Die meisten Krisenpläne beschreiben eine Struktur. Dieses Paket regelt, was im Ernstfall Zeit kostet: wer was ohne Rückfrage entscheiden darf, ab welcher Schwelle eskaliert wird, wie Sie wieder zurückstufen und was ins Protokoll gehört, damit die Entscheidung sechs Monate später noch belastbar ist. Sie erhalten 15 editierbare Word-Dokumente und eine Aktivierungs- und Meldematrix in Excel.
Strukturiert auf Grundlage von ISO 22361:2022 und ISO 22320:2018. Beide sind Leitfäden: Eine Zertifizierung ist gegen keine der beiden Normen möglich, und wir sind keine Zertifizierungsstelle.
Sichere Zahlung über Stripe. Rechnung mit MwSt. wird automatisch erstellt.
Sofortiger Download nach der Zahlung. Der Link bleibt dauerhaft gültig.
Krisenmanagement und Vorfallmeldung sind zwei verschiedene Produkte für zwei verschiedene Probleme. Dieses Paket beantwortet drei Fragen: Ist das ein Vorfall oder eine Krise, und wen berufen wir ein? Wer darf was entscheiden, ohne jemanden zu wecken? Wer muss wann informiert werden, von den Kunden über die Beschäftigten bis zur Öffentlichkeit?
Was es bewusst nicht tut: Es stuft einen Vorfall nicht nach Art. 18 als schwerwiegend ein, und es schreibt nicht die Meldung an die Aufsichtsbehörde. Die Aktivierungsmatrix sagt Ihnen, wann Sie die Prüfung nach Art. 18 anstoßen müssen, und weigert sich, sie selbst durchzuführen: Eine manuelle Eingabe startet die regulatorische Uhr, keine Formel. Für die Einstufung gibt es den kostenlosen Incident Analyzer, für Erst-, Zwischen- und Abschlussmeldung den Incident Report Generator. Die Meldepflichten selbst erklärt unser Leitfaden zur Vorfallmeldung.
Entscheidungsbefugnisse, in ruhigen Zeiten vereinbart. Verzögerung in der Krise ist selten Unwissen, sondern Unsicherheit darüber, wer entscheiden darf. Das Rahmendokument enthält eine Tabelle vorab genehmigter Entscheidungen mit Betrags- und Dauergrenzen, damit die Reaktion nicht hinter einem Genehmiger wartet, der schläft.
Prüfbare Kriterien, auch für den Weg nach unten. Vier Stufen mit prüfbaren Aussagen statt Adjektiven, dazu schriftliche Deeskalations- und Stand-down-Kriterien. Ohne sie bleiben Vorfälle wochenlang nominell offen, und niemand zieht Lehren daraus.
Ein Protokoll, das die Nachschau übersteht. Geprüfte Optionen. Bekannte Informationslücken. Was nicht gewählt wurde, und warum. Diese drei Spalten machen aus einem Tagebuch den Nachweis vertretbaren Ermessens, und genau diese drei fehlen fast immer.
Art. 11 Abs. 7 verlangt von Finanzunternehmen, die keine Kleinstunternehmen sind, eine Krisenmanagementfunktion. Werden die IKT-Geschäftsfortführungspläne oder die Reaktions- und Wiederherstellungspläne aktiviert, legt diese Funktion klare Verfahren für die interne und externe Krisenkommunikation nach Art. 14 fest. Mehr sagt die Vorschrift nicht: Wie die Funktion besetzt oder abgegrenzt wird, überlässt die Verordnung dem Unternehmen. Das Rahmendokument weist die Rollentrennung deshalb als Ihre eigene Kontrollentscheidung aus, nicht als Anforderung. Genau nach dieser Unterscheidung kann die Aufsicht im Prüfungsfall fragen.
Art. 14 ist eine Plan- und Richtlinienpflicht: Krisenkommunikationspläne müssen vorliegen, eine Frist je Vorfall setzt der Artikel nicht. Art. 11 Abs. 8 verpflichtet zusätzlich, Aufzeichnungen über die Tätigkeiten vor und während einer Störung zu führen. Das Entscheidungsprotokoll und der Lagebericht in diesem Paket sind genau dafür gebaut, mit einem durchgerechneten Beispiel.
