Krisenbereitschaft Audit: Was eine unabhängige Prüfung Ihrer Krisenorganisation findet

Ein Krisenbereitschaft Audit prüft nicht, ob Ihre Krisendokumente vollständig sind, sondern ob Ihre Organisation unter realen Bedingungen handlungsfähig wird. Geprüft werden sechs Felder: Eskalations- und Aktivierungslogik, Alarmierung und Erreichbarkeit, Rollen und Mandate, Entscheidungsfähigkeit unter Unsicherheit, Kommunikationsbereitschaft und die Verzahnung mit dem Business Continuity Management. Der häufigste Befund liegt dabei nicht dort, wo Organisationen ihn erwarten — nicht im Krisenplan, sondern in der Schwelle davor: in der Frage, wer entscheiden darf, dass eine Lage eine Krise ist.

Das ist der Grund, warum ein Audit oft mehr verändert als eine weitere Übung. Übungen testen die Bewältigung. Ein Audit prüft, ob die Bewältigung überhaupt rechtzeitig beginnt.

Der teuerste Moment einer Krise liegt vor der ersten Entscheidung

Freitagabend, 22:47 Uhr. Die Produktionssteuerung an zwei Standorten reagiert nicht mehr. Der Bereitschaftsdienst der IT arbeitet seit anderthalb Stunden an der Wiederherstellung und meldet: „Wir haben es gleich.“ Niemand hat den Krisenstab alarmiert. Formal ist auch niemand verpflichtet dazu, denn im Notfallhandbuch steht, dass der Krisenstab bei „schwerwiegenden Beeinträchtigungen des Geschäftsbetriebs“ einberufen wird. Ob anderthalb Stunden Stillstand in der Nachtschicht schwerwiegend sind, entscheidet an diesem Abend niemand. Um 01:20 Uhr ist klar, dass es sich nicht um einen Ausfall handelt, sondern um einen Angriff. Der Krisenstab tritt um 03:40 Uhr zusammen — knapp fünf Stunden nach dem ersten Signal.

Diese fünf Stunden sind keine Bewältigungszeit. Es ist Latenz. Sie entsteht nicht aus Unfähigkeit, sondern aus einer unbestimmten Formulierung und einer fehlenden Zuständigkeit. Und sie kostet mehr als jede spätere Fehlentscheidung, weil in dieser Zeit Handlungsoptionen verfallen: Systeme lassen sich nicht mehr sauber trennen, Sicherungen werden mitverschlüsselt, Beschäftigte erfahren aus informellen Kanälen von der Lage, und die erste externe Anfrage kommt, bevor eine Sprachregelung existiert.

Keine dieser fünf Stunden taucht in einer Dokumentenprüfung auf. Das Notfallhandbuch dieses Unternehmens war vollständig, aktuell und formal einwandfrei.

Warum die Selbsteinschätzung der Krisenbereitschaft systematisch zu gut ausfällt

Organisationen bewerten ihre eigene Vorbereitung an dem, was sie erstellt haben — Pläne, Listen, Gremien, Übungstermine. Bewertet werden müsste, was davon unter Zeitdruck, nachts und bei ausgefallener Infrastruktur tatsächlich greift. Zwischen beidem liegt eine Lücke, die von innen schwer zu sehen ist, weil dieselben Personen sie entworfen haben, die sie prüfen sollen.

Wie groß der Abstand zwischen Anspruch und Vorbereitung ist, zeigt eine repräsentative Befragung von 604 Unternehmen ab zehn Beschäftigten, die Bitkom Research im Auftrag des Bitkom durchgeführt und der Verband am 11. Februar 2026 veröffentlicht hat: In 61 Prozent der Unternehmen ist der Schutz vor hybriden Angriffen Chefsache — aber nur 28 Prozent verfügen überhaupt über ein Krisen- oder Notfallmanagement, und lediglich 10 Prozent führen regelmäßige Krisenübungen durch. Die Verantwortung ist oben angesiedelt, die Struktur darunter fehlt.

Ein Krisenbereitschaft Audit setzt genau an dieser Stelle an: Es ersetzt Selbsteinschätzung durch Prüfung an definierten Kriterien.

