¶ NIS2-Anforderungen im Vergleich
Zweck der Seite: Diese Seite stellt die aktuellen Pflichten des deutschen BSI-Gesetzes den möglichen Unterstützungsbeiträgen eines ISMS nach ISO/IEC 27001:2022 und einer TISAX®-Bewertung auf Grundlage des VDA ISA 6.0.2 gegenüber. Sie hilft, vorhandene Strukturen wiederzuverwenden, ohne unterschiedliche Regelwerke gleichzusetzen.
Keine Konformitätszusage: Eine ISO-27001-Zertifizierung oder ein TISAX®-Label ersetzt weder die organisationsbezogene Betroffenheitsprüfung noch Registrierung, gesetzliche Meldungen, Geschäftsleitungspflichten oder gegebenenfalls KRITIS-Nachweise. Jede Zuordnung muss für den konkreten Dienst, Scope und Nachweis geprüft werden.
Musterstatus: Die Seite ist ein redaktioneller Entwurf. Beispielhafte Zuordnungen und Nachweise sind vor einer betrieblichen Verwendung fachlich, rechtlich und organisatorisch zu validieren.
¶ Dokumenteninformationen
| Feld | Wert |
|---|---|
| Dokumenten-ID | NIS2-MAP-00-01 |
| Dokumentenart | Anforderungs-, Mapping- und Nachweisübersicht |
| Wiki.js-Pfad | /NIS2/00-Start-und-Navigation/NIS2-Anforderungen-im-Vergleich |
| Verantwortlich | NIS2-/Compliance-Koordination und Informationssicherheitsfunktion |
| Fachlich zu prüfen durch | Recht/Compliance, ISMS-Verantwortliche/r und betroffene Fachbereiche |
| Freigabe durch | Geschäftsführung |
| Status | Entwurf – organisationsbezogene Zuordnungen noch nicht freigegeben |
| Version | 0.4 |
| Stand / Rechtsstand | 09.08.2026 |
| Gesetzliche Grundlage | insbesondere §§ 30 bis 35, 38 und gegebenenfalls 39 BSIG |
| Vergleichsgrundlagen | ISO/IEC 27001:2022 und ISO/IEC 27002:2022; VDA ISA 6.0.2; ENX-Analyse „Abdeckung NIS-2 durch TISAX“, Version 1 vom 24.04.2025 |
| Ausgangsdokument | NIS2-Anforderungen.pdf; alte Kennungen werden nur noch zur Herkunftsklärung geführt |
| Schutzklasse | Intern |
Eigene redaktionelle SVG-Grafik. Zum Vergrößern in einem neuen Tab öffnen.
¶ 1. Vier Ebenen, vier unterschiedliche Aussagen
| Ebene | Leitfrage | Was sie leisten kann | Was sie nicht automatisch leistet |
|---|---|---|---|
| BSIG/NIS2 | Welche gesetzlichen Pflichten treffen die konkrete Einrichtung und ihre Dienste? | verbindliche Anforderungen, Fristen, Aufsicht und Verantwortlichkeit bestimmen | keine fertige betriebliche Umsetzungsmethode |
| ISO/IEC 27001 | Wie wird Informationssicherheit als Managementsystem geplant, betrieben, überwacht und verbessert? | risikobasierte Steuerung, dokumentierte Prozesse und auditierbare Nachweise strukturieren | keine automatische NIS2-Betroffenheit oder Erfüllung nationaler Meldepflichten bestätigen |
| VDA ISA/TISAX® | Welche Informationssicherheitsanforderungen werden im festgelegten TISAX®-Scope bewertet? | Automotive-orientierte Kontrollfragen, Reifegradbewertung und externe Plausibilisierung/Prüfung bereitstellen | keine behördliche NIS2-Feststellung, Registrierung oder Meldung ersetzen |
| Organisationsnachweis | Was wurde im betroffenen Dienst tatsächlich umgesetzt und mit welchem Ergebnis geprüft? | Scope, Owner, Maßnahme, Evidenz, Wirksamkeit und Lücke zusammenführen | darf nicht allein aus einer Richtlinie oder Zertifikatskopie abgeleitet werden |
Der belastbare Arbeitsweg lautet daher:
BSIG-Pflicht → relevanter Dienst → Risiko → konkrete Maßnahme → ISO-/ISA-Bezug → geschützter Nachweis → Wirksamkeitsprüfung → Freigabe oder Lücke
¶ 2. Vergleich der zehn Mindestbereiche nach § 30 Absatz 2 BSIG
Die ISO-Angaben sind mögliche Anker aus den Ausgaben 2022. Die ISA-IDs folgen der Zuordnung der ENX-Analyse zur inhaltlich entsprechenden Forderung aus Artikel 21 Absatz 2 NIS-2. Sie müssen gegen den tatsächlich verwendeten Katalog und den eigenen TISAX®-Scope geprüft werden.
