Zwei Regelwerke, zwei Logiken, ein Unternehmen: Wer in der Schweiz eine kritische Infrastruktur betreibt, meldet Cyberangriffe innerhalb von 24 Stunden an das Bundesamt für Cybersicherheit. Wer in der EU tätig ist, prüft stattdessen Sektor, Mitarbeiterzahl und Bilanzkennzahlen – und landet bei einem deutlich breiteren Pflichtenpaket. Viele Betriebe unterliegen beiden Regimen gleichzeitig, ohne es zu wissen.

Der Unterschied ist nicht akademisch. In Deutschland gilt das NIS2-Umsetzungsgesetz seit dem 6. Dezember 2025 ohne Übergangsfrist, in Österreich starten die materiellen Pflichten des NISG 2026 am 1. Oktober 2026, und in der Schweiz sind die Sanktionen für versäumte Meldungen seit dem 1. Oktober 2025 scharf gestellt. Ab dem 11. September 2026 kommt für Hersteller digitaler Produkte eine weitere Meldekette über den Cyber Resilience Act hinzu.

Dieser Beitrag ordnet ein, wer tatsächlich betroffen ist, welche Rolle die Unternehmensgröße spielt, welche Fristen an welche Stelle laufen und mit welchen technischen Bausteinen sich die Anforderungen im Alltag abbilden lassen. Stand der Darstellung: August 2026.

Wer muss in der Schweiz Cyberangriffe melden?

Maßgeblich ist der Katalog in Artikel 74b Absatz 1 des Informationssicherheitsgesetzes. Er zählt Behörden und Organisationen von a bis u auf – darunter Hochschulen, Bundes-, Kantons- und Gemeindeverwaltungen, Energie- und Trinkwasserversorger, Gesundheitseinrichtungen, Post, Bahn-, Bus-, Seilbahn- und Schifffahrtsunternehmen, Anbieter digitaler Dienste sowie Hersteller von Hard- und Software, die in kritischen Infrastrukturen eingesetzt wird.

Entscheidend ist die Funktion, nicht die Rechtsform. Eine private Aktiengesellschaft, die Trinkwasser aufbereitet, fällt darunter; eine Behörde mit rein interner Verwaltungstätigkeit nicht zwingend. Meldestelle ist das Bundesamt für Cybersicherheit (BACS). Die Pflicht gilt seit dem 1. April 2025 zusammen mit der Cybersicherheitsverordnung.

Welche Vorfälle sind meldepflichtig – und welche nicht?

Gemeldet werden Cyberangriffe, also absichtlich herbeigeführte Cybervorfälle. Ein technischer Ausfall ohne Angreifer löst keine Meldepflicht aus. Die Schwelle ist erreicht, wenn einer dieser Punkte zutrifft:

• Die Funktionsfähigkeit der kritischen Infrastruktur ist gefährdet.
• Informationen wurden manipuliert oder sind abgeflossen.
• Der Angriff blieb längere Zeit unentdeckt oder diente erkennbar der Vorbereitung weiterer Angriffe.
• Es liegt Erpressung, Drohung oder Nötigung vor.

Ein Angriff auf Bereiche außerhalb der kritischen Tätigkeit – etwa auf die Marketingabteilung eines Versorgers – ist nicht meldepflichtig. In der Praxis hilft ein einfacher Test: Muss der Betrieb auf Notfallpläne ausweichen oder sind Mitarbeitende und Dritte von Systemunterbrüchen betroffen, gehört der Vorfall gemeldet.

Wie schnell muss gemeldet werden, und was gehört in die Meldung?

Die Erstmeldung muss innerhalb von 24 Stunden nach Entdeckung beim BACS eingehen. Sind zu diesem Zeitpunkt nicht alle Angaben verfügbar, bleiben 14 Tage zur Ergänzung. Die Uhr startet mit der Kenntnisnahme, nicht mit dem Angriff selbst – das verschiebt das Problem von der Technik in die Organisation.

Inhaltlich verlangt die Meldung Angaben zur Organisation, zur Art und Ausführung des Angriffs, zu den Auswirkungen, zu bereits ergriffenen Maßnahmen und, soweit bekannt, zum weiteren Vorgehen. Zwei Wege stehen offen: das Onlineformular oder ein Konto im Cyber Security Hub. Wer das Konto erst im Ernstfall einrichten will, verliert Stunden, die er nicht hat. Die Registrierung gehört deshalb in die Vorbereitung, nicht in die Krise.