Was ein Krisenbereitschaft Audit prüft: sechs Prüffelder

Eskalations- und Aktivierungslogik. Sind die Schwellen zwischen Störung, Notfall und Krise so formuliert, dass eine nachts geweckte Person sie ohne Ermessensspielraum anwenden kann? Wer darf aktivieren?
Alarmierung und Erreichbarkeit. Funktioniert der Meldeweg auch dann, wenn E-Mail, Intranet oder Telefonanlage Teil des Problems sind? Sind Stellvertretungen benannt und erreichbar?
Rollen und Mandate. Sind Entscheidungsbefugnisse schriftlich zugeordnet — einschließlich der Befugnis, Produktion anzuhalten, Verträge zu brechen oder außerplanmäßig Mittel zu binden?
Entscheidungsfähigkeit unter Unsicherheit. Existieren Methoden für Priorisierung und Lagebewertung bei unvollständiger Information — oder wird improvisiert?
Kommunikationsbereitschaft. Gibt es vorbereitete Erstaussagen, eine benannte sprechfähige Person und eine Reihenfolge, in der Stakeholder erfahren, was geschieht?
Verzahnung mit dem Business Continuity Management. Sind die Zeitschwellen aus den tolerierbaren Ausfallzeiten der zeitkritischen Prozesse abgeleitet — oder pauschal gesetzt?

Die folgenden Abschnitte zeigen die beiden Befunde, die in dieser Prüfung am häufigsten auftreten — und zugleich am schnellsten behebbar sind.

Krisenbereitschaft audit: prüfung der krisenorganisation entlang der eskalationsstufen störung, notfall und krise — Ein Krisenbereitschaft Audit prüft zuerst die Weiche: Ab welchem Punkt entscheidet nicht mehr die Linie, sondern der Krisenstab?

Befund 1: Eine Eskalationsschwelle, die niemand anwenden kann

Der BSI-Standard 200-4 „Business Continuity Management“ des Bundesamts für Sicherheit in der Informationstechnik beschreibt Alarmierung und Eskalation als geregelten Meldeweg: Ein Schadensereignis wird an zuvor definierte Meldestellen gemeldet, diese bewerten es erstbewertend und geben es an eine zentrale Entscheidungsinstanz weiter, sobald die Einordnung dies erfordert. Der Standard unterscheidet dabei zwischen Störung, Notfall und Krise — und definiert den Notfall als Schadensereignis, für dessen Bewältigung entweder geeignete Pläne vorliegen oder vorhandene Pläne angepasst werden können. Eine Krise kann unmittelbar eintreten oder aus einer Störung beziehungsweise einem Notfall eskalieren; für sie greifen die vorbereiteten Pläne allein nicht mehr.

Stufe 1 — Störung: Die Linie bleibt zuständig

Ein Ereignis, das den Betrieb beeinträchtigt, aber innerhalb der bestehenden Zuständigkeiten und mit den vorhandenen Verfahren beherrscht wird. Es gibt einen Verantwortlichen, ein bekanntes Verfahren und einen absehbaren Wiederherstellungszeitpunkt.

Stufe 2 — Notfall: Vorbereitete Pläne greifen, aber die Linie reicht nicht mehr

Die Beeinträchtigung überschreitet eine definierte Zeitschwelle oder betrifft einen zeitkritischen Prozess. Pläne existieren, aber ihre Anwendung erfordert Entscheidungen jenseits der Linienorganisation: Priorisierung zwischen Prozessen, Freigabe von Ausweichlösungen, Mittelverwendung.

Stufe 3 — Krise: Die Pläne allein tragen nicht mehr

Die Lage ist unübersichtlich, entwickelt sich weiter, betrifft mehrere Bereiche gleichzeitig oder hat eine strategische Dimension. Entscheidungen müssen unter unvollständiger Information getroffen und laufend korrigiert werden. Der Krisenstab führt, nicht der Plan.

Stufen sind keine Diagnose, sondern eine Weiche. Sie beschreiben nicht, wie schlimm etwas ist, sondern wer ab jetzt entscheidet. Wer sie als Schweregrad-Skala baut, baut sie falsch — und genau das findet ein Audit regelmäßig vor.