Der teuerste Satz einer Krise ist der improvisierte. Die Botschaftsbibliothek enthält 56 vorformulierte Botschaften: 14 Szenarien, jeweils für vier Zielgruppen ausformuliert, von den Kunden über die Beschäftigten bis zur Öffentlichkeit. Dazu kommen Holding Statements für die erste Stunde, ein Sprecherbriefing und ein Katalog feindseliger Fragen mit Antwortlinien.
Die Stakeholder- und Kommunikationsmatrix legt daneben fest, wer wann informiert wird und durch wen. In Deutschland heißt der wichtigste Adressat BaFin, in Österreich FMA. Die Matrix hält Kanal und Zuständigen fest, bevor jemand beides unter Zeitdruck suchen muss.
Vor diesem Paket steht die Business-Impact-Analyse: Sie sagt, welche Dienste zählen und wie schnell sie zurück sein müssen. Dieses Paket regelt, was geschieht, wenn einer davon ausfällt. Danach kommt der Beweis: Art. 11 Abs. 6 verlangt, die IKT-Geschäftsfortführungspläne sowie die Reaktions- und Wiederherstellungspläne mindestens jährlich zu testen. Das Crisis Exercise Programme liefert dafür die Übungsformate und die After-Action-Review.
Wer den Reifegrad seiner Vorkehrungen zuerst messen will, findet in den Assessment-Toolkits eine Bewertung mit 30 Fragen. Das Assessment misst; dieses Paket baut.
Den Plan beweisen: zum Übungsprogramm →
Nein, und nichts kann es sein. Beide Normen sind Leitfäden, keine Anforderungsnormen: Sie enthalten keine Konformitätsklausel, gegen die eine Zertifizierungsstelle prüfen könnte. Was ein Praktiker tun kann, ist dem Prozess zu folgen, den die Normen beschreiben. Genau das tut dieses Paket. Wir schreiben „strukturiert auf Grundlage von“ und meinen es wörtlich. Wir sind keine Zertifizierungsstelle.
Ja, für Finanzunternehmen, die keine Kleinstunternehmen sind. Art. 11 Abs. 7 verlangt eine Funktion, die bei Aktivierung der IKT-Geschäftsfortführungs- oder der Reaktions- und Wiederherstellungspläne klare Verfahren für die interne und externe Krisenkommunikation nach Art. 14 festlegt. Wie die Funktion besetzt oder abgegrenzt wird, sagt der Artikel nicht. Die Trennungspflicht in DORA ist Art. 6 Abs. 4, und sie betrifft IKT-Risikomanagement, Kontrolle und interne Revision, nicht das Krisenmanagement. Das Rahmendokument weist die Rollentrennung deshalb als eigene Kontrollentscheidung aus, nicht als Anforderung.
Nein, mit Absicht. Dieses Paket entscheidet, ob Sie in einer Krise sind, wer führt und wer informiert werden muss. Die Einstufung als schwerwiegender Vorfall nach Art. 18 und der Inhalt von Erst-, Zwischen- und Abschlussmeldung folgen den technischen Meldestandards und sind ein anderes Produkt. Die Aktivierungsmatrix sagt Ihnen, wann Sie die Prüfung nach Art. 18 anstoßen müssen, und führt sie bewusst nicht selbst durch.
Weil das wertvollste Artefakt der ganzen Reihe die Eskalationsleiter ist: die Schwelle, an der der operative Einsatzleiter an den strategischen Krisenstab übergibt, was der Stab entscheiden darf und der Einsatzleiter nicht, und wie beim Stand-down zurückübergeben wird. Dieses Artefakt existiert nur, wenn beide Ebenen im selben Dokumentensatz stehen. Getrennt haben Sie zwei Hälften einer gebrochenen Kette, und der Bruch liegt genau dort, wo Organisationen im Ernstfall scheitern.
Nein. Diese Frage berührt Sanktionsprüfung, Strafverfolgung und Rechtsberatung und liegt ausdrücklich außerhalb des Anwendungsbereichs. Was das Paket leistet: Es verhindert, dass Ihr Sprecher die Frage schlecht beantwortet.
Weder noch. Keine Makros, und die Formeln verzichten auf dynamische Arrays. Die Aktivierungsmatrix verhält sich in LibreOffice Calc und in älteren Excel-Versionen identisch.
Diese Seite ist eine fachliche Hilfestellung, keine Rechtsberatung. · English version