Vorbereitet bleiben, im Ernstfall handlungsfähig – Krisenstäbe, Eskalation und revisionssichere Bewältigung nach BSI 200-4.
Avalon Krisenmanagement ist die operative Reaktionsschicht oberhalb der Notfallplanung: vordefinierte Krisenstäbe mit benannten Rollen und Stellvertretungen, eine durchgängige Eskalations- und Trigger-Matrix, vorbereitete Krisenkommunikation, dokumentierte Übungen und ein abgesichertes Aktivierungs-Cockpit für den Ernstfall. Jede Aktivierung wird lückenlos und verschlüsselt protokolliert – belastbarer Nachweis gegenüber Aufsicht und Auditoren nach BSI 200-4 Kapitel 8 und 9 sowie ISO 22361:2022.
Drei Gründe für Avalon Krisenmanagement
Im Ernstfall sofort handlungsfähig: vordefinierte Krisenstäbe mit Rollen, Stellvertretungen und Erreichbarkeiten statt Improvisation unter Druck.
Klare Eskalationslogik: Stufen mit Verantwortlichen, Pflicht-Aktionen, Kommunikationsempfängern und Ziel-Reaktionszeiten, verknüpft mit eingetretenen Risiken, aktivierten Notfallplänen oder externen Lagen.
Revisionssichere Bewältigung: jede Aktivierung verschlüsselt protokolliert, jeder Zugriff im Audit-Trail festgehalten, jede Übung mit Lessons Learned belegt.
Viele Auslöser, ein Stab, eine Stufe
Im Ernstfall laufen verschiedene Auslöser auf genau eine Eskalationsstufe zusammen. Ein Krisenstab wird aktiviert, arbeitet unter laufender Uhr und stempelt jede Pflicht-Aktion revisionssicher ins Protokoll – operative Bewältigung, klar abgegrenzt vom Wiederanlauf.
- RISK-2207eingetretenes Risiko
- BIA-014Wiederanlaufzeit gerissen
- NFP-031Notfallplan aktiviert
- EXT-LAGEexterne Lage
- S0Normalbetrieb
- S1Beobachtung
- S2Voralarm
- S3Krise — Stab aktiviert▸ live
- S4Großschadenslage
- S5Notlage
- Lage festgestellt und Stufe bestätigt
- Initial-Kommunikation an Aufsicht ausgelöst (Vorlage)
- 00:42 · Stabsleitung · Stab einberufen
- 01:55 · Lagezentrum · Lagebild erstellt
- 03:10 · Kommunikation · Aufsicht informiert
Beispieldaten · Illustration
Belegt: BSI 200-4 · Kap. 8 (Bewältigung), Kap. 9 (Übungen); Methodik-Bezug ISO 22361:2022. Revisionssicheres Protokoll als Eigenschaft (AES-256-GCM, nicht löschbar). Avalon unterstützt die Bewältigung; die Verantwortung verbleibt bei Ihrer Organisation.
Was das Krisenmanagement-Modul im Detail leistet
Krisenstab vordefinieren
Besetzen Sie Stäbe mit den nach BSI 200-4 erforderlichen Rollen – Leitung, Lagezentrum, Kommunikation, IT-Sicherheit, Recht, Personal und Protokoll – jeweils mit Primärperson und Stellvertretung. Pflichtrollen sind als solche gekennzeichnet, eine Besetzungs-Kennzahl zeigt jederzeit, wo noch Lücken bestehen. Privatkontaktdaten für die Alarmierung werden ausschließlich mit dokumentierter DSGVO-Einwilligung erfasst und sind jederzeit widerrufbar.
Eskalations- und Trigger-Matrix
Eskalationsstufen (typischerweise 0 bis 5) legen je Stufe Verantwortliche, Pflicht-Aktionen, Kommunikationsempfänger und Ziel-Reaktionszeiten fest. Trigger verknüpfen auslösende Ereignisse – eingetretenes Risiko, aktivierter Notfallplan, gerissene Wiederanlaufzeit oder externe Lage – mit der passenden Stufe; verwaiste Trigger ohne gültige Quelle werden markiert.
Krisenkommunikation vorbereiten
Hinterlegen Sie Kommunikationsvorlagen je Stakeholder-Gruppe – Mitarbeitende, Kunden, Lieferanten, Presse, Behörden, Aufsicht – und je Krisenphase (Initial, Update, Auflösung, Nachgang), mehrsprachig und mit Platzhaltern für Vorfallszeitpunkt und Schweregrad. Im Ernstfall steht die richtige Botschaft sofort bereit, statt unter Zeitdruck formuliert werden zu müssen.
