¶ NIS2-Cybersicherheitsleitlinie
Beispieldokument: Diese Leitlinie ist ein nicht freigegebener Musterentwurf für die fiktive „Muster GmbH“. Betroffenheit, Einrichtungsart, relevante Dienste, Gesellschaften, Standorte, Rollen, Ressourcen und Maßnahmen sind nicht organisationsbezogen bestätigt.
Aussagegrenze: Die Leitlinie schafft erst nach fachlicher Prüfung und befugter Freigabe einen internen Rahmen. Sie belegt weder die Umsetzung noch die Wirksamkeit gesetzlicher Risikomanagementmaßnahmen. Reale Sicherheits- und Umsetzungsnachweise werden geschützt außerhalb der öffentlichen Wiki-Seite geführt.
¶ Wozu diese Leitlinie dient
Eine NIS2-Cybersicherheitsleitlinie übersetzt die Verantwortung der Geschäftsleitung in verbindliche Grundsätze für die Sicherheit der relevanten Dienste. Sie verbindet Unternehmensziele, Risikomanagement, technische und organisatorische Maßnahmen, Meldebereitschaft, Resilienz und Nachweisführung. Ihre Aufgabe besteht nicht darin, jede einzelne Kontrolle technisch zu beschreiben. Sie legt fest, welches Sicherheitsniveau angestrebt wird, wer entscheidet, welche Mindestfelder beherrscht werden müssen und wie die Geschäftsleitung Umsetzung und Wirksamkeit überwacht.
Die Leitlinie ist deshalb der oberste NIS2-bezogene Orientierungsrahmen. Verfahren, Register, technische Standards, Arbeitsanweisungen und Nachweise konkretisieren sie. Eine unterschriebene Leitlinie ohne Scope, Maßnahmenplan, Verantwortliche, Fristen und Wirksamkeitsnachweise ist keine ausreichende Umsetzung.
¶ Dokumenteninformationen
| Feld | Wert |
|---|---|
| Dokumenten-ID | NIS2-LT-01-01 |
| Dokumentenart | Cybersicherheitsleitlinie |
| Wiki.js-Pfad | /NIS2/01-Governance-und-Geschaeftsleitung/NIS2-Cybersicherheitsleitlinie |
| Verantwortlich | Geschäftsleitung / festzulegende NIS2- und Informationssicherheitskoordination |
| Fachlich geprüft durch | Recht/Compliance, Informationssicherheit, IT, BCM, Personal, Einkauf und relevante Diensteigner |
| Freigabe durch | Geschäftsleitung |
| Status | Entwurf – Betroffenheit, Scope, Angemessenheit und Umsetzung nicht bestätigt |
| Version / Stand | 0.3 / 09.08.2026 |
| Schutzklasse | Intern; öffentliche Musterfassung ohne vertrauliche Organisationsdaten |
| Rechtsbezug | insbesondere §§ 30 und 38 BSIG sowie Artikel 20 und 21 der NIS-2-Richtlinie |
| Review | mindestens jährlich und zusätzlich anlassbezogen |
Leitungsverantwortung, risikobasierte Maßnahmen und überprüfbare Ergebnisse in einem gemeinsamen Rahmen verbinden. Eigene redaktionelle SVG-Grafik. Zum Vergrößern öffnen.
¶ 1. Leitungsbeschluss und Sicherheitsauftrag
Die Geschäftsleitung behandelt Cybersicherheit als Bestandteil der Unternehmensführung und der verlässlichen Erbringung relevanter Dienste. Sie sorgt dafür, dass geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen geplant, umgesetzt, betrieben, überprüft und verbessert werden. Dabei werden Störungen von Verfügbarkeit, Integrität und Vertraulichkeit vermieden beziehungsweise ihre Auswirkungen möglichst gering gehalten.
Operative Aufgaben dürfen qualifizierten Rollen übertragen werden. Die Pflicht der Geschäftsleitung, die Maßnahmen nach § 30 BSIG umzusetzen und ihre Umsetzung zu überwachen, wird dadurch nicht aufgehoben. Entscheidungen über unvertretbare Risiken, wesentliche Abweichungen, Prioritäten, Ressourcen und akzeptierte Restrisiken werden auf der hierfür festgelegten Leitungsebene getroffen und nachvollziehbar dokumentiert.