| Nr. / BSIG-Mindestbereich | Praktischer Prüfgegenstand | Mögliche ISO-27001-/27002-Anker | Zugeordnete VDA-ISA-6-Kontrollfragen |
|---|---|---|---|
| 1 – Risikoanalyse und Informationssicherheitskonzepte | relevante Dienste, Systeme, Bedrohungen, Schwachstellen, Auswirkungen, Risikokriterien, Behandlung und Restrisikoentscheidung | Klauseln 4.1–4.4, 6.1, 8.2, 8.3; A.5.1, A.5.7 | 1.4.1, 5.2.7, 5.3.1 |
| 2 – Bewältigung von Sicherheitsvorfällen | Ereignisse erkennen, melden, bewerten, priorisieren, eindämmen, untersuchen, kommunizieren und nachbereiten | A.5.24–A.5.28, A.6.8 | 1.6.1, 1.6.2 |
| 3 – Betriebskontinuität, Backup, Wiederherstellung und Krisenmanagement | BIA, Abhängigkeiten, RTO/RPO, Notbetrieb, Datensicherung, Wiederherstellung, Krisenrollen und Übungen | A.5.29, A.5.30, A.8.13, A.8.14 | 1.6.3, 5.2.8, 5.2.9 |
| 4 – Lieferkettensicherheit | unmittelbare Anbieter, Leistungs- und Datenabhängigkeiten, Sicherheitsanforderungen, Überwachung, Vorfälle, Änderungen und Exit | A.5.19–A.5.23 | 1.2.4, 1.3.3, 1.6.1, 1.6.2, 5.3.3, 6.1.1, 6.1.2 |
| 5 – Erwerb, Entwicklung, Wartung und Schwachstellen | Security by Design, Projekt- und Änderungssteuerung, sichere Entwicklung, technische Prüfungen, Patchen und koordinierte Schwachstellenbehandlung | A.5.7, A.8.8, A.8.25–A.8.32 | 1.2.3, 1.2.4, 1.3.4, 5.2.1, 5.2.4–5.2.6, 5.3.1–5.3.4 |
| 6 – Wirksamkeitsbewertung | Messgrößen, technische Kontrollen, Audits, Managementbewertung, Abweichungen und Verbesserungsmaßnahmen | Klauseln 9.1–9.3, 10.1, 10.2; A.5.35, A.5.36 | 1.2.1, 1.4.1, 1.5.1, 1.5.2, 1.6.2, 5.2.6 |
| 7 – Schulung und Sensibilisierung | rollenbezogene Kompetenz, Awareness, sichere Arbeitsweisen und überprüfbarer Lernerfolg | Klauseln 7.2, 7.3; A.6.3 | insbesondere 1.1.1, 2.1.2, 2.1.3 sowie technische Fragen 4.1.3, 4.2.1, 5.1.1–5.3.4 |
| 8 – Kryptografische Verfahren | Vorgaben für Verschlüsselung, Algorithmen, Schlüssel, Zertifikate, Übertragung und Ausnahmen | A.8.24 | 5.1.1 |
| 9 – Personalsicherheit, Zugriffskontrolle und IKT-Verwaltung | Asset- und Schutzbedarfsmanagement, Joiner-Mover-Leaver, Identitäten, Berechtigungen, mobile Arbeit und sicherer IT-Betrieb | A.5.9–A.5.18, A.6.1–A.6.6, A.8.2–A.8.4 | 1.3.1–1.3.3, 2.1.1–2.1.4, 3.1.3–3.1.4, 4.1.1–4.2.1, 5.2.1–5.2.9 |
| 10 – MFA, gesicherte Kommunikation und Notfallkommunikation | risikobasierte starke Authentifizierung, geschützte Sprach-/Video-/Textkanäle und unabhängige Fallback-Kommunikation | A.5.14, A.5.16, A.5.17, A.8.5, A.8.20–A.8.24 | 1.6.3, 4.1.2, 4.1.3, 5.1.2, 5.2.8 |
¶ 2.1 Wichtige Grenzen dieser Tabelle
- Die Zuordnung zeigt thematische Überschneidungen, nicht die vollständige Erfüllung eines Gesetzes.
