NIS2-Krisenkommunikation: Welche Rolle spielt Telfo?

Verfasst von der NIS2Compass Redaktion | Stand: September 2026

Nach §30 Abs. 2 Nr. 3 und Nr. 10 BSIG müssen NIS2-pflichtige Unternehmen Krisenmanagement und gesicherte Notfallkommunikation nachweisen. Laut Bitkom haben aktuell nur 28 Prozent der deutschen Unternehmen ein etabliertes Krisen- oder Notfallmanagement. NIS2Compass führt strukturiert durch Eskalationsmatrix, Kommunikationskanäle und Krisenkommunikationsplan in Guide Kapitel 7. Telefonische Erreichbarkeit, etwa via Telfo, ist dabei nur ein Baustein unter mehreren.

Was verlangt NIS2 von der Krisenkommunikation nach §30 BSIG?

NIS2 gilt risikobasiert: Betroffen sind nur Einrichtungen ab bestimmter Größe in 18 definierten Sektoren, nicht jedes Unternehmen. Für sie zählt Krisenkommunikation zu den zehn Pflichtbereichen aus §30 Abs. 2 BSIG — konkret Nr. 3 (Betriebskontinuität und Krisenmanagement) und Nr. 10 (gesicherte Kommunikation, gegebenenfalls Notfallkommunikationssysteme). NIS2Compass ordnet diese Pflichten in einen strukturierten Umsetzungspfad ein.

Der Gesetzestext benennt beide Anforderungen konkret. Nr. 3 verlangt die „Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement". Nr. 10 fordert unter anderem „gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme".

Diese Business-Continuity-Pflicht steht eigenständig neben den Meldepflichten. Welche Vorfälle wann an das BSI gemeldet werden müssen, klärt ein separater Leitfaden; hier geht es darum, wie ein Unternehmen im Ernstfall handlungs- und kommunikationsfähig bleibt.

Einen operativen Rahmen dafür liefert der BSI-Standard 200-4 zum Business Continuity Management. Er konkretisiert §30 BSIG unter anderem zu Alarmierung, Krisenstabsarbeit und Krisenkommunikation. Wie groß die Lücke in der Praxis ist, zeigt eine aktuelle Erhebung: Im Schnitt können deutsche Unternehmen ihren Betrieb bei einem Internetausfall nur rund 20 Stunden aufrechterhalten, 21 Prozent können gar nicht weiterarbeiten (Bitkom, 11.02.2026). NIS2Compass führt in Guide Kapitel 7 „Geschäftskontinuität und Krisenmanagement" durch die praktische Umsetzung dieser Pflichten.

Wer entscheidet im Ernstfall? Wie baut man eine Eskalationsmatrix auf?

Eine Eskalationsmatrix legt fest, wer bei welchem Schweregrad eines Vorfalls informiert und einbezogen wird, und ist Kernbestandteil des Incident-Response-Plans nach §30 Abs. 2 Nr. 2 BSIG. Aktuell haben jedoch nur 28 Prozent der deutschen Unternehmen ein Krisen- oder Notfallmanagement etabliert, weitere 25 Prozent planen die Einführung, wie eine Bitkom-Erhebung zeigt. NIS2Compass strukturiert Rollen und Eskalationsstufen in Guide Kapitel 4.

Wie muss die interne Eskalationskette aufgebaut sein?

Die Eskalationskette muss rund um die Uhr funktionieren, denn Sicherheitsvorfälle halten sich nicht an Bürozeiten (Guide Kapitel 4.1.2). Wer welche Stufe erreicht, hängt von der Schwere des Vorfalls ab. Die Schwelle dafür orientiert sich an der Frage, was als „erheblicher Sicherheitsvorfall" nach NIS2 zählt.

Wer gehört in den Krisenstab?

Die Geschäftsleitung trägt nach §38 BSIG die Verantwortung für Umsetzung und Überwachung der §30-Maßnahmen und billigt den Incident-Response-Plan (Guide Kapitel 4.1.4) — diese Verabschiedung ist zugleich eine Nachweispflicht. ISB oder Krisenstabsleitung steuern operativ, der Datenschutzbeauftragte wird bei Personenbezug parallel zur DSGVO-Meldepflicht eingebunden. Externe Forensik-Dienstleister sind als eskalierbarer Baustein vorgesehen, nicht als Standardbesetzung.

Eine funktionierende Eskalationskette ist zudem Voraussetzung dafür, die 24-Stunden-Frist der Frühwarnung überhaupt einhalten zu können.

Was wird bei der Eskalationsmatrix häufig übersehen?

Die Matrix muss auch greifen, wenn einzelne Rollen ausfallen. Vertretungsregelungen für Urlaub und Krankheit werden in der Praxis oft vergessen, obwohl gerade das den Ernstfall entscheidet.

