NIS2 Maßnahme 9: Gesicherte Notfallkommunikationssysteme
Von den zehn Risikomanagementmaßnahmen nach Art. 21 NIS2-Richtlinie (in Deutschland: § 30 NIS2UmsuCG) ist Maßnahme 9 die einzige, die explizit ein technisches System vorschreibt. Sie verlangt gesicherte Notfallkommunikation, unabhängig von der regulären IT-Infrastruktur. Dieser Artikel erklärt, was das konkret bedeutet, warum Standard-Kommunikation nicht ausreicht und wie Unternehmen die Anforderung erfüllen.
Was fordert Maßnahme 9 genau?
Der Gesetzestext lässt wenig Interpretationsspielraum:
Art. 21 Abs. 2 lit. j NIS2
"Die Verwendung von Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierungslösungen, gesicherte Sprach-, Video- und Textkommunikation und gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung."
Der Paragraph enthält zwei Teile: Multi-Faktor-Authentifizierung (MFA) auf der einen Seite und gesicherte Kommunikationssysteme auf der anderen. Für Unternehmen mit erhöhtem Risikoprofil, also insbesondere wesentliche Einrichtungen, ist der zweite Teil nicht optional.
Das Schlüsselwort ist "gesichert": Die Kommunikation im Notfall muss nachweislich funktionieren, auch wenn die reguläre IT-Infrastruktur ausgefallen oder kompromittiert ist.
▶︎ Mehr lesen: Warum war die Anpassung von NIS auf NIS 2 nötig?
Mehr als 20 Jahre Erfahrung beim Alarmieren
IT-Alarmierung, Brandalarm, Betriebliche Ersthelfer alarmieren und vieles mehr. ISO-zertifizierte Server-Infrastruktur. Im Einsatz bei KMUs, Konzernen, Behörden und öffentlichen Organisationen.
Warum reicht E-Mail, Teams oder Telefon nicht aus?
Die meisten Unternehmen kommunizieren im Alltag über E-Mail, Microsoft Teams, Slack oder das Telefonnetz. Das Problem: Genau diese Systeme fallen in einem Ernstfall oft zuerst aus.
IT-Ausfall
Bei einem Cyberangriff oder technischen IT-Ausfall sind E-Mail-Server und interne Kommunikationsplattformen oft nicht mehr erreichbar. Wer dann über Teams alarmieren will, kann niemanden erreichen.
Fehlende Bestätigung
Standard-Kommunikation gibt keine Rückmeldung ob eine Nachricht gelesen und verstanden wurde. Im Notfall ist das kritisch: Wer weiß, dass der Brandschutzbeauftragte die Alarmierung tatsächlich empfangen hat?
Keine Eskalationslogik
Wenn eine Person nicht erreichbar ist, kann ein E-Mail-System nicht automatisch die nächste Person benachrichtigen. Ein gesichertes Notfallkommunikationssystem schon.
Kein Audit-Log
Für die 24-Stunden-Meldepflicht nach Art. 23 NIS2 brauchen Unternehmen einen lückenlosen Nachweis: Wer wurde wann alarmiert, wer hat bestätigt, wie wurde eskaliert? Standard-Kommunikation liefert das nicht.
▶︎ Mehr lesen: IT-Alarmierung
Wichtig:
Das Gesetz fordert nicht nur dass ein Notfallkommunikationssystem vorhanden ist, sondern dass es im Ernstfall tatsächlich funktioniert. Das bedeutet: unabhängig von der internen IT, mit Bestätigungsfunktion und nachweisbarer Dokumentation.
Was macht ein Notfallkommunikationssystem "gesichert"?
Der Begriff "gesichert" lässt sich aus dem Kontext des Gesetzes und den ENISA-Leitlinien ableiten. Ein System erfüllt die Anforderung wenn es folgende Eigenschaften hat:
- IT-Unabhängigkeit: Das System läuft auf einer eigenen Infrastruktur, nicht auf den internen Servern des Unternehmens. Fällt die interne IT aus, funktioniert die Alarmierung trotzdem.
