"Wie lang muss ein Notfallplan sein?" Diese Frage hören wir draußen bei unseren Kunden oft. Die Antwort lautet stets: "So kurz wie möglich!" Denn die Wahrheit ist, dass der perfekte Notfallplan (wenn es einen solchen überhaupt gibt) drei Dinge auf einmal sein muss, die mitunter einander widerlaufen: Umfassend, Kurz und Praxistauglich.

1. Die drei Notfall-Tugenden
Von Jakob Holm Hansen, Neupart
"Wie lang muss ein Notfallplan sein?" Diese Frage hören wir draußen bei unseren Kunden oft. Die Antwort lautet stets: "So kurz wie möglich!" Denn die Wahrheit ist, dass der perfekte Notfallplan (wenn es einen solchen überhaupt gibt) drei Dinge auf einmal sein muss, die mitunter einander widerlaufen:
 Umfassend
 Kurz
 Praxistauglich
Wie bereits angedeutet, leben wir eben nicht in einer perfekten Welt, also geht es manchmal auch darum, zwischen den dreien eine Balance herzustellen. Lassen Sie uns einen genaueren Blick auf die drei "Notfall-Tugenden" werfen.
Umfassend Der Notfallplan muss umfassend sein. Oder jedenfalls umfassend genug. Bitte beachten Sie, dass ich umfassend schreibe und nicht lang. Denn der Notfallplan sollte notwendigerweise die kritischen Prozesse und Systeme umfassen, ansonsten ist er wertlos. Unter anderem aus diesem Grund empfehlen wir immer, mit einer Risikobewertung zu beginnen. Das ist also unsere erste Tugend. Der Notfallplan muss alles umfassen, was kritisch und wichtig für unser Unternehmen ist, ansonsten erfüllt er nicht seine einzige und wichtigste Funktion: Uns vor nicht hinnehmbaren Verlusten in Folge eines Ereignisses zu schützen.
Kurz Dennoch muss der Notfallplan kurz sein. Immer wieder sehen wir Notfallpläne, die 150 Seiten lang sind und mehr. Und obwohl dies eine ganz beeindruckende Schreibleistung ist, hätte man einen Teil der dafür verwendeten Zeit vielleicht sinnvoller nutzen können.
Warum muss er dann kurz und einfach sein? Wir brauchen einen kurzen Notfallplan, weil wir uns merken müssen, wann und unter welchen Umständen er zum Einsatz kommt. In einer Notfallsituation muss die Notfalleinsatzleitung nur die Informationen haben, die sie in der Situation benötigt. Wenn wir einen 150 Seiten langen Notfallplan produzieren, wird in einer Notfallsituation eines von zwei Dingen passieren:
 Das Notfallmanagement wird langsam, ineffektiv und unflexibel

2.  Der Notfallplan geht den Bach hinunter und der Situation wird mehr oder weniger "intuitiv" begegnet
Wenn das eintritt, war die ganze schöne Arbeit der Erstellung eines Notfallplans erst einmal umsonst.
Praxistauglich Schließlich muss unser Notfallplan praxistauglich sein. Dass der Notfallplan in einer Notfallsituation praxistauglich sein muss, hängt mit dem zuvor Gesagten zusammen. Viele Notfallpläne haben lange Abschnitte mit allgemeinen Betrachtungen wie Einleitung, Zweck, Ziele, Interessenten, Genehmigungen, Referenzen zu Normen und Gesetzen usw. Ein Notfallplan muss von der ersten Seite an praxistauglich sein! Aus diesem Grund müssen allgemeine Betrachtungen jeder Art, auch wenn sie noch so berechtigt sind, aus dem Plan entfernt werden. Hier bietet es sich an, eine eigenständige allgemeine "Notfallpolitik" zu erarbeiten. Oder zumindest solche Punkte ganz ans Ende des Plans zu stellen.
Um den Plan selbst praxistauglich zu machen, ist es wichtig, dass wir über Struktur und Abläufe im Notfallplan nachdenken. Es nützt nichts, wenn die Notfalleinsatzleitung umständlich im Plan hin- und herblättern muss und damit den Überblick verliert. Es empfiehlt sich daher, den Notfallplan mit einem Ablaufdiagramm zu beginnen, auf das die Notfalleinsatzleitung jederzeit zurückgreifen kann, um einen Überblick zu erhalten. Ich bin ein großer Anhänger des "Alles-auf-einer-Seite"-Gedankens, wonach das gesamte Notfallmanagement auf einer Seite dargestellt wird.
Man muss sich auch über Stil und Sprachgebrauch Gedanken machen. Kurze klare Botschaften, am besten stichpunktartig sind besser als umständliche lange Formulierungen. Denken Sie daran, dass alles schnell gehen muss und dass eine Notfallsituation sehr stressbeladen ist.
Also vergessen Sie nicht unsere 3 Notfall-Tugenden: Umfassend, Kurz und Praxistauglich.
Über den Autor: Jakob Holm Hansen ist Senior Security Advisor bei Neupart A/S und Berater in Fragen ISO 27001, IT-Risikobewertungen, Notfallplanerstellung u. a.
Lernen Sie mehr
Mit dem ISMS-Tool SecureAware von Neupart können Sie Ihr Notfallmanagement effektivisieren und sicherstellen, dass Ihre Notfallpläne immer auf dem aktuellsten Stand sind. Lesen Sie mehr hier Testen Sie SecureAware hier
Weitere Ressourcen Bildungs-Webinare: Begleiten Sie unsere Webinare und erfahren Sie mehr über Informationssicherheits-management Informationssicherheits-Newsletter: Empfangen White Papers, Artikeln und Webinareinladungen
Neupart hilft Unternehmen bei der IT-Risikosteuerung und der Erfüllung von Sicherheitsanforderungen. Neupart unterscheidet sich von herkömmlichen Beratungsfirmen, da unsere selbst entwickelte Information Security Management System, SecureAware, den Unternehmen Zeit spart und weniger Beraterstunden erfordert. Neupart ist Spezialist für ISO 27001, Cobit, PCI DSS und Cloud-Sicherheit. Mehr als 200 Organisationen weltweit sind Neupart Kunden, darunter Staatliche Institutionen, Versorgungsunternehmen, Banken und Versicherungen, IT-Dienstleister und Lotterien. Neupart ist ISO 27001 zertifiziert.
© 2014 Neupart
Neupart GmbH
Kaiserwerther Strasse 115
40880 Ratingen/Düsseldorf
www.neupart.de