¶ Ressourcen und Berichtswesen
Beispielverfahren: Diese Seite bestätigt weder ein reales Budget noch vorhandenes Personal, wirksame Maßnahmen oder bereits erfolgte Geschäftsleitungsberichte. Planungswerte, Schwellen und Musterberichte sind organisationsbezogen festzulegen und freizugeben.
Wichtige Abgrenzung: Das BSIG gibt keinen einheitlichen Aufbau und keinen festen Turnus für einen internen NIS2-Leitungsbericht vor. Das hier beschriebene Berichtswesen ist ein Steuerungs- und Nachweisinstrument, mit dem die Geschäftsleitung Umsetzung, Überwachung, Entscheidungen und Ressourcen nachvollziehbar organisieren kann.
NIS2 lässt sich nicht allein durch Richtlinien erfüllen. Risikomanagementmaßnahmen benötigen ausreichend Zeit, qualifizierte Menschen, funktionierende Technik, verlässliche Dienstleister, finanzielle Mittel und Reserven für Sicherheitsvorfälle. Gleichzeitig braucht die Geschäftsleitung verdichtete, belastbare Informationen, um Prioritäten zu setzen, Restrisiken zu beurteilen und über fehlende Ressourcen zu entscheiden. Ressourcenplanung und Berichtswesen bilden deshalb einen gemeinsamen Regelkreis: Bedarf erkennen, Entscheidung treffen, Mittel bereitstellen, Umsetzung überwachen, Wirkung prüfen und Abweichungen erneut entscheiden.
¶ Dokumenteninformationen
| Feld | Wert |
|---|---|
| Dokumenten-ID | NIS2-MA-01-05 |
| Dokumentenart | Ressourcen- und Leitungsberichtsverfahren |
| Wiki.js-Pfad | /NIS2/01-Governance-und-Geschaeftsleitung/Ressourcen-und-Berichtswesen |
| Prozesseigner | Geschäftsleitung / NIS2-Koordination / Informationssicherheit |
| Mitwirkende Rollen | Finanzen, Personal, IT, BCM, Einkauf, Datenschutz, Dienst- und Risikoverantwortliche |
| Status | Entwurf – keine realen Ressourcen, Kennzahlen oder Berichte bestätigt |
| Version / Stand | 0.3 / 09.08.2026 |
| Schutzklasse | Vertraulich; öffentliche Seite zeigt nur Methodik und Musterdaten |
| Rechtsbezug | Insbesondere §§ 30 und 38 BSIG; bei Aufsicht oder Nachweisen zusätzlich einschlägige Spezialregelungen |
| Regelprüfung | mindestens jährlich sowie bei wesentlichen Risiken, Vorfällen, Änderungen oder Ressourcenengpässen |
Ressourcenbedarf mit Risiken, Maßnahmen, Terminen und überprüfbaren Leitungsergebnissen verbinden. Eigene redaktionelle SVG-Grafik; zum Vergrößern öffnen.
¶ 1. Zweck und erwartete Ergebnisse
Das Verfahren verfolgt sechs Ziele:
- Ressourcenbedarfe werden aus relevanten Diensten, Risiken, Pflichten und Maßnahmen abgeleitet.
- Engpässe, Einzelpersonenabhängigkeiten und fehlende Notfallkapazitäten werden sichtbar.
- Die Geschäftsleitung erhält entscheidungsfähige statt nur technische Informationen.
- Freigaben, Ablehnungen, Verschiebungen und Bedingungen bleiben nachvollziehbar.
- Berichtete Umsetzungsstände werden durch definierte Daten und Nachweise getragen.
- Die Wirkung bereitgestellter Ressourcen und umgesetzter Maßnahmen wird überprüft.
Als Arbeitsergebnisse entstehen ein Ressourcenregister, ein Berichtskalender, ein Kennzahlenkatalog, versionierte Leitungsberichte und ein Entscheidungsregister. Vertrauliche Originaldaten liegen in geschützten Systemen; das öffentliche Wiki enthält nur Aufbau, Musterfelder und offene Freigabepunkte.
¶ 2. Rechtlicher und organisatorischer Zusammenhang
§ 30 BSIG verlangt für besonders wichtige und wichtige Einrichtungen geeignete, verhältnismäßige und wirksame technische und organisatorische Risikomanagementmaßnahmen. Bei der Verhältnismäßigkeit sind unter anderem Risikoexposition, Größe der Einrichtung, Umsetzungskosten sowie Eintrittswahrscheinlichkeit und Schwere möglicher Vorfälle zu berücksichtigen. Die Einhaltung ist zu dokumentieren.
