Ist eine Krisenübung unter NIS2 verpflichtend?
Kurz gesagt: Das Wort „Krisenübung“ taucht in NIS2 nicht als eigene, ausdrückliche Pflicht auf – eine wirksame, getestete Krisen- und Notfallorganisation aber schon. Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) verlangt von rund 29.500 Unternehmen ein funktionierendes Krisenmanagement und den Nachweis, dass die Maßnahmen tatsächlich wirken. Diesen Nachweis erbringen Sie nur durch regelmäßiges Üben. Rechtlich ist eine Krisenübung also keine namentlich genannte Einzelpflicht – praktisch führt an ihr kein Weg vorbei.
Seit dem 6. Dezember 2025 ist das NIS2-Umsetzungsgesetz in Kraft. Es überführt die europäische NIS2-Richtlinie in deutsches Recht und betrifft nach Schätzungen des BSI rund 29.500 Einrichtungen in 18 Sektoren – überall dort, wo mindestens 50 Beschäftigte oder 10 Millionen Euro Jahresumsatz erreicht werden. Übergangsfristen für die Sicherheitsmaßnahmen gibt es nicht. Genau deshalb stellen sich derzeit viele Geschäftsleitungen die Frage im Titel dieses Beitrags. Die ehrliche Antwort verlangt eine saubere Trennung zwischen dem, was das Gesetz wörtlich anordnet, und dem, was aus dieser Anordnung praktisch zwingend folgt.
Die kurze Antwort: keine ausdrückliche „Übungspflicht“, aber eine Wirksamkeitspflicht
NIS2 und das BSIG enthalten keinen Paragrafen, der lautet: „Führen Sie einmal jährlich eine Krisenübung durch.“ Wer das behauptet, überzeichnet die Rechtslage. Was das Gesetz jedoch sehr wohl verlangt, ist ein etabliertes Krisenmanagement, das im Ernstfall funktioniert – und ein Konzept, mit dem Sie die Wirksamkeit Ihrer Maßnahmen bewerten. Ein Krisenplan, der nie erprobt wurde, erfüllt diese Anforderung erkennbar nicht. Aus der Pflicht zur Wirksamkeit wird damit faktisch eine Pflicht zum Üben, ohne dass der Gesetzgeber das Wort „Übung“ ausdrücklich verwenden müsste.
Was § 30 BSIG tatsächlich verlangt
Das Herzstück der NIS2-Pflichten ist § 30 BSIG. Er benennt zehn Risikomanagementmaßnahmen, die besonders wichtige und wichtige Einrichtungen umsetzen müssen. Für die Frage der Krisenübung sind drei davon entscheidend:
- Nr. 2 – Bewältigung von Sicherheitsvorfällen: Es müssen dokumentierte Prozesse für die Erkennung, Reaktion und Meldung von Vorfällen bestehen. Das BSI empfiehlt in seinem Infopaket ausdrücklich regelmäßige Übungen, einschließlich Tabletop-Übungen, um diese Prozesse zu erproben.
- Nr. 3 – Aufrechterhaltung des Betriebs: Dazu zählen Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement. Gefordert sind etablierte Strukturen und Prozesse mit regelmäßigen Tests – von Backup-Tests bis zu Notfallübungen.
- Nr. 6 – Bewertung der Wirksamkeit: Unternehmen brauchen Konzepte und Verfahren, um zu beurteilen, ob ihre Risikomanagementmaßnahmen überhaupt greifen. Ohne Erprobung bleibt diese Bewertung theoretisch.
Liest man diese drei Punkte zusammen, ergibt sich ein klares Bild: Der Gesetzgeber verlangt nicht ein Dokument, sondern eine nachweislich handlungsfähige Organisation. Und Handlungsfähigkeit entsteht nicht am Schreibtisch.