- Eine ISO-Control-ID beweist weder die Anwendbarkeit noch eine wirksame Umsetzung im NIS2-relevanten Dienst.
- Die ENX-Analyse bewertet die EU-Richtlinie und weist selbst darauf hin, dass nationale Zusatzanforderungen gesondert zu prüfen sind.
- Ein reines Prototypenschutz-Assessment besitzt für die umfassende Informations- und Cybersicherheitsbewertung keine ausreichende Aussagekraft.
- Alle von NIS2 betroffenen Standorte und Dienste müssen tatsächlich vom verwendeten Management- oder Assessment-Scope erfasst sein.
¶ 3. Von der Anforderung zum belastbaren Nachweis
| BSIG-Bereich | Führende Wiki-Seiten | Typische geschützte Nachweise | Mindestprüfung |
|---|---|---|---|
| Risiko und Sicherheitskonzept | NIS2-Risikomethodik, NIS2-Risikoregister, Maßnahmenkatalog | freigegebene Kriterien, Dienst-/Asset-Bezug, Bewertungen, Behandlungsentscheidungen | Ist jede Maßnahme auf einen relevanten Dienst und ein Risiko zurückführbar? |
| Vorfälle und Meldung | Meldeweg Sicherheitsvorfälle, Incident Response, Behörden und Kontaktstellen | Vorfallregister, Zeitstempel, Entscheidungsprotokoll, Meldungen, Lessons Learned | Funktionieren Erheblichkeitsprüfung, 24-/72-Stunden-Eskalation und Vertretung praktisch? |
| BCM, Backup und Wiederanlauf | Notfallvorsorge und BCM, Wiederanlaufplanung, Backup-/Restore-Tests | BIA, Notfallpläne, Restore-Protokolle, Übungsberichte, Verbesserungen | Belegen Tests die zugesagten RTO/RPO und den Betrieb des relevanten Dienstes? |
| Lieferkette | Lieferanten und Dienstleister, Lieferantenbewertungen, Externe Dienste und Cloud | Kritikalitätsbewertung, Vertrag, Prüfbericht, Vorfall-/Änderungsinfo, Exit-Test | Sind unmittelbare Anbieter und Konzentrations-/Kaskadenrisiken vollständig erfasst? |
| Technischer Lebenszyklus | Sichere Entwicklung, IT-Betrieb und Änderungen, Schwachstellen- und Patchmanagement | Freigaben, Scans, Patchstatus, Penetrationstests, Schwachstellenmeldungen | Sind Fristen risikobasiert, überwacht und bei Überschreitung eskaliert? |
| Wirksamkeit und Führung | Wirksamkeitsprüfung, Pflichten der Geschäftsleitung, Ressourcen und Berichtswesen | KPI, Audit- und Testberichte, Managementbeschlüsse, Maßnahmenverfolgung | Wird nicht nur das Vorhandensein, sondern auch die Wirkung bewertet? |
| Kompetenz und Awareness | Personal und Schulungen, Schulungsnachweise, Schulung der Geschäftsleitung | Rollenmatrix, Inhalte, Teilnahme, Lernerfolg, Wiederholung | Decken Inhalte Rolle, Risiko, Dienst und aktuelle Bedrohungslage ab? |
| Kryptografie, Identitäten und Kommunikation | Kryptografie und Schlüssel, Zugriff und Berechtigungen, Informationsübertragung | Konfiguration, Schlüsselregister, Berechtigungsreview, MFA-Ausnahmen, Kommunikationstest | Sind Ausnahmen genehmigt, befristet, kompensiert und technisch überprüft? |
¶ 4. Pflichten, die nicht in der Zehn-Punkte-Matrix aufgehen
| BSIG-Bezug | Eigenständige Pflicht | Warum ISO/TISAX® allein nicht genügt |
|---|---|---|
| § 30 Abs. 1 | geeignete, verhältnismäßige und wirksame Maßnahmen; Verhältnismäßigkeit bewerten und Einhaltung dokumentieren | Zertifikate oder Labels beantworten nicht automatisch Risikoexposition, Größe, Kosten und Folgen für den konkreten Dienst |
| § 31 | zusätzliche Maßnahmen und Systeme zur Angriffserkennung für maßgebliche Systeme kritischer Anlagen | setzt eine gesonderte KRITIS- und Systemabgrenzung sowie gegebenenfalls ein höheres Schutzniveau voraus |
| § 32 | gestufte Meldung erheblicher Sicherheitsvorfälle | gesetzliche Fristen, Inhalte, Meldeportal und Kommunikation müssen national umgesetzt werden |