¶ 2. Geltungsbereich
Nach organisationsbezogener Freigabe gilt die Leitlinie für:
- die rechtlich bestätigten besonders wichtigen oder wichtigen Einrichtungen,
- die in der Scope-Prüfung erfassten relevanten Dienste und unterstützenden Prozesse,
- die dafür eingesetzten Netz- und Informationssysteme, Komponenten, Daten und Schnittstellen,
- betroffene Standorte, Betriebsumgebungen und mobile Arbeitsformen,
- Geschäftsleitung, Beschäftigte, Leihkräfte und externe Rollen mit sicherheitsrelevanten Aufgaben,
- unmittelbare Anbieter und Diensteanbieter, soweit deren Leistungen die Sicherheit oder Kontinuität relevanter Dienste beeinflussen,
- gemeinsam betriebene Plattformen, Konzernleistungen und ausgelagerte Tätigkeiten innerhalb der dokumentierten Verantwortungsgrenzen.
Gesellschaften, Niederlassungen oder Dienste werden nicht allein aufgrund organisatorischer Nähe ein- oder ausgeschlossen. Die Zuordnung erfolgt anhand der rechtlichen Betroffenheitsprüfung, der tatsächlich erbrachten Dienste, der System- und Prozessabhängigkeiten sowie möglicher sektoraler Sonderregeln. Die verbindliche Scope-Liste wird versioniert geführt.
¶ 3. Dokumentenhierarchie und Verhältnis zum ISMS
Diese Leitlinie bildet die oberste NIS2-bezogene Vorgabe. Sie wird durch folgende Ebenen konkretisiert:
- thematische Richtlinien und Sicherheitsstandards,
- Verfahren und Prozessbeschreibungen,
- Register, Pläne und Arbeitsanweisungen,
- technische Konfigurationen und Betriebsdokumentation,
- geschützte Nachweise über Durchführung und Wirksamkeit.
Ein vorhandenes ISMS nach ISO/IEC 27001 oder ein TISAX-bezogenes Managementsystem kann für die Umsetzung genutzt werden. Voraussetzung ist, dass NIS2-Scope, relevante Dienste, gesetzliche Maßnahmenfelder, Leitungsverantwortung, Meldepflichten und sektorspezifische Vorgaben vollständig zugeordnet sind. Eine Zertifizierung oder ein Assessment-Ergebnis ersetzt keine organisationsbezogene Prüfung der gesetzlichen Pflichten.
Bei Widersprüchen gelten gesetzliche und behördliche Anforderungen sowie die jeweils höherrangige freigegebene interne Vorgabe. Konflikte und Lücken werden nicht stillschweigend aufgelöst, sondern mit Owner, Entscheidung, Frist und Nachweis in die Maßnahmensteuerung übernommen.
¶ 4. Verbindliche Cybersicherheitsgrundsätze
- Diensteorientierung: Schutzmaßnahmen werden von den relevanten Diensten und deren Abhängigkeiten abgeleitet.
- All-Gefahren-Ansatz: Cyberangriffe, Fehlhandlungen, technische Ausfälle, physische Ereignisse, Lieferkettenstörungen und sonstige Gefahren werden gemeinsam betrachtet.
- Risikobasierung: Maßnahmen, Prioritäten und Ressourcen folgen dokumentierten Risiken und Auswirkungen.
- Stand der Technik: Sicherheitsmaßnahmen werden an geeigneten Normen, anerkannten Verfahren, Bedrohungen und technischer Entwicklung ausgerichtet.
- Verhältnismäßigkeit: Risikoexposition, Größe, Umsetzungskosten sowie Eintrittswahrscheinlichkeit und Schwere möglicher Vorfälle einschließlich gesellschaftlicher und wirtschaftlicher Auswirkungen werden berücksichtigt.
- Secure by Design und by Default: Sicherheit wird bei Beschaffung, Architektur, Entwicklung, Änderung und Betrieb von Anfang an eingebunden.
- Minimalprinzip: Zugriffe, Daten, Funktionen und Vertrauensstellungen werden auf den erforderlichen Umfang begrenzt.
- Resilienz: Prävention, Erkennung, Reaktion, Wiederherstellung und Lernen bilden einen durchgängigen Regelkreis.
- Lieferkettenverantwortung: Auslagerung überträgt Aufgaben, nicht automatisch Risiko- oder Steuerungsverantwortung.
- Nachweisbarkeit: Geplant, umgesetzt, getestet und wirksam werden als getrennte Zustände dokumentiert.
- Kontinuierliche Verbesserung: Vorfälle, Tests, Audits, Kennzahlen und Änderungen führen zu nachvollziehbaren Verbesserungen.
