Innerhalb eines Notfallplans ist definiert, was nach der Entdeckung eines Angriffs zu tun ist. Wichtig ist vorallem ein besonnes Handeln. Es geht schließlich darum:

• schnell, aber richtig zu handeln, wenn der Angriff akut gestoppt werden muss – Unsicherheit und unklare Kompetenzen hätten fatale Folgen.
• den Schaden möglichst zu minimieren, statt ihn durch eigenes Handeln zu vergrößern.
• einen genauen Überblick über den Schaden und das Ausmaß der notwendigen Reperaturen zu bekommen: man sollte allerdings darauf achten, die Spuren des Angriffs nicht durch sein Handeln zu verwischen. Eine Spurensicherung ist deshalb sinnvoll, da dadurch zum einen der Angriff rekonstruiert werden kann und so vorhandene Schwachstellen geschlossen werden können, und zum anderen ist nur so eine gute Beweissicherung („digitale Forensik“) durchführbar.
• sich selbst im betrieblichen Einsatz arbeitsrechtlich zu schützen.
  

Ein Notfallplan besteht idealerweise aus zwei Teilen:

• Der organisatorische Teil behandelt vorwiegend die Fragen: -wer macht was? -wer darf was? -wer koordiniert und trägt die Verantwortung? -wer ist zu informieren?
• Der technisch-beschreibende Teil geht spezifisch auf die vor Ort vorhandene Installation ein und legt fest, wie zu reparieren und vorzugehen ist, falls es Besonderheiten gibt.
  

Auf der Webseite des Bundesamtes für Sicherheit in der Informationstechnik (BSI) sind Vorlagen für die Unterschiedlichen IT-Systeme zu finden (VPN, Windows-Server, Webserver, DNS-Server usw.). Diese Vorlagen können u.a. dazu verwendet werden, diese als Leitfaden zu benutzen, damit nichts Grundsätzliches vergessen wird. Die Erstellung eines IT-Notfallplanes sollte ernst genommen werden. Es ist zwar lästig Arbeit in Dinge zu investieren, die im Idealfall nie gebraucht werden, aber so ist man für den Fall der Fälle vorbereitet. Weiterhin sollte jeder Mitarbeiter der IT Kenntnis über den Inhalt und Aufbewahrungsort des Dokumentes haben.

Sofern es notwendig ist, sollte auch nicht vergessen werden den IT-Notfallplan vom Vorgesetzten (per Unterschrift) absegnen zu lassen. So wird zusätzlich dokumentiert wer welche Kompetenzen erhält. Dies kann vorallem arbeitsrechtlich wichtig sein falls schwerwiegende Entscheidungen getroffen werden müssen. Schnell kann einem hier ein Strick gedreht werden, wenn das Betriebsklima ohnehin angespannt ist und ein Bauernopfer gesucht wird.