Wie unterscheiden sich interne und externe Kommunikation?

Interne und externe Kommunikation gehören in getrennte Pläne (Guide Kapitel 4.1.3). Intern klärt der Kommunikationsplan, wer wen alarmiert und welche Informationen der Krisenstab für seine Entscheidungen benötigt. Extern legt er fest, was Kunden, Lieferanten und Öffentlichkeit erfahren und wer diese Freigabe erteilt.

Welche Kommunikationskanäle brauchen Redundanz?

Fällt E-Mail, Kollaborationstool oder Kundenportal durch einen Cyberangriff aus, muss mindestens ein davon unabhängiger Kanal funktionsfähig bleiben. §30 Abs. 2 Nr. 10 BSIG verlangt gesicherte Kommunikation und gegebenenfalls eigene Notfallkommunikationssysteme. Aktuell verfügen laut Bitkom jedoch nur 58 Prozent der deutschen Unternehmen über alternative Kommunikationsmittel für den Krisenfall.

Die Redundanz muss vor dem Ernstfall geplant und getestet sein, nicht während dessen improvisiert werden. Dafür braucht es eine Out-of-Band-Notfallkommunikation — Kanäle, die physisch und technisch getrennt von der Standard-IT laufen. Konkrete Ausfallszenarien helfen bei der Planung: Was funktioniert noch, wenn der E-Mail-Server verschlüsselt ist? Wenn Teams oder Slack nicht erreichbar sind? Wenn das Kundenportal down ist?

Die Antwort liegt meist in privaten Mobiltelefonen, einer alternativen Domain oder einem separaten Cloud-Postfach sowie klassischer Telefonie, vorab dokumentiert und im Ernstfall sofort abrufbar. Ein oft übersehener Punkt: Prüfen Sie Abhängigkeiten, die mehrere Kanäle gleichzeitig lahmlegen können. Ein gemeinsamer Internetanschluss, derselbe Identitätsdienst für Single Sign-On oder eine zentrale Telefonanlage machen scheinbar getrennte Kanäle im Ernstfall gleichzeitig unbrauchbar.

Damit diese Überlegungen nicht in einer Schublade verschwinden, gehören sie in einen eigenständigen Krisenkommunikationsplan — getrennt von, aber eingebettet in den größeren Rahmen aus Business Continuity Plan und IT-Notfallhandbuch. Der NIS2 Guide führt in Kapitel 7 „Geschäftskontinuität und Krisenmanagement" durch diesen Rahmen; Kapitel 7.2.3 zeigt konkret, wie ein Krisenkommunikationsplan erstellt wird. Die dazugehörige Excel-Vorlage für den Krisenkommunikationsplan aus der Template Library liefert die Struktur direkt einsatzbereit, inklusive interner und externer Kommunikationswege nach Kapitel 4.1.3 sowie der Out-of-Band-Verfahren aus Kapitel 4.1.5.

Welche Rolle spielt telefonische Erreichbarkeit im Krisenfall?

Telefonie dient im Krisenfall als zusätzlicher Kommunikationsweg, wenn E-Mail, Kollaborationstools oder das Kundenportal ausfallen oder nicht mehr vertrauenswürdig sind. Belastbar wird dieser Kanal aber nur, wenn Rufnummer, Annahme, Priorisierung und Eskalation vorab festgelegt sind. §30 Abs. 2 Nr. 10 BSIG verlangt „gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme" als Pflichtthema.

Eine eigene, belastbare Statistik zur telefonischen Erreichbarkeit im Krisenfall existiert dagegen nicht.

Ein telefonischer Fallback muss vorab mehrere Punkte festlegen:

• Erreichbare Rufnummer: Welche Nummer gilt im Krisenfall, und wie wird sie kommuniziert?
• Mindestinformationen bei Annahme: Welche Angaben erfasst die annehmende Person oder das System sofort?
• Dringlichkeitskriterien: Wie wird ein kritischer von einem unkritischen Anruf unterschieden?
• Eskalationsweg: Wer wird bei welchem Schweregrad alarmiert?
• Rückführung: Wie gelangen offene Vorgänge nach Wiederherstellung der Hauptsysteme zurück in die reguläre Bearbeitung?

Wer nimmt Anrufe an, wenn die Belegschaft im Krisenstab gebunden ist? Klassische Rufumleitung an Vertretungen, ein externer Antwortdienst und KI-gestützte Anrufannahme sind dabei gleichrangige Optionen. Die NIS2-Richtlinie und das NIS2UmsuCG schreiben keine davon vor. Entscheidend ist, dass die gewählte Lösung vorab getestet und dokumentiert ist.

Eine vertiefende Einordnung zu Notfallkommunikation und telefonischer Erreichbarkeit bietet Telfo in einem eigenen Beitrag.

Was ist Telfo und wo passt es hinein?