- Schutzbedürftige Nachweise: Vertrauliche Sicherheitsinformationen werden nicht öffentlich bereitgestellt.
¶ 5. Risikotoleranz und Entscheidungsregeln
Die Geschäftsleitung legt eine zur Unternehmens- und Dienstestrategie passende Risikotoleranz fest. Sie beschreibt mindestens, welche Auswirkungen auf relevante Dienste, Kunden, Sicherheit, Recht, Finanzen und Reputation nicht akzeptabel sind. Kritische Risiken werden nicht allein wegen fehlender Mittel oder eines langen Beschaffungswegs akzeptiert.
Risikoentscheidungen enthalten:
- betroffenes Risiko und relevante Dienste,
- aktuelle und angestrebte Risikoeinstufung,
- bestehende Kontrollen und erkannte Lücken,
- Handlungsoptionen einschließlich Vermeidung, Verminderung, Übertragung oder begründeter Akzeptanz,
- verantwortliche und entscheidungsbefugte Rolle,
- Maßnahmen, Ressourcen, Fristen und Wirksamkeitskriterien,
- zeitlich befristetes Restrisiko und nächsten Review,
- Eskalation bei Überschreitung von Schwellen oder Termin.
Risikoakzeptanzen sind befristet und dürfen gesetzliche Pflichten nicht aufheben. Ein Restrisiko wird nur von einer Rolle akzeptiert, die die geschäftlichen, dienstbezogenen und rechtlichen Folgen verantworten darf. Wesentliche oder kumulierte Risiken werden der Geschäftsleitung vorgelegt.
¶ 6. Die zehn Mindestfelder nach § 30 Absatz 2 BSIG
Die Organisation führt für jedes gesetzliche Maßnahmenfeld verantwortliche Rollen, Vorgaben, konkrete Maßnahmen, Umsetzungsstatus, Nachweise, Wirksamkeitskriterien und Verbesserungen. Die folgende Tabelle ist eine Steuerungsübersicht und kein fertiger Maßnahmenkatalog.
| Maßnahmenfeld | Verbindliche Erwartung der Leitlinie | Typische Nachweisarten |
|---|---|---|
| 1. Risikoanalyse und Sicherheit in der Informationstechnik | einheitliche Methodik, aktuelle Dienst-, Asset- und Risikoregister, nachvollziehbare Behandlung und Restrisikoentscheidung | Scope, Risikoregister, Behandlungsplan, Beschlüsse |
| 2. Bewältigung von Sicherheitsvorfällen | Erkennung, Klassifizierung, Alarmierung, Eindämmung, Beweissicherung, Meldebewertung, Kommunikation und Lessons Learned | Incident-Tickets, Zeitstrahl, Übungs- und Abschlussberichte |
| 3. Aufrechterhaltung des Betriebs und Krisenmanagement | dienstbezogene Notfallvorsorge, Backup, Wiederherstellung, Krisenorganisation und getestete Wiederanlaufziele | BCM-Analyse, Notfallpläne, Restore- und Wiederanlauftests |
| 4. Sicherheit der Lieferkette | Kritikalität, Sicherheitsanforderungen, Due Diligence, Verträge, Überwachung, Vorfallweg, Unterauftragnehmer und Exit | Lieferantenregister, Bewertungen, Verträge, Reviews |
| 5. Erwerb, Entwicklung und Wartung einschließlich Schwachstellen | Sicherheitsanforderungen im Lebenszyklus, kontrollierte Änderungen, sichere Entwicklung, Patchen und koordinierter Umgang mit Schwachstellen | Freigaben, Tests, Scans, Patch- und Change-Nachweise |
| 6. Wirksamkeitsbewertung | festgelegte Kontrollen, Messmethoden, Sollwerte, Prüffrequenzen, unabhängige Prüfungen und Korrekturen | Kennzahlen, Testprotokolle, Audits, Wirksamkeitsbewertungen |
| 7. Schulung und Sensibilisierung | rollenbezogene Qualifikation, regelmäßige Awareness und verpflichtende Schulung der Geschäftsleitung | Schulungsplan, Teilnahme, Lernerfolg, Qualifikationsmatrix |
| 8. Kryptografische Verfahren | risikobasierte Vorgaben zu Verschlüsselung, Schlüsseln, Zertifikaten, Algorithmen und Lebenszyklen | Kryptokonzept, Schlüsselregister, Zertifikats- und Reviewnachweise |
