NIS2 ist die erste Regulierung, die Informationssicherheit ausdrücklich zur Chefsache macht: Die Geschäftsleitung muss Maßnahmen billigen, ihre Umsetzung überwachen und sich selbst schulen lassen. Dieser Vortrag klärt, was das praktisch bedeutet.
← Alle VortragsthemenAls Leitungs-Briefing, Keynote, interaktiver Workshop oder Webinar · kurzer Impuls bis ganzer Tag · vor Ort deutschlandweit, online oder hybrid · Deutsch oder Englisch
Bin ich betroffen? Was muss ich tun? Was passiert, wenn ich es nicht tue? Und womit fange ich an? In dieser Reihenfolge, weil jede weitere Frage sinnlos ist, solange die erste offen ist.
Die Systematik aus Sektor, Größe und Sonderfällen. Anhang I und Anhang II, der Unterschied zwischen „wesentlich“ und „wichtig“ – und warum er für die Aufsicht erheblich ist.
Was Artikel 20 verlangt: billigen, überwachen, sich schulen lassen. Drei Verben, die in der Praxis unterschätzt werden – „billigen“ heißt nicht „zur Kenntnis nehmen“.
Artikel 21 im Durchgang: Risikoanalyse, Vorfallbewältigung, Betriebskontinuität, Lieferkette, sichere Beschaffung, Wirksamkeitsbewertung, Cyberhygiene und Schulung, Kryptografie, Personalsicherheit und Zugriffskontrolle, MFA.
Die drei Stufen: Frühwarnung nach 24 Stunden, Meldung nach 72 Stunden, Abschlussbericht nach einem Monat. Und die Frage, an der es in der Praxis scheitert: Was ist ein „erheblicher“ Vorfall?
Der Teil, der am meisten Arbeit macht: Dienstleister erfassen und einstufen, Anforderungen vertraglich verankern, kritische Dienstleister überwachen.
Projektstruktur, Rollen und Ressourcen, Synergien mit ISO 27001, BSI-Grundschutz und DSGVO. Dazu die typischen Fehler in NIS2-Projekten – und wie man an Budget kommt.
NIS2 verlangt keine Perfektion.Die Unterscheidung, die Projekte rettet
Es verlangt Nachweisbarkeit.
Das entscheidet sich an drei Punkten: Fällt Ihre Tätigkeit unter einen der Sektoren aus Anhang I oder II, erreichen Sie die Schwellen bei Mitarbeitenden und Umsatz, und greift einer der Sonderfälle, die unabhängig von der Größe gelten. Hinzu kommt der häufigste Fall in der Praxis: Sie sind selbst nicht eingestuft, aber Ihr Kunde ist es und gibt die Anforderungen vertraglich weiter. Im Workshop prüfen wir das für Ihr Haus.
Artikel 20 nimmt die Leitungsorgane persönlich in die Pflicht: Sie müssen die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und sich schulen lassen. Werden diese Pflichten verletzt, sind neben Bußgeldern gegen das Unternehmen auch persönliche Konsequenzen vorgesehen. Wie weit das in Deutschland reicht, hängt an der Umsetzung – im Vortrag wird der aktuelle Stand benannt und von Spekulation getrennt.
Es hilft erheblich, deckt aber nicht alles ab. Ein bestehendes ISMS liefert den Großteil der zehn Maßnahmen aus Artikel 21 und vor allem die Nachweisfähigkeit. Nicht automatisch abgedeckt sind die Meldefristen, die Registrierungspflicht und die Leitungspflichten aus Artikel 20. Der Vortrag zeigt, was Sie mitnutzen können und wo Sie nachlegen müssen.
Das hängt vom Ausgangspunkt ab. Häuser mit gepflegtem ISMS brauchen Monate, Häuser ohne jede Dokumentation deutlich länger. Entscheidend ist nicht Geschwindigkeit, sondern eine priorisierte Roadmap: Wer bei den Maßnahmen mit der größten Risikowirkung anfängt und das dokumentiert, steht bei einer Prüfung besser da als jemand, der an allen zehn Punkten gleichzeitig arbeitet.
Ja, allerdings nicht über diese Seite. Vorträge, Workshops und Trainings laufen über rene-eck.de, Beratungsmandate und Projektbegleitung über die ITSB Deutschland UG, deren Geschäftsführer ich bin. Sagen Sie einfach, worum es geht – ich ordne das zu.
Ein Leitungs-Briefing von 90 Minuten bringt oft mehr als drei Monate Diskussion darüber, ob man überhaupt betroffen ist.