Fünf Kriterien, an denen eine belastbare Schwelle festgemacht wird

Zeit. Die Schwelle wird an der maximal tolerierbaren Ausfallzeit des betroffenen Prozesses festgemacht, nicht an einer Pauschale. Darf die Auftragsannahme vier Stunden ausfallen und die Chargenrückverfolgung zwei, gibt es zwei Zeitschwellen. Ohne Business Impact Analyse bleibt dieses Kriterium eine Schätzung.
Reichweite. Betrifft das Ereignis mehr als einen Standort, Prozess oder mehr als eine Gesellschaft? Ereignisse über Bereichsgrenzen hinweg brauchen eine bereichsübergreifende Entscheidungsinstanz, unabhängig von ihrer Schwere.
Externe Sichtbarkeit. Sobald Kunden, Lieferanten, Behörden, Beschäftigte oder Medien die Auswirkung bemerken können, entsteht Kommunikationsbedarf, den die Linie nicht abdeckt. Dieses Kriterium greift unabhängig vom technischen Schweregrad.
Entscheidungsbedarf jenseits der Linie. Muss zwischen konkurrierenden Prozessen priorisiert, ein Vertrag gebrochen, eine Produktion angehalten oder außerplanmäßig Geld gebunden werden? Dann ist die Zuständigkeitsgrenze bereits überschritten.
Regulatorische Auslösung. Könnte eine Melde- oder Nachweispflicht ausgelöst werden, greift eine eigene, verkürzte Frist. Ob und in welchem Umfang solche Pflichten bestehen, hängt von Sektor, Größe und Rechtsform ab und ist im Einzelfall zu prüfen — die Eskalationslogik muss diesen Fall aber kennen.

Ein erfülltes Kriterium genügt. Eskalationsschwellen gehören als Oder-Verknüpfung formuliert, nicht als Und-Verknüpfung. Wer verlangt, dass mehrere Bedingungen gleichzeitig erfüllt sind, hat die Schwelle faktisch abgeschafft.

Befund 2: Ein Meldeweg, der nur auf dem Papier trägt

Selbst saubere Kriterien laufen ins Leere, wenn der Weg dorthin nicht hält. Das BSI stellt zum Standard 200-4 ein eigenes Hilfsmittel bereit — ein Schaubild zu Eskalations- und Alarmierungspfaden —, was zeigt, dass der Pfad als eigenständiges Gestaltungselement verstanden wird und nicht als Anhang zum Plan.

Der Plan sagt	Das Audit zeigt
„Der Krisenstab wird durch den Krisenmanager einberufen.“	Der Krisenmanager ist eine Person ohne benannte Stellvertretung.
„Die Alarmierung erfolgt über die Notfallnummer.“	Die Nummer ist in einem Intranet hinterlegt, das mit ausgefallen ist.
„Alle Mitglieder sind rund um die Uhr erreichbar.“	Zwei von sieben Mobilnummern im Verteiler sind veraltet.
„Die Meldestelle bewertet und eskaliert.“	Die Meldestelle ist der Service Desk — ohne Mandat und ohne Kriterienliste.
„Eskalation erfolgt bei erheblicher Auswirkung.“	Niemand konnte im Nachgang benennen, wann diese Schwelle erreicht war.

Vier Festlegungen trennen einen Pfad auf Papier von einem funktionierenden Pfad: eine Meldestelle, die rund um die Uhr besetzt und über einen Kanal außerhalb der eigenen IT erreichbar ist; eine Kriterienliste, die dieser Meldestelle vorliegt und nicht im Handbuch; ein Aktivierungsmandat, das mindestens zwei Personen unabhängig voneinander ausüben können; und eine ausdrückliche Regel, dass im Zweifel eskaliert wird und eine nachträglich als unnötig erkannte Aktivierung keine negativen Folgen für die meldende Person hat.

Eine Organisation, die nie unnötig eskaliert, eskaliert systematisch zu spät. Wer keine Fehlalarme hat, hat keine Schwelle, sondern eine Hemmschwelle.

Warum niemand aktiviert, obwohl alle den Plan kennen

In Audits begegnen uns dieselben fünf Ursachen. Keine davon ist ein Wissensproblem.

Die Definitionslücke. Kriterien wie „erhebliche Auswirkungen“ oder „bei Gefahr für die Reputation“ beschreiben ein Ergebnis, keine Schwelle. Wer sie um 23:00 Uhr anwenden soll, hat keine Grundlage — und entscheidet deshalb nicht.