Ab welcher Größe entfällt die Schweizer Meldepflicht?

Artikel 12 der Cybersicherheitsverordnung regelt die Ausnahmen, und zwar sektorspezifisch statt pauschal. Pharmaunternehmen sind ausgenommen, wenn sie im meldepflichtigen Bereich weniger als 50 Personen beschäftigen und dort Jahresumsatz oder Bilanzsumme 10 Millionen Franken nicht übersteigen. Hochschulen mit weniger als 2000 Studierenden fallen heraus, kleine Gemeindeverwaltungen unterhalb einer Einwohnerschwelle ebenfalls. Für Energie, Verkehr und weitere Sektoren gelten eigene Kennzahlen.

Bezugspunkt ist jeweils der meldepflichtige Bereich, nicht der Gesamtkonzern. Ein Mischkonzern kann sich für einen Geschäftsbereich auf eine Ausnahme berufen und für einen anderen nicht. Wer sowohl Elektrizität als auch Fernwärme liefert, kann die Ausnahme nur beanspruchen, wenn sich der Angriff und seine Auswirkungen auf den ausgenommenen Bereich beschränken.

Was passiert, wenn eine Meldung ausbleibt?

Bis zum 30. September 2025 lief eine sanktionsfreie Phase. Seither kann das BACS Verfügungen erlassen, und die Missachtung einer rechtskräftigen Anordnung wird mit Bussen bis 100 000 Franken geahndet. Ein Detail wird oft übersehen: Die Busse nach Artikel 74h ISG richtet sich gegen die verantwortliche natürliche Person, nicht gegen das Unternehmen. Für Geschäftsleitung und IT-Verantwortliche ist das ein persönliches Risiko.

Die Meldepflicht lässt sich an einen IT-Dienstleister delegieren. Die Verantwortung bleibt trotzdem bei der meldepflichtigen Stelle. Versäumt der beauftragte Dritte die Meldung, haftet der Auftraggeber. Wer auslagert, sollte die Meldekette deshalb vertraglich festschreiben und mindestens einmal jährlich testen.

Gilt in der Schweiz auch etwas für Unternehmen ohne kritische Infrastruktur?

Die ISG-Meldepflicht nicht. Andere Pflichten schon. Nach Artikel 24 DSG ist eine Verletzung der Datensicherheit dem EDÖB zu melden, wenn ein hohes Risiko für die betroffenen Personen entsteht. Bei einem Ransomware-Vorfall mit Personendatenabfluss kann eine Doppelmeldung an BACS und EDÖB nötig sein. FINMA-beaufsichtigte Institute melden schwerwiegende Cyber-Attacken zusätzlich innerhalb von 24 Stunden als Vororientierung und innerhalb von 72 Stunden formell.

Hinzu kommen vertragliche Pflichten. Wer für einen meldepflichtigen Betreiber arbeitet, findet die ISG-Anforderungen zunehmend in Verträgen wieder – inklusive Fristen, die kürzer sind als die gesetzlichen. Für kleine Teams, die schlicht einen soliden Grundschutz mit Firewall, Passwortverwaltung und Verschlüsselung brauchen, reicht oft eine kompakte Bürolösung.

Kaspersky Small Office Security

Kaspersky Small Office Security ansehen

Wer fällt in der EU unter NIS-2?

Die Prüfung läuft in zwei Schritten. Zuerst der Sektor: Anlage 1 umfasst elf Sektoren hoher Kritikalität, Anlage 2 sieben weitere, zusammen 18 – von Energie, Verkehr und Gesundheit über digitale Infrastruktur bis zu Lebensmitteln, Chemie, Abfall und verarbeitendem Gewerbe. Wer in keinem dieser Sektoren tätig ist, fällt heraus.

Dann die Größe, orientiert an der EU-KMU-Definition:

• Wichtige Einrichtung: mindestens 50 Beschäftigte oder Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Millionen Euro.
• Besonders wichtige Einrichtung: mindestens 250 Beschäftigte oder Jahresumsatz über 50 Millionen Euro und zusätzlich Bilanzsumme über 43 Millionen Euro.