| 9. Personalsicherheit, Zugriffskontrolle und IKT-Verwaltung | sichere Eintritts-, Wechsel- und Austrittsprozesse, Funktionstrennung, Inventarisierung, Berechtigungen und administrative Kontrolle | Rollenmodell, Reviews, JML-Nachweise, Systeminventar |
| 10. MFA, kontinuierliche Authentifizierung und sichere Kommunikation | risikobasierter Einsatz starker Authentifizierung sowie gesicherter Sprach-, Video-, Text- und Notfallkommunikation | MFA-Abdeckung, Konfiguration, Kommunikationstests, Ausnahmen |
¶ 7. Governance, Rollen und Verantwortungsgrenzen
Die Geschäftsleitung benennt fachlich geeignete Rollen, stellt Ressourcen bereit und erhält eine unabhängige Entscheidungs- und Eskalationssicht. Mindestens werden folgende Funktionen abgegrenzt:
| Rolle | Kernverantwortung |
|---|---|
| Geschäftsleitung | Umsetzung und Überwachung, Risikotoleranz, Ressourcen, wesentliche Restrisiken und Verbesserungsentscheidungen |
| NIS2-/Informationssicherheitskoordination | Regelwerk, Maßnahmenübersicht, Berichtswesen, Eskalation und Schnittstellenkoordination |
| Dienstverantwortliche | Schutzbedarf, Abhängigkeiten, Risikoauswirkungen, Kontinuität und fachliche Prioritäten des Dienstes |
| IT-/OT-Verantwortliche | sicherer Betrieb, technische Maßnahmen, Änderungen, Schwachstellen und Wiederherstellung |
| Incident- und Krisenrollen | Alarmierung, Lagebild, Eindämmung, Meldeprüfung, Kommunikation und Nachbereitung |
| Recht/Compliance und Datenschutz | Rechtsbezug, Melde- und Vertragsanforderungen sowie Abgrenzung paralleler Verfahren |
| Einkauf und Lieferantenmanagement | Sicherheitsanforderungen, Prüfungen, Verträge, Überwachung und Exit |
| Personal und Schulung | Personalsicherheit, Rollenqualifikation, Awareness und dokumentierte Teilnahme |
| Interne Prüfung / unabhängige Kontrolle | risikobasierte Bewertung von Regelkonformität und Wirksamkeit |
Primär- und Stellvertretungsrollen besitzen definierte Befugnisse und Zugriffsmöglichkeiten. Interessenkonflikte werden behandelt. Wer eine Maßnahme betreibt, soll ihre Wirksamkeit nicht ausschließlich selbst bestätigen, wenn eine unabhängige Prüfung risikogerecht erforderlich ist.
¶ 8. Dienst-, Asset- und Abhängigkeitssteuerung
Schutzentscheidungen beginnen bei den relevanten Diensten. Für jeden Dienst werden Owner, Kunden- und Gesellschaftsbezug, Schutzziele, tolerierbare Ausfallzeiten, kritische Prozesse, Systeme, Daten, Standorte, Personalrollen, Lieferanten und Schnittstellen dokumentiert. Schatten-IT, gemeinsam genutzte Basisdienste, externe Plattformen und Single Points of Failure werden einbezogen.
Inventare werden mit Risikoregister, Notfallplanung, Berechtigungen, Schwachstellenmanagement und Lieferantensteuerung verknüpft. Neue oder wesentlich geänderte Dienste dürfen erst nach angemessener Sicherheits- und Risikoprüfung produktiv genutzt werden. Nicht eindeutig zugeordnete Assets und Abhängigkeiten werden als Steuerungslücke behandelt.
¶ 9. Risikomanagement und All-Gefahren-Ansatz
Risiken werden regelmäßig und anlassbezogen ermittelt, analysiert, bewertet und behandelt. Szenarien berücksichtigen unter anderem:
- Cyberangriffe, Schadsoftware, Ransomware und Identitätsmissbrauch,
- Fehlkonfiguration, menschliche Fehler und unzureichende Berechtigungen,
- Hardware-, Software-, Netz-, Strom- und Kommunikationsausfälle,
- Brand, Wasser, Hitze, Zutrittsverletzung und Standortausfall,
- Lieferantenausfall, Cloud-Störung, Konzentrations- und Abkündigungsrisiken,
- Schwachstellen, veraltete Komponenten und unsichere Änderungen,
- Datenverlust, Integritätsverletzung und unzulässige Offenlegung,
- Personalausfall, Know-how-Verlust und Insiderhandlungen,
- gleichzeitige oder kaskadierende Ereignisse über mehrere Dienste.
