten.
Häufige Fragen
Sollte die Geschäftsleitung in der Übung mitspielen oder beobachten?
Mitspielen ist wirksamer, weil genau dort die Entscheidungen fallen, die im Ernstfall Wirkung haben. Beobachten ist ein guter Einstieg, wenn es das erste Mal ist – dann aber mit der klaren Vereinbarung, beim nächsten Termin mitzuspielen.
Was tun, wenn nur ein Termin statt eines Jahresplans freigegeben wird?
Nehmen Sie den Termin und legen Sie in der Auswertung den nächsten fest. Ein Programm entsteht auch schrittweise – entscheidend ist, dass die Auswertung nie ohne konkreten Folgetermin endet.
Wie oft sollte über das Programm berichtet werden?
Ein kurzer Stand je Termin und einmal jährlich ein zusammenfassender Bericht reichen in den meisten Organisationen aus. Wichtiger als die Frequenz ist, dass der Berichtsweg vorab feststeht und nicht nach der ersten unangenehmen Übung neu verhandelt wird.
Wer sollte die Vorlage einbringen?
Die Person, die das Programm später verantwortet – meist die Krisenstabsleitung oder das Business Continuity Management. Wird die Vorlage von jemandem eingebracht, der die Umsetzung nicht steuert, fehlt in der Diskussion genau die Person, die die Rückfragen beantworten kann.