Das Meldungsrisiko. Wer eskaliert, macht sich sichtbar. Erweist sich die Lage anschließend als beherrschbar, bleibt der Eindruck, überreagiert zu haben. Solange Organisationen unnötige Eskalationen implizit sanktionieren und verspätete nur im Nachgang aufarbeiten, ist Zurückhaltung individuell rational.

Das fehlende Mandat. Häufig darf die Person, die den Vorfall zuerst sieht, den Krisenstab nicht selbst auslösen — sie darf nur melden. Zwischen Meldung und Aktivierung liegen dann zwei oder drei Personen, die alle erreichbar sein müssen.

Die Randzeiten. Alarmierungslisten sind auf Bürozeiten kalibriert. Am Wochenende, im Urlaub oder in der Nachtschicht fehlen Stellvertretungen, private Rufnummern sind veraltet, und der Verteiler liegt in dem System, das gerade ausgefallen ist.

Der Salami-Effekt. Die Lage verschlechtert sich in kleinen Schritten. Jeder Schritt für sich rechtfertigt keine Eskalation, in der Summe ist die Schwelle längst überschritten — aber es gab nie einen sichtbaren Moment des Überschreitens. Deshalb gehört zu jeder Eskalationslogik eine Regel, die auf Dauer statt auf Schwere abstellt.

Vier Fehlannahmen, die in Krisenorganisationen erstaunlich langlebig sind

„Bei uns ist das Bauchgefühl erfahrener Kolleginnen und Kollegen zuverlässiger als jede Schwelle.“ Erfahrung ist wertvoll — aber personengebunden und nachts nicht verfügbar. Eine Schwelle ersetzt Erfahrung nicht, sie macht sie übertragbar.

„Wir haben einen Krisenstab, also haben wir eine Eskalationslogik.“ Ein Gremium ist keine Auslöselogik. Viele Organisationen haben ein sauber besetztes Gremium mit Rollenbeschreibungen, Raum und Vorlagen — und keine belastbare Antwort darauf, wer es wann zusammenruft.

„Die Eskalation regelt der IT-Notfallplan.“ IT-Eskalationsstufen sind technische Schweregrade. Sie beantworten, wie dringend ein System wiederhergestellt werden muss, nicht, ob die Geschäftsführung eingebunden werden muss. Beide Logiken müssen verzahnt sein, sind aber nicht identisch.

„Wenn es eine echte Krise ist, merkt das jeder.“ Die folgenschwersten Lagen beginnen unauffällig: ein Lieferantenausfall, eine auffällige Anmeldung, ein einzelner beschädigter Behälter. Auffällige Lagen sind selten die gefährlichen.

Warnsignale, dass ein Krisenbereitschaft Audit fällig ist

Die Aktivierungskriterien enthalten Adjektive statt Zahlen.
In der letzten Übung wurde der Krisenstab durch die Übungsleitung einberufen, nicht durch die Organisation selbst.
Es gibt keine dokumentierte Aktivierung der letzten 24 Monate — weder eine echte noch eine geübte.
Die Alarmierung setzt voraus, dass E-Mail, Intranet oder Telefonanlage funktionieren.
Die Person, die einen Vorfall zuerst bemerkt, kennt die Kriterien nicht.
Es existiert keine Regel für Ereignisse, die sich über Tage langsam verschlechtern.
Nach dem letzten Vorfall wurde die Frage „Hätten wir früher eskalieren müssen?“ nicht ausgewertet.
Die Krisenorganisation wurde seit der letzten Reorganisation, Zukäufen oder einem Standortwechsel nicht angepasst.

Sie möchten die Schnittstelle zwischen Alarmierung und erster Entscheidung selbst durchgehen? Unsere Gratis-Checkliste für die ersten 60 Minuten deckt genau diesen Übergang ab.

Ein Fallbeispiel: der stille Freitag eines Zulieferers

Anonymisiertes Kompositbeispiel aus mehreren Audit- und Übungssituationen. Es beschreibt kein konkretes Unternehmen und kein reales Kundenergebnis.