Bewertungen trennen inhärentes Risiko, bestehende Maßnahmen, Kontrollreife, Restrisiko und Zielrisiko. Annahmen, Datenqualität und Unsicherheiten werden sichtbar gemacht. Die Risikobewertung wird bei wesentlichen Änderungen, Vorfällen, neuen Bedrohungen, Lieferantenwechseln oder unzureichenden Kontrollergebnissen aktualisiert.
¶ 10. Sicherheitsvorfälle und gesetzliche Meldebereitschaft
Sicherheitsereignisse werden so früh erkannt, dass fachliche Reaktion und gesetzliche Bewertung nicht voneinander entkoppelt sind. Der Incident-Prozess umfasst:
- Erkennung, Erfassung und unverzügliche Alarmierung,
- technische und dienstbezogene Ersteinschätzung,
- Eindämmung, Beweissicherung und Schutz weiterer Systeme,
- Prüfung der Erheblichkeit und paralleler Rechts- oder Vertragspflichten,
- freigegebene Meldungen über den aktuell bestätigten Behördenweg,
- Wiederherstellung und kontrollierte Rückkehr in den Betrieb,
- Ursachenanalyse, Lessons Learned und Maßnahmenverfolgung.
NIS2-/BSIG-Meldungen, Datenschutzmeldungen, Strafanzeigen, Kundeninformationen und Versicherermeldungen werden getrennt bewertet, aber auf einer konsistenten Fakten- und Zeitbasis koordiniert. Portalzugänge, Stellvertretungen, Vorlagen und Ersatzwege werden vor einem Vorfall vorbereitet und kontrolliert getestet. Vertrauliche Falldaten verbleiben in der geschützten Incident-Akte.
¶ 11. Business Continuity, Backup und Krisenmanagement
Für relevante Dienste werden Ausfallfolgen, Wiederanlaufziele, minimale Ressourcen, Abhängigkeiten und Rückkehrbedingungen festgelegt. Backup allein ist noch keine Kontinuitätsstrategie. Die Organisation regelt mindestens:
- Trennung und Schutz von Sicherungen,
- Wiederherstellbarkeit von Daten, Identitäten, Konfigurationen und Schlüsseln,
- priorisierte Wiederanlaufreihenfolge der Dienste,
- alternative Kommunikation und Entscheidungsfähigkeit,
- Ersatzstandorte, manuelle Verfahren oder technische Ausweichlösungen,
- Abstimmung mit kritischen Lieferanten,
- regelmäßige Restore-, Wiederanlauf- und Krisenübungen.
Tests besitzen realistische Ziele, geschützte Testdaten, Erfolgskriterien und dokumentierte Abweichungen. Ergebnisse fließen in Risikoregister, Maßnahmenplan und Managementbericht ein.
¶ 12. Lieferketten- und Auslagerungssicherheit
Unmittelbare Anbieter und Diensteanbieter werden nach ihrem Einfluss auf relevante Dienste klassifiziert. Vor Beauftragung und während des gesamten Lebenszyklus werden Leistungsabhängigkeit, Sicherheitsniveau, Unterauftragnehmer, Daten- und Betriebsstandorte, Zugriffsmöglichkeiten, Konzentrationsrisiken, Vorfallkommunikation, Wiederherstellung und Exitfähigkeit bewertet.
Verträge enthalten risikogerechte Sicherheitsanforderungen, Melde- und Mitwirkungspflichten, Nachweis- und Prüfungsrechte, Änderungsinformationen, Löschung beziehungsweise Rückgabe sowie geregelte Beendigung. Fehlende Vertragsrechte werden nicht automatisch durch Zertifikate kompensiert. Die Organisation behält eine angemessene eigene Überwachung und eine aktuelle Ausweich- oder Exitplanung.
¶ 13. Sichere Beschaffung, Entwicklung, Änderung und Schwachstellenmanagement
Sicherheitsanforderungen werden vor Beschaffung oder Entwicklung festgelegt. Kritische Systeme und Komponenten durchlaufen Architektur- und Risikoprüfungen, Test- und Freigabeverfahren sowie kontrollierte Änderungen. Entwicklungs-, Test- und Produktivumgebungen werden angemessen getrennt. Geheimnisse, Testdaten, Quellcode, Abhängigkeiten und Build-Prozesse werden geschützt.