§ 38 BSIG verpflichtet die Geschäftsleitung, die Maßnahmen nach § 30 umzusetzen und deren Umsetzung zu überwachen. Daraus folgt kein vorgeschriebenes Dashboard. Ein regelmäßiges, entscheidungsorientiertes Berichtssystem ist jedoch eine geeignete Organisationsform, um Überwachung, Ressourcenentscheidungen und Nachverfolgung belastbar zu gestalten.
Das Berichtswesen unterscheidet drei Ebenen:
| Ebene | Zweck | Typische Empfänger |
|---|---|---|
| operative Steuerung | Maßnahmen, Termine, Datenprobleme und unmittelbare Engpässe bearbeiten | NIS2-Koordination, Informationssicherheit, IT und Fachverantwortliche |
| Geschäftsleitungssteuerung | wesentliche Risiken, Ressourcen, Wirksamkeit und Entscheidungen behandeln | gesamte zuständige Geschäftsleitung |
| anlassbezogene Eskalation | Vorfälle, drohende Fristverletzungen, erhebliche Abweichungen oder akute Ressourcenlücken entscheiden | Geschäftsleitung, Krisenleitung und zuständige Spezialrollen |
Behördliche Meldungen, Registrierungen und förmliche Nachweise sind nicht mit dem internen Leitungsbericht gleichzusetzen. Sie werden über die jeweils vorgesehenen Verfahren gesteuert und im Leitungsbericht nur mit Status, Frist, Verantwortlichkeit und wesentlichen Risiken referenziert.
¶ 3. Grundsätze der Ressourcensteuerung
Ressourcenentscheidungen folgen diesen Regeln:
- Risikobezug: Jeder Bedarf verweist auf einen relevanten Dienst, ein Risiko, eine Pflicht oder eine festgestellte Abweichung.
- Lebenszyklusbetrachtung: Beschaffung, Einführung, Betrieb, Wartung, Schulung, Ablösung und Exit werden gemeinsam betrachtet.
- Gesamtaufwand: Ein günstiges Produkt ist nicht automatisch wirtschaftlich, wenn Betrieb, Integration oder Personalaufwand unberücksichtigt bleiben.
- Notfallfähigkeit: Kapazität für Sicherheitsvorfälle, Wiederherstellung, Krisenkommunikation und Vertretung wird zusätzlich zum Regelbetrieb geplant.
- Nachvollziehbarkeit: Auch Ablehnung, Kürzung oder Verschiebung eines Bedarfs wird entschieden und dokumentiert.
- Wirksamkeit: Bereitgestellte Mittel gelten erst dann als erfolgreich, wenn Nutzung, Ergebnis und Wirkung überprüft sind.
- Keine Scheingenauigkeit: Unsichere Annahmen, Schätzungen und fehlende Daten werden sichtbar gekennzeichnet.
Eine Budgetablehnung beendet weder ein Risiko noch eine gesetzliche Anforderung. Die entscheidende Stelle legt deshalb fest, wie die Restfolgen behandelt werden: alternative Maßnahme, Zwischenkontrolle, Risikoakzeptanz im zulässigen Rahmen, erneute Vorlage oder sofortige Eskalation.
¶ 4. Ressourcenarten vollständig erfassen
Die Planung darf sich nicht auf Investitionsbudget beschränken.
| Ressourcenart | Beispiele | Typische Prüffrage |
|---|---|---|
| Personal und Zeit | interne Stellenanteile, Projektzeit, Bereitschaft, Vertretung | Reicht die Kapazität für Regelbetrieb und Vorfallbelastung? |
| Kompetenz | Recht, Risiko, Netz, Cloud, Incident Response, BCM, Forensik, Audit | Sind Wissen und praktische Erfahrung verfügbar? |
| Technik | Inventarisierung, Schutz, Erkennung, Logging, Backup, Wiederherstellung, MFA | Unterstützt die Technik die relevanten Dienste und Risiken? |
| Infrastruktur | Rechenzentrum, Netzwerk, Energie, Arbeitsplätze, Notfallräume | Sind Verfügbarkeit, Redundanz und Wiederanlauf angemessen? |
| externe Leistungen | SOC, Penetrationstest, Rechtsberatung, Incident-Unterstützung, Zertifizierung | Sind Leistung, Reaktionszeit, Vertraulichkeit und Exit geregelt? |
| Schulung und Übung | Awareness, Leitungsschulung, technische Trainings, Notfallübungen | Können Rollen ihre Aufgaben auch unter Zeitdruck ausführen? |
| Finanzmittel | Investition, Betriebskosten, Reserve, Versicherung, Ersatzbeschaffung | Sind einmalige und laufende Kosten einschließlich Reserve abgedeckt? |
| Informationen und Nachweise | Register, Lagebilder, Bedrohungsinformationen, Auditdaten | Sind Daten aktuell, vollständig, zugänglich und geschützt? |
Zusätzlich werden Verbrauchsmaterial, Ersatzgeräte, Kommunikationsmittel, alternative Arbeitsorte und logistische Abhängigkeiten berücksichtigt, soweit sie für relevante Dienste erforderlich sind.
