S+P Seminar A04 · Business Continuity Management
Ein Tag. Drei Werkzeuge für dein Notfallmanagement.
Du verantwortest Notfallmanagement oder Business Continuity und musst MaRisk, DORA und NIS-2 in ein funktionierendes Notfallkonzept übersetzen? An drei Praxisfällen arbeitest du mit Auswirkungs- und Risikoanalyse, Notfallkonzept und Notfallbericht – vom Dienstleisterausfall bis zum Cyberangriff.
Das ausführliche Programm
01
02
03
Für Notfallbeauftragte und Business Continuity Manager sowie Fach- und Führungskräfte aus Notfall- und Auslagerungsmanagement. Der MaRisk-Schwerpunkt bezieht sich auf Institute im Anwendungsbereich des Rundschreibens 06/2026 (BA); Der DORA-Schwerpunkt liegt auf der IKT-Geschäftsfortführung nach Art. 11; für Unternehmen im vereinfachten Rahmen nach Art. 16 DORA gelten abweichende Vorgaben, insbesondere Art. 39 und 40 der Delegierten Verordnung (EU) 2024/1774. Teilnehmende aus anderen Branchen übertragen die Methodik und prüfen BSIG und KRITIS-Dachgesetz für ihr Unternehmen gesondert.
Grundkenntnisse der eigenen Geschäftsprozesse und Zuständigkeiten erleichtern den Transfer. Bring gern offene Fragen aus BIA, Notfalltests und Berichterstattung mit. Nutze Beispiele aus deinem Notfallkonzept nur als intern freigegebene, anonymisierte Auszüge ohne vertrauliche Kunden-, System-, Zugangs- oder Kontaktdaten; die Prüfung eines vollständigen Notfallkonzepts ersetzt der Seminartag nicht.
Jeder Termin arbeitet mit dem am Seminartag geltenden Rechtsstand – Themen wie MaRisk, DORA, NIS-2 und KRITIS-Dachgesetz werden laufend fortgeschrieben.
Regulatorisches Update · Stand 02.10.2026
Vier Änderungen für Notfallkonzept, Analysen, Tests und Berichterstattung: Du unterscheidest neue Vorgaben, fortgeltende Anforderungen und noch laufende Übergangsregelungen. Welche Vorgaben für dich gelten, hängt davon ab, ob dein Unternehmen den MaRisk, DORA, dem BSIG oder dem KRITIS-Dachgesetz unterliegt.
| Bisherige Regelung | Neue Regelung |
|---|---|
| MaRisk: Notfallmanagement nach AT 7.3Das Notfallkonzept knüpfte an zeitkritische Aktivitäten und Prozesse an. Bereits AT 7.3 MaRisk 2024 verlangte, Wirksamkeit und Angemessenheit des Notfallkonzepts für alle relevanten Szenarien mindestens jährlich und anlassbezogen nachzuweisen, und die Geschäftsleitung mindestens quartalsweise und anlassbezogen schriftlich zu unterrichten. Nach AT 9 Tz. 6 waren wesentliche Auslagerungen ohne Handlungsoptionen in der Notfallplanung zu berücksichtigen. | Seit 30.06.2026 · Neues ab 01.01.2027AT 7.3 Tz. 1 MaRisk 06/2026 (BA) knüpft das Notfallkonzept an Aktivitäten und Prozesse an, die kritische oder wichtige Funktionen darstellen, und übernimmt damit die DORA-Begrifflichkeit; erforderliche unterstützende Prozesse sind einzubeziehen. Die mindestens quartalsweise und anlassbezogene schriftliche Unterrichtung der Geschäftsleitung bleibt bestehen, ebenso die Berücksichtigung von Auslagerungen ohne Handlungsoptionen nach AT 9 Tz. 6. Das IKT-bezogene Notfallmanagement richtet sich für erfasste Institute nach DORA; gleiche Funktionszuordnung, BIA und Notfallkonzept mit den DORA-Unterlagen ab. Soweit sich zusätzliche Anforderungen ergeben, sind sie bis 01.01.2027 umzusetzen; bestehende Pflichten bleiben zu erfüllen. |