Schwachstellen werden aus Herstellerinformationen, Scans, Tests, Bedrohungsinformationen und internen Meldungen erfasst. Bewertung und Behandlung berücksichtigen technische Kritikalität, Exposition, Ausnutzbarkeit und Auswirkungen auf relevante Dienste. Ausnahmen vom Patchen benötigen Risikoentscheidung, Ersatzmaßnahmen, Frist und Nachprüfung. Für gemeldete oder selbst entdeckte Schwachstellen bestehen verantwortliche Kontakt- und Offenlegungsprozesse.
¶ 14. Identitäten, Personal, Kryptografie und sichere Kommunikation
Zugriffe folgen eindeutiger Identität, minimaler Berechtigung, Funktionstrennung und regelmäßiger Überprüfung. Eintritt, Rollenwechsel, Abwesenheit und Austritt lösen festgelegte Maßnahmen aus. Privilegierte, technische und Notfallkonten werden besonders geschützt und überwacht.
Multi-Faktor-Authentifizierung wird risikobasiert insbesondere für externe, privilegierte, administrative und kritische Zugriffe eingesetzt. Nicht umsetzbare Fälle erhalten dokumentierte Ersatzmaßnahmen und befristete Freigabe.
Kryptografische Verfahren werden über ihren gesamten Lebenszyklus gesteuert: Auswahl zulässiger Verfahren, Schlüsselgenerierung, Ausgabe, Speicherung, Rotation, Widerruf, Wiederherstellung und Vernichtung. Zertifikate und Schlüssel besitzen Owner und Ablaufüberwachung. Sprach-, Video-, Text- und Notfallkommunikation werden entsprechend Schutzbedarf und Ausfallszenario abgesichert.
Personalsicherheitsmaßnahmen berücksichtigen rechtliche Zulässigkeit, Rollenrisiko, Vertraulichkeitsverpflichtung, Qualifikation und sicheren Austritt. Soziale oder arbeitsrechtliche Belange werden mit den zuständigen Funktionen abgestimmt.
¶ 15. Schulung, Awareness und Leitungskompetenz
Die Geschäftsleitung nimmt regelmäßig an Schulungen teil, damit sie Cyberrisiken, Risikomanagementpraktiken und Auswirkungen auf die erbrachten Dienste erkennen und beurteilen kann. Inhalte, Frequenz, Teilnahme und Lernergebnis werden dokumentiert.
Beschäftigte und externe Rollen erhalten zielgruppengerechte Schulungen. Administrierende, entwickelnde, einkaufende, meldende und krisenverantwortliche Rollen benötigen vertiefte Qualifikation. Awareness-Aktivitäten werden an tatsächlichen Bedrohungen, Vorfällen und Verhaltensrisiken ausgerichtet. Eine reine Versandbestätigung einer Schulungsunterlage gilt nicht als belastbarer Wirksamkeitsnachweis.
¶ 16. Wirksamkeitskontrolle und Managementbericht
Maßnahmen werden nicht nur auf Vorhandensein, sondern auf Umsetzung, Aufrechterhaltung und Wirksamkeit geprüft. Für wesentliche Kontrollen werden definiert:
- Schutzziel und kontrolliertes Risiko,
- Owner und unabhängige Prüfmöglichkeit,
- Mess- oder Testmethode,
- Datenquelle und Prüffrequenz,
- Sollwert, Warnschwelle und Eskalationsgrenze,
- Ergebnis, Abweichung, Maßnahme und Nachtest.
Die Geschäftsleitung erhält regelmäßig und anlassbezogen einen entscheidungsfähigen Bericht. Dieser umfasst mindestens Scope-Änderungen, Risikolage, Maßnahmenstatus, Vorfälle, Meldebereitschaft, Resilienztests, Lieferkettenrisiken, Schulungsstatus, Wirksamkeit, überfällige Abweichungen und Ressourcenbedarf.
Ampelfarben dürfen nur auf definierten Kriterien beruhen. Fehlende oder veraltete Daten werden nicht als grün bewertet. Der Bericht unterscheidet „geplant“, „beauftragt“, „umgesetzt“, „getestet“ und „nachweislich wirksam“.
¶ 17. Nachweisführung und Schutz vertraulicher Informationen
Für jede wesentliche Maßnahme wird ein kontrollierter Nachweisbezug geführt. Nachweise enthalten soweit erforderlich Owner, Zeitraum, Scope, Quelle, Ergebnis, Abweichung, Freigabe und geschützten Ablageort. Beispiele sind Protokolle, Systemexporte, Tickets, Freigaben, Testergebnisse, Vertragsnachweise, Schulungsaufzeichnungen und Managementbeschlüsse.