¶ 5. Ressourcenbedarf aus Diensten und Risiken ableiten
Der Bedarf beginnt nicht mit einem Produktwunsch, sondern mit der Frage, welche Fähigkeit ein relevanter Dienst benötigt. Ein strukturierter Ableitungsweg lautet:
- relevanten Dienst und verantwortlichen Rechtsträger bestimmen,
- Schutzziele, tolerierbare Ausfallzeiten und Abhängigkeiten erfassen,
- Risiken, Bedrohungen, Schwachstellen und gesetzliche Anforderungen zuordnen,
- benötigte organisatorische und technische Fähigkeiten beschreiben,
- vorhandene Ressourcen und Leistungsgrenzen feststellen,
- Soll-Ist-Lücke und Folgen der Nichtbereitstellung bewerten,
- geeignete Optionen einschließlich Zwischenmaßnahmen vergleichen,
- Entscheidungsvorlage mit Kosten, Nutzen, Risiko und Termin erstellen.
Beispiel: Ein Wiederherstellungsrisiko führt nicht automatisch zur Beschaffung eines weiteren Backup-Produkts. Zunächst wird geprüft, ob Ursache, Datenabdeckung, Aufbewahrung, Unveränderbarkeit, Personal, Wiederanlaufverfahren, Testhäufigkeit oder externe Abhängigkeiten die eigentliche Lücke bilden.
¶ 6. Ressourcenregister
Das Ressourcenregister verbindet Bedarf, Entscheidung, Umsetzung und Wirkung.
| Feld | Mindestinhalt |
|---|---|
| Ressourcen-ID | eindeutige Referenz |
| Anlass | Risiko, Pflicht, Vorfall, Audit, Änderung oder Lebenszyklusbedarf |
| relevanter Dienst | Dienst, Prozess und betroffene Organisationseinheit |
| Bedarf | Fähigkeit und erforderlicher Umfang, nicht nur Produktname |
| Ist-Situation | vorhandene Mittel, Kapazität, Einschränkungen und Datenstichtag |
| Lücke und Folgen | Risiko, Auswirkungen, Frist und betroffene Schutzziele |
| Optionen | Lösungswege, Kosten, Zeit, Abhängigkeiten und Betriebsfolgen |
| Priorität | Kriterien, Einstufung und Begründung |
| Entscheidung | genehmigt, teilweise genehmigt, verschoben, abgelehnt oder zurückgestellt |
| Verantwortlichkeit | Antragsteller, fachlicher Owner, Budgetstelle und Entscheider |
| Termine | Beschaffung, Einführung, Zwischenziel, Wirksamkeitsprüfung |
| Zwischenkontrolle | befristete Kompensation bis zur vollständigen Umsetzung |
| Nachweis | Bestellung, Vertrag, Rollenbesetzung, Test oder anderer Beleg |
| Wirkung | Prüfergebnis, Abweichung, verbleibendes Risiko und Folgeentscheidung |
Vertrauliche Gehalts-, Vertrags-, Sicherheits- oder Architekturdaten werden nicht im öffentlichen Register veröffentlicht. Die Wiki-Seite führt lediglich Referenzen und Musterstatus.
¶ 7. Personal-, Kapazitäts- und Vertretungsplanung
Für jede kritische Rolle werden Sollkapazität und tatsächliche Verfügbarkeit verglichen. Dabei zählen nicht nur nominelle Stellen, sondern nutzbare Zeit und Kompetenz. Eine Person mit mehreren Schlüsselrollen kann auf dem Papier mehrfach vorhanden sein, im Vorfall aber nur einmal handeln.
Die Kapazitätsprüfung umfasst:
- Regelbetrieb, Projekte, Audits, Übungen und größere Änderungen,
- erwartete Zusatzbelastung bei Sicherheitsvorfällen,
- Rufbereitschaft, Reisezeiten und Erreichbarkeit,
- Urlaub, Krankheit, Fluktuation und Einarbeitungszeiten,
- Stellvertretung mit ausreichender Berechtigung und Fachkunde,
- Übergabe zwischen internen und externen Rollen,
- Abhängigkeit von Einzelpersonen oder schwer ersetzbaren Spezialisten.
| Rolle | Sollabdeckung | Istabdeckung | Lücke | Interimskontrolle | Entscheidung |
|---|---|---|---|---|---|
| Incident-Leitung | Primärrolle und qualifizierte Vertretung | Musterdaten offen | nicht bewertet | Bereitschaftsplan prüfen | ausstehend |
| Wiederherstellung | System- und Dienstwissen je kritischem Dienst | Musterdaten offen | nicht bewertet | externe Unterstützung klären | ausstehend |
| NIS2-Koordination | laufende Steuerung plus Urlaubsvertretung | Musterdaten offen | nicht bewertet | definierte Übergabe | ausstehend |
Wiederkehrende Überlastung wird als Risiko behandelt. Dauerhafte Mehrarbeit oder informelle Erreichbarkeit sind keine belastbare Ressource.