Telfo ist ein in Mannheim entwickeltes KI-Telefonassistenz-Angebot. Nach Angaben auf der Telfo-Website (Stand September 2026) nimmt der Dienst eingehende Anrufe automatisiert an, erfasst Anliegen strukturiert und gibt je nach Konfiguration Rückrufwünsche, Prioritäten oder Statusinformationen an das Unternehmen weiter. Telfo beschreibt sein Angebot als in Deutschland entwickelten und gehosteten KI-Telefonassistenten.

Im Rahmen eines unternehmenseigenen Business-Continuity-Konzepts kann ein solcher Assistent einen zusätzlichen telefonischen Prozess unterstützen, etwa freigegebene Statusinformationen wiedergeben oder Rückrufe strukturiert sammeln. Voraussetzung dafür ist, dass Risiken, Abhängigkeiten, Datenschutz, Eskalationswege und ein manueller Fallback vorab geklärt sind.

Es besteht keine offizielle Partnerschaft und keine technische Integration zwischen NIS2Compass und Telfo. Ein KI-Telefonassistent macht ein Unternehmen zudem nicht NIS2-konform und ersetzt keine Business-Continuity-Planung. NIS2-Konformität ergibt sich aus dem gesamten Risikomanagement nach §30 BSIG, nicht aus einem einzelnen Werkzeug.

Zu beachten bleiben gemeinsame Abhängigkeiten: Läuft der automatisierte Telefonweg über denselben Internetanschluss oder denselben Anbieter wie die übrige IT, fällt er bei einem Ausfall möglicherweise gleichzeitig aus. Ein unabhängiger, manuell besetzter Fallback bleibt deshalb notwendig.

Wie baut ein Klinikverbund seine Krisenkommunikation auf? (Praxisbeispiel)

Ein mittelständischer Klinikverbund mit rund 180 Mitarbeitenden gilt nach BSIG-Anlage 1 als wichtige Einrichtung im Sektor Gesundheitswesen. Ein Ransomware-Vorfall legt dort Patientenportal und interne E-Mail gleichzeitig lahm, während Patienten und Zulieferer weiter erreichbar bleiben müssen. Eine vorbereitete Eskalationsmatrix und ein getesteter telefonischer Ausweichkanal halten Patientenkommunikation und Krisenstabsarbeit aufrecht.

Das folgende Szenario ist konstruiert und anonymisiert, orientiert sich aber an typischen Abläufen im Gesundheitssektor. Ransomware verschlüsselt Teile des internen Netzwerks, das Patientenportal ist nicht mehr erreichbar, das E-Mail-System fällt komplett aus. Der Krisenstab wird über eine dokumentierte Eskalationskette alarmiert (§30 Abs. 2 Nr. 2/3 BSIG), externe Forensik wird nach vorab festgelegten Kriterien hinzugezogen.

Weil E-Mail und interne Systeme ausfallen, aktiviert der Kommunikationsplan einen Out-of-Band-Kanal für die Abstimmung im Krisenstab — etwa Telefon oder ein separater Messenger-Kanal außerhalb des betroffenen Netzwerks. Für Patienten und Zulieferer greift ein vorbereiteter telefonischer Ausweichkanal: eine vorab festgelegte Rufnummer mit klar definierten Mindestangaben, wer wann welche Information erhält. So bleiben Terminanfragen und dringende Rückfragen auch ohne Portal beantwortbar.

Da Patientendaten betroffen sind, läuft parallel möglicherweise eine Meldepflicht nach Art. 33/34 DSGVO neben der NIS2-Meldung. Beide Verfahren müssen koordiniert werden, damit Fristen und Zuständigkeiten nicht auseinanderlaufen. Die Frühwarnung innerhalb von 24 Stunden an die gemeinsame Meldestelle von BSI und BBK wird eingehalten, weil die Eskalationskette bereits stand.

Nach der akuten Phase fließt der Vorfall in ein Post-Incident-Review ein, das den Krisenkommunikationsplan aktualisiert. Was in dieser Nachbereitung typischerweise ansteht, beschreibt der Artikel Was passiert nach einer BSI-Meldung?

Der Gesundheitssektor zählt laut ENISA im NIS360-Bericht 2026 zu den sieben Sektoren in der Risikozone, vergleichsweise geringe Cybersicherheitsreife trifft dort auf hohe Kritikalität. Nicht die eingesetzte Einzeltechnologie entschied im Beispiel über die Reaktionsgeschwindigkeit, sondern die Vorbereitung: Eskalationsmatrix, redundante Kanäle und ein getesteter telefonischer Fallback.