| DORA: IKT-GeschäftsfortführungAnforderungen an IT-Notfallmanagement und Wiederherstellung ergaben sich für Institute im Wesentlichen aus den MaRisk und nationalen Rundschreiben. | DORA seit 17.01.2025 · vollständiges BAIT-Ende mit Ablauf 31.12.2026Für Finanzunternehmen im vollständigen IKT-Risikomanagementrahmen gelten die Anforderungen des Art. 11 DORA an Geschäftsfortführungsleitlinie, Business Impact Analyse sowie Reaktions- und Wiederherstellungspläne, konkretisiert durch Art. 24 bis 26 der Delegierten Verordnung (EU) 2024/1774; Datensicherung und Wiederherstellung regelt Art. 12. Für den vereinfachten Rahmen nach Art. 16 DORA gelten abweichende Vorgaben. Die Meldepflicht für schwerwiegende IKT-bezogene Vorfälle nach Art. 19 gilt seit 17.01.2025; die Klassifizierung regelt die Delegierte Verordnung (EU) 2024/1772, die seit 12.03.2025 geltenden Verordnungen (EU) 2025/301 und 2025/302 konkretisieren Inhalte, Fristen, Formulare und Verfahren. Institute im Anwendungsbereich von Art. 5 bis 15 oder Art. 16 DORA sind seit 17.01.2025 vom BAIT-Anwenderkreis ausgenommen; für die übrigen BAIT-Anwender endet die Übergangsphase mit der vollständigen Aufhebung der BAIT mit Ablauf des 31.12.2026. |
| NIS-2: Betriebskontinuität außerhalb des FinanzsektorsPflichten zur IT-Sicherheit und Störungsmeldung nach dem BSI-Gesetz trafen im Wesentlichen Betreiber kritischer Infrastrukturen. | Seit 06.12.2025Das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz hat das BSIG neu gefasst und den Kreis der erfassten Einrichtungen deutlich erweitert. Die Risikomanagementmaßnahmen nach § 30 BSIG umfassen unter anderem die Aufrechterhaltung des Betriebs, Backup-Management, Wiederherstellung und Krisenmanagement; erhebliche Sicherheitsvorfälle sind nach § 32 BSIG gestuft zu melden. Die Geschäftsleitung ist nach § 38 BSIG verantwortlich. Für Finanzunternehmen im Anwendungsbereich von DORA gehen deren Vorgaben als sektorspezifische Regelung vor. |
| KRITIS-Dachgesetz: physische ResilienzEinen sektorübergreifenden gesetzlichen Rahmen für die physische Resilienz kritischer Anlagen gab es nicht; Schutzmaßnahmen waren sektoral geregelt. | Seit 17.03.2026Das KRITIS-Dachgesetz (BGBl. 2026 I Nr. 66) setzt die Richtlinie (EU) 2022/2557 um und verpflichtet Betreiber kritischer Anlagen unter anderem zu Risikoanalysen und Resilienzmaßnahmen. Für Finanzunternehmen ist § 4 Abs. 2 Nr. 1 KRITISDachG maßgeblich: Er nimmt die dort bezeichneten DORA-Unternehmen unter anderem von den Pflichten zur Risikoanalyse nach § 12, zu Resilienzmaßnahmen nach § 13 und zur Vorfallmeldung nach § 18 aus – keine vollständige Ausnahme vom gesamten Gesetz. Nach dem aktuellen Hinweis des BBK besteht noch keine Registrierungspflicht, weil die Rechtsverordnung zur Bestimmung kritischer Anlagen noch erarbeitet wird. Prüfe Unternehmensstatus, Anlagenbezug und verbleibende Pflichten getrennt. |
Rechtsgrundlagen: MaRisk · Rundschreiben 06/2026 (BA), AT 7.3, AT 9 · DORA · VO (EU) 2022/2554, Art. 11, 12, 16, 17–19, 24, 25, 28–30 · Delegierte VO (EU) 2024/1774 · Delegierte VO (EU) 2024/1772 · Delegierte VO (EU) 2025/301 · Durchführungsverordnung (EU) 2025/302 · BaFin zur BAIT-Aufhebung · NIS-2 · RL (EU) 2022/2555, umgesetzt durch das NIS2UmsuCG (BSIG §§ 30, 32, 38) · CER · RL (EU) 2022/2557, umgesetzt durch das KRITIS-Dachgesetz, BGBl. 2026 I Nr. 66 (§ 4 Abs. 2 Nr. 1, §§ 12, 13, 18). Die Pflichten sind jeweils nach Branche, Unternehmensgröße und Einstufung als Einrichtung oder kritische Anlage einzuordnen.