Die beiden Hauptkriterien stehen alternativ, die Finanzkennzahlen untereinander kumulativ. 60 Beschäftigte genügen also, auch bei niedrigem Umsatz. Ein Umsatz von 80 Millionen Euro bei kleiner Bilanzsumme genügt für sich allein dagegen nicht.

Warum entscheidet die Mitarbeiterzahl allein nicht über die Betroffenheit?

Das ist der Punkt, an dem die meisten Selbsteinschätzungen scheitern. Vier Gründe:

• Ohne passenden Sektor keine Betroffenheit – die Größe wird erst danach geprüft.
• Bestimmte Einrichtungen sind größenunabhängig erfasst: Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, TLD-Registries, DNS-Diensteanbieter sowie Anbieter öffentlich zugänglicher Telekommunikationsdienste und Netzbetreiber.
• Konzernzugehörigkeit zählt mit. Eine Tochter mit 35 Mitarbeitenden und 8 Millionen Euro Umsatz kann über die wirtschaftliche Einheit in den Anwendungsbereich rutschen, wenn der Konzern die Schwellen reißt.
• Mehrere Tätigkeitsfelder werden getrennt geprüft. Maßgeblich ist die höchste Einstufung, die sich aus einer der Tätigkeiten ergibt.

Wer nur die Personalliste anschaut, kommt regelmäßig zum falschen Ergebnis – in beide Richtungen. Die Selbsteinschätzung sollte dokumentiert werden, auch wenn sie negativ ausfällt. Bei einer Prüfung ist eine nachvollziehbare Begründung mehr wert als eine Behauptung.

Was unterscheidet besonders wichtige von wichtigen Einrichtungen?

Nicht der Maßnahmenkatalog, sondern Aufsicht und Sanktionsrahmen. Besonders wichtige Einrichtungen unterliegen einer proaktiven Aufsicht: Die Behörde kann ohne konkreten Anlass prüfen und Nachweise verlangen. Bei wichtigen Einrichtungen greift die Aufsicht anlassbezogen, also nach Hinweisen oder Vorfällen.

Beim Bußgeld liegt die Obergrenze für besonders wichtige Einrichtungen bei 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, für wichtige Einrichtungen bei 7 Millionen Euro oder 1,4 Prozent. In Deutschland wird das Versäumnis der Registrierung nach § 65 BSIG separat mit bis zu 500 000 Euro geahndet. Technisch müssen beide Kategorien dieselben Risikomanagementmaßnahmen umsetzen – der Unterschied liegt in der Nachweisdichte.

Welche Meldefristen gelten in der EU?

Die Meldekette ist dreistufig und für alle Mitgliedstaaten gleich aufgebaut:

• Frühwarnung innerhalb von 24 Stunden nach Kenntnis eines erheblichen Sicherheitsvorfalls.
• Vorfallsmeldung mit erster Bewertung innerhalb von 72 Stunden.
• Abschlussbericht innerhalb eines Monats, bei laufender Bearbeitung zunächst ein Fortschrittsbericht.

Wer sowohl in der Schweiz als auch in der EU meldepflichtig ist, muss zwei Fristenlogiken parallel bedienen. Die Schweizer 24-Stunden-Frist mit 14-tägiger Ergänzung ist nicht deckungsgleich mit dem EU-Schema. Ein gemeinsames Meldekonzept mit klarer Zuordnung – welcher Vorfall geht an welche Stelle, mit welchem Inhalt, in welcher Frist – erspart im Ernstfall die Diskussion darüber, wer gerade zuständig ist.

Welche Maßnahmen verlangt NIS-2 konkret?

Das deutsche BSIG konkretisiert in § 30 zehn Bereiche, die inhaltlich Artikel 21 der Richtlinie entsprechen: Risikoanalyse und Sicherheitskonzepte, Bewältigung von Sicherheitsvorfällen, Aufrechterhaltung des Betriebs samt Backup- und Krisenmanagement, Sicherheit der Lieferkette, Sicherheit in Beschaffung und Entwicklung, Bewertung der Wirksamkeit, Schulung und Cyberhygiene, Kryptografie und Verschlüsselung, Personal- und Zugriffskontrolle sowie Multifaktor-Authentifizierung und gesicherte Kommunikation.

