BCM als Brücke zu NIS2, DORA und KRITIS

Problem in der Praxis

Organisationen bauen für jedes Regime ein eigenes Nachweispaket: einen Ordner für NIS2, einen für DORA, sofern einschlägig, einen für das KRITIS-Dachgesetz, dazu ein eigenes Auditpaket für ISO 22301, vier Belegsammlungen für im Kern denselben Sachverhalt. Das bindet Aufwand, ohne dass die eigentliche Kontinuitätsfähigkeit dadurch steigt.

Das entgegengesetzte Muster ist ebenso verbreitet: Ein bestehendes ISO-22301-Zertifikat wird als Beweis für die Erfüllung aller drei Pflichten missverstanden, obwohl jedes Regime einen eigenen Anwendungsbereich, eine eigene Aufsicht und eigene Sanktionen hat. Ein Zertifikat bestätigt ein auditiertes Managementsystem, keine gesetzliche Konformität.

Drittens bleibt oft unklar, welches Regime im Einzelfall überhaupt greift. Die Anwendungsbereiche von NIS2, DORA und dem KRITIS-Dachgesetz überschneiden sich teils und schließen sich teils gegenseitig aus, etwa weil DORA für Finanzunternehmen als spezielleres Regime vorgeht. Dieser Abgrenzung wird in der Praxis zu wenig Aufmerksamkeit gewidmet, bevor ein Nachweiskonzept aufgesetzt wird.

CISO-Einordnung

Drei Beziehungen sind sauber zu trennen, jeweils mit Verweis statt Wiederholung. kritis-007 behandelt Business Continuity Management bereits als Umsetzungsweg der CER-Richtlinie und des KRITIS-Dachgesetzes, mit der Business Impact Analyse und den daraus abgeleiteten Management-Vorgaben Wiederherstellungszeit und Wiederherstellungspunkt. Dieser Track vertieft dort ausschließlich die Normen ISO 22301 und ISO/IEC 27031 selbst; die gesetzliche Pflicht und ihre Ableitung bleiben bei kritis-007.

dora-002 führt IKT-Geschäftsfortführung und Wiederherstellung als Teil des Lebenszyklus der ersten DORA-Säule, ohne ein eigenes BCM-Kapitel und ohne ISO 22301 oder ISO/IEC 27031 zu nennen. Ein nach diesen Normen betriebenes Business Continuity Management kann die dortige Wiederherstellungsphase strukturiert unterlegen. Es ersetzt aber weder den umfassenderen IKT-Risikomanagementrahmen noch die DORA-spezifischen Nachweise, etwa Resilienztests im Rahmen der vierten Säule.

nis2-003 ordnet die Aufrechterhaltung des Betriebs mit Business Continuity, Backup-Management und Krisenmanagement als einen von mindestens zehn Pflichtbereichen nach Artikel 21 ein. Ein Business Continuity Management nach ISO 22301 und ISO/IEC 27031 kann genau diesen einen Bereich strukturiert unterlegen. Es deckt die übrigen Pflichtbereiche, etwa Lieferkette, Kryptografie oder Zugriffskontrolle, nicht ab und ersetzt nicht die Meldepflichten nach Artikel 23.

In allen drei Fällen gilt derselbe Grundsatz, der im Korpus bereits für das Verhältnis von ISO/IEC 27001 zu NIS2 und zu DORA beschrieben ist: Das Regime legt fest, was zu erreichen ist, die Norm liefert ein Wie für einen Teilbereich. Zertifikat und gesetzliche Konformität bleiben unterschiedliche Dinge, unabhängig davon, welche Norm im Einzelfall als Wie dient.

Umsetzungsperspektive

Der erste Schritt ist die Klärung des Anwendungsbereichs, bevor irgendein Mapping beginnt: Fällt die Organisation unter NIS2, DORA, das KRITIS-Dachgesetz, mehrere zugleich oder keines davon? Diese Frage entscheiden die jeweiligen Tracks; sie hängt von Sektor, Größe und Tätigkeit ab und ist im Zweifel rechtlich zu klären.

Der zweite Schritt ist ein einziger Nachweisbestand für Business Continuity Management, Business Impact Analyse, Wiederherstellungsziele, Übungsprotokolle, Managementbewertung nach ISO 22301 und Bewertung der IKT-Bereitschaft nach ISO/IEC 27031, der je Regime referenziert wird, statt für jedes Regime eine eigene Kopie zu erzeugen.

Der dritte Schritt ist eine explizite Deckungsdokumentation je Regime: Welcher Pflichtbereich ist durch das Business Continuity Management abgedeckt, welcher nicht? Bei NIS2 ist das nur einer von mindestens zehn Bereichen, bei DORA nur ein Ausschnitt des Wiederherstellungs-Lebenszyklus, bei der CER-Richtlinie und dem KRITIS-Dachgesetz die methodische Umsetzung der Resilienzpflicht selbst.