Dein Praxistransfer: Stelle fest, welche Regelwerke und welcher DORA-Rahmen für dein Unternehmen gelten, richte dein Notfallkonzept auf kritische oder wichtige Funktionen aus und grenze allgemeines und IKT-bezogenes Notfallmanagement ab. Verbinde BIA, Risk Impact Analyse, RTO und RPO mit den Notfallmaßnahmen und trenne Notfallaktivierung und Meldeentscheidung.
Praxiswerkstatt
Drei Notfälle ziehen sich durch den Seminartag. An ihnen erarbeitest du Auswirkungs- und Risikoanalyse, Notfallkonzept und Notfallbericht.
Ein wesentlicher Dienstleister für die Kreditbearbeitung ist nach einem Brand nicht arbeitsfähig. Sein Notfallkonzept ist mit deinem nie abgestimmt worden, Ersatzwege sind nicht getestet.
Deine Aufgabe: Prüfe mit deiner Auswirkungs- und Risikoanalyse, welche Prozesse betroffen sind und welche Wiederanlaufzeiten realistisch sind – und halte die Abstimmung mit dem Dienstleister in deinem Notfallkonzept fest.
Geübt wurde nur am Tisch, die Ersatzarbeitsplätze wurden nie aufgesucht. Im Quartalsbericht an die Geschäftsleitung steht der Zustand des Notfallmanagements auf Grün.
Deine Aufgabe: Entscheide in deinem Notfallbericht, wie du Testabdeckung und offene Mängel bewertest und was die Geschäftsleitung wissen muss, um wirksam nachsteuern zu können.
Zentrale Systeme sind verschlüsselt, der Krisenstab tritt zusammen. Unklar ist, welche Daten betroffen sind und welche Meldefristen laufen.
Deine Aufgabe: Ordne in deinem Notfallkonzept Rollen, Entscheidungen zur Wiederherstellung und Meldewege – und unterscheide, ob für dein Unternehmen DORA, das BSIG oder beides einschlägig ist.
Dein Ergebnis
Du identifizierst kritische oder wichtige Funktionen, legst Wiederanlaufzeiten fest und bewertest die Risiken der betroffenen Prozesse.
Du strukturierst Notfallorganisation, Geschäftsfortführungs- und Wiederanlaufpläne und stimmst sie mit Dienstleistern ab.
Du berichtest der Geschäftsleitung mindestens quartalsweise, wie es um Testabdeckung, Mängel und Maßnahmen steht.
Du ordnest MaRisk AT 7.3, DORA, BSIG und KRITIS-Dachgesetz für dein Unternehmen ein und grenzt die Zuständigkeiten ab.
Du planst Übungen, die Ersatzwege tatsächlich prüfen, und verfolgst die Ergebnisse nach.
Du erhältst das S+P Teilnahmezertifikat mit dokumentierten Inhalten und 6,0 Zeitstunden sowie das Digital Badge.
Selbsteinschätzung
Im Seminarpreis enthalten
Dein Seminar wirkt über den Veranstaltungstag hinaus: mit der S+P Tool Box für dein Notfallmanagement und S+P C.O.R.E. für regelmäßige Updates zu den Themen, die Resilienz und Risikomanagement im Jahresverlauf treffen.
01 · Direkt anwenden
Dein Werkzeugkasten für das Notfallmanagement.
Nutze die Seminarinhalte direkt in deinem Arbeitsalltag. Die Tool Box ist ohne Aufpreis im Seminarpreis enthalten und unterstützt deine drei Werkzeuge: Auswirkungs- und Risikoanalyse, Notfallkonzept und Notfallbericht.
