Angenommen, die Übung liegt drei Monate zurück. Der Tag war gut, die Rückmeldungen waren positiv, im Intranet steht ein kurzer Bericht über die gelungene Zusammenarbeit. Dann fragt die Revision, was sich seitdem verändert hat. Im Ordner liegen eine Teilnehmerliste, eine Präsentation und eine Handvoll Fotos. Was der Krisenstab konkret anders machen sollte, wer das umsetzt und bis wann – dazu findet sich nichts.
Die Nachweise zu einem Krisentraining entstehen nicht nach der Übung, sondern im Auftrag. Wer sie erst in der Nachverhandlung einfordert, erhält bestenfalls eine freundlich formulierte Zusammenfassung. Dieser Beitrag beschreibt vier Nachweise, die in jeden Auftrag gehören, sowie Fristen, Vertraulichkeit und den Weg zurück ins eigene Regelwerk.
Nachweise Krisentraining: vier Dokumente für den Auftrag
Nehmen Sie die folgenden vier Punkte als Leistungsbestandteile in die Beauftragung auf – mit Format, Empfängerkreis und Liefertermin.
- Beobachtungsbericht je Rolle: Was hat die jeweilige Rolle beobachtbar getan, wo entstanden Reibungen, wo fehlten Informationen oder Befugnisse?
- Maßnahmenliste mit Verantwortlichen und Terminen: Jede Feststellung mündet in eine Maßnahme, jede Maßnahme hat eine Person und ein Datum.
- Gemessene Alarmierungs- und Reaktionszeiten aus der Übung: Zeit bis zur Erreichbarkeit der Kernrollen, bis zum arbeitsfähigen Stab, bis zur ersten dokumentierten Entscheidung.
- Teilnahmenachweis für Audit und Aufsicht: Datum, Format, Dauer, geübte Rollen und Funktionen – ohne Bewertung einzelner Personen.
Diese vier Dokumente unterscheiden sich in ihrem Zweck. Der Beobachtungsbericht dient dem Lernen, die Maßnahmenliste der Steuerung, die Zeitmessung dem Vergleich über mehrere Übungen hinweg und der Teilnahmenachweis dem Nachweis gegenüber Dritten. Deshalb lassen sie sich nicht sinnvoll zu einem einzigen Papier zusammenfassen.
Ohne Nachprüfung ist eine Maßnahme nur eine Absicht
Der wichtigste Nachweis ist der, den es zum Zeitpunkt der Übung noch nicht gibt. Ohne Nachprüfung ist eine Maßnahme nur eine Absicht. Eine Maßnahmenliste, die niemand nachhält, altert innerhalb weniger Monate zu einem Dokument, das man höflich zur Kenntnis nimmt.
Vereinbaren Sie deshalb einen festen Termin für die Nachprüfung, idealerweise drei bis sechs Monate nach der Übung. Geprüft wird nicht, ob man sich bemüht hat, sondern ob die Maßnahme wirkt: Steht die Stellvertretung im Handbuch und ist sie informiert? Ist die Erreichbarkeit getestet? Liegt die Freigaberegelung für die externe Kommunikation schriftlich vor? Die Nachprüfung kann ein kurzer Termin sein – entscheidend ist, dass sie stattfindet und dokumentiert wird.
Fristen: wann welcher Nachweis vorliegen muss
Ohne Fristen verschiebt sich die Nachbereitung unweigerlich hinter das Tagesgeschäft. Bewährt hat sich eine gestufte Regelung im Auftrag:
- Kurzrückmeldung unmittelbar nach der Übung: die wichtigsten Befunde in wenigen Stichpunkten, solange der Eindruck frisch ist.
- Vollständiger Bericht innerhalb einer vereinbarten Frist: zwei bis drei Wochen sind praktikabel, länger schwächt die Wirkung.
- Kommentierung durch Ihre Seite: ein festes Zeitfenster für Korrekturen, danach gilt der Bericht als final.
- Nachprüfung zum vereinbarten Termin: mit kurzem Protokoll zum Stand jeder Maßnahme.
Halten Sie zusätzlich fest, wer den Bericht erhält und in welcher Form er abgelegt wird. Ein Dokument, das nur im Postfach einer Person liegt, ist im Audit nicht auffindbar.