Das öffentliche Wiki enthält ausschließlich Musterstrukturen und Metadaten. Sicherheitskonfigurationen, Schwachstellendetails, persönliche Kontaktdaten, Portalzugänge, Notfallinformationen, reale Risiken und vertrauliche Belege werden in einer zugriffsgeschützten, versionierten und auch im Notfall erreichbaren Ablage verwaltet. Aufbewahrung und Löschung folgen Rechts-, Vertrags- und Beweisanforderungen.
¶ 18. Ausnahmen, Abweichungen und Eskalation
Abweichungen von freigegebenen Vorgaben benötigen:
- eindeutigen Bezug zur betroffenen Anforderung,
- fachliche Begründung und Risikobewertung,
- betroffene Dienste, Systeme und Laufzeit,
- geeignete Ersatzmaßnahmen,
- verantwortliche Rolle und befugte Genehmigung,
- Befristung, Review und Beendigungskriterium.
Gesetzliche Pflichten können nicht durch eine interne Ausnahme aufgehoben werden. Notfallentscheidungen werden nachträglich geprüft. Überfällige, unwirksame oder wiederholt verlängerte Ausnahmen werden an die Geschäftsleitung eskaliert.
¶ 19. Kommunikation, Veröffentlichung und Kenntnisnahme
Nach Genehmigung wird die Leitlinie zielgruppengerecht kommuniziert. Führungskräfte erläutern daraus entstehende Aufgaben. Relevante Beschäftigte und externe Rollen erhalten die für ihre Tätigkeit erforderlichen Vorgaben. Veröffentlichung, Zielgruppe, Kommunikationsweg und gegebenenfalls Kenntnisnahme werden dokumentiert.
Die Veröffentlichung im Wiki allein belegt weder Kenntnis noch Umsetzung. Für kritische Rollen können bestätigte Kenntnisnahme, Einweisung oder Schulung erforderlich sein. Externe Veröffentlichungen werden darauf geprüft, ob sie Angriffsflächen, interne Verantwortlichkeiten oder schutzbedürftige Informationen offenlegen.
¶ 20. Review und Änderungssteuerung
Die Leitlinie wird mindestens jährlich und zusätzlich bei wesentlichen Änderungen überprüft. Anlässe sind insbesondere:
- neue oder geänderte Rechts- und Behördenanforderungen,
- Änderung von Betroffenheit, Einrichtungsart oder relevanten Diensten,
- wesentliche Vorfälle, Beinahevorfälle oder Krisenübungen,
- Fusion, Umstrukturierung, Standort- oder Anbieterwechsel,
- neue Technologien, Architekturen oder Betriebsmodelle,
- unzureichende Prüf-, Test- oder Kennzahlenergebnisse,
- veränderte Risikoexposition oder Risikotoleranz.
Der Review bestätigt Scope, Aktualität, Angemessenheit, Verantwortlichkeiten, Umsetzungsstatus und offene Entscheidungen. Änderungen erhalten Version, Begründung, fachliche Prüfung, Freigabe, Wirksamkeitsdatum und Kommunikationsnachweis.
¶ 21. Umsetzungsfahrplan nach Freigabe
| Schritt | Ergebnis | Status im Muster |
|---|---|---|
| 1. Betroffenheit und Scope bestätigen | freigegebene Rechtsträger, Dienste und Abhängigkeiten | offen |
| 2. Leitlinie fachlich prüfen | abgestimmter, organisationsbezogener Text | offen |
| 3. Leitung beschließen lassen | dokumentierte Freigabe und Risikotoleranz | offen |
| 4. Maßnahmenfelder zuordnen | Owner, Regelwerke, Maßnahmen und Lücken je §-30-Feld | offen |
| 5. Ressourcen und Termine beschließen | finanzierter und priorisierter Umsetzungsplan | offen |
| 6. Kommunikation und Schulung durchführen | adressatengerechte Bekanntgabe und Kompetenznachweise | offen |
| 7. Wirksamkeit prüfen | definierte Tests, Kennzahlen und unabhängige Bewertungen | offen |
| 8. Managementreview durchführen | Entscheidungen zu Risiken, Abweichungen und Verbesserungen | offen |
¶ 22. Qualitätsprüfung vor organisationsbezogener Freigabe
- Betroffenheit, Einrichtungsart, Rechtsträger und relevante Dienste sind bestätigt.
- Die zehn Maßnahmenfelder des § 30 Absatz 2 BSIG sind vollständig zugeordnet.