| § 33/§ 34 | Registrierung und Sonderregistrierung bestimmter Einrichtungsarten | Organisationsdaten, Fristen und Änderungen sind behördenspezifische Pflichten |
| § 35 | Unterrichtung von Diensteempfängern in den gesetzlich vorgesehenen Fällen | Empfänger, Freigabe, Inhalt und Kommunikationskanal sind fallbezogen zu bestimmen |
| § 38 | Umsetzung, Überwachung und regelmäßige Schulung der Geschäftsleitung | Verantwortung verbleibt bei der Geschäftsleitung und kann nicht an Berater, ISB oder Prüfdienstleister delegiert werden |
| § 39 | besondere Nachweise für Betreiber kritischer Anlagen | gilt nur bei bestätigter KRITIS-Eigenschaft und folgt einem eigenen gesetzlichen Nachweisregime |
¶ 5. Gesetzliche Zeitachsen als eigener Kontrollstrang
¶ 5.1 Meldung eines erheblichen Sicherheitsvorfalls nach § 32 BSIG
| Stufe | Frist | Steuerungsbedarf |
|---|---|---|
| Frühe Erstmeldung | unverzüglich, spätestens 24 Stunden nach Kenntniserlangung | Erheblichkeitsentscheidung, Verdacht auf rechtswidrige/böswillige Handlung und mögliche grenzüberschreitende Auswirkungen |
| Vorfallmeldung | unverzüglich, spätestens 72 Stunden nach Kenntniserlangung | Aktualisierung, erste Bewertung von Schweregrad und Auswirkungen sowie gegebenenfalls Kompromittierungsindikatoren |
| Zwischenmeldung | auf Ersuchen des BSI | belastbare Statusinformationen aus Technik, Betrieb und Krisenstab |
| Abschlussmeldung | grundsätzlich spätestens einen Monat nach der 72-Stunden-Meldung | Beschreibung, Ursache, Auswirkungen, Abhilfe und gegebenenfalls grenzüberschreitende Auswirkungen |
| Fortschrittsmeldung | wenn der Vorfall nach einem Monat noch andauert | aktueller Stand; Abschlussmeldung nach abschließender Bearbeitung |
¶ 5.2 Registrierung nach § 33 BSIG
- Registrierung grundsätzlich spätestens drei Monate, nachdem die Organisation erstmals oder erneut als erfasste Einrichtung gilt.
- Änderungen der übermittelten Angaben unverzüglich, spätestens binnen zwei Wochen nach Kenntnis.
- Nach aktuellem BSI-Hinweis erfolgen NIS2-Registrierung und Meldungen grundsätzlich über das BSI-Portal; Betreiber kritischer Anlagen und Bundesbehörden nutzen das MIP übergangsweise prioritär.
- Der interne Owner muss Fristbeginn, Datengrundlage, Übermittlung, Rückfragen und Aktualisierungen nachvollziehbar dokumentieren.
¶ 6. Besonderheit für bestimmte digitale Einrichtungsarten
Für DNS-Diensteanbieter, TLD-Registries, Cloud-Computing- und Rechenzentrumsdienste, Content-Delivery-Netze, Managed Service Provider, Managed Security Service Provider, Online-Marktplätze, Online-Suchmaschinen, Plattformen sozialer Netzwerke und Vertrauensdiensteanbieter verweist § 30 Absatz 3 BSIG auf den vorrangigen EU-Durchführungsrechtsakt 2024/2690.
Betroffene Organisationen führen deshalb zusätzlich ein Anforderungsregister zum Anhang der Durchführungsverordnung. Eine allgemeine ISO- oder ISA-Zuordnung genügt nicht; insbesondere müssen technische und methodische Detailanforderungen, Dokumentationspflichten und Kriterien für erhebliche Vorfälle separat geprüft werden.
¶ 7. ISO-Statement of Applicability und NIS2-Matrix nicht verwechseln
Das ISO-Statement of Applicability begründet, welche Annex-A-Controls für den festgelegten ISMS-Scope anwendbar sind und wie sie behandelt werden. Die NIS2-/BSIG-Matrix beginnt dagegen mit einer gesetzlichen Pflicht. Sie darf einen gesetzlichen Mindestbereich nicht allein deshalb ausblenden, weil ein ISO-Control im SoA ausgeschlossen wurde.