¶ 8. Kompetenz und Qualifikation
Kapazität ohne ausreichende Kompetenz kann ein falsches Sicherheitsgefühl erzeugen. Deshalb führt die Organisation eine rollenbezogene Kompetenzmatrix mit Sollprofil, vorhandenem Kenntnisstand, Praxiserfahrung, Schulungsbedarf, Nachweis und Wiederholungsintervall.
Zu unterscheiden sind:
- Leitungskompetenz zur Bewertung von Risiken und Auswirkungen,
- rechtliche und regulatorische Fachkunde,
- operative Sicherheits- und Netzkompetenz,
- Incident-, Forensik- und Kommunikationsfähigkeit,
- BCM-, Wiederherstellungs- und Krisenkompetenz,
- Lieferanten-, Vertrags- und Beschaffungskompetenz,
- Audit-, Prüf- und Wirksamkeitsbewertung.
Eine absolvierte Schulung beweist Teilnahme, nicht automatisch Handlungssicherheit. Ergänzend werden Übungen, Fallbesprechungen, praktische Tests, Beobachtungen und Lessons Learned ausgewertet.
¶ 9. Budget, Priorisierung und Entscheidungsvorlage
Eine Ressourcenanforderung wird nach einheitlichen Kriterien priorisiert:
| Kriterium | Leitfrage |
|---|---|
| Risikoreduktion | Welche Eintrittswahrscheinlichkeit oder Auswirkung wird reduziert? |
| Dienstwirkung | Welche relevanten Dienste und Kunden sind betroffen? |
| Recht und Frist | Besteht eine verbindliche oder zeitkritische Anforderung? |
| Abhängigkeit | Blockiert die Maßnahme weitere Vorhaben oder Kontrollen? |
| Umsetzbarkeit | Sind Personal, Technik, Beschaffung und Integration realistisch? |
| Lebenszykluskosten | Welche einmaligen, laufenden und Exitkosten entstehen? |
| Zwischenrisiko | Welche Folgen bestehen bis zur vollständigen Umsetzung? |
Eine entscheidungsfähige Vorlage enthält Problem, Ursache, Bezug zu Dienst und Risiko, Lösungsoptionen, empfohlene Option, Kostenkorridor, Kapazitätsbedarf, Termin, Abhängigkeiten, Folgen der Nichtentscheidung und vorgeschlagene Zwischenkontrolle. Technische Details werden referenziert, aber die entscheidungsrelevanten Auswirkungen verständlich beschrieben.
¶ 10. Mehrjährige Planung und kurzfristige Reserve
Ressourcen werden in drei Planungshorizonten geführt:
- kurzfristig: akute Schwachstellen, Vorfälle, Fristen, Ersatzbeschaffung oder Sofortmaßnahmen,
- mittelfristig: Projekte, Rollenaufbau, Prozessverbesserung und Vertragsänderungen,
- langfristig: Architektur, Plattformwechsel, Altanlagen, Standort- oder Lieferantenstrategie.
Zusätzlich ist eine Reserve für nicht planbare Ereignisse vorzusehen. Sie kann aus Budget, abrufbaren Dienstleisterkontingenten, Ersatztechnik, alternativen Kommunikationsmitteln oder verfügbarer Entscheidungskapazität bestehen. Die Reserve wird nicht nur finanziell, sondern auf tatsächliche Aktivierbarkeit geprüft.