Ein mittelständischer Zulieferer mit drei Werken hat ein gepflegtes Notfallhandbuch, eine benannte Krisenstabsbesetzung und jährliche Tabletop-Übungen. Im Audit fällt auf, dass sämtliche Übungen mit dem Satz begannen: „Der Krisenstab ist einberufen.“ Die Aktivierung war nie Teil des Szenarios.

Bei einer Übung mit veränderter Ausgangslage ging die Meldung stattdessen an den Bereitschaftsdienst. Nach 40 Minuten war der Vorfall zweimal weitergeleitet, aber nicht bewertet worden: Die Kriterienliste lag im Handbuch, das Handbuch lag im Werk, der Bereitschaftsdienst arbeitete von zu Hause. Die erste Entscheidung fiel, als der Werkleiter zufällig zurückrief.

Die Korrektur dauerte drei Wochen: eine einseitige Kriterienkarte für die Meldestelle, zwei Personen mit unabhängigem Aktivierungsmandat, eine Alarmierung über einen Kanal außerhalb der Unternehmens-IT, eine dokumentierte „Im Zweifel eskalieren“-Regel. In der Wiederholungsübung lag die Zeit bis zur ersten Krisenstabsentscheidung bei unter 25 Minuten. Verändert wurde nicht der Krisenplan, sondern der Weg zu ihm.

Selbsttest: zehn Fragen vor dem Audit

Sind die Eskalationskriterien in Zahlen und Zeiten formuliert und nicht in Adjektiven?
Sind die Zeitschwellen aus den tolerierbaren Ausfallzeiten Ihrer zeitkritischen Prozesse abgeleitet?
Liegt der Meldestelle eine eigenständige, einseitige Kriterienliste vor — außerhalb des Notfallhandbuchs?
Ist die Meldestelle rund um die Uhr besetzt und über einen Kanal erreichbar, der von der eigenen IT unabhängig ist?
Können mindestens zwei Personen den Krisenstab unabhängig voneinander aktivieren?
Ist für jede dieser Personen eine Stellvertretung namentlich benannt und erreichbar?
Gibt es eine ausdrückliche Regel, dass im Zweifel eskaliert wird — und ist sie kommuniziert?
Existiert eine Dauerregel für Lagen, die sich langsam verschlechtern?
Ist die Verzahnung zwischen technischer IT-Eskalation und Krisenorganisation schriftlich geregelt?
Wurde die Aktivierung selbst — nicht nur die Bewältigung — in den letzten zwölf Monaten geübt?

Weniger als acht Ja-Antworten sind ein belastbarer Anlass, die Krisenorganisation strukturiert prüfen zu lassen, bevor der nächste Vorfall es tut.

Wie ein Krisenbereitschaft Audit abläuft — und was es liefert

Die Prüfung lässt sich intern anstoßen, aber schwer intern zu Ende führen: Die Personen, die den Pfad entworfen haben, sind dieselben, die ihn testen sollen, und interne Übungen beginnen erfahrungsgemäß mit einem bereits einberufenen Krisenstab.

Die Deutsche Akademie für Krisenmanagement arbeitet in Beratung und unabhängigen Audits im Krisenmanagement in drei Schritten: Dokumenten- und Strukturprüfung entlang der sechs Prüffelder, anschließend Gespräche mit den Personen, die im Ernstfall tatsächlich melden und entscheiden, und zuletzt ein unangekündigter Belastungstest des Melde- und Alarmierungspfades. Ergebnis ist ein priorisierter Befundbericht: was sofort behoben werden kann, was Projektcharakter hat, und was bewusst als akzeptiertes Restrisiko getragen wird. Wo Befunde auf fehlende Handlungssicherheit statt fehlender Struktur zeigen, schließen wir mit Inhouse-Krisentrainings an, deren Szenarien bewusst vor der Aktivierung beginnen. Unsere Trainings, Beratungen und Audits orientieren sich an ISO 22301 und an den Empfehlungen des BBK.

Realistisch betrachtet leistet das Folgendes: Es macht Schwellen anwendbar, klärt Mandate und Stellvertretungen, deckt Abhängigkeiten der Alarmierung von ausfallgefährdeten Systemen auf, verkürzt nachweisbar die Zeit bis zur ersten belastbaren Entscheidung und gibt Führungskräften Erfahrung mit Entscheidungen unter Unsicherheit. Was es nicht leistet: Kein Audit, keine Übung und kein Training verhindert Krisen. Sie verändern, wie früh eine Organisation handlungsfähig wird.

