Musterverfahren – kein durchgeführter Leitungsbeschluss: Die Seite zeigt eine mögliche Struktur für die wiederkehrende Geschäftsleitungsbewertung einer fiktiven Organisation. Es sind keine reale NIS2-Betroffenheit, keine tatsächliche Umsetzung, keine Wirksamkeit und keine Freigabe dokumentiert.
Rechtliche Einordnung: Das BSIG schreibt kein Dokument mit der Bezeichnung „NIS2-Managementbewertung“ und kein bestimmtes Sitzungsformat vor. Die strukturierte Bewertung ist ein Governance-Instrument, mit dem die Geschäftsleitung ihre Umsetzungs- und Überwachungsaufgaben nach § 38 BSIG sowie die dokumentierte Steuerung geeigneter, verhältnismäßiger und wirksamer Maßnahmen nach § 30 BSIG nachvollziehbar wahrnehmen kann.
Schutzbedarf: Reale Risiken, Schwachstellen, Vorfälle, Behördenkommunikation, Budgetangaben, personenbezogene Daten und technische Nachweise gehören in eine geschützte Leitungs- beziehungsweise Nachweisakte. Das öffentliche Wiki enthält Methodik, leere Strukturen und erfundene Beispiele.
| Feld | Wert |
|---|---|
| Dokumenten-ID | NIS2-REG-08-06 |
| Dokumentenart | Verfahren, Bewertungs- und Beschlussprotokoll |
| Wiki.js-Pfad | /NIS2/08-Aufsicht-Audit-und-Verbesserung/Managementbewertung-NIS2 |
| Verantwortlich für Vorbereitung | NIS2-Koordination / Informationssicherheitsfunktion |
| Vorsitz und Entscheidung | Geschäftsleitung im organisationsbezogen festgestellten Sinn |
| Mitwirkend | Dienst-, Risiko-, Maßnahmen-, Audit-, Incident-, BCM-, Lieferanten-, Personal-, IT/OT-, Rechts- und Datenschutzverantwortliche |
| Fachlich geprüft durch | Recht/Compliance und Informationssicherheit – ausstehend |
| Freigabe durch | Geschäftsleitung – ausstehend |
| Status | Entwurf – keine Bewertung durchgeführt, keine Beschlüsse bestätigt |
| Version / Stand | 0.1 / 09.08.2026 |
| Bewertungszeitraum | Organisationsbezogen festzulegen |
| Datenstichtag | Organisationsbezogen festzulegen |
| Sitzungstermin | Noch nicht festgelegt |
| Turnus | Geplant mindestens jährlich sowie anlassbezogen; organisationsbezogen freizugeben |
| Schutzklasse | Vertraulich; öffentliche Musterseite ohne reale Leitungsdaten |
| Rechtsbezug | Artikel 20 und 21 NIS-2-Richtlinie; §§ 30, 38, 39, 61 und 62 BSIG je nach Einrichtungsart und Sachverhalt |
| Schnittstellen | Geschäftsleitungsbericht, Risikoregister, Maßnahmenplan, Wirksamkeitsprüfung, Vorfallregister, Audit, Aufsicht und ISMS-Managementbewertung |
Die Leitungskette verbindet belastbare Eingaben mit Bewertung, Beschlüssen, Ressourcen und überprüfbarer Nachverfolgung. Zum Vergrößern in einem neuen Tab öffnen.
Die Managementbewertung verdichtet technische, organisatorische und rechtliche Informationen zu Entscheidungen der Geschäftsleitung. Sie soll nicht möglichst viele Kennzahlen präsentieren, sondern folgende Leitungsfragen beantworten:
Das Ergebnis ist kein allgemeiner Satz wie „NIS2 ist erfüllt“. Erforderlich sind differenzierte Bewertungen, sichtbare Aussagegrenzen und konkrete Entscheidungen.
| Aspekt | NIS2-Managementbewertung | ISO/IEC-27001-Managementbewertung |
|---|---|---|
| Rechtscharakter | freiwillig strukturiertes Governance-Verfahren zur Unterstützung gesetzlicher Leitungssteuerung | ausdrücklicher Bestandteil des ISMS nach Klausel 9.3 |
| Fokus | relevante Dienste, gesetzliche Maßnahmen, Geschäftsleitungsüberwachung, Melde- und Aufsichtsfähigkeit | fortdauernde Eignung, Angemessenheit und Wirksamkeit des ISMS |
| Scope | betroffene Einrichtung, relevante Dienste und zugehörige Systeme, Komponenten und Prozesse | freigegebener ISMS-Geltungsbereich |
| Pflichtenbezug | §§ 30 und 38 BSIG; gegebenenfalls §§ 39, 61 und 62 | ISO/IEC 27001 und organisationsbezogene ISMS-Anforderungen |
| Ergebnis | NIS2-bezogene Entscheidungen, Ressourcen, Korrekturen und Überwachung | ISMS-Änderungen, Verbesserungen und Ressourcenentscheidungen |
| Zusammenlegung | möglich, wenn NIS2-Scope und gesetzliche Entscheidungsbedarfe eindeutig sichtbar bleiben | darf NIS2-spezifische Rechts- und Dienstesicht nicht verdecken |
Ein gemeinsamer Sitzungstermin kann Doppelarbeit vermeiden. Das Protokoll muss dennoch unterscheiden, welche Aussage sich auf den ISMS-Scope, den NIS2-Scope oder beide bezieht. Eine ISO-Zertifizierung ersetzt weder die NIS2-Betroffenheitsprüfung noch gesetzliche Registrierung, Meldung oder Aufsicht.
10 Steuerungsfelder werden angezeigt.
Leitungsverantwortung
offen
Rechtsträger, Geschäftsleitung, NIS2-Scope, Datenstichtag, Berichtsperiode und Sitzungsturnus müssen organisationsbezogen bestätigt werden