¶ 11. Berichtskalender und Auslöser
Der Turnus wird risikobasiert festgelegt. Ein mögliches Muster ist:
| Bericht | Empfänger | Rhythmus oder Auslöser | Mindestinhalt |
|---|---|---|---|
| operativer Maßnahmenstatus | NIS2-/ISMS-Steuerung | monatlich | Termine, Blockaden, Nachweise, Datenprobleme |
| Ressourcenforecast | Budget-, Personal- und Dienstverantwortliche | quartalsweise und vor Planungsrunden | Bedarf, Engpass, Beschaffungszeit, Kapazität |
| NIS2-Leitungsbericht | Geschäftsleitung | quartalsweise oder risikobasiert | Top-Risiken, Wirksamkeit, Ressourcen, Entscheidungen |
| Vorfalllage | Krisen- und Geschäftsleitung | ereignisbezogen | Dienstwirkung, Zeitlinie, Meldestatus, Optionen |
| Eskalationsbericht | zuständige Entscheidungsstelle | bei Schwellenverletzung | Ursache, Restfolgen, Sofortmaßnahme, Entscheidung |
| Jahresrückblick | Geschäftsleitung / Managementbewertung | jährlich | Trends, Zielerreichung, Gesamtwirksamkeit, Folgeplanung |
Ein niedrigerer Turnus ist kein Qualitätsmerkmal, wenn Daten unvollständig oder Entscheidungen nicht nachverfolgt werden. Umgekehrt darf ein planmäßiger Quartalsbericht eine sofort erforderliche Eskalation nicht verzögern.
¶ 12. Mindestaufbau des Geschäftsleitungsberichts
| Abschnitt | Entscheidungsrelevanter Inhalt |
|---|---|
| Kurzfazit | wesentliche Veränderung seit dem letzten Bericht und Gesamtbewertung |
| Betroffenheit und Scope | neue Dienste, Rechtsträger, Standorte oder offene Rechtsfragen |
| Risikolage | Top-Risiken, Trend, Restrisiken und Auswirkungen auf relevante Dienste |
| Maßnahmen | geplant, begonnen, umgesetzt, geprüft, wirksam, unwirksam und überfällig getrennt |
| Vorfälle | Auswirkung, Erheblichkeit, Meldestatus, Wiederherstellung und Lernpunkte |
| Kontinuität | Tests, erreichte Wiederanlaufwerte, Abweichungen und Abhängigkeiten |
| Schwachstellen | kritische Expositionen, Fristen, Ausnahmen und Kompensationen |
| Lieferkette | kritische Anbieter, Vorfälle, Feststellungen, Konzentrations- und Exitrisiken |
| Aufsicht und Pflichten | Registrierung, Meldefristen, Behördenanfragen und Nachweisstatus |
| Ressourcen | Engpässe, Forecast, beantragte Entscheidungen und Folgen der Nichtbereitstellung |
| Schulung und Kompetenz | Abdeckung kritischer Rollen, Leitungsschulung und festgestellte Lücken |
| Audits und Verbesserung | Abweichungen, Korrekturen, Wirksamkeitsprüfungen und überfällige Punkte |
| Entscheidungen | konkrete Beschlussvorschläge, Owner, Termin und erwartete Wirkung |
Jeder Bericht trägt Berichts-ID, Version, Datenstichtag, Ersteller, Prüfer, Freigabe, Verteiler und Schutzklasse. Nachträgliche Korrekturen werden versioniert, nicht still überschrieben.
¶ 13. Kennzahlen: KPI, KRI und KCI unterscheiden
Kennzahlen werden nicht gesammelt, weil sie leicht verfügbar sind, sondern weil sie eine Steuerungsfrage beantworten.
| Kennzahlenart | Zweck | Beispiel |
|---|---|---|
| KPI – Leistungskennzahl | Fortschritt oder Ergebnis eines Prozesses | Anteil fristgerecht abgeschlossener Maßnahmen |
| KRI – Risikoindikator | zunehmende Exposition oder drohende Auswirkung | Anzahl internetexponierter kritischer Schwachstellen über Frist |
| KCI – Kontrollindikator | Funktionsfähigkeit einer Kontrolle | Anteil erfolgreicher Wiederherstellungstests im definierten Scope |
Mögliche Kennzahlen sind:
- Abdeckung relevanter Dienste durch aktuelle Risikoanalysen,
- Anteil kritischer Rollen mit funktionsfähiger Stellvertretung,
- überfällige hoch priorisierte Maßnahmen,
- Zeit bis Bewertung und Behandlung kritischer Schwachstellen,
- erfolgreiche Wiederherstellungstests einschließlich erreichter Zeiten,
- Abweichung zwischen Soll- und Istkapazität kritischer Rollen,
- offene Lieferantenfeststellungen nach Kritikalität,
- Fristtreue bei Vorfallbewertung und Meldeschritten,
- Anteil nachweislich geprüfter statt nur als „umgesetzt“ markierter Maßnahmen,
- offene Geschäftsleitungsentscheidungen über dem vereinbarten Termin.
„Keine Vorfälle“ ist keine positive Wirksamkeitskennzahl, wenn Erkennung, Protokollierung oder Meldekultur unzureichend sind.
