Der Übungsbericht: Aus einer Übung wird ein Nachweis
Eine Übung ohne Bericht ist eine Veranstaltung. Erst der Bericht macht daraus einen Befund, eine Maßnahmenliste und ein Dokument, das gegenüber BSI, Auditor und Versicherer belegt, dass Notfallpläne nicht nur existieren, sondern geprüft werden. Diese Seite beschreibt den Aufbau, die Anforderungen, die er erfüllt, und wie er nachverfolgt wird.
- 6 Abschnitte von den Zielen bis zur Wiedervorlage
- § 30 BSIG verlangt die Bewertung der Wirksamkeit der Maßnahmen
- 4 Adressaten: BSI, Auditor, Versicherer, Geschäftsleitung
- 1 Termin je Maßnahme, mit Verantwortlichem und Wiedervorlage
Wem der Bericht was beweist
Mehrere Regelwerke verlangen, dass Notfall- und Krisenmanagement geprüft und verbessert werden. Der Übungsbericht ist das Dokument, das diese Prüfung belegt.
| Anforderung | Was verlangt wird | Was der Bericht belegt |
|---|---|---|
| NIS2, § 30 BSIG | Maßnahmen zu Krisenmanagement, Backup und Wiederherstellung sowie Verfahren zur Bewertung ihrer Wirksamkeit; die Geschäftsleitung überwacht die Umsetzung nach § 38. | Dass die Maßnahmen erprobt wurden, mit welchem Ergebnis, welche Verbesserungen folgen und dass die Geschäftsleitung Kenntnis hat. |
| ISO 27001:2022 | Planung der Informationssicherheit für Störungen und IKT-Bereitschaft für Business Continuity, regelmäßig geprüft, Erkenntnisse in die Verbesserung überführt. | Den Prüfzyklus mit Datum, Umfang und Ergebnis sowie die Verbindung zwischen Übungserkenntnis und Korrekturmaßnahme. |
| KRITIS-Dachgesetz | Resilienzmaßnahmen zur Bewältigung von Störungen und Wiederherstellung, dokumentiert im Resilienzplan und weiterentwickelt. | Dass die im Resilienzplan beschriebenen Verfahren funktionieren und der Plan auf Grundlage der Übung angepasst wurde. |
| Cyber- und BU-Versicherer | Fragebögen und Bedingungen verlangen aktuelle, geübte Notfallpläne; im Schadenfall wird die Richtigkeit der Angaben geprüft. | Datum und Inhalt der letzten Übungen, damit die Angaben im Fragebogen belegt sind und die Deckung nicht an fehlenden Nachweisen scheitert. |
| Kunden und Audits | Lieferantenfragebögen und Lieferantenaudits fragen nach Notfallmanagement und dessen Erprobung. | Eine belastbare Antwort statt eines Verweises auf ein ungetestetes Dokument. |
Die sechs Abschnitte des Übungsberichts
Die Struktur ist für alle Übungsformate gleich, vom Tabletop bis zur Vollübung. Nur Umfang und Detailtiefe unterscheiden sich.
-
Ziele und Rahmendaten
Die Übungsziele, wie sie vor der Übung festgelegt wurden, dazu Format, Szenario in Kurzform, Datum, Dauer, Ort oder Videokonferenz, Teilnehmende mit Rollen, Übungsleitung und Beobachter. Eine Zusammenfassung des Ergebnisses auf einer Seite steht am Anfang.
-
Verlauf
Chronologie der Übung mit Szenariozeit und Übungszeit: Einspielungen, wesentliche Entscheidungen des Stabs, Zeitpunkte von Einberufung, Abschaltungen, Meldeentwürfen und Freigaben. Aus dem Stabsprotokoll und den Beobachtungsbögen.
-
Beobachtungen
Getrennt nach Stärken und Schwächen, jede den Übungszielen zugeordnet. Jedes Ziel wird mit Ja, Teilweise oder Nein beantwortet und begründet. Beobachtungen beschreiben die Organisation, nicht Personen.
-
Maßnahmenliste
Jede Schwäche wird zu einer Maßnahme mit Beschreibung, Verantwortlichem, Termin, Priorität und Bezug zur Beobachtung. Als Tabelle, damit sie bis zur nächsten Übung nachverfolgt werden kann.
-
Bewertung und Empfehlung
Gesamteinschätzung der Übungsleitung: Wo steht die Organisation, was sollte die nächste Übung prüfen, welches Format und welches Szenario passen. Hinweise auf Änderungen an Handbuch, Kontaktlisten oder Rollen.
-
Wiedervorlage und Kenntnisnahme
Termin der Wiedervorlage in der Geschäftsleitung, Kenntnisnahme mit Datum und Unterschrift oder dokumentierter Freigabe, Ablageort im Evidenz-Ordner, Termin der nächsten Übung.