Warum „Wirksamkeit nachweisen“ praktisch „üben“ heißt
Ein Krisenplan beschreibt, wer im Ernstfall was entscheidet, wie kommuniziert wird und wie der Betrieb weiterläuft. Ob dieser Plan unter Druck trägt, zeigt sich erst, wenn Menschen ihn anwenden müssen – idealerweise in einer kontrollierten Übung und nicht zum ersten Mal im echten Vorfall. Eine gut vorbereitete Krisensimulation macht sichtbar, wo Zuständigkeiten unklar sind, wo Meldeketten reißen und wo Entscheidungen zu lange dauern. Genau das ist der Wirksamkeitsnachweis, den § 30 Nr. 6 BSIG im Kern einfordert.
Methodisch bietet die Norm ISO 22301 für das Business Continuity Management hier ein anerkanntes Rahmenwerk. Ihre Anforderung, Notfall- und Kontinuitätsmaßnahmen regelmäßig zu erproben (Clause 8.5, „exercising and testing“), deckt sich fast eins zu eins mit dem, was NIS2 praktisch erwartet. ISO 22301 ist dabei ausdrücklich kein Gesetz, sondern ein freiwilliger Standard – aber einer, der als Stand der Technik anerkannt ist und die Erfüllung der gesetzlichen Sorgfaltspflicht plausibel belegt.
Woher die konkreten Übungsintervalle kommen
Wer nach einer gesetzlich vorgeschriebenen Übungsfrequenz sucht, wird enttäuscht: Weder NIS2 noch das BSIG nennen eine Zahl. Die gängigen Intervalle stammen aus Standards und guter Praxis – und sind damit Empfehlung, nicht Gesetz.
BSI-Standard 200-4
Der BSI-Standard 200-4 zum Business Continuity Management (2023, Nachfolger von 100-4) empfiehlt als gängige Praxis mindestens jährliche Funktionsübungen, alle zwei bis drei Jahre eine Vollübung und häufigere, ressourcenschonende Tabletop-Übungen. Der Standard führt außerdem drei Reifegradstufen ein – vom Reaktiv-BCMS bis zum Standard-BCMS – und ist stärker mit ISO 22301 verzahnt als sein Vorgänger.
ISO 22301
ISO 22301 verlangt, Kontinuitätsstrategien und -pläne in geplanten Abständen und nach wesentlichen Änderungen zu üben und zu testen. Auch hier gilt: Die Norm gibt einen Rahmen und ein Prüfregime vor, keine gesetzliche Frist. Wer die Frequenzen aus BSI 200-4 oder ISO 22301 übernimmt, handelt konform mit dem Stand der Technik – aber nicht, weil ein Gesetz genau diese Zahl vorschreibt.
Pflicht und Empfehlung sauber getrennt
Für die betriebliche Praxis lohnt es sich, drei Ebenen auseinanderzuhalten:
- Gesetzliche Pflicht (NIS2 / § 30 BSIG): ein wirksames, getestetes Krisen- und Notfallmanagement sowie die Bewertung der Wirksamkeit. Verpflichtend, ohne Übergangsfrist.
- Praktische Konsequenz: Wirksamkeit lässt sich seriös nur durch Erprobung nachweisen – also durch Übungen. Zwingend in der Sache, auch wenn das Wort „Übung“ im Gesetz nicht steht.
- Empfehlung (BSI 200-4 / ISO 22301): konkrete Formate und Intervalle – jährliche Funktionsübung, mehrjährige Vollübung, regelmäßige Tabletops. Fachlich anerkannt, aber nicht als starre Gesetzesfrist.
Diese Trennung schützt vor zwei Fehlern: dem Irrglauben, ein Plan im Ordner genüge, und der Übertreibung, NIS2 schreibe eine bestimmte Übung im Wortlaut vor. Beides ist falsch – die Wahrheit liegt in der Mitte und ist für die Praxis eindeutig genug.
Was das für die Geschäftsleitung bedeutet
NIS2 nimmt die Leitungsebene ausdrücklich in die Pflicht. Nach § 38 BSIG müssen Geschäftsleitungen die Risikomanagementmaßnahmen billigen und ihre Umsetzung überwachen; diese Aufgabe ist nicht delegierbar, und es besteht eine persönliche Verantwortung. Für die Frage der Krisenübung heißt das: Es reicht nicht, das Thema an die IT zu delegieren. Die Leitung sollte selbst in Übungen eingebunden sein – denn im echten Krisenfall trifft sie die weitreichenden Entscheidungen. Ein Audit des Krisenmanagements hilft, den eigenen Reifegrad ehrlich einzuschätzen und Nachweise strukturiert vorzuhalten.
