Krisenorganisation im Ernstfall: Wenn niemand weiß, was jetzt zu tun ist
Bei einer Krisenübung letzte Woche sagte der verantwortliche Teamleiter als Erstes: "Moment, wo steht nochmal, was ich jetzt tun soll?" Er meinte es ernst. Und er war nicht allein damit.
Diese Situation ist kein Einzelfall. Sie ist ein Muster. Krisenorganisation ist kein PDF, das man einmal schreibt und dann wegschließt. Entweder sie funktioniert im Ernstfall – oder sie existiert, in allem was wirklich zählt, nicht.
Was in Krisen wirklich schiefläuft
Was ich in Krisen und Übungen immer wieder sehe, ist nicht das Fehlen von Dokumenten. Es ist das Fehlen von klaren Mandaten. In dem Moment, in dem es ernst wird, passiert fast immer dasselbe: Entscheidungen werden plötzlich diskutiert statt getroffen. Zuständigkeiten werden neu verhandelt. Führungskräfte wollen involviert sein – aus Verantwortungsgefühl oder aus Profilierungsdruck. Und genau das kostet Zeit, Fokus und Wirkung.
Der Unterschied zwischen einer Krisenübung, die Vertrauen schafft, und einer Übung, die Schwachstellen offenbart, liegt nicht im Detailreichtum der Dokumentation. Er liegt darin, ob die Beteiligten wissen, was sie tun müssen – und ob sie das Mandat haben, es auch zu tun.
Krisenorganisation: Mehr als Rollen benennen
Eine funktionierende Krisenorganisation bedeutet mehr als Rollen zu benennen und Abläufe zu definieren. Das sind notwendige Schritte, aber nicht hinreichend. Was darüber hinaus geht, ist das Klären und Durchhalten von Mandaten – auch unter Stress, auch wenn jemand anderes eine andere Meinung hat.
Konkret heißt das: Wer entscheidet final, auch wenn andere eine andere Meinung haben? Wer ist explizit nicht involviert, um Entscheidungsgeschwindigkeit zu sichern? Welche Entscheidungen sind vorab delegiert, damit nachts um 3 Uhr niemand eskalieren muss? Und: Das muss vorher akzeptiert sein – nicht erst im Incident.
Die Rollenkarte als praktisches Instrument
Ein bewährtes Werkzeug für die Krisenorganisation ist die Rollenkarte. Sie enthält für jede Krisenrolle die relevanten Informationen auf einen Blick: Entscheidungsbefugnis, Stellvertretung, Kommunikationswege, erste Handlungsschritte.
Eine solche Karte für die typischen Rollen könnte so aussehen: Incident Commander (gesamtverantwortlich, Abbruchentscheidung, Kommunikation nach außen), IT Ops (technische Isolation und Wiederherstellung), Kommunikation (interne und externe Kommunikation, Kundenkontakt), Legal und Datenschutz (Meldepflichten, rechtliche Absicherung) und Fachbereich (fachliche Einschätzung, Business Continuity).
Für jede Rolle werden Entscheidungsbefugnis und Stellvertretung klar festgelegt. Das ist der Unterschied zwischen einer Rollenliste und einer echten Krisenorganisation.
Üben, nicht nur dokumentieren
Die beste Krisenorganisation auf dem Papier hat nur begrenzte Wirkung, wenn sie nie geübt wird. Krisenübungen sind kein Luxus – sie sind eine Investition in die Handlungsfähigkeit des Unternehmens im Ernstfall. Und sie zeigen Lücken, die in der Dokumentation nicht sichtbar sind.
Eine Übung muss nicht groß sein. Auch ein zweistündiger Tabletop-Durchlauf mit den relevanten Personen zeigt, ob die Krisenorganisation trägt oder nicht. Die wichtigsten Erkenntnisse entstehen nicht in der Vorbereitung, sondern in dem Moment, in dem unter Zeitdruck Entscheidungen getroffen werden müssen.
Fazit: Eine Krise ist kein Ort für Konsens
Eine Krise ist kein Ort für Konsens. Sie ist ein Ort für klare Führung unter Unsicherheit. Wenn diese Klarheit fehlt, wird aus Incident Response schnell Incident Discussion. Und dann zeigt sich, ob die Organisation wirklich vorbereitet ist – oder ob sie nur dokumentiert hat.
Im Rahmen von NIS-2 ist eine funktionierende Krisenorganisation keine Kür, sondern eine Pflichtanforderung. Die Frage ist nicht, ob ein Krisenfall eintritt. Die Frage ist, ob das Unternehmen in diesem Moment handlungsfähig ist. Dafür braucht es Mandate, Übung – und die Bereitschaft, unbequeme Fragen schon vor dem Ernstfall zu stellen.