Wer die Struktur vorher selbst schärfen möchte, findet in unseren Artikeln zum Testen des Krisenplans und zur Krisenmanagement-Simulation die passenden Übungsformate.

Drei Einwände, die in Vorstandssitzungen zu Recht kommen

„Wir haben in zehn Jahren keine Krise gehabt.“ Das ist ein Argument für die Qualität Ihres Risikomanagements, nicht für die Belastbarkeit Ihrer Reaktionsfähigkeit. Beide lassen sich nur getrennt bewerten — und die zweite ausschließlich unter Bedingungen, die es im Alltag nicht gibt.

„Klare Schwellen führen zu unnötigen Aktivierungen.“ Das trifft zu, und es ist beabsichtigt. Eine unnötige Aktivierung kostet ein bis zwei Stunden bei fünf bis zehn Personen. Eine um Stunden verspätete Aktivierung kostet Handlungsoptionen, die sich nicht zurückkaufen lassen. Der Vergleich ist selten knapp.

„Ein externes Audit findet nur, was wir ohnehin wissen.“ Teilweise zutreffend — und das ist nützlich, weil ein dokumentierter Befund Budget freisetzt, wo interne Hinweise es nicht tun. Die Befunde, die überraschen, betreffen erfahrungsgemäß nicht die Struktur, sondern ihre Erreichbarkeit: veraltete Verteiler, fehlende Stellvertretungen, Meldestellen ohne Mandat.

Fazit: Prüfen Sie die Schwelle, bevor Sie den Plan verbessern

Ein Krisenbereitschaft Audit entscheidet nicht darüber, wie gut eine Organisation eine Krise bewältigt. Es entscheidet darüber, ob sie rechtzeitig damit anfängt. Ein durchdachter Krisenplan, der zwei Stunden zu spät geöffnet wird, ist ein schlechterer Plan als eine grobe Handlungsanweisung, die sofort greift.

Wenn Sie im nächsten halben Jahr nur eine Sache an Ihrer Krisenorganisation ändern, ändern Sie die Kriterien — von Adjektiven zu Zeiten, von Ermessen zu Mandat, von einer Person zu zwei.

Wenn Sie prüfen lassen möchten, ob Ihre Eskalationskriterien und Meldewege unter realen Bedingungen tragen, sprechen Sie mit uns über ein Audit Ihrer Krisenbereitschaft. Ein erstes Gespräch klärt in der Regel innerhalb einer Stunde, wo die belastbaren Stellen liegen und wo nicht.

Häufige Fragen zum Krisenbereitschaft Audit

Was ist ein Krisenbereitschaft Audit?

Ein Krisenbereitschaft Audit ist eine unabhängige Prüfung, ob eine Organisation im Ernstfall handlungsfähig wird — nicht, ob ihre Dokumente vollständig sind. Geprüft werden Eskalations- und Aktivierungslogik, Alarmierung und Erreichbarkeit, Rollen und Mandate, Entscheidungsfähigkeit unter Unsicherheit, Kommunikationsbereitschaft und die Verzahnung mit dem Business Continuity Management. Ergebnis ist ein priorisierter Befundbericht statt einer Bewertungsnote.

Was ist der Unterschied zwischen einem Audit und einer Krisenübung?

Eine Übung testet die Bewältigung: Das Szenario läuft, das Team handelt, man beobachtet das Verhalten. Ein Audit prüft die Voraussetzungen dafür, dass die Bewältigung überhaupt rechtzeitig beginnt — Schwellen, Mandate, Meldewege, Erreichbarkeiten. Beides ergänzt sich: Das Audit zeigt strukturelle Lücken, die Übung zeigt Handlungslücken. Wer nur übt, verbessert die zweite Hälfte eines Ablaufs, dessen erste Hälfte ungeprüft bleibt.

Wie lange dauert ein Krisenbereitschaft Audit?