- Redundante Alarmierungskanäle: Primär per Alarmierungs App - wenn die Alarmierung per App nicht möglich ist, automatischer Rückfall auf SMS, Anruf oder weitere Kanäle. Alles läuft automatisch, ohne manuellen Eingriff.
- Bestätigungsfunktion: Empfänger müssen den Alarm aktiv bestätigen. Das System weiß wer erreicht wurde und wer nicht.
- Vollständiger Audit-Log: Jede Alarmierung, jede Eskalationsstufe und jede Bestätigung wird mit Zeitstempel protokolliert - unveränderbar und exportierbar.
- Vordefinierte Szenarien: Alarmierungen können für verschiedene Notfalltypen vorbereitet werden, damit im Ernstfall keine Zeit verloren geht.
▶︎ Mehr lesen: Wie funktioniert das Alarmierungssystem von safeREACH
Wie erfüllt safeREACH Maßnahme 9?
safeREACH ist ein Notfallkommunikationssystem das speziell für diese Anforderungen entwickelt wurde. Die Kernfunktionen im Kontext von Maßnahme 9:
- Unabhängig von der internen IT: safeREACH läuft auf ISO-zertifizierter Infrastruktur. Ein IT-Ausfall im Unternehmen hat keinen Einfluss auf die Alarmierungsfähigkeit.
- Eskalationslogik mit Rückfallebenen: Primäralarmierung per Alarmierungs App. Wenn keine Bestätigung eingeht, eskaliert das System automatisch an die nächste Eskalationsstufe.
- Bestätigungsfunktion: Jeder Empfänger bestätigt den Alarm aktiv. Die Übersicht zeigt in Echtzeit wer erreicht wurde und wer nicht.
- Audit-Log: Vollständige, manipulationssichere Protokollierung aller Alarmierungen - als Grundlage für die 24h-Meldepflicht nach Art. 23 NIS2 und für interne Nachweise gegenüber der Geschäftsführung.
- Vordefinierte Alarmszenarien: Für IT-Ausfall, Cyberangriff, Brandalarm und weitere Notfalltypen können Szenarien hinterlegt werden, die mit wenigen Klicks ausgelöst werden.
▶︎ Mehr lesen: Wie eine Alarmierungssoftware wie safeREACH wertvolle Zeit spart
Nationale Umsetzung
Art. 21 NIS2 gilt EU-weit. Jeder Mitgliedstaat setzt die Anforderung in nationales Recht um - inhaltlich identisch. In Deutschland durch § 30 NIS2UmsuCG, in Österreich durch § 33 NISG 2026. Die technischen Anforderungen an ein gesichertes Notfallkommunikationssystem sind in allen Mitgliedstaaten dieselben.
▶︎ Mehr lesen: Warum ist ein effektives IT-Incident-Management für Unternehmen so wichtig?
1.666 Alarme pro Sekunde
safeREACH als Ihr leistungsstarkes Alarmierungssystem mit bis zu 100.000 Alarmen pro Minute. Erfolgreich im Einsatz bei multinationalen Konzernen, mittelständischen Unternehmen & Behörden. ISO-zertifizierte Server-Infrastruktur.
Fazit
Maßnahme 9 ist keine abstrakte Compliance-Anforderung. Sie beschreibt ein konkretes technisches Problem: Im Ernstfall muss Kommunikation funktionieren, auch wenn die reguläre IT versagt. Standard-Systeme wie E-Mail oder Teams erfüllen diese Anforderung nicht.
Unternehmen und Einrichtungen, die unter NIS 2 fallen, brauchen ein dediziertes Notfallkommunikationssystem - mit IT-Unabhängigkeit, Bestätigungsfunktion und lückenlosem Audit-Log. Das ist Maßnahme 9. Und das ist der Kern von safeREACH.
▶︎ Mehr lesen: Digital Operational Resilience Act (DORA) und KRITIS Dachgesetz
Digitale Alarmierung für jede Notsituation - mit safeREACH
Erleben Sie, wie das digitale Alarmierungssystem von safeREACH Ihre Notfallkommunikation schneller, zuverlässiger und einfacher macht. Ob technische Störung, Cyberangriff oder Evakuierung. Wir zeigen Ihnen, wie Sie auf jede Lage vorbereitet sind.
