NIS2-Pflichten konkret: die Maßnahmen, die Prüfer sehen wollen

Der Betroffenheits-Check ist erledigt, das Ergebnis steht fest: besonders wichtige oder wichtige Einrichtung. Jetzt beginnt der Teil, an dem viele Unternehmen hängen bleiben, nicht weil er unmöglich wäre, sondern weil zwischen Gesetzestext und Arbeitsalltag eine konkrete Liste fehlt. Diese Liste liefern wir hier: die Maßnahmen, die Prüfer tatsächlich sehen wollen, und die Reihenfolge, in der sie Sinn ergeben.

Was Prüfer wirklich erwarten

Wer NIS2 zum ersten Mal ernst nimmt, erwartet oft eine Technik-Prüfung. Tatsächlich steht im Zentrum etwas Einfacheres: Nachweise. Können Sie zeigen, dass Sie Ihre Risiken kennen? Dass Maßnahmen festgelegt, verantwortet und umgesetzt sind? Dass im Ernstfall jemand weiß, was zu tun ist und wann er es melden muss?

Das entlastet und verpflichtet zugleich. Niemand verlangt Perfektion am ersten Tag. Aber ein Unternehmen ohne dokumentierte Prozesse hat nach einem Sicherheitsvorfall ein Erklärungsproblem. Genau diesen Nachweis zieht NIS2 konsequent durch alle Pflichten.

Ein Unterschied ist vorab wichtig: Besonders wichtige Einrichtungen (§ 28 Abs. 1 BSIG) unterliegen der vollen Aufsicht. Wichtige Einrichtungen (§ 28 Abs. 2 BSIG) haben dieselben inhaltlichen Pflichten, arbeiten aber unter dem sogenannten Fehlerkultur-Regime. Registrieren müssen sich nach § 33 BSIG beide. An der Liste unten ändert das wenig, an der Schärfe der Kontrolle umso mehr. Wer als wichtige Einrichtung die Ruhe bewahren will, sollte die Nachweise genauso ernst nehmen.

Risikomanagement: der Kern der Pflichten

Das Herzstück ist die dokumentierte Risikoanalyse samt Maßnahmenkatalog, im BSIG in § 30 geregelt. Konkret gehören dazu drei Dinge: eine Analyse Ihrer wesentlichen Risiken, ein Katalog geeigneter Maßnahmen dazu und ein definierter Prozess für den Umgang mit Sicherheitsvorfällen.

Sie müssen nicht bei null anfangen. Als Basis für die Absicherung bietet sich der BSI-Grundschutz an, und wer bereits ein ISMS nach ISO 27001 betreibt, kann Maßnahmen und Nachweise daraus übernehmen. Wichtig ist das Mapping: Welche Ihrer vorhandenen Nachweise deckt welche NIS2-Anforderung, und wo bleibt eine Lücke?

Registrierung und Meldepflichten: die Fristen im Blick

Besonders wichtige und wichtige Einrichtungen müssen sich beim BSI registrieren, und zwar nach § 33 BSIG spätestens drei Monate nach dem Zeitpunkt, ab dem sie die Voraussetzungen erfüllen. Das ist keine Option, sondern Pflicht, und sie gehört an den Anfang der Roadmap, nicht ans Ende.

Für Sicherheitsvorfälle gilt bei besonders wichtigen wie wichtigen Einrichtungen dasselbe enge Zeitfenster: eine Frühwarnung innerhalb von 24 Stunden, die Meldung innerhalb von 72 Stunden. Wer diese Fristen einhalten will, braucht die Meldewege vor dem Vorfall. Im Ernstfall ist es zu spät, um Zuständigkeiten zu erfinden. Definieren Sie also jetzt: Wer erkennt einen Vorfall, wer entscheidet über die Meldung, über welchen Weg geht sie raus?

Die Verantwortung der Geschäftsführung

NIS2 setzt bewusst an der Spitze an: Die Unternehmensleitung trägt die persönliche Verantwortung für die Umsetzung der Maßnahmen und die Einhaltung der Meldepflichten. Das ist der Punkt, der das Thema aus der IT-Abteilung in die Chefetage holt. Daneben drohen Bußgelder für das Unternehmen.

Praktisch heißt das dreierlei. Erstens muss die Verantwortung festgelegt und dokumentiert sein, und zwar namentlich, nicht „die Geschäftsführung insgesamt“. Zweitens müssen die Geschäftsleitungen nach § 38 Abs. 3 BSIG regelmäßig an Schulungen teilnehmen. Das Gesetz nennt dabei ausdrücklich kein Intervall – wer einen Jahresrhythmus ansetzt, folgt einer verbreiteten Praxis, nicht einer Frist. Nachweisen muss man die Teilnahme trotzdem. Drittens braucht die Leitung eine Nachweiskette, die im Zweifel entlastet: Wer zeigen kann, dass Prozesse existierten und gepflegt wurden, steht nach einem Vorfall anders da als jemand mit einer verstaubten Excel-Liste.

Dokumentation: was auf dem Tisch liegen muss

Wenn morgen eine Prüfung käme, sollten Sie diese Unterlagen ohne Suche vorlegen können:

• Das dokumentierte Ergebnis Ihres Betroffenheits-Checks (Datum, Annahmen, Einstufung)
• Die Risikoanalyse mit den wesentlichen identifizierten Risiken
• Den Maßnahmenkatalog, mit benannten Verantwortlichen je Maßnahme
• Den Prozess für Sicherheitsvorfälle inklusive Meldewege (24 h Frühwarnung, 72 h Meldung)
• Die Registrierungsbestätigung beim BSI (§ 33 BSIG, besonders wichtige und wichtige Einrichtungen)
• Die Schulungsnachweise für die Unternehmensleitung (jährlich)
• Eine versionierte Historie, damit ersichtlich ist, dass die Doku lebt und gepflegt wird

Praxisbeispiel: die ersten 90 Tage einer wichtigen Einrichtung

Ein Lebensmittelhersteller mit 120 Mitarbeitern ist als wichtige Einrichtung eingestuft. Statt alles gleichzeitig anzugehen, arbeitet das Unternehmen eine gestaffelte Roadmap ab:

Der entscheidende Schritt ist der erste: Sobald ein Name an der Verantwortung hängt, bekommt jede weitere Aufgabe einen Treiber. Ohne diesen Anker bleibt die Roadmap ein Dokument, das niemandem gehört.

Drei typische Fehler und wie Sie sie vermeiden

Erstens: Dokumentation als Einmal-Projekt. Eine Doku, die nach dem Projektende verstaubt, entlastet nicht. Sie belastet, weil sie den Stillstand belegt. Planen Sie von Anfang an die Pflege mit: Termine, Verantwortliche, Versionshistorie.

Zweitens: Verantwortung ohne Namen. „Die IT kümmert sich“ ist keine Governance. Legen Sie die Verantwortung in der Geschäftsführung namentlich fest und halten Sie das schriftlich fest.

Drittens: Meldewege nur auf dem Papier. Ein Prozess, den niemand je durchgespielt hat, funktioniert im Ernstfall selten. Üben Sie den Ablauf zumindest einmal trocken: Wer meldet was, wann, über welchen Weg?

Das Wichtigste in Kürze

Hinweis: Dieser Beitrag ersetzt keine Rechts- oder Steuerberatung. Die Einstufung ersetzt keine Prüfung im Einzelfall. Wenden Sie sich dafür an fachkundige Beratung.