Dein Vorteil Du beginnst mit konkreten Arbeitshilfen und passt sie an deine Prozesse, Dienstleister und Organisationsrichtlinien an.
S+P Tool Box entdecken02 · Aktuell bleiben
Dein Update. Dein Austausch. Dein nächster Impuls.
Aufsichtsrecht, Kapitalmärkte und Anforderungen an das Risikomanagement ändern sich laufend. Mit S+P C.O.R.E. ordnest du aktuelle Entwicklungen ein und diskutierst praktische Umsetzungsfragen mit Fachverantwortlichen und Experten. Mit deiner Buchung bist du unbefristet und kostenfrei dabei – mit einem Update pro Quartal. Ausgewählte Themen aus dem veröffentlichten Programm:
Dein Vorteil Du bleibst auch nach dem Seminar im Track für Compliance, Geldwäsche und Kapitalmarkt mit dem S+P Expertennetzwerk verbunden.
S+P C.O.R.E. entdeckenBei jeder Buchung enthalten: unbefristet und kostenfrei, ein Update pro Quartal. Zu jedem Update-Event meldest du dich kurz an – so können wir das Update auf Teilnehmerzahl und Branchen abstimmen.
Dein Teilnahmenachweis
Nach dem Seminartag bekommst du deinen Nachweis digital – dort einsetzbar, wo er gesehen wird: im LinkedIn-Profil, im Lebenslauf und gegenüber Vorgesetzten und Aufsicht.
Das Teilnahmezertifikat dokumentiert Inhalte und Umfang dieses Seminartags. Es bestätigt keine bestandene Prüfung und verleiht keinen gesonderten geprüften Lehrgangsabschluss. A04 ist der zweite Tag des zweitägigen Lehrgangs Chief Resilience Officer (Z31). Den Lehrgangsabschluss mit S+P Certified erwirbst du nicht durch die Teilnahme an A04; er setzt den Lehrgang und die optionale, bestandene S+P Certified Prüfung voraus.
Über den Referenten
Geschäftsführer der S+P Unternehmerforum & der S+P Compliance · Notfallmanagement & operative Resilienz
Achim Schulz kennt die Führungsebene aus eigener Verantwortung – langjährig als Vorstand bei Banken und als Geschäftsführer. Er übersetzt aufsichtsrechtliche Anforderungen an Notfallmanagement und operative Resilienz in umsetzbare Konzepte für Geschäftsleitung und Fachbereiche. Im Seminar arbeitet er mit Notfallszenarien aus der Praxis statt mit Paragrafenlektüre.
Termine und Buchung
| Ort | S+P Seminare | Datum | |
|---|---|---|---|
| Online | A04 - Notfallbeauftragter: Haftung senken & Krisen meistern | Jetzt buchen | |
| Online | A04 - Notfallbeauftragter: Haftung senken & Krisen meistern | Jetzt buchen | |
| Online | A04 - Notfallbeauftragter: Haftung senken & Krisen meistern | Jetzt buchen | |
| Online | A04 - Notfallbeauftragter: Haftung senken & Krisen meistern | Jetzt buchen |
Frage zu Termin, Rechnung oder Anmeldung für mehrere Personen?
Schreib uns – die Antwort kommt in der Regel am nächsten Werktag. Meldest du dich mit mindestens zwei Personen aus einem Unternehmen an, erhalten alle Teilnehmenden 10 % Nachlass; für ein ganzes Notfall- oder BCM-Team ist eine Inhouse-Schulung meist wirtschaftlicher.
Erfahrungen von Teilnehmenden
Unabhängige Bewertungen zu unseren Seminaren findest du auf zwei Bewertungsportalen.
Nächster Schritt
Melde dich jetzt an und nimm Auswirkungs- und Risikoanalyse, Notfallkonzept und Notfallbericht direkt in deinen Arbeitsalltag mit. Ein Tag live online, 6,0 Zeitstunden, S+P Teilnahmezertifikat und Digital Badge, Tool Box und unbefristet kostenfreies C.O.R.E. Update inklusive.