¶ 14. Kennzahlensteckbrief und Datenqualität
Jede Kennzahl erhält einen Steckbrief:
Kennzahlen-ID · Steuerungsfrage · Definition · Scope · Formel · Einheit · Quelle · Daten-Owner · Stichtag · Intervall · Zielwert · Warnschwelle · Eskalationsschwelle · Trendregel · Aussagegrenze · Nachweis
Vor Veröffentlichung wird die Datenqualität beurteilt:
- Vollständigkeit: Sind alle relevanten Dienste, Systeme oder Standorte enthalten?
- Aktualität: Passt der Datenstichtag zum Berichtszeitraum?
- Richtigkeit: Wurde die Quelle plausibilisiert oder stichprobenartig geprüft?
- Konsistenz: Verwenden Berichte und Register dieselbe Definition?
- Nachvollziehbarkeit: Können Formel und Ausgangsdaten reproduziert werden?
- Unabhängigkeit: Wurde ein kritischer Status gegebenenfalls durch eine zweite Rolle geprüft?
Fehlende oder zweifelhafte Daten führen zu nicht bewertbar oder einem sichtbaren Datenqualitätsvorbehalt, nicht zu grün.
¶ 15. Ampellogik und Eskalationsschwellen
Ampeln werden aus festgelegten Kriterien erzeugt. Ein Muster:
| Status | Bedeutung | erforderliche Reaktion |
|---|---|---|
| Grün | Ziel erreicht, Daten ausreichend, keine wesentliche Abweichung | weiter überwachen |
| Gelb | Warnschwelle erreicht, Trend negativ oder Termin gefährdet | Owner und Gegenmaßnahme festlegen |
| Rot | Eskalationsschwelle überschritten, wesentliche Wirkung oder Fristverletzung droht | Geschäftsleitungsentscheidung beziehungsweise sofortige Eskalation |
| Grau | Daten fehlen, sind veraltet oder nicht belastbar | Datenproblem beheben; keine positive Aussage ableiten |
Schwellen berücksichtigen Kritikalität und Dienstwirkung. Ein einzelner hochkritischer Ausfall darf nicht durch viele grüne Durchschnittswerte verdeckt werden. Zusätzlich zur Ampel werden Wert, Trend, Ursache, Maßnahme, Owner und Termin gezeigt.
¶ 16. Vom Bericht zur Entscheidung
Jeder Punkt wird als Information, Kenntnisnahme, Bestätigung oder Entscheidung erforderlich gekennzeichnet. Ein Beschluss enthält mindestens:
Entscheidungs-ID · Sitzung · Anlass · Beschluss · abgelehnte Alternativen · Ressourcen · Owner · Frist · Bedingungen · Zwischenkontrolle · erwartete Wirkung · Prüftermin · Nachweis · Restrisiko · Status
Unklare Formulierungen wie „IT kümmert sich“ oder „Budget grundsätzlich freigegeben“ sind nicht ausreichend. Betrag oder Kapazität, Geltungsbereich, Verantwortlichkeit, Termin und erwartetes Ergebnis müssen so konkret sein, dass die Umsetzung später geprüft werden kann.
¶ 17. Entscheidungs- und Maßnahmenregister
Beschlüsse werden nach der Sitzung in ein zentrales Register übertragen. Der Protokollführer prüft, ob jeder Entscheidung ein Owner und ein Termin zugeordnet sind. Die NIS2-Koordination verfolgt Zwischenziele und fordert Nachweise an.
Statuswerte werden eindeutig verwendet:
offen– beschlossen, aber noch nicht begonnen,in Umsetzung– Aktivitäten laufen, Abschlussnachweis fehlt,umgesetzt– Arbeitsergebnis liegt vor, Wirksamkeitsprüfung noch offen,wirksam– definierte Wirkung wurde nachvollziehbar bestätigt,unwirksam– Ziel wurde nicht erreicht; Folgeentscheidung erforderlich,geschlossen– Wirkung und verbleibendes Risiko wurden entschieden.
Damit wird vermieden, dass eine Bestellung, Richtlinie oder Schulung bereits als wirksame Risikobehandlung gilt.
¶ 18. Regeltermin der Geschäftsleitung
Ein NIS2-Leitungstermin wird vorbereitet, durchgeführt und nachbereitet:
¶ Vorbereitung
- Datenstichtag und Berichtsumfang festlegen,
- Kennzahlen und Nachweise aus den führenden Systemen abrufen,
- Datenqualität, offene Annahmen und Abweichungen prüfen,
- Entscheidungen mit Optionen und Folgen vorbereiten,
- Bericht schützen und rechtzeitig an den berechtigten Verteiler geben.
¶ Durchführung
- Beschlussfähigkeit und Interessenkonflikte beachten,
- wesentliche Änderungen und rote beziehungsweise graue Punkte zuerst behandeln,
- Risiken, Ressourcen und Dienstwirkung gemeinsam betrachten,
- Entscheidungen, Bedingungen, Owner und Termine unmittelbar festhalten.