- Anwendbarkeit der Durchführungsverordnung (EU) 2024/2690 und sektoraler Anforderungen ist geprüft.
- Leitungsverantwortung, Entscheidungsbefugnisse und Stellvertretungen sind eindeutig.
- Risikotoleranz, Akzeptanzgrenzen und Eskalationsregeln sind beschlossen.
- Leitlinie, Risikomethodik, Rollenmodell, Meldeprozess und BCM sind widerspruchsfrei.
- Ressourcen-, Schulungs-, Berichts- und Wirksamkeitsanforderungen sind praktisch erfüllbar.
- Ausnahmen und Abweichungen sind befristet und risikobasiert geregelt.
- Schutz und Ablage realer Sicherheitsnachweise sind festgelegt.
- Keine Aussage behauptet fälschlich Freigabe, Umsetzung oder Wirksamkeit.
¶ 23. Offene Punkte im Muster
- organisationsbezogenen Geltungsbereich und Einrichtungsart bestätigen,
- Geschäftsleitung und freigabeberechtigte Instanz benennen,
- relevante Dienste und Dienstverantwortliche freigeben,
- Risikotoleranz und Berichtsschwellen beschließen,
- konkrete Richtlinien und Verfahren den zehn Maßnahmenfeldern zuordnen,
- Berichts-, Prüf- und Reviewrhythmus festlegen,
- Kommunikations- und Kenntnisnahmeverfahren bestimmen,
- Schnittstellen zu ISMS, Datenschutz, BCM und Fachrecht prüfen,
- Inkrafttreten und kontrollierte Verteilung genehmigen.
¶ 24. Verknüpfte Arbeitsseiten
- Pflichten der Geschäftsleitung
- Rollen und Verantwortlichkeiten
- Ressourcen und Berichtswesen
- Schulung der Geschäftsleitung
- Geltungsbereich und relevante Dienste
- NIS2-Risikomethodik
- NIS2-Risikoregister
- Risikobehandlungsplan
- Maßnahmenkatalog nach BSIG
- Wirksamkeitsprüfung
- Nachweisregister
- NIS2–ISO-27001–TISAX-Mapping
- Informationssicherheitsleitlinie
¶ 25. Offizielle Grundlagen
- § 30 BSIG – Risikomanagementmaßnahmen besonders wichtiger und wichtiger Einrichtungen ↗
- § 38 BSIG – Umsetzungs-, Überwachungs- und Schulungspflicht der Geschäftsleitung ↗
- Richtlinie (EU) 2022/2555 – insbesondere Artikel 20 und 21 ↗
- Durchführungsverordnung (EU) 2024/2690 für bestimmte digitale Einrichtungsarten ↗
- BSI-Infopaket NIS2-Risikoanalyse ↗
Anwendungshinweis: § 30 Absatz 3 BSIG sieht für die dort genannten digitalen Einrichtungsarten einen Vorrang des einschlägigen europäischen Durchführungsrechtsakts vor. Ob die Durchführungsverordnung (EU) 2024/2690 oder zusätzliches Fachrecht anzuwenden ist, wird deshalb vor der Freigabe organisationsbezogen geprüft.
¶ 26. Weiterführende Informationen von SMCT MANAGEMENT
NIS2-Governance mit bestehenden ISO-27001- und TISAX-Strukturen verbinden
- NIS2-Beratung und Umsetzungsbegleitung ↗
- Management von Sicherheitsvorfällen ↗
- Business Continuity und Notfallvorsorge ↗
¶ 27. Änderungshistorie
| Version | Datum | Änderung | Freigabe |
|---|---|---|---|
| 0.3 | 09.08.2026 | SEO-Beschreibung, Leitungsauftrag, Scope, Dokumentenhierarchie, Risikotoleranz, zehn Maßnahmenfelder nach § 30 BSIG, Governance, Dienst- und Assetsteuerung, All-Gefahren-Ansatz, Vorfälle, BCM, Lieferkette, sichere Beschaffung und Entwicklung, Zugriffe, Kryptografie, Schulung, Wirksamkeit, Nachweise, Umsetzungsfahrplan und amtliche Quellen umfassend ergänzt | Ausstehend |
| 0.2 | 08.08.2026 | Geltungsbereich, Leitungszusagen, Kommunikation, Ausnahmen, Berichtswesen, Review und Freigabekriterien fachlich vertieft | Ausstehend |
| 0.1 | 08.08.2026 | Musterleitlinie für NIS2-Cybersicherheit erstellt | Ausstehend |