Der vierte Schritt ist die richtige Kommunikation: Ein Zertifikat nach ISO 22301 sollte intern und extern als starker Nachweisbaustein für eine Teilpflicht dargestellt werden, nicht als Compliance-Aussage für das gesamte Regime.

Typische Fehler

1. Für NIS2, DORA und KRITIS werden vier getrennte Nachweispakete gepflegt, obwohl derselbe Business-Continuity-Sachverhalt zugrunde liegt.
2. Ein ISO-22301-Zertifikat wird als Beleg für die vollständige Erfüllung eines der drei Regime verstanden.
3. Der Anwendungsbereich wird nicht sauber geklärt, bevor ein Mapping zwischen Business Continuity Management und einem Regime beginnt.
4. Die Vorrangregel zwischen DORA und NIS2 für Finanzunternehmen wird übersehen; beide Regime werden parallel und ohne Abgrenzung bedient.
5. Dieser Artikel wird als Ersatz für die Pflichtenerklärung der jeweiligen Tracks gelesen, obwohl er nur die Brücke, nicht die Pflicht selbst beschreibt.

Risiken und Trade-offs

Ein einziger, gemeinsam genutzter Nachweisbestand spart Aufwand, koppelt aber die Regime: Eine Schwäche im Business Continuity Management wirkt sich potenziell auf die Nachweislage bei allen drei Regimen zugleich aus. Wer diesen Weg wählt, sollte die Qualität des zugrunde liegenden BCM entsprechend hochhalten.

Wer zu früh auf eine gemeinsame Lösung optimiert, übersieht leicht regimespezifische Pflichten, die kein Business Continuity Management abdeckt, etwa Meldefristen, Registrierungspflichten oder branchenspezifische Aufsicht. Diese Lücken zeigen sich häufig erst im Kontakt mit der zuständigen Behörde, wenn es für eine Korrektur spät ist.

Die Abgrenzungsfrage selbst, welches Regime greift und in welchem Verhältnis zueinander, ist bei überlappenden Anwendungsbereichen nicht immer eindeutig zu beantworten und im Zweifel rechtlich, nicht norm-methodisch zu klären.

Entscheidungspunkte

• Welche der drei Regime, NIS2, DORA und KRITIS-Dachgesetz, sind für unsere Organisation überhaupt einschlägig, und in welchem Vorrangverhältnis?
• Führen wir einen einzigen Nachweisbestand für Business Continuity Management, der je Regime referenziert wird, oder separate Belegsammlungen?
• Ist je Regime dokumentiert, welcher Pflichtbereich durch das Business Continuity Management abgedeckt ist und welcher nicht?
• Wie kommunizieren wir intern und extern, dass ein ISO-22301-Zertifikat ein Nachweisbaustein und keine vollständige Compliance-Aussage ist?

Praktische Empfehlungen

1. Klären Sie den Anwendungsbereich je Regime zuerst und halten Sie das Ergebnis fest, bevor Sie ein Business-Continuity-Mapping beginnen.
2. Führen Sie einen einzigen Nachweisbestand für Business Continuity Management und referenzieren Sie ihn je Regime, statt ihn zu vervielfachen.
3. Dokumentieren Sie je Regime ausdrücklich die Deckungslücke zwischen dem, was das Business Continuity Management abdeckt, und dem, was das Regime zusätzlich verlangt.
4. Klären Sie bei überlappender Betroffenheit die Vorrangregel, etwa DORA als spezielleres Regime für Finanzunternehmen, und halten Sie sie dokumentiert fest.
5. Kommunizieren Sie ein ISO-22301-Zertifikat als Nachweisbaustein, nicht als Compliance-Erklärung für NIS2, DORA oder das KRITIS-Dachgesetz.

Relevante Normreferenzen

• ISO 22301:2019 und ISO/IEC 27031:2025: Nachweisbausteine für die kontinuitätsbezogenen Erwartungen von NIS2, DORA und dem KRITIS-Dachgesetz, kein Ersatz für die jeweilige gesetzliche Pflicht (Referenz).
• Richtlinie (EU) 2022/2555 (NIS2), insbesondere Artikel 21: gesetzliche Pflicht, vertieft in nis2-003 (Referenz, EU-Recht).
• Verordnung (EU) 2022/2554 (DORA), erste Säule: gesetzliche Pflicht, vertieft in dora-002 (Referenz, EU-Recht).
• Richtlinie (EU) 2022/2557 (CER-Richtlinie) und KRITIS-Dachgesetz: gesetzliche Resilienzpflicht, vertieft in kritis-007 (Referenz, EU-Recht und nationales Recht).