Lehren für Ihre Organisation
Wer die Frage „Ist eine Krisenübung unter NIS2 verpflichtend?“ für den eigenen Betrieb beantworten will, kommt mit fünf Schritten weit:
- Betroffenheit klären. Prüfen Sie, ob Ihr Unternehmen als wichtige oder besonders wichtige Einrichtung unter NIS2 fällt – Schwellenwerte und Sektor entscheiden.
- Krisenmanagement dokumentieren. Rollen, Meldeketten, Eskalation und Kommunikation gehören in einen belastbaren Plan – als Grundlage, nicht als Endpunkt.
- Wirksamkeit erproben. Starten Sie mit einer Krisensimulation im eigenen Haus oder einer Tabletop-Übung und arbeiten Sie sich zur Funktions- und Vollübung vor.
- Kontinuität absichern. Verankern Sie Business Continuity nach BCM-Prinzipien und – wo sinnvoll – nach ISO 22301, damit der Betrieb auch im Ernstfall weiterläuft.
- Nachweise führen. Halten Sie Übungsprotokolle, Erkenntnisse und Verbesserungen fest – das ist der Wirksamkeitsnachweis, den NIS2 im Kern verlangt.
Die Frage nach der Verpflichtung ist damit weniger juristisch als praktisch zu beantworten: Eine Organisation, die ihr Krisenmanagement nie übt, kann dessen Wirksamkeit nicht belegen – und verfehlt damit den Kern dessen, was NIS2 einfordert. Wer regelmäßig übt, erfüllt nicht nur die Sorgfaltspflicht, sondern gewinnt das, worauf es im Ernstfall ankommt: eine Führung und ein Team, die unter Druck handlungsfähig bleiben. Ergänzend lohnt der Blick auf unseren Beitrag „Krisenübung: vom Krisenplan zur Handlungsfähigkeit“.
Häufige Fragen zur Krisenübung unter NIS2
Ist eine Krisenübung unter NIS2 gesetzlich ausdrücklich vorgeschrieben?
Nein, nicht als eigener, namentlich genannter Paragraf. NIS2 und § 30 BSIG verlangen aber ein wirksames, getestetes Krisen- und Notfallmanagement sowie die Bewertung der Wirksamkeit. Diesen Nachweis erbringt man in der Praxis nur durch Übungen.
Wie oft sollte eine Krisenübung stattfinden?
Das Gesetz nennt keine Frequenz. Als gängige Praxis empfiehlt der BSI-Standard 200-4 mindestens jährliche Funktionsübungen, alle zwei bis drei Jahre eine Vollübung und regelmäßige Tabletop-Übungen. Diese Intervalle sind Empfehlung, nicht Gesetzesfrist.
Reicht eine Tabletop-Übung aus?
Eine Tabletop-Übung ist ein guter, ressourcenschonender Einstieg und deckt viele Schwachstellen in Meldeketten und Entscheidungswegen auf. Für einen belastbaren Wirksamkeitsnachweis sollten Tabletops jedoch durch Funktions- und gelegentliche Vollübungen ergänzt werden.
Muss die Geschäftsleitung an Übungen teilnehmen?
NIS2 verpflichtet die Leitung nach § 38 BSIG, Maßnahmen zu billigen und zu überwachen – nicht delegierbar und persönlich verantwortet. Da die Leitung im Ernstfall die zentralen Entscheidungen trifft, ist ihre Einbindung in Übungen dringend zu empfehlen.
Ist ISO 22301 unter NIS2 verpflichtend?
Nein. ISO 22301 ist ein freiwilliger Standard, kein Gesetz. Sie gilt jedoch als anerkannter Stand der Technik und hilft, die gesetzliche Sorgfaltspflicht aus NIS2 nachvollziehbar zu erfüllen.