Ohne Verantwortlichen und Termin ist es keine Maßnahme
Die Maßnahmenliste ist der Teil des Berichts, der am häufigsten fehlt oder unvollständig ist. Dabei ist sie der Grund, warum überhaupt geübt wird.
| Beobachtung | Maßnahme | Verantwortlich | Termin | Status |
|---|---|---|---|---|
| Die Vertretung der IT-Leitung war nicht bekannt; die Einberufung verzögerte sich um 40 Minuten. | Vertretungsregel für alle Stabsrollen im Handbuch festlegen und an den Stab kommunizieren. | Leitung Informationssicherheit | Innerhalb von 4 Wochen | Offen |
| Das Notfallhandbuch lag nur auf dem Dateiserver, der im Szenario verschlüsselt war. | Gedruckte Exemplare an alle Stabsmitglieder, verschlüsselte Kopie in externem Speicherdienst. | IT-Leitung | Innerhalb von 6 Wochen | Offen |
| Der Entwurf der NIS2-Erstmeldung stand erst nach 30 Stunden Szenariozeit. | Meldevorlage erstellen, Meldeverantwortlichen und Vertretung benennen, Freigaberegel festlegen. | Recht und Datenschutz | Innerhalb von 8 Wochen | Offen |
| Der Stab wusste nicht, ob der Backup-Server vom Angriff betroffen wäre. | Backup-Zugänge vom Verzeichnisdienst trennen, Wiederherstellungstest mit Zeitmessung durchführen. | IT-Leitung | Innerhalb von 3 Monaten | Offen |
| Die Kommunikation mit Kunden wurde spontan vom Vertrieb übernommen, ohne Freigabe. | Sprachregelung und Freigabeprozess für externe Kommunikation im Handbuch ergänzen, Textbausteine vorbereiten. | Kommunikation | Innerhalb von 6 Wochen | Offen |
Nachverfolgung: Die Liste wird nach der Übung nicht abgelegt, sondern geführt. Status und Termine werden in der Wiedervorlage aktualisiert, und die nächste Übung beginnt mit der Frage, ob die Maßnahmen der letzten umgesetzt sind.
Beobachtungen so schreiben, dass sie helfen
Der Bericht wird von Menschen gelesen, die nicht dabei waren, und von Teilnehmenden, die wieder üben sollen. Beides stellt Anforderungen an die Sprache.
-
Organisation statt Person
'Die Entscheidungsbefugnis für Abschaltungen war nicht geregelt' statt 'Die IT-Leitung zögerte'. Die Beobachtung beschreibt die Lücke im System, die Maßnahme schließt sie. So bleibt der Bericht auch gegenüber Dritten vorzeigbar.
-
Belegt statt behauptet
Jede Beobachtung mit Zeitpunkt und Quelle: Beobachtungsbogen, Stabsprotokoll, Einspielung. 'Um 18:15 Szenariozeit fragte der Stab nach der Kontaktliste; sie war nicht auffindbar' ist prüfbar, 'die Kontaktlisten sind schlecht' nicht.
-
Stärken benennen
Was funktioniert hat, gehört ebenso in den Bericht: als Nachweis, dass Maßnahmen wirken, und als Grundlage, sie beizubehalten. Ein Bericht, der nur Mängel enthält, verzerrt das Bild und schadet der Übungskultur.
Vom Bericht zur nächsten Übung
Der Bericht erfüllt seinen Zweck erst, wenn die Geschäftsleitung ihn kennt, die Maßnahmen umgesetzt werden und die nächste Übung darauf aufbaut.
-
Bericht fertigstellen
Entwurf durch die Übungsleitung, Prüfung durch die Beobachter, Stellungnahme des Krisenstabs, Endfassung. Länger sollte es nicht dauern, sonst verblassen die Details.
-
Vorlage bei der Geschäftsleitung
Die Geschäftsleitung nimmt den Bericht zur Kenntnis, beschließt die Maßnahmen und die Ressourcen dafür. Die Kenntnisnahme wird dokumentiert; sie ist Teil des Nachweises nach § 38 BSIG.
-
Status der Maßnahmen
Die Maßnahmenliste wird quartalsweise in der Geschäftsleitung oder im Sicherheitsgremium aufgerufen. Verzögerungen werden begründet, Termine angepasst, erledigte Maßnahmen mit Datum geschlossen.
-
Evidenz-Ordner
Der Bericht liegt mit Beobachtungsbögen, Stabsprotokoll, Drehbuch und Teilnehmerliste an einem definierten Ort, nach den Maßnahmenbereichen aus § 30 BSIG gegliedert. Bei einer Anfrage von BSI, Auditor oder Versicherer ist er in Minuten gefunden.
-
Anschluss herstellen
Die nächste Übung beginnt mit dem Status der letzten Maßnahmenliste und wählt ihre Ziele so, dass die Umsetzung geprüft wird. So entsteht über die Jahre eine belegbare Entwicklung statt einer Folge von Einzelveranstaltungen.
Ist Ihr Übungsbericht vollständig?
Anhand dieser Punkte prüfen Auditoren und Versicherer, ob ein Bericht als Nachweis taugt.