Der Katalog ist bewusst technikoffen formuliert. Verlangt wird Angemessenheit gemessen an Risiko, Größe und möglichen Schadensfolgen – kein bestimmtes Produkt. Wer ein ISMS nach ISO 27001 betreibt, deckt erfahrungsgemäß einen großen Teil ab. In der Fläche scheitert es selten am Konzept, sondern an drei Punkten: MFA ist nicht überall ausgerollt, Backups sind nicht getestet, und Endgeräte werden nicht zentral überwacht.

ESET Small Business Security

ESET Small Business Security ansehen

Welche Rolle spielen Backup und Wiederherstellung?

Backup-Management ist in beiden Regimen kein Nebenschauplatz. Unter NIS-2 gehört es ausdrücklich zur Aufrechterhaltung des Betriebs, in der Schweiz entscheidet die Wiederherstellungsfähigkeit darüber, ob ein Angriff die Funktionsfähigkeit der kritischen Infrastruktur überhaupt gefährdet. Wer nach zwei Stunden wieder produktiv ist, hat einen anderen Vorfall als jemand, der drei Wochen im Notbetrieb läuft.

Drei Fragen entscheiden über die Qualität eines Backup-Konzepts: Liegt mindestens eine Kopie außerhalb der Reichweite kompromittierter Domänen-Konten? Wann wurde die Wiederherstellung zuletzt vollständig getestet, nicht nur stichprobenartig? Und ist dokumentiert, wie lange eine Wiederherstellung dauert? Ohne belastbare Antwort auf die dritte Frage ist jede Aussage zur Betriebskontinuität eine Vermutung. Für kleinere Standorte kann eine Suite mit integriertem Cloud-Backup und zentraler Statusübersicht die Lücke schließen.

Norton by Symantec Small Business

Norton by Symantec Small Business kaufen

Wie weit ist die Umsetzung in Deutschland und Österreich?

Deutschland: Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz wurde am 5. Dezember 2025 verkündet und trat am 6. Dezember 2025 in Kraft – ohne Übergangsfrist für die materiellen Pflichten. Die dreimonatige Registrierungsfrist nach § 33 BSIG endete am 6. März 2026. Von rund 29 500 betroffenen Einrichtungen hatten sich zu diesem Stichtag etwa 11 500 gemeldet, weshalb das BSI eine Nachfrist bis zum 31. Juli 2026 kommuniziert hat. Die Registrierung läuft über das BSI-Portal und setzt ein ELSTER-Organisationszertifikat voraus. Sie bleibt auch verspätet möglich und ist weiterhin sinnvoll.

Österreich: Das NISG 2026 wurde am 23. Dezember 2025 kundgemacht. Die materiellen Pflichten gelten ab dem 1. Oktober 2026, die Registrierung bei der Cybersicherheitsbehörde muss binnen drei Monaten danach erfolgen, also bis Ende Dezember 2026. Neu ist eine fristgebundene Selbstdeklaration binnen zwölf Monaten nach Eintritt der Registrierungspflicht. Die Wirtschaftskammer rechnet mit rund 4000 betroffenen Einrichtungen.

Warum schützt ein Firmensitz in der Schweiz nicht vor NIS-2?

Weil die Richtlinie an die Tätigkeit anknüpft, nicht an den Sitz. Drei Konstellationen führen Schweizer Unternehmen in den Anwendungsbereich oder in dessen Wirkung:

• Niederlassung oder Tochtergesellschaft in einem EU-Mitgliedstaat: Dieses Rechtssubjekt unterliegt dem nationalen Umsetzungsgesetz, sofern Sektor und Größe passen.
• Erbringung erfasster Dienste in der EU ohne dortige Niederlassung: Cloud-Computing, Rechenzentrumsdienste, Content Delivery, Managed Services, Managed Security, Online-Marktplätze, Suchmaschinen und soziale Netzwerke. Artikel 2 Absatz 3 der Richtlinie verlangt in diesem Fall die Benennung eines Vertreters in der EU.
• Position in der Lieferkette eines NIS-2-pflichtigen EU-Unternehmens: keine unmittelbare gesetzliche Pflicht, aber vertragliche Nachweisanforderungen.

Die dritte Variante ist zahlenmäßig die wichtigste. NIS-2 wird über Verträge exportiert, und zwar an Unternehmen, die selbst nie eine Behördenmeldung abgeben werden.

Was bedeutet Lieferkettensicherheit für Zulieferer und IT-Dienstleister?

