Eine Übung ohne vorab vereinbarte Ziele kommt immer zu dem Ergebnis, dass alles gut lief. Dieses Programm liefert das Szenario, die Injects nach Uhrzeit, fünf Zeitmessungen gegen Ihre eigenen Zielwerte und eine Nachweisakte, die Sie der Aufsicht ohne Begleitgespräch übergeben können.
Aufgebaut entlang des Prozesses von ISO 22361:2022 und ISO 22320:2018 — beides Leitfäden, gegen die nichts zertifiziert werden kann. Wir sind keine Zertifizierungsstelle.
Sichere Zahlung über Stripe. Rechnung mit MwSt. wird automatisch erstellt.
Sofortiger Download nach der Zahlung. Der Link bleibt dauerhaft gültig.
Lesen Sie die Vorschrift genau. Finanzunternehmen müssen erstens die IKT-Geschäftsfortführungspläne sowie die IKT-Reaktions- und Wiederherstellungspläne mindestens einmal jährlich testen, und zweitens die Krisenkommunikationspläne nach Artikel 14. Ein technischer Wiederanlauftest erledigt die zweite Pflicht nicht: Er prüft weder eine Sprachregelung noch einen Freigabeweg noch einen Sprecher.
Achten Sie darauf, wo die Worte stehen: „mindestens einmal jährlich“ bezieht sich nur auf die erste Teilpflicht. Für die Krisenkommunikationspläne legt die Verordnung keine Frequenz fest. Beide jährlich zu testen ist eine gut vertretbare eigene Festlegung — die Arbeitsmappe dokumentiert sie als Ihre Entscheidung, nicht als gesetzliches Minimum. Für Finanzunternehmen, die keine Kleinstunternehmen sind, müssen die Testpläne außerdem Szenarien von Cyberangriffen und des Umschaltens zwischen primärer Infrastruktur und redundanten Kapazitäten vorsehen. Der Mehrjahresplaner prüft all das je Jahr und zeigt eine Lücke an, sobald eine Teilpflicht unbelegt bleibt.
Drei Dinge, und keines davon ist Prosa.
Sechs Word-Dokumente und eine Excel-Arbeitsmappe:
In der Arbeitsmappe: die Szenariobibliothek mit der Teilpflicht, die jedes Szenario belegt; der Übungsdesigner, aus dem sich die Details ableiten; der Inject-Plan mit 60 Injects nach Uhrzeit; die fünf Zeitmessungen mit Soll und Ist; ein Feststellungsregister im selben Schema wie echte Vorfallsfeststellungen; der Mehrjahresplaner über zwölf Quartale mit Abdeckungsprüfung für Art. 11 Abs. 6; und ein Berichtsgenerator, der die Sätze für die Auswertung vorformuliert.
Es sind schon echte Vorfallsreaktionen verzögert worden, weil niemand Übung und Ernstfall auseinanderhalten konnte. Genau das verhindern die Sicherheitsregeln in Dokument 03: Jedes Artefakt trägt ein Übungspräfix, kein Kontakt zu echten Kunden, keine echte Meldung an eine Behörde, keine Änderung an Produktionssystemen ohne freigegebenen Rollback, und ein Abbruchwort, auf das alle Beteiligten gebrieft sind.
Die Übungssteuerung liefert die Injects nach der Uhr und spielt selbst nicht mit; der Beobachter darf nicht helfen. Der Moderationsleitfaden ist so geschrieben, dass eine interne Person diese Rollen übernehmen kann.
Wer prüft, will einen Ordner sehen, der die Frage von selbst beantwortet: den freigegebenen Übungsplan, das Szenario, die Teilnehmer, die Beobachtungsprotokolle, die Zeitmessungen, die Auswertung, die Feststellungen und den Beleg, dass sie geschlossen wurden. Dokument 06 gibt Ihnen diese Struktur und das einseitige Deckblatt, das ausweist, welche Teilpflicht des Art. 11 Abs. 6 die Übung belegt.
Das Feststellungsregister nutzt dasselbe Schema wie die Feststellungen aus echten Vorfällen — beim DORA-Meldewesen zahlt sich das aus. Wer auch den Krisenmanagementplan selbst braucht, den die Übungen testen: Beide Pakete gibt es zusammen im Krisenmanagement-Paket.
Plan und Übungen zusammen: das Krisenmanagement-Paket →
Für die erste Teilpflicht möglicherweise. Für die zweite nicht. Art. 11 Abs. 6 verlangt gesondert den Test der Krisenkommunikationspläne, und ein technischer Failover-Test prüft weder eine Sprachregelung noch einen Freigabeweg noch einen Sprecher. Planen Sie die Kommunikationsübung separat, und die Pflicht ist ohne großen Aufwand belegbar.
Nein. Die Formulierung „mindestens einmal jährlich“ bezieht sich nur auf die Geschäftsfortführungs- sowie Reaktions- und Wiederherstellungspläne. Für die Krisenkommunikationspläne legt die Verordnung keine Frequenz fest. Beide jährlich zu testen ist eine vertretbare eigene Festlegung, kein gesetzliches Minimum — die Arbeitsmappe dokumentiert sie genau so: als Ihre Entscheidung.
Nein, und nichts kann es sein. ISO 22361:2022 und ISO 22320:2018 sind Leitfäden, keine Anforderungsnormen: Es gibt keine Konformitätsklausel und nichts, wogegen eine Zertifizierungsstelle auditieren könnte. Das Programm folgt deren Prozess — mehr behaupten wir nicht. Wir sind keine Zertifizierungsstelle.
Einen Walkthrough oder eine Kommunikationsübung: ja. Eine Stabsübung besser nicht. Der Wert entsteht durch Injects, die jemand nach der Uhr einspielt, der selbst nicht mitspielt, und durch einen Beobachter, der nicht helfen darf. Der Moderationsleitfaden ist so geschrieben, dass eine interne Person die Rolle übernehmen kann.
Nicht, wenn Sie die Sicherheitsregeln in Dokument 03 einhalten: alles mit Übungspräfix, kein Kontakt zu echten Kunden, keine echte Meldung an eine Behörde, keine Produktionsänderung ohne freigegebenen Rollback, und ein Abbruchwort, auf das alle gebrieft sind. Übungen haben schon echte Vorfallsreaktionen verzögert, weil niemand beides auseinanderhalten konnte — genau das verhindern die Regeln.
Einen Ordner, der die Frage ohne Gespräch beantwortet: den freigegebenen Übungsplan, das Szenario, die Teilnehmer, die Beobachtungsprotokolle, die Zeitmessungen, die Auswertung, die Feststellungen und den Beleg, dass sie geschlossen wurden. Dokument 06 liefert diese Struktur samt einseitigem Deckblatt, das ausweist, welche Teilpflicht des Art. 11 Abs. 6 die Übung belegt.
Diese Seite ist eine fachliche Hilfestellung, keine Rechtsberatung. · English version