Der Aufwand hängt von Größe, Standortzahl und Prüftiefe ab. Ein fokussiertes Audit der Eskalations- und Alarmierungslogik ist deutlich schlanker als eine vollständige Prüfung der gesamten Krisenorganisation samt Business Continuity Management. Verlässliche Angaben lassen sich erst nach einem kurzen Vorgespräch machen, in dem Umfang, Standorte und Zielsetzung geklärt werden.

Was kostet ein Krisenbereitschaft Audit?

Die Kosten richten sich nach Umfang, Standortzahl, Regulierungsgrad und Prüftiefe — ein fokussiertes Audit eines einzelnen Prüffelds liegt deutlich unter einer vollständigen Prüfung. Wir nennen bewusst keine Pauschalpreise, weil sie in diesem Bereich regelmäßig entweder den Aufwand oder den Nutzen falsch abbilden. Sinnvoll ist ein kurzes Vorgespräch, in dem Umfang und Zielsetzung geklärt werden; daraus ergibt sich ein belastbares Angebot.

Wer darf den Krisenstab aktivieren?

Das Aktivierungsmandat sollte bei mindestens zwei Personen liegen, die es unabhängig voneinander ausüben können, jeweils mit namentlich benannter Stellvertretung. In der Praxis sind das häufig der oder die Krisenmanagementbeauftragte und eine Person aus der Geschäftsführung oder dem Sicherheitsbereich. Wichtig ist die Trennung von Meldung und Aktivierung: Wer meldet, muss nicht entscheiden dürfen — aber die entscheidende Stelle muss rund um die Uhr erreichbar sein.

Was ist der Unterschied zwischen Notfall und Krise?

Der BSI-Standard 200-4 beschreibt einen Notfall als Schadensereignis, für dessen Bewältigung geeignete Pläne vorliegen oder vorhandene Pläne angepasst werden können. Eine Krise kann unmittelbar eintreten oder aus einer Störung beziehungsweise einem Notfall eskalieren; hier tragen vorbereitete Pläne allein nicht mehr, weil die Lage unübersichtlich bleibt, sich weiterentwickelt und Entscheidungen unter unvollständiger Information erfordert. Praktisch bedeutet das: Im Notfall führt der Plan, in der Krise führt der Krisenstab.

Wie oft sollte die Krisenbereitschaft geprüft werden?

Eine feste, für alle Organisationen gültige Frequenz gibt es nicht; sie hängt von Risikoprofil, Größe und Veränderungsrate ab. Als Orientierung: eine vollständige Prüfung alle zwei bis drei Jahre, zusätzlich immer nach strukturellen Veränderungen wie Reorganisation, Zukauf, Standortwechsel oder Wechsel in der Geschäftsführung. Deutlich weniger aufwendig und daher häufiger sinnvoll sind unangekündigte Erreichbarkeitstests der Alarmierungskette.

Ist ein Audit der Krisenbereitschaft gesetzlich vorgeschrieben?

Ob und in welchem Umfang Prüf-, Melde- oder Nachweispflichten bestehen, hängt von Sektor, Größe und Rechtsform der Organisation ab und verändert sich mit der Regulierung. Allgemeingültige Aussagen sind hier nicht seriös möglich. Sinnvoll ist der umgekehrte Weg: Klären Sie mit Ihrer Rechts- oder Compliance-Funktion, welche Pflichten konkret für Sie gelten, und bilden Sie die daraus folgenden Fristen anschließend als eigenes Eskalationskriterium ab.

Quellen

Bundesamt für Sicherheit in der Informationstechnik (BSI): BSI-Standard 200-4 Business Continuity Management — Definitionen von Störung, Notfall und Krise sowie Meldewege und Erstbewertung.
Bundesamt für Sicherheit in der Informationstechnik (BSI): Hilfsmittel zum BSI-Standard 200-4 — Schaubild Eskalations- und Alarmierungspfade, Stand 31.08.2021.
Bitkom e.V.: Ohne Internet steht nach einem Tag alles still, Presseinformation vom 11.02.2026 — repräsentative Befragung von 604 Unternehmen ab 10 Beschäftigten durch Bitkom Research (Erhebungszeitraum KW 47/2025 bis KW 3/2026).
International Organization for Standardization: ISO 22361:2022 — Security and resilience, Crisis management, Guidelines, veröffentlicht im November 2022 — Leitlinien für den Aufbau einer strategischen Krisenmanagementfähigkeit.