Erfasste Unternehmen müssen die Sicherheit ihrer unmittelbaren Anbieter und Dienstleister bewerten und in Verträgen absichern. Für Zulieferer heißt das: Sicherheitsniveau wird zur Vergabefrage. In Ausschreibungen tauchen inzwischen regelmäßig Nachweise zu Patch-Zyklen, Zugriffskontrolle, MFA, Vorfallsmeldewegen und Wiederanlaufzeiten auf.

Wer diese Nachweise nicht liefern kann, verliert Aufträge – lange bevor eine Behörde Interesse zeigt. Umgekehrt lässt sich eine saubere Dokumentation als Vertriebsargument nutzen. Praktikabler Einstieg ohne volles ISMS-Projekt: ein aktuelles Asset-Verzeichnis, eine dokumentierte Rechtevergabe, nachweislich getestete Backups, zentral verwalteter Endpoint-Schutz und ein schriftlicher Meldeprozess mit benannten Verantwortlichen. Das deckt den Großteil der üblichen Lieferantenfragebögen ab.

Welche Verantwortung trägt die Geschäftsleitung persönlich?

In allen drei Rechtsordnungen ist die Leitungsebene direkt adressiert. Nach § 38 BSIG müssen Geschäftsleitungen die Risikomanagementmaßnahmen billigen und ihre Umsetzung überwachen; die Pflicht ist nicht delegierbar, und es besteht persönliche Haftung. Das NISG 2026 verpflichtet Leitungsorgane in § 31 zusätzlich zur Teilnahme an spezifischen Cybersicherheitsschulungen. In der Schweiz richtet sich die Busse nach Artikel 74h ISG gegen die verantwortliche natürliche Person.

Für die Praxis bedeutet das: Beschlüsse zu Sicherheitsbudgets, akzeptierten Restrisiken und Prüfergebnissen gehören protokolliert. Wer Maßnahmen aus Kostengründen zurückstellt, sollte diese Entscheidung samt Begründung dokumentieren. Eine mündliche Freigabe ist im Streitfall wertlos.

Was ändert sich am 11. September 2026 durch den Cyber Resilience Act?

Ab diesem Datum greifen die Meldepflichten des CRA für Hersteller von Produkten mit digitalen Elementen. Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle müssen innerhalb von 24 Stunden als Frühwarnung und innerhalb von 72 Stunden als ausführliche Meldung übermittelt werden – parallel an ENISA und das zuständige CSIRT, in Deutschland das CERT-Bund. Die Fristen laufen ab Kenntniserlangung. Die übrigen Kernpflichten inklusive CE-Kennzeichnung folgen am 11. Dezember 2027.

Betroffen ist damit ein Kreis, der sich mit NIS-2 nur teilweise überschneidet: Maschinenbauer mit vernetzten Steuerungen, Anbieter von Software und Apps, Hersteller vernetzter Geräte. Wer als Schweizer Hersteller in die EU liefert, ist über die Produktregulierung erfasst, unabhängig vom Sitz. Die Vorbereitung besteht weniger im Formular als im Prozess: Wer erkennt eine aktive Ausnutzung, wer entscheidet über die Meldung, wer meldet innerhalb eines Werktags?

Welche Meldung geht an welche Stelle?

Bei einem größeren Vorfall laufen häufig mehrere Pflichten gleichzeitig. Diese Zuordnung sollte vorab schriftlich vorliegen:

• Kritische Infrastruktur Schweiz: BACS, 24 Stunden, Ergänzung binnen 14 Tagen.
• Personendaten mit hohem Risiko, Schweiz: EDÖB nach Artikel 24 DSG.
• Personendaten, EU-Bezug: zuständige Aufsichtsbehörde, 72 Stunden nach Artikel 33 DSGVO.
• NIS-2-Einrichtung: nationale Behörde beziehungsweise CSIRT, 24 Stunden, 72 Stunden, ein Monat.
• FINMA-Beaufsichtigte: Vororientierung in 24 Stunden, formelle Meldung in 72 Stunden.
• Hersteller digitaler Produkte ab September 2026: ENISA und CSIRT, 24 und 72 Stunden.

Der häufigste Fehler ist nicht die verpasste Frist, sondern die Annahme, eine Meldung ersetze die andere. Sie tut es nicht. Für Finanzunternehmen in der EU gehen zudem die sektorspezifischen Vorgaben aus DORA vor.

Welche Sicherheitslösung passt zu welchem Bedarf?

