Was NIS-2 verlangt
Mit der deutschen NIS-2-Umsetzung im BSIG ist der Kreis regulierter Unternehmen deutlich gewachsen: Besonders wichtige und wichtige Einrichtungen aus den Sektoren der Anlagen 1 und 2 des BSIG sind erfasst, in der Regel ab 50 Mitarbeitern oder mehr als 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme. Die wichtigsten Pflichten:
- Registrierung der Einrichtung beim BSI (§ 33 BSIG), spätestens drei Monate nachdem sie erstmals als betroffen gilt.
- Risikomanagement-Maßnahmen (§ 30 BSIG): unter anderem Risikoanalyse, Umgang mit Sicherheitsvorfällen, Business Continuity, Sicherheit der Lieferkette, Verschlüsselung, Zugriffskontrolle und Schulungen.
- Meldepflichten bei erheblichen Sicherheitsvorfällen (§ 32 BSIG): frühe Erstmeldung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussmeldung binnen eines Monats.
- Pflichten der Unternehmensleitung (§ 38 BSIG): Sie muss die Risikomanagement-Maßnahmen umsetzen und ihre Umsetzung überwachen, haftet für schuldhaft verursachte Pflichtverletzungen (Abs. 2) und muss regelmäßig an Schulungen teilnehmen (Abs. 3). Was das konkret bedeutet, lesen Sie auf unserer Seite für die Unternehmensleitung.
- Dokumentation und Nachweis (§ 61 Abs. 3 BSIG): Umsetzung und Wirksamkeit der Maßnahmen sind angemessen zu dokumentieren; das BSI kann Nachweise anfordern.
Die Maßnahmen müssen nach § 30 Abs. 1 BSIG geeignet, verhältnismäßig und wirksam sein und dem Stand der Technik entsprechen. Das BSI verlangt einen ganzheitlichen, gefahrenübergreifenden Ansatz, der neben der IT auch das physische Umfeld einbezieht. Was für Ihre Einrichtung angemessen ist, klären wir risikobasiert mit Ihnen.
Zu den Risikomanagement-Maßnahmen gehört ausdrücklich die Bewertung der Wirksamkeit der eigenen Sicherheitsmaßnahmen (§ 30 Abs. 2 Nr. 6 BSIG). Das BSI nennt in seinen NIS-2-Infopaketen den Penetrationstest ausdrücklich als Beispiel für die regelmäßigen Tests zur Überprüfung der eigenen Maßnahmen. Als vom BSI anerkannter Dienstleister für IS-Penetrationstests (BSI-APS-9080) belegen wir diese Wirksamkeit unabhängig.
Grundlage ist das BSIG in der Fassung der deutschen NIS-2-Umsetzung. Den aktuellen Betroffenheits- und Umsetzungsstand klären wir mit Ihnen im Erstgespräch.
So gehen Sie vor
- Betroffenheit klären. Das BSI bietet dafür eine Online-Betroffenheitsprüfung an. Gerne gehen wir das Ergebnis im Erstgespräch gemeinsam durch.
- Lücken ermitteln. Für Organisationen ohne eigene Informationssicherheits-Organisation ist der kostenfreie CyberRisikoCheck ein guter Start. Wo bereits Strukturen bestehen, ermitteln wir den Umsetzungsstand systematisch, etwa per BSI RUN.
- Umsetzen und Wirksamkeit belegen. Ein ISMS verankert die Maßnahmen in der Organisation, ein Penetrationstest belegt, dass sie technisch wirken.
Wie wir unterstützen
- ISMS-Aufbau und -Weiterentwicklung nach BSI IT-Grundschutz oder ISO 27001, inklusive der von NIS-2 geforderten Prozesse.
- Business Continuity Management für die geforderte Aufrechterhaltung des Betriebs.
- Penetrationstests als unabhängiger Wirksamkeitsnachweis Ihrer Maßnahmen.
- Sichere Entwicklung und Wartung (§ 30 Abs. 2 Nr. 5 BSIG): Sicherheit von Anfang an mitgedacht (Security by Design und Default), mit regelmäßigem Schwachstellenscanning und Penetrationstests über den Lebenszyklus, die das BSI hier ausdrücklich nennt.
- Lieferkettensicherheit: Wenn Ihre Kunden Anforderungen an Sie weiterreichen, helfen wir bei der Antwort, vom Fragebogen bis zum Nachweis.
Betreiben Sie eine kritische Infrastruktur? Dann gelten zusätzliche Anforderungen: Informationssicherheit für KRITIS-Betreiber.