Vertraulichkeit der Beobachtungen
Beobachtungen sind heikel, weil sie Verhalten beschreiben. Damit in der Übung offen agiert wird, braucht es eine klare Zusage: Beobachtungen werden rollenbezogen berichtet, nicht personenbezogen, und sie fließen nicht in Leistungsbeurteilungen ein. Formulieren Sie das schriftlich und kommunizieren Sie es vor der Übung.
Praktisch bedeutet das: Im Bericht steht „die Lagedarstellung wurde erst nach der zweiten Besprechung schriftlich geführt“, nicht „Herr X hat nicht protokolliert“. Klären Sie außerdem, wie mit Aufzeichnungen umgegangen wird, ob der Anbieter Notizen vernichtet und ob die Arbeitnehmervertretung einzubinden ist. Diese Punkte gehören in den Auftrag, nicht in ein Gespräch am Übungstag.
Verwendung im Audit und Rückfluss ins BCM-Regelwerk
Nachweise über geübte Krisenbewältigung werden regelmäßig in internen und externen Prüfungen nachgefragt – etwa im Rahmen eines Managementsystems für Business Continuity oder im Kontext regulatorischer Anforderungen. Unter NIS2 tragen Leitungsorgane Verantwortung für das Risikomanagement; dokumentierte Übungen und nachgehaltene Maßnahmen sind ein üblicher Bestandteil dieser Nachweisführung. Ob und in welchem Umfang Ihre Organisation betroffen ist, klären Sie mit Ihrer Rechtsabteilung; eine Einordnung der Diskussion bietet der Beitrag Ist eine Krisenübung unter NIS2 verpflichtend?.
Wichtiger als die Ablage ist der Rückfluss. Sorgen Sie dafür, dass jede Maßnahme dort landet, wo sie wirkt:
- Änderungen an Rollen, Mandaten und Stellvertretungen werden in Krisenhandbuch und Eskalationsmatrix eingepflegt.
- Erkenntnisse zu Ausfallzeiten und Abhängigkeiten fließen in die Business-Impact-Analyse und die Wiederanlaufpläne zurück.
- Offene Punkte, die Budget oder Mandat erfordern, gehen in die Managementbewertung.
- Die nächste Übung greift die Maßnahmen auf, deren Wirksamkeit nur unter Druck sichtbar wird.
Damit schließt sich der Kreis: Aus Beobachtungen werden Maßnahmen, aus Maßnahmen Regeländerungen, aus Regeländerungen der Gegenstand der nächsten Übung. Was eine unabhängige Prüfung in diesem Kreislauf typischerweise findet, beschreibt der Beitrag Krisenbereitschaft Audit: Was eine unabhängige Prüfung findet.
Nächster Schritt: Nachweise in den Auftrag schreiben
Nehmen Sie die vier Nachweise, ergänzen Sie Fristen und die Nachprüfung und machen Sie daraus einen Abschnitt Ihrer Leistungsbeschreibung. In einem Inhouse-Krisentraining sind Beobachtung je Rolle, gemessene Zeiten, Bericht mit Maßnahmenliste und Teilnahmenachweis fester Bestandteil; die Übung arbeitet dabei mit Ihren eigenen Rollen, Prozessen und Szenarien. Sprechen Sie uns an, wenn Sie Ihre Nachweisanforderungen vor der Ausschreibung schärfen möchten.
Häufige Fragen
Wie ausführlich sollte ein Beobachtungsbericht sein?
So ausführlich, dass jede Feststellung nachvollziehbar ist, und so knapp, dass er gelesen wird. In der Praxis tragen wenige Seiten je Rolle, ergänzt um eine Gesamtbewertung und die Maßnahmenliste.
Wer sollte die Maßnahmen nachhalten?
Eine benannte Person aus dem Business Continuity Management oder der Krisenstabsleitung, mit Berichtspflicht an die Geschäftsleitung. Ohne diese Zuordnung verteilt sich die Verantwortung so weit, dass sie niemand mehr trägt.
Reicht ein Teilnahmenachweis für ein Audit aus?
Er belegt, dass geübt wurde, nicht, dass etwas verbessert wurde. Aussagekräftig wird die Dokumentation erst mit Maßnahmenliste und Nachprüfung – also dem Nachweis, dass aus Feststellungen Veränderungen geworden sind.
Was tun, wenn der Anbieter nur eine Präsentation liefert?
Fordern Sie den vereinbarten Bericht nach. Wenn er nicht vereinbart war, notieren Sie es für die nächste Ausschreibung – und ziehen Sie die Maßnahmenliste selbst aus Ihren Protokollen und den Notizen der Beobachtung.