¶ Nachbereitung
- freigegebenes Protokoll und Berichtsversion sichern,
- Beschlüsse in Register und Maßnahmenpläne übertragen,
- betroffene Verantwortliche informieren,
- überfällige oder unklare Punkte eskalieren,
- Prüftermine für Umsetzung und Wirksamkeit anlegen.
¶ 19. Anlassbezogene Berichte und Soforteskalation
Ein regulärer Berichtstermin wird nicht abgewartet bei:
- erheblichem Sicherheitsvorfall oder wesentlicher Dienstbeeinträchtigung,
- drohender Verletzung einer gesetzlichen oder behördlichen Frist,
- kritischer Schwachstelle ohne rechtzeitige Behandlung,
- Ausfall eines kritischen Lieferanten oder einer Schlüsselperson,
- unwirksamer Wiederherstellung oder fehlender Notfallkommunikation,
- neuem erheblichen Risiko oder deutlicher Scope-Änderung,
- nicht bereitgestellten Ressourcen mit unmittelbar wesentlichen Folgen,
- behördlicher Anfrage, Anordnung oder Prüfungsankündigung.
Der Sofortbericht enthält gesicherte Fakten, Unsicherheiten, Dienstwirkung, bereits ergriffene Maßnahmen, Entscheidungsoptionen, Zeitkritikalität und nächsten Aktualisierungszeitpunkt. Spekulationen werden von bestätigten Informationen getrennt.
¶ 20. Schutz und Verteilung der Berichte
Leitungsberichte können Sicherheitsarchitektur, Schwachstellen, Vorfälle, personenbezogene Daten, Vertragsinformationen oder Geschäftsgeheimnisse enthalten. Deshalb werden Schutzklasse, Verteiler, Ablage, Zugriff, Aufbewahrung und sichere Löschung festgelegt.
Das öffentliche Wiki enthält keine realen Angriffspfade, Kontaktdaten einzelner Personen, Zugangsinformationen, detaillierten Schwachstellenlisten oder vertraulichen Budgetwerte. Für öffentliche oder breitere Empfängerkreise werden Inhalte gezielt verdichtet und sanitarisiert. Ein interner Originalbericht wird nicht durch unkontrollierte E-Mail-Kopien ersetzt.
¶ 21. Beispiel eines kompakten Leitungsberichts
| Feld | Musterinhalt |
|---|---|
| Bericht | NIS2-Leitungsbericht Q3/2026 – Musterdaten |
| Gesamtstatus | Grau – Datenquellen und Schwellen noch nicht freigegeben |
| Top-Risiko | Beispiel: Wiederherstellungsfähigkeit eines relevanten Dienstes nicht abschließend geprüft |
| Ressourcenbedarf | Testkapazität und externe Unterstützung – Betrag und Umfang offen |
| Entscheidung | Pilot für Wiederherstellungstest vorbereiten; keine reale Freigabe bestätigt |
| Owner / Termin | noch festzulegen |
| Wirksamkeitskriterium | erfolgreicher Test innerhalb genehmigter Wiederanlauf- und Datenverlustziele |
| Restrisiko | nach Test und Abweichungsbewertung neu zu entscheiden |
Der Musterbericht darf nicht als tatsächliche Leitungsvorlage oder Wirksamkeitsnachweis verwendet werden.
¶ 22. Häufige Fehler und Gegenmaßnahmen
| Fehler | Folge | Gegenmaßnahme |
|---|---|---|
| nur IT-Budget betrachten | Personal, Betrieb und Notfallfähigkeit fehlen | alle Ressourcenarten im Register führen |
| Aktivität als Wirkung berichten | falscher grüner Status | Umsetzung und Wirksamkeit getrennt bewerten |
| Durchschnitt verdeckt kritischen Einzelfall | wesentliche Lücke bleibt unsichtbar | Kritikalität und Dienstwirkung gesondert eskalieren |
| fehlende Daten werden als null interpretiert | scheinbar gute Kennzahl | Status nicht bewertbar verwenden |
| Bericht ohne Beschlussvorschlag | Geschäftsleitung kann nicht entscheiden | Optionen, Folgen, Ressourcen und Termin vorlegen |
| Budgetablehnung schließt Maßnahme | Risiko bleibt unbehandelt | Restfolgen und Zwischenkontrolle entscheiden |
| keine Vertretung kritischer Rollen | Ausfall im Vorfall | qualifizierte Stellvertretung testen |
| Protokoll ohne Nachverfolgung | Beschlüsse bleiben folgenlos | Entscheidungsregister und Folgebericht verwenden |
| sensible Details im Wiki | unnötige Offenlegung | geschützte Originalakte und öffentliche Methodik trennen |
¶ 23. Qualitätscheck vor Freigabe
- Sind relevante Dienste, Risiken und Pflichten die nachvollziehbare Grundlage der Planung?