Ein Ausschluss im SoA führt deshalb zu einer Anschlussfrage: Welche andere Maßnahme erfüllt die konkrete BSIG-Pflicht im relevanten Dienst – oder besteht eine zu eskalierende Lücke?
¶ 8. VDA ISA/TISAX® ist keine zweite SoA
Im Informationssicherheits-Katalog werden die Kontrollfragen im vorgegebenen Assessment-Scope bewertet. Sie werden nicht wie Annex-A-Controls durch eine frei gestaltete SoA entfernt. Der ISA unterscheidet jedoch zwischen Muss-, Sollte- und zusätzlichen Anforderungen bei hohem oder sehr hohem Schutzbedarf sowie weiteren Sonderanforderungen. Abweichungen bei Sollte-Anforderungen benötigen eine nachvollziehbare Begründung und unterliegen der Bewertung des Prüfers.
Für das NIS2-Mapping bedeutet das:
- alle relevanten Informationssicherheitsfragen vollständig in die Selbsteinschätzung einbeziehen,
- Prüfziel, Schutzbedarf, Assessment-Level und Standort-Scope dokumentieren,
- Muss-, Sollte- und Zusatzanforderungen nicht vermischen,
- Abweichungen, Maßnahmen und Reifegrade transparent verfolgen,
- die Wirksamkeit im NIS2-relevanten Dienst zusätzlich bestätigen,
- nationale Registrierung, Meldung, Unterrichtung und Geschäftsleitungssteuerung separat führen.
¶ 9. Arbeitsregister für die organisationsbezogene Zuordnung
| Feld | Erwarteter Inhalt |
|---|---|
| Mapping-ID | eindeutige Kennung, zum Beispiel NIS2-MAP-30-04 |
| Rechtsanforderung | Paragraph, Absatz, Nummer und verständliche Kurzbeschreibung |
| Betroffener Dienst | freigegebener Dienst aus dem NIS2-Geltungsbereich |
| Systeme/Standorte | maßgebliche Assets, Netze, Anwendungen, Daten und Standorte |
| Risiko | Verknüpfung zum NIS2-Risikoregister |
| ISO-Bezug | Klausel/Control, SoA-Status und ISMS-Scope |
| ISA-Bezug | Katalogversion, Kontrollfrage, Anforderungsstufe, Prüfziel und Assessment-Level |
| Konkrete Maßnahme | technische oder organisatorische Umsetzung, nicht nur Dokumenttitel |
| Nachweis | geschützter Ablageort, Owner, Version, Datum und Aufbewahrung |
| Wirksamkeit | Prüfverfahren, Sollkriterium, Ergebnis und nächster Termin |
| Lücke/Maßnahme | Abweichung, Risiko, Priorität, Verantwortliche/r und Fälligkeit |
| Freigabe | fachliche Prüfung und Managemententscheidung |
¶ Beispielzeile
| Mapping-ID | Pflicht | Dienst | ISO/ISA | Maßnahme/Nachweis | Status |
|---|---|---|---|---|---|
| NIS2-MAP-30-04 | § 30 Abs. 2 Nr. 4 Lieferkette | [relevanter Dienst] |
ISO A.5.19–A.5.23; ISA 6.1.1 | [Lieferantenklassifizierung, Vertrag, Review und Exit-Test] |
Entwurf – Nachweis und Wirksamkeit offen |
¶ 10. Qualitätsprüfung vor Freigabe
- Sind Betroffenheit, Einrichtungsart, relevante Dienste und gegebenenfalls KRITIS-Eigenschaft bestätigt?
- Deckt der verwendete ISO-/TISAX®-Scope alle betroffenen Dienste, Systeme und Standorte ab?
- Ist jede Rechtsanforderung vollständig und in der aktuellen Fassung erfasst?
- Sind ISO-Ausgabe, ISA-Version, Prüfziel und Assessment-Level dokumentiert?
- Ist klar, welche Zuordnung von ENX, aus der alten PDF oder aus interner fachlicher Bewertung stammt?
- Existieren kontrollierte Nachweise außerhalb des öffentlich lesbaren Wikis?
- Wurde die tatsächliche Wirksamkeit geprüft und nicht nur ein Dokument als vorhanden markiert?
- Sind offene Lücken mit Risiko, Owner, Termin und Managemententscheidung versehen?
- Sind Registrierung, Meldeverfahren und Kontaktstellen praktisch getestet?
- Hat die Geschäftsleitung die Umsetzung überwacht und ihre Schulung dokumentiert?