Aktivierungs-Cockpit und War-Room
Im realen Vorfall wird der Stab über ein abgesichertes Cockpit mit Pflicht-Bestätigung, Auslöser-Begründung und Eskalationsstufe gestartet. Der War-Room bündelt Alarmierungs-Status, Pflicht-Checkliste der Stufe und chronologisches Live-Protokoll mit laufender Uhr – bis zur kontrollierten Deaktivierung.
Übungen und Lessons Learned
Planen, dokumentieren und werten Sie Tabletop-, Rahmen- und Vollübungen aus. Überfällige Übungen werden automatisch erkannt, Lessons Learned strukturiert nach Themen festgehalten und in Folgemaßnahmen überführt. So bleibt die Bewältigungsfähigkeit nachweisbar geübt – wie es BSI 200-4 Kapitel 9 und ISO 22361 verlangen – statt nur auf dem Papier zu existieren.
Stabs- und Eskalationsdokumentation
Krisenstab-Aufstellung, Eskalations- und Trigger-Matrizen und Kommunikationsvorlagen werden als aktuelles, verteilbares Dokument (PDF oder DOCX) zusammengeführt – mit mehrsprachiger Vorschau, frei anordenbaren Sektionen und versionstreuen Generierungen. Das vollständige, konsolidierte Notfallhandbuch nach BSI 200-4 entsteht im BCM-Modul; die hier getroffenen Krisenfestlegungen fließen dort ein.
Revisionssichere Protokollierung
Jede Aktivierung und jeder Protokolleintrag wird verschlüsselt abgelegt (AES-256-GCM), jeder Lesezugriff im Audit-Log dokumentiert. Aktivierungen sind bewusst nicht löschbar, sondern werden kontrolliert deaktiviert – die Historie bleibt als belastbarer Nachweis erhalten und beantwortet die Prüferfrage „Wer hat wann was entschieden?“.
Verzahnung mit Konzernstrukturen
Führen Sie pro Gesellschaft einen eigenen Krisenstab und behalten Sie zugleich die Holding-weite Sicht. Definierte Übernahmestufen regeln, wann ein übergeordneter Stab bei großflächigen Lagen die Führung übernimmt. Die operative Pflege bleibt in der zuständigen Gesellschaft – die übergeordnete Ebene sieht den Status, ohne in die lokale Verantwortung einzugreifen.
Welche Rahmenwerke das Krisenmanagement-Modul abbildet
- BSI 200-4 (Kap. 8/9)
- ISO 22361:2022
- EU AI Act 2024/1689
- DSGVO
- BSI-Standard 200-4 (Kapitel 8 und 9)
- Das Modul bildet die Bewältigungsorganisation nach Kapitel 8 ab – mehrstufige Eskalation, Stabsarbeit, Aktivierung und kontrollierte Deaktivierung – sowie die Tests und Übungen nach Kapitel 9 mit Tabletop-, Rahmen- und Vollübungen. Krisen-Triggerkriterien beziehen sich dabei unter anderem auf überschrittene Wiederanlaufzeiten aus der Business-Impact-Analyse und auf eingetretene Risiken aus der Risikoanalyse.
- ISO 22361:2022
- Die Krisenkommunikation ist entlang der Phasen Initial, Update, Auflösung und Nachgang strukturiert, und die Auswertung von Lessons Learned folgt einer thematischen Taxonomie. ISO 22361 dient als methodischer Referenzrahmen für die Krisenmanagement-Capability ergänzend zu BSI 200-4.
- BSI 200-4 als NIS-2-relevanter Baustein
- Business Continuity Management nach BSI 200-4 ist für viele Organisationen Teil ihrer NIS-2-Pflichten. Das Modul liefert hierfür die operative Bewältigungsschicht – vordefinierte Krisenstäbe, gestufte Eskalation und dokumentierte Übungen –, auf der eine NIS-2-konforme Umsetzung aufsetzen kann. Die Beurteilung der NIS-2-Konformität verbleibt bei Ihrer Organisation.
- EU AI Act (Verordnung 2024/1689)
- Die optionalen KI-Funktionen fallen in den Hochrisiko-Kontext nach Annex III Nr. 5(c) (Verwaltung kritischer Infrastrukturen) und Nr. 8(a) (Verwaltung von Notfall- und Rettungsdiensten). Jeder KI-Abschnitt zeigt eine Modellkarte mit Zweck, Risikoklasse und dem Hinweis auf die menschliche Letztentscheidung – die Transparenzpflicht nach Art. 50 ist damit unmittelbar erfüllt.