Für kleine Standorte, Zulieferbetriebe und Praxen ohne eigene IT-Abteilung sind kompakte Business-Suiten der pragmatische Einstieg: Sie decken Endgeräteschutz, Firewall, Ransomware-Abwehr und in Teilen Backup und Verschlüsselung ab, also mehrere der geforderten Maßnahmenbereiche in einem Paket. Die folgende Gegenüberstellung vergleicht die drei genannten Produkte anhand der Kriterien, die bei Compliance-getriebenen Anschaffungen tatsächlich den Ausschlag geben.

Zu den Einschränkungen: „See note" steht für Funktionen, deren Umfang je nach Edition, Lizenzstaffel und Version abweicht und die vor dem Kauf anhand der aktuellen Produktbeschreibung geprüft werden sollten – das betrifft besonders Servermodule, VPN-Kontingente und Verwaltungskonsolen. „Partial" bezeichnet einen eingeschränkten Funktionsumfang, etwa eine reine Statusübersicht statt einer vollwertigen Richtlinienverwaltung. Alle drei Produkte sind Endpoint-Suiten für kleine Umgebungen und ersetzen keine EDR- oder XDR-Plattform; für besonders wichtige Einrichtungen und für die geforderte Wirksamkeitsprüfung sind die jeweiligen größeren Unternehmenslinien der Hersteller vorgesehen. Beim Punkt „Einsatz in DE-Behörden und KRITIS" ist zu berücksichtigen, dass das BSI seine Warnung nach § 7 BSIG zu Kaspersky-Produkten aus dem Jahr 2022 auch 2026 aufrechterhält; der Hersteller widerspricht der Einschätzung. Für deutsche Behörden und Betreiber kritischer Anlagen ist das ein Ausschlusskriterium, für andere Unternehmen eine dokumentationspflichtige Risikoentscheidung im Rahmen der Lieferantenbewertung.

Reicht Sicherheitssoftware aus, um die Anforderungen zu erfüllen?

Nein, und diese Erwartung führt regelmäßig zu Fehlinvestitionen. Beide Regelwerke verlangen Prozesse, Nachweise und Zuständigkeiten. Eine Lizenz erzeugt keine Meldekette, kein Rollenkonzept und keine Wirksamkeitsprüfung.

Technik trägt aber einen erheblichen Teil bei, und zwar messbar: Endpoint-Schutz und Serverabsicherung erfüllen Anforderungen an Netz- und Systemsicherheit, MFA und Passwortverwaltung die Zugriffskontrolle, Backup und getestete Wiederherstellung die Betriebskontinuität, Verschlüsselung die Kryptografie-Anforderung, ein Software-Updater das Schwachstellenmanagement. Sinnvoll ist die umgekehrte Reihenfolge: erst die Betroffenheit klären, dann die Lücken benennen, danach beschaffen. Wer zuerst kauft, zahlt zweimal – einmal für die Lizenz und einmal für den Berater, der die Dokumentation nachzieht.

Was sollten Unternehmen in den nächsten Wochen konkret tun?

Eine Reihenfolge, die sich in der Praxis bewährt hat:

1. Rechtssubjekte auflisten: Welche Gesellschaft sitzt wo, in welchem Sektor, mit welcher Mitarbeiterzahl und welchen Kennzahlen?
2. Betroffenheit je Einheit und je Tätigkeitsfeld prüfen und das Ergebnis schriftlich begründen, auch bei negativem Befund.
3. Registrierungen erledigen: BSI-Portal in Deutschland, Cybersicherheitsbehörde in Österreich ab Oktober 2026, Cyber Security Hub für Schweizer Meldepflichtige.
4. Meldekonzept erstellen: Auslöser, Empfänger, Fristen, Verantwortliche, Vertretung außerhalb der Bürozeiten.
5. Gap-Analyse gegen die zehn Maßnahmenbereiche, mit priorisierter Maßnahmenliste und Terminen.
6. Verträge mit IT-Dienstleistern auf Meldepflichten und Sicherheitsanforderungen prüfen.
7. Leitungsebene einbinden: Freigaben, Schulungen und akzeptierte Restrisiken dokumentieren.
8. Eine Wiederherstellung vollständig testen und die Dauer protokollieren.

Punkt 8 ist der aussagekräftigste. Er zeigt innerhalb eines Tages, wie belastbar der Rest tatsächlich ist.