¶ 11. Herkunft und Bereinigung der alten PDF-Zuordnungen
Die Ausgangs-PDF bleibt als historische Quelle nachvollziehbar, steuert aber nicht mehr die Hauptmatrix:
| Alte Darstellung | Bereinigung |
|---|---|
BSI-...-Kennungen ohne Quelle und Versionsstand |
nicht als belastbare Referenz verwendet; Herkunft muss separat geklärt werden |
Spalte „TISAX-Richtlinien“ mit RL-ISMS-... |
als interne Dokumentkennungen erkannt; nicht mit VDA-ISA-Kontrollfragen gleichgesetzt |
| unvollständige 72-Stunden-Darstellung | um 24-Stunden-, Zwischen-, Abschluss- und Fortschrittsmeldung ergänzt |
| Entwurfsbezug auf das frühere Umsetzungsgesetz | durch geltendes BSIG und aktuellen BSI-Portalhinweis ersetzt |
| pauschale ISO-/TISAX®-Abdeckung | durch Scope-, Nachweis- und Wirksamkeitsprüfung ersetzt |
Interne RL-ISMS-...-Dokumente dürfen in der späteren organisationsbezogenen Matrix zusätzlich verknüpft werden – jedoch nur mit Dokumenttitel, Version, Freigabe, Geltungsbereich und kontrolliertem Original.
¶ 12. Weiterführende Seiten im Wiki
- NIS2-Startseite
- Betroffenheits- und Einstufungsprüfung
- Geltungsbereich und relevante Dienste
- NIS2–ISO-27001–TISAX-Mapping
- Schnittstellen zu ISMS und DSGVO
- Maßnahmenkatalog nach BSIG
- NIS2-Nachweisregister
- Pflichten der Geschäftsleitung
- Registrierung und Aktualisierung
- Statement of Applicability
- VDA-ISA-Selbsteinschätzung
- TISAX®-Anforderungsstufen und Schutzbedarf
- TISAX® Assessment Level 1, 2 und 3
¶ 13. Offizielle und fachliche Grundlagen
- BSIG – aktuelle Gesamtausgabe
- § 30 BSIG – Risikomanagementmaßnahmen
- § 31 BSIG – besondere Anforderungen für Betreiber kritischer Anlagen
- § 32 BSIG – Meldepflichten
- § 33 BSIG – Registrierungspflicht
- § 38 BSIG – Pflichten der Geschäftsleitung
- BSI – Informationen zu NIS2-Registrierung und Meldeweg
- EU-Durchführungsverordnung 2024/2690
- ENX Download Center – ISA 6.0.2 und NIS2-/TISAX®-Analyse
- VDA – ISA-Katalog Version 6
¶ 14. Weiterführende Informationen von SMCT MANAGEMENT
SMCT MANAGEMENT
Unterstützung bei Betroffenheitsprüfung, Gap-Analyse, NIS2-/BSIG-Mapping und praxisnaher Umsetzung
Unterstützung bei Betroffenheitsprüfung, Gap-Analyse, NIS2-/BSIG-Mapping und praxisnaher Umsetzung
¶ 15. Offene Punkte vor Freigabe
- organisationsbezogene Betroffenheit und Einrichtungsart bestätigen,
- nationale und gegebenenfalls sektorale Sonderpflichten ergänzen,
- ISO- und ISA-Zuordnungen anhand der lizenzierten Originale fachlich freigeben,
- alten
BSI-...- undRL-ISMS-...-Kennungen eine belastbare Quelle oder den Status „entfallen“ zuweisen, - betroffene Dienste, Standorte, Systeme, Owner und Nachweise je Mapping-Zeile hinterlegen,
- Wirksamkeitskriterien und Prüffrequenzen festlegen,
- Geschäftsleitungsbeschluss und Freigabe dokumentieren.
¶ 16. Änderungshistorie
| Version | Datum | Änderung | Freigabe |
|---|---|---|---|
| 0.4 | 09.08.2026 | Seite grundlegend neu strukturiert; aktuelles BSIG, ENX-NIS2-/ISA-Analyse, ISO-/ISA-Abgrenzung, Nachweisführung, Zeitachsen und nationale Zusatzpflichten ergänzt | Ausstehend |
| 0.3 | 08.08.2026 | Governance-, Ressourcen-, Schulungs- und Registrierungsseiten verknüpft | Ausstehend |
| 0.1 | 06.08.2026 | Ausgangs-PDF in eine Wiki-Matrix überführt | Ausstehend |