Wie gelingt der Einstieg in die Krisenkommunikationsplanung? (Praxis-Checkliste)

Der Einstieg gelingt mit einer dokumentierten Eskalationsmatrix, mindestens einem redundanten Kommunikationskanal und einem getesteten Krisenkommunikationsplan, der auch bei Abwesenheit einzelner Verantwortlicher funktioniert. Aktuell führen nur 10 Prozent der Unternehmen regelmäßige Krisenübungen durch, weitere 26 Prozent planen dies laut Bitkom. NIS2Compass bündelt die nötigen Vorlagen und Checklisten in Guide Kapitel 4 und 7.

Folgende Punkte sollten Unternehmen vor dem Ernstfall abgehakt haben:

• Eskalationskette dokumentiert: Vertretungsregelung festgelegt und allen Beteiligten bekannt (Guide 4.1.2).
• Kommunikationsplan schriftlich fixiert: interne und externe Kommunikationswege klar geregelt (Guide 4.1.3).
• Out-of-Band-Kanal eingerichtet: mindestens ein Kanal, der unabhängig vom Hauptnetzwerk funktioniert (Guide 4.1.5).
• Krisenkommunikationsplan als eigenes Dokument: klare Zuständigkeiten statt Improvisation im Ernstfall (Guide 7.2.3, Template).
• Telefonischer Fallback definiert: Rufnummer, Mindestinformationen und Eskalationskriterien festgelegt, ob manuell besetzt oder unterstützt durch einen KI-Telefonassistenten wie Telfo, der auch bei Personalausfall erreichbar bleibt.
• Gemeinsame Abhängigkeiten identifiziert: Internetanschluss, Identitätsdienst und Telefonanlage auf Ausfallszenarien geprüft.
• IR-Plan und BCP gebilligt: Freigabe durch die Geschäftsführung gemäß §38 BSIG (Guide 4.1.4, 7.2.4).
• Krisenübung mindestens jährlich: durchgeführt und dokumentiert (Guide 4.3, 7.4).
• Lessons Learned eingearbeitet: nach jedem Ernstfall oder jeder Übung in die bestehenden Pläne übernommen (Guide 4.4.3, 7.4.3).

Wer die Meldepflichten im Ernstfall noch nicht kennt, findet die Details im Beitrag NIS2-Meldepflichten: Wann, was und an wen melden?

Häufig gestellte Fragen

Ist Krisenkommunikation für alle Unternehmen nach NIS2 Pflicht?

Nein. Krisenkommunikation ist nur für Unternehmen verpflichtend, die unter den Anwendungsbereich des BSIG fallen: Sektor, Unternehmensgröße und gesetzliche Sonderfälle entscheiden über die Betroffenheit. Betroffene Einrichtungen müssen Krisenmanagement und Betriebskontinuität nach §30 Abs. 2 Nr. 3 BSIG als eines von zehn Pflichtthemen umsetzen, unabhängig von ihrer Branche.

Was gehört in einen Krisenkommunikationsplan?

Ein Krisenkommunikationsplan enthält mindestens Zuständigkeiten und Vertretungsregeln, interne und externe Kommunikationswege, vorformulierte Kernaussagen für unterschiedliche Szenarien, mindestens einen redundanten Kanal sowie klare Freigabeprozesse für externe Statements. NIS2Compass stellt dafür im Guide Kapitel 7.2.3 ein Krisenkommunikationsplan-Template bereit, das sich an eigene Prozesse und Zuständigkeiten anpassen lässt.

Reicht ein Telefon-Fallback als Notfallkommunikation aus?

Nein. Telefonische Erreichbarkeit ist ein sinnvoller zusätzlicher Kanal, ersetzt aber keine vollständige Krisenkommunikationsplanung. §30 Abs. 2 Nr. 10 BSIG verlangt gesicherte Kommunikation insgesamt, nicht nur einen einzelnen Kanal, und schreibt dafür gesetzlich keine bestimmte Technologie oder keinen bestimmten Anbieter vor.

Macht ein KI-Telefonassistent wie Telfo ein Unternehmen NIS2-konform?

Nein. NIS2-Konformität ergibt sich aus dem gesamten Risikomanagement nach §30 BSIG. Ein KI-Telefonassistent wie Telfo kann im Rahmen einer Business-Continuity-Planung einen zusätzlichen telefonischen Prozess unterstützen, ersetzt aber keine Eskalationsmatrix, keinen Kommunikationsplan und keine der übrigen neun Pflichtmaßnahmen. Zudem besteht keine offizielle Partnerschaft zwischen NIS2Compass und Telfo.

Wie oft muss die Krisenkommunikation getestet werden?

Das BSIG schreibt kein festes Testintervall vor, verlangt aber wirksame und aktuelle Maßnahmen. In der Praxis empfiehlt sich mindestens eine jährliche Krisenübung, wie sie NIS2Compass Guide Kapitel 4.3 und 7.4 vorsieht. Aktuell führen laut Bitkom nur 10 Prozent der Unternehmen regelmäßige Übungen durch.