- DSGVO (Art. 9 und 32)
- Privatkontaktdaten der Stabsmitglieder, Klartext aus Lessons Learned und Protokolle berühren besondere Schutzanforderungen. Avalon erfasst Privatkontakte nur mit dokumentierter, jederzeit widerrufbarer Einwilligung, legt Protokoll-Inhalte verschlüsselt ab und dokumentiert jeden Lesezugriff – der Betrieb erfolgt On-Premise ohne Datenabfluss.
Avalon unterstützt die Umsetzung dieser Rahmenwerke. Die Konformität bleibt in der Verantwortung Ihrer Organisation.
KI mit Kontrolle: vorschlagen ja, auslösen nie
- Human-in-the-Loop: KI schlägt Eskalations-Trigger und eine Einordnung der Lessons Learned vor – Sie prüfen, überschreiben oder verwerfen jeden Vorschlag einzeln.
- Harte Grenze: Die KI löst niemals selbst eine Krisenstab-Aktivierung aus und schreibt niemals eine Personenbesetzung – die Letztentscheidung liegt beim Menschen.
- Transparenz und Audit-Trail: Modellkarte nach Art. 50, Warnbanner bei Methodik-Abweichung und ein lückenloses Audit-Log über jeden KI-Lauf.
Häufige Fragen zum Krisenmanagement-Modul
- Worin unterscheidet sich das Krisenmanagement vom BCM- und Notfallmanagement-Modul?
- BCM und Notfallmanagement decken die Vorsorge ab – Business-Impact-Analyse, Kontinuitätsstrategien und Notfallpläne, also welche Prozesse wichtig sind und wie man sich erholt. Das Krisenmanagement ist die operative Reaktionsschicht darüber: Krisenstäbe, Eskalations- und Trigger-Matrix, Krisenkommunikation, Übungen und die revisionssichere Aktivierung im Ernstfall nach BSI 200-4 Kapitel 8 und 9. Beide Module greifen ineinander, sind aber eigenständig nutzbar.
- Welche Normen bildet das Modul ab?
- Im Zentrum stehen der BSI-Standard 200-4 (Kapitel 8 Bewältigung und Kapitel 9 Tests und Übungen) und ISO 22361:2022 als methodischer Referenzrahmen, angelehnt an den BCM-Lebenszyklus von ISO 22301. Für viele Organisationen ist BCM nach BSI 200-4 zugleich eine NIS-2-Pflicht. Die optionalen KI-Funktionen erfüllen die Transparenzpflicht nach EU AI Act Art. 50, und der Umgang mit Privatkontakten und Protokollen folgt der DSGVO (Art. 9 und 32).
- Kann die KI einen Krisenstab selbst aktivieren?
- Nein. Die KI darf eine Krisenstab-Aktivierung niemals selbst auslösen und niemals eine Personenbesetzung schreiben – das ist eine harte Grenze. Sie schlägt lediglich Eskalations-Trigger vor und ordnet Lessons Learned thematisch ein; jeder Vorschlag wird einzeln vom Menschen geprüft, überschrieben oder verworfen. Kein Ergebnis wird ohne ausdrückliche Übernahme wirksam, und jeder KI-Lauf ist über das Audit-Log nachvollziehbar.
- Werden Stabsmitglieder im Ernstfall automatisch per SMS alarmiert?
- Die SMS-Alarmierung ist in der aktuellen Ausbaustufe als Simulation umgesetzt – der War-Room zeigt einen Alarmierungs-Status, ohne dass reale Nachrichten versendet werden. Für den Echteinsatz verlassen Sie sich daher zusätzlich auf Ihren etablierten Alarmierungsweg, bis der reale Versand freigeschaltet ist. Alle übrigen Aktivierungs-, Protokoll- und War-Room-Funktionen sind produktiv nutzbar.
Welches Modul passt zu Ihrem nächsten Schritt?
Wir zeigen Ihnen Avalon entlang Ihrer aktuellen Fragestellung – konkret, in Ihrem Kontext, ohne Standard-Sales-Demo.
- On-Premise
- Human-in-the-Loop
- EU-AI-Act-konform by Design
On-Premise · Ihre Daten verlassen das Haus nicht