NIS2 umsetzen: vom Gap Assessment zum Maßnahmenplan

Am Anfang steht die Einstufung. Gehört Ihr Unternehmen zu einem der 18 Sektoren, und überschreitet es die Schwellenwerte? In der Regel greift das Gesetz ab 50 Beschäftigten oder ab 10 Millionen Euro Umsatz und Bilanzsumme. Ab 250 Beschäftigten oder ab 50 Millionen Euro Umsatz bei mehr als 43 Millionen Euro Bilanzsumme sind Sie meist eine besonders wichtige Einrichtung.

Halten Sie das Ergebnis schriftlich fest, mit Begründung. Das gilt auch, wenn Sie zu dem Schluss kommen, nicht betroffen zu sein. Fragt später ein Kunde oder die Aufsicht nach, ist eine dokumentierte Prüfung mehr wert als eine Vermutung. Wer betroffen ist, muss sich außerdem beim BSI registrieren.

NIS2 nimmt die Geschäftsleitung in die Pflicht. Nach § 38 BSIG muss sie die Maßnahmen billigen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Die Arbeit kann sie delegieren, die Verantwortung bleibt bei ihr.

Praktisch heißt das: Jeder Bereich braucht eine Person, die ihn verantwortet, und die Geschäftsleitung braucht einen festen Termin, an dem sie den Stand sieht. In kleineren Unternehmen landen viele Bereiche bei derselben Person. Das ist in Ordnung, solange es bewusst so entschieden und aufgeschrieben ist.

Aus dem Gap Assessment entsteht eine lange Liste. Alles auf einmal anzugehen, überfordert jedes Team. Wir ordnen nach zwei Fragen: Wie groß ist das Risiko, wenn die Lücke bleibt? Und gibt es eine Frist, die drängt?

Daraus ergibt sich fast immer dieselbe Reihenfolge. Zuerst kommen Registrierung und Meldekette, denn hier drohen Fristen und Bußgelder unmittelbar. Danach folgen die Maßnahmen, die einen Angriff am stärksten begrenzen, etwa Mehr-Faktor-Authentifizierung, getestete Datensicherungen und ein Notfallplan. Richtlinien und die Bewertung der Lieferanten schließen sich an.

Jede Maßnahme bekommt eine verantwortliche Person, einen Termin und ein Kriterium, an dem man sieht, dass sie erledigt ist. Ohne dieses Kriterium bleibt eine Maßnahme ewig in Arbeit.

Bei NIS2 vermischen sich drei Dinge, die man auseinanderhalten sollte: was das Gesetz verlangt, was sinnvoll ist und was ein Dienstleister dafür liefert. Die folgende Liste trennt sie.

• Einstufung. Pflicht: prüfen, ob das Gesetz greift, und sich gegebenenfalls beim BSI registrieren. Empfehlung: das Ergebnis mit Begründung dokumentieren, auch wenn es negativ ausfällt. Projektleistung: schriftliche Einstufung und Begleitung der Registrierung.
• Risikomanagement. Pflicht: Maßnahmen in den Bereichen aus § 30 BSIG, angemessen zum Risiko. Empfehlung: ein Risikoregister, das mindestens einmal im Jahr überprüft wird. Projektleistung: Gap-Analyse und priorisierter Maßnahmenplan.
• Meldewesen. Pflicht: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht nach einem Monat. Empfehlung: den Ablauf einmal im Jahr durchspielen. Projektleistung: Meldekette mit Vorlagen und ein Probelauf.
• Geschäftsleitung. Pflicht: Billigung, Überwachung, regelmäßige Schulung. Empfehlung: ein fester Bericht pro Quartal. Projektleistung: Beschlussvorlagen und Schulung.
• Lieferkette. Pflicht: Sicherheitsrisiken bei Lieferanten und Dienstleistern berücksichtigen. Empfehlung: die wichtigsten Lieferanten zuerst bewerten statt alle auf einmal. Projektleistung: Bewertungsschema und Fragenkatalog für Lieferanten.
• Wirksamkeit. Pflicht: bewerten, ob die Maßnahmen wirken. Empfehlung: technische Prüfungen wie ein Penetrationstest in festem Rhythmus. Projektleistung: Prüfplan, Test und Nachtest.

Unsere NIS2-Beratung begleitet Sie von der Einstufung bis zum fertigen Plan und darüber hinaus. Technische Prüfungen wie einen Penetrationstest übernehmen wir ebenfalls. Sprechen Sie uns an, wenn Sie wissen wollen, wo Sie stehen.