Übungen, die beweisen, dass Ihre Pläne der Realität standhalten.

Eine Krisenmanagementübung ist eine strukturierte Probe, bei der eine Organisation ihre Pläne, Mitarbeiter und Entscheidungsprozesse anhand eines realistischen Szenarios testet. Die Formate reichen von einer diskussionsbasierten Planspielübung bis hin zu einer umfassenden Live-Simulation. Dabei werden Nachweise über die Leistungsfähigkeit und ein priorisierter Verbesserungsplan erbracht.

Pläne, die noch nie in der Praxis erprobt wurden, sind Annahmen. Eine Übung zur Geschäftskontinuität oder Notfallvorsorge wandelt diese Annahmen in beobachtbare Fakten um: ob das Krisenteam schnell genug zusammentritt, ob Eskalation und Kommunikation unter Druck funktionieren, ob Wiederherstellungsentscheidungen auch bei unvollständigen Informationen Bestand haben. Resilience Guard konzipiert und begleitet das gesamte Spektrum – von Planspielen für Vorstände bis hin zu funktionalen und umfassenden Übungen für kritische Betriebsabläufe.

Jede Übung durchläuft einen dokumentierten Ablauf: Ziele und Umfang, Szenarioentwicklung, angeleitete Durchführung, bewertete Beobachtung anhand definierter Kriterien, offene Nachbesprechung und ein individueller Aktionsplan. Diese Disziplin bewirkt, dass aus einer Übung eine nachhaltige Steigerung der Resilienz und ein Nachweis entsteht, den ein Auditor oder Vorgesetzter akzeptiert.

ISO 22301, der Standard für Business Continuity Management, fordert in Abschnitt 8.5 ein Übungsprogramm, das Kontinuitätsstrategien und -lösungen in geplanten Abständen und nach wesentlichen Änderungen validiert. ISO 22398 bietet die internationale Richtlinie für die Konzeption dieser Übungen, und ISO 22361 verankert die darin geprüfte Krisenmanagementfähigkeit. Unsere Übungen sind auf alle drei Standards ausgerichtet, sodass die Ergebnisse direkt in die Zertifizierungsaudits einfließen.

NIS2 überträgt die Verantwortung für Cyberrisikomanagement, Vorfallbearbeitung und Geschäftskontinuität wichtigen Einrichtungen. Die Managementorgane sind für Aufsicht und Schulung zuständig; ein dokumentiertes Übungsprotokoll zählt zu den deutlichsten Nachweisen dieser Aufsicht. DORA geht für den Finanzsektor noch weiter und schreibt ein Programm zur Prüfung der digitalen operativen Resilienz vor. Dabei sollen Krisenkommunikations- und Reaktionsfähigkeiten bis hin zu bedrohungsbasierten Penetrationstests für bestimmte Unternehmen geübt werden.

In Deutschland müssen Betreiber kritischer Infrastrukturen gemäß KRITIS und dem BSI-Gesetz die Wirksamkeit ihrer Resilienzmaßnahmen nachweisen. In der Schweiz verpflichtet das Informationssicherheitsgesetz Betreiber kritischer Infrastrukturen zur 24-Stunden-Meldepflicht bei Vorfällen an die BACS – eine Frist, die in einer realen Krise noch nie einzuhalten war. Übungen sind der Schlüssel zum Aufbau und Nachweis dieser Bereitschaft; siehe dazu unser deutschsprachiges ISG-Briefing und unsere zur operativen Resilienz .