- Deckt das Ressourcenregister Personal, Kompetenz, Zeit, Technik, Infrastruktur, externe Leistungen und Reserve ab?
- Werden Regelbetrieb, Vorfallbelastung und Stellvertretung gemeinsam betrachtet?
- Enthalten Entscheidungsvorlagen Kosten, Kapazität, Nutzen, Risiko, Alternativen und Folgen der Nichtentscheidung?
- Sind Berichtsarten, Empfänger, Turnus und Sofortauslöser festgelegt?
- Beantwortet jede Kennzahl eine definierte Steuerungsfrage?
- Sind Definition, Scope, Quelle, Owner, Schwelle und Aussagegrenze dokumentiert?
- Werden fehlende Daten sichtbar und nicht als positiver Wert behandelt?
- Trennen Berichte Planung, Umsetzung, Prüfung und Wirksamkeit?
- Besitzen Geschäftsleitungsbeschlüsse eindeutige Owner, Termine und Nachweise?
- Werden überfällige Entscheidungen und rote Statuswerte rechtzeitig eskaliert?
- Sind Bericht, Protokoll, Register und Nachweise geschützt und versioniert?
- Enthält die öffentliche Wiki-Seite ausschließlich Muster- und Methodikinhalte?
¶ 24. Offene Punkte vor organisationsbezogener Freigabe
- Prozesseigner, Berichtsersteller, Prüfer und Stellvertretungen benennen,
- Ressourcenarten und zuständige Budgetstellen bestätigen,
- Ressourcenregister in geschützter Ablage einrichten,
- kritische Rollen und Mindestabdeckung festlegen,
- Planungszyklen, Berichtskalender und Sofortauslöser genehmigen,
- Kennzahlenkatalog einschließlich Datenquellen und Aussagegrenzen freigeben,
- Ampel- und Eskalationsschwellen je Kritikalität festlegen,
- Leitungsbericht mit Musterdaten pilotieren,
- Entscheidungs- und Maßnahmenregister mit Managementbewertung abstimmen,
- Verteiler, Schutzklasse, Aufbewahrung und Löschung regeln,
- ersten Wirksamkeitscheck des Gesamtverfahrens terminieren.
¶ 25. Verknüpfte Seiten im Wiki
- Pflichten der Geschäftsleitung
- Rollen und Verantwortlichkeiten
- Schulung der Geschäftsleitung
- NIS2-Cybersicherheitsleitlinie
- Risikobehandlungsplan
- Wirksamkeitsprüfung
- NIS2-Nachweisregister
- Managementbewertung
- Kennzahlen und Zielerreichung
- Management-Cockpit
- Kontinuierliche Verbesserung
¶ 26. Amtliche Grundlagen
Die externen Quellen öffnen in einem neuen Tab. Vor einer organisationsbezogenen Anwendung sind Rechtsstand, Betroffenheit und sektorale Besonderheiten erneut zu prüfen.
- § 30 BSIG – Risikomanagementmaßnahmen besonders wichtiger und wichtiger Einrichtungen
- § 38 BSIG – Umsetzungs-, Überwachungs- und Schulungspflicht der Geschäftsleitung
- § 39 BSIG – Nachweispflichten für Betreiber kritischer Anlagen
- § 61 BSIG – Aufsichts- und Durchsetzungsmaßnahmen für besonders wichtige Einrichtungen
- EUR-Lex – Richtlinie (EU) 2022/2555
¶ 27. Weiterführende Unterstützung durch SMCT-Management
SMCT-Management unterstützt beim Aufbau von Ressourcenregistern, Managementberichten, Kennzahlen, Entscheidungswegen und der Verbindung zu einem bestehenden ISMS. Informationen zur NIS2-Beratung öffnen.
¶ 28. Änderungshistorie
| Version | Datum | Änderung | Freigabe |
|---|---|---|---|
| 0.3 | 09.08.2026 | Ressourcenregister, Personal- und Kompetenzplanung, Budgetlogik, Berichtsebenen, Kennzahlenarten, Datenqualität, Ampeln, Soforteskalation, Entscheidungsregister, Schutz und Musterbericht umfassend ergänzt | Ausstehend |
| 0.2 | 08.08.2026 | Ressourcenarten, Kapazität, Priorisierung, Berichtskalender, Kennzahlendesign und Entscheidungsnachverfolgung vertieft | Ausstehend |
| 0.1 | 08.08.2026 | Musterverfahren für Ressourcen und Leitungsbericht erstellt | Ausstehend |