- Die Übungsziele sind benannt und jedes Ziel ist mit Ergebnis und Begründung beantwortet.
- Format, Szenario, Datum, Dauer, Teilnehmende, Übungsleitung und Beobachter sind dokumentiert.
- Der Verlauf enthält die wesentlichen Entscheidungen mit Zeitpunkten in Szenario- und Übungszeit.
- Beobachtungen sind nach Stärken und Schwächen getrennt und beschreiben die Organisation, nicht Personen.
- Jede Maßnahme hat einen Verantwortlichen, einen Termin und eine Priorität.
- Die Geschäftsleitung hat den Bericht nachweislich zur Kenntnis genommen.
- Ein Termin für die Wiedervorlage und für die nächste Übung ist festgelegt.
- Der Bericht liegt mit seinen Anlagen an einem definierten Ort und ist auffindbar.
Zum Übungsbericht
Wie lang sollte ein Übungsbericht sein?
So lang wie nötig, um Ziele, Verlauf, Beobachtungen und Maßnahmen nachvollziehbar zu machen; in der Praxis sind das für ein Tabletop wenige Seiten plus Maßnahmenliste als Tabelle. Entscheidend ist nicht der Umfang, sondern dass ein Prüfer, der die Übung nicht erlebt hat, versteht, was geprüft wurde, was herauskam und was daraus folgt. Eine Zusammenfassung auf einer Seite für die Geschäftsleitung gehört an den Anfang.
Wer schreibt den Bericht?
Die Übungsleitung, auf Grundlage der Beobachtungsbögen und des Stabsprotokolls. Die Beobachter prüfen den Entwurf auf Vollständigkeit, der Krisenstab erhält ihn zur Stellungnahme. Wer im Stab gesessen hat, sollte den Bericht nicht allein schreiben, weil die eigene Wahrnehmung während der Übung lückenhaft ist.
Dürfen Namen im Bericht stehen?
Teilnehmende und Rollen ja, Bewertungen einzelner Personen nein. Beobachtungen beschreiben die Organisation: 'Die Vertretungsregel für die IT-Leitung war nicht bekannt', nicht 'Herr X wusste nicht, wer ihn vertritt'. So bleibt der Bericht ein Werkzeug zur Verbesserung und ein Nachweis, der auch Dritten gezeigt werden kann, ohne dass die Bereitschaft zur nächsten Übung leidet.
Wie lange müssen Übungsberichte aufbewahrt werden?
Es gibt keine einheitliche Frist, aber mehrere Gründe, sie über Jahre zu behalten: Das BSI kann Nachweise zur Umsetzung der Maßnahmen verlangen, Zertifizierungsaudits nach ISO 27001 betrachten den Zyklus seit dem letzten Audit, Versicherer fragen nach Übungen der letzten Jahre. Sinnvoll ist, die Berichte der letzten drei bis fünf Übungen im Evidenz-Ordner vorzuhalten und die Maßnahmenlisten übergreifend zu führen.
Was, wenn Maßnahmen aus dem letzten Bericht nicht umgesetzt wurden?
Dann steht das im nächsten Bericht, mit Begründung. Ein Prüfer akzeptiert eine bewusste, dokumentierte Entscheidung, eine Maßnahme zurückzustellen; er akzeptiert nicht, dass dieselbe Lücke in drei aufeinanderfolgenden Berichten auftaucht, ohne dass jemand reagiert hat. Die Wiedervorlage in der Geschäftsleitung verhindert genau das.
Vertiefung zu Notfallübungen
-
Ablauf einer Tabletop-Übung
Vorbereitung mit Zielen und Drehbuch, Teilnehmerkreis, Zeitplan für einen halben Tag, Moderation, Beobachter und Auswertung.
-
Sechs Übungsszenarien
Ransomware am Freitag, Dienstleisterausfall, Datenabfluss, Stromausfall, kompromittiertes Admin-Konto, CEO-Fraud: mit Lernzielen und Hinweisen zur Auswahl.
-
IT-Notfallübung im Überblick
Übungsformate vom Tabletop bis zur Vollübung, Ablauf, Szenarien, Nachweis und die häufigsten Fragen auf der Startseite.
Tobias Mogk
Eine Übung, die als Nachweis besteht
Im kostenlosen Erstgespräch klären wir, welche Anforderungen Ihr Übungsbericht erfüllen muss und wie Übung und Bericht so angelegt werden, dass sie gegenüber BSI, Auditor und Versicherer bestehen.
- Übungsziele, die auf Ihre Nachweispflichten zugeschnitten sind
- Bericht mit Maßnahmenliste, Verantwortlichen und Terminen
- Vorlage für die Geschäftsleitung und Ablage im Evidenz-Ordner
Danke, wir rufen Sie an.
Sie hören innerhalb eines Werktags von uns, meist deutlich schneller. Wenn Sie lieber gleich einen festen Termin wählen möchten, geht das direkt im Kalender auf jamorie.eu.
Termin selbst wählen