Angenommen, an einem Mittwochabend meldet die IT, dass ein zentrales Fachverfahren seit einer Stunde nicht erreichbar ist. Jemand öffnet den Krisenplan im Intranet und blättert zur Rollenübersicht. Dort steht alles: Krisenstabsleitung, Stellvertretung, Kommunikation, IT, Recht. Die Telefonnummern sind aktuell, das Dokument wurde vor vier Monaten freigegeben. Und trotzdem stellt nach zwei Minuten jemand die Frage, an der es dann hängt: Wer entscheidet jetzt, ob wir auf Notbetrieb umstellen – und ab wann?
Diese Lücke ist selten ein Zeichen von Nachlässigkeit. Wer im Krisenplan Verantwortung sucht, findet in den meisten Häusern Rollenbeschreibungen – also Zuständigkeiten, aber keine Entscheidungen. Die folgenden sieben Signale erkennen Sie am Dokument selbst, mit dem ausgedruckten Plan auf dem Tisch und etwa einer Stunde Zeit.
Krisenplan: Verantwortung ist nicht dasselbe wie Zuständigkeit
Eine Zuständigkeit beschreibt, wer für ein Thema angesprochen wird. Verantwortung im Sinne des Krisenmanagements beschreibt, wer eine bestimmte Entscheidung treffen darf, unter welcher Bedingung und mit welcher Grenze. Im Tagesgeschäft fällt der Unterschied kaum auf, weil dort Zeit für Rückfragen bleibt. Im Ernstfall fällt er sofort auf.
Ein Plan, der keine Entscheidung benennt, verschiebt sie in die Krise. Die Entscheidung verschwindet ja nicht. Sie wird lediglich unter Zeitdruck getroffen, mit unvollständigem Lagebild und ohne vorher geklärtes Mandat – oder sie wird nicht getroffen, sondern nach oben gereicht, während die Lage weiterläuft.
Dass Leitungsorgane Verantwortung für das Risikomanagement tragen, ist unter NIS2 ausdrücklich angelegt. Die praktische Frage lautet deshalb nicht, ob es Verantwortung gibt, sondern ob sie im Plan bis auf die Ebene einzelner Entscheidungen beschrieben ist.
Die sieben Signale im Dokument
Gehen Sie die folgenden Punkte in dieser Reihenfolge durch. Jedes Signal lässt sich am Text belegen, keines erfordert eine Einschätzung der beteiligten Personen.
- Rollen sind benannt, Entscheidungen nicht. Der Plan listet Funktionen und Aufgaben, beschreibt aber keine Situation, in der jemand zwischen Optionen wählen muss. So prüfen Sie es: Suchen Sie im Volltext nach „entscheidet“, „gibt frei“, „ordnet an“. Finden Sie nur eine Handvoll Treffer, beschreibt Ihr Plan Abläufe, keine Entscheidungen.
- Auslöser fehlen – es steht „bei Bedarf“. Wendungen wie „bei Bedarf“, „im Bedarfsfall“ oder „sofern erforderlich“ verlagern die Bewertung vollständig in den Moment. So prüfen Sie es: Markieren Sie jede dieser Stellen. Zu jeder gehört ein beobachtbarer Auslöser – eine Zeitdauer, eine Zahl betroffener Standorte, ein Zustand eines Systems.
- Stellvertretung ohne Namen. „Die Stellvertretung übernimmt“ ist keine Regelung, solange offen bleibt, wer das ist und ab wann. So prüfen Sie es: Für jede entscheidungsbefugte Rolle sollten mindestens zwei Personen namentlich benannt sein, dazu eine Zeitgrenze, nach der die Stellvertretung ohne weitere Rückfrage übernimmt.
- Mandate ohne Grenzen (was darf die Rolle ohne Rückfrage?). Ein Mandat ohne Grenze ist in der Praxis kein Mandat, weil im Zweifel doch gefragt wird. So prüfen Sie es: Suchen Sie zu jeder Rolle einen Satz, der eine Grenze zieht – etwa Sachverhalte mit Außenwirkung oder mit Personenbezug, die immer der Geschäftsleitung vorgelegt werden.
- Keine Frist – Entscheidungen ohne „bis wann“. Ohne Frist bleibt jede Entscheidung verhandelbar, und Warten fühlt sich wie Sorgfalt an. So prüfen Sie es: Zu jeder benannten Entscheidung gehören eine Zeitangabe und eine Regel, was gilt, wenn die Frist verstreicht.
- Kein Ort für die Dokumentation. Wenn nicht festgelegt ist, wo Entscheidungen festgehalten werden, entstehen drei parallele Mitschriften und später keine belastbare Fassung. So prüfen Sie es: Steht im Plan, in welchem Dokument oder System protokolliert wird, wer das tut und was gilt, wenn genau dieses System nicht verfügbar ist?
- Nach der letzten Übung hat sich im Plan nichts geändert. Eine Übung, die keine einzige Textänderung ausgelöst hat, hat entweder nichts geprüft oder nichts nachgezogen. So prüfen Sie es: Vergleichen Sie das Datum der letzten Übung mit der Versionshistorie des Plans.
So läuft die Prüfung in einer Stunde
Nehmen Sie sich den aktuellen Plan, ein leeres Blatt und einen Zeitplan. Eine grobe Aufteilung, die sich bewährt hat:
- Minute 0 bis 10: Versionsstand, Freigabedatum und Datum der letzten Übung notieren.
- Minute 10 bis 30: Volltextsuche nach den oben genannten Begriffen, Treffer zählen, „bei Bedarf“ markieren.
- Minute 30 bis 45: Rollen durchgehen – Stellvertretung mit Namen, Mandatsgrenze, Frist.
- Minute 45 bis 55: Dokumentationsweg prüfen, einschließlich Ausweichlösung.
- Minute 55 bis 60: Notiz mit höchstens fünf Punkten schreiben, die Sie ändern wollen.
Machen Sie die Prüfung zu zweit: eine Person, die den Plan geschrieben hat, und eine, die ihn zum ersten Mal liest. Die zweite Person findet die Stellen, an denen Wissen vorausgesetzt wird, das nur im Kopf der ersten steht. Wie ein Plan aufgebaut sein kann, in dem diese Punkte von Anfang an stehen, beschreibt der Beitrag Krisenplan erstellen: Schritt für Schritt.
Aus Signalen Maßnahmen machen
Widerstehen Sie der Versuchung, den Plan sofort neu zu schreiben. Notieren Sie stattdessen zu jedem gefundenen Signal einen Satz, eine verantwortliche Person und ein Datum. Ein Beispiel: Signal drei ergibt „Für Krisenstabsleitung und Kommunikation je zwei Namen eintragen, Zeitgrenze 30 Minuten, bis Ende des Monats, verantwortlich: BCM“.
Priorisieren Sie danach, wie viele Personen von einer Entscheidung abhängen. Eine fehlende Mandatsgrenze bei der Kommunikation wirkt sich schneller aus als eine unklare Zuständigkeit in einer Nebenfunktion. Ob die Änderungen tragen, zeigt sich anschließend nur im Test; warum die Übung den Plan erst gültig macht, erläutert der Beitrag Krisenplan testen: die Übung, die den Plan erst gültig macht.
Nächster Schritt: den Plan von außen gegenlesen lassen
Wenn Sie die sieben Signale durchgegangen sind und an mehreren Stellen unsicher bleiben, hilft ein Blick von außen. In der Beratung und Audits im Krisenmanagement prüfen wir Plan, Rollen und Entscheidungsdokumentation unabhängig, benennen die entscheidbaren Situationen und liefern eine Maßnahmenliste mit Verantwortlichen und Terminen. Sprechen Sie uns an, wenn Sie Ihre Notiz aus der Stunde gemeinsam durchgehen möchten.
Häufige Fragen
Wie oft sollten wir diese Prüfung durchführen?
Sinnvoll ist ein fester Termin einmal im Jahr sowie nach jeder Übung und jedem echten Vorfall. Die sieben Signale eignen sich auch als kurze Vorprüfung, bevor eine neue Planversion zur Freigabe geht.
Reicht es nicht, wenn im Zweifel die Geschäftsleitung entscheidet?
Das funktioniert, solange die Geschäftsleitung erreichbar ist und die Entscheidung Zeit hat. Beides ist im Ernstfall nicht garantiert. Deshalb gehören Mandatsgrenzen in den Plan: Sie beschreiben genau, was ohne Rückfrage geschehen darf und was in jedem Fall vorgelegt wird.
Unser Plan ist bewusst kurz gehalten. Widerspricht das den Signalen?
Nein. Ein kurzer Plan kann Entscheidungen sogar klarer benennen als ein langer, weil er weniger Beschreibungstext enthält. Entscheidend ist nicht der Umfang, sondern ob Auslöser, Mandat, Frist und Dokumentationsweg vorkommen.
Brauchen wir dafür eine besondere Software?
Für die Prüfung genügt die Suchfunktion Ihres Textprogramms. Für die Dokumentation im Ernstfall zählt weniger, wie anspruchsvoll der Weg technisch ist, als dass er allen bekannt ist und auch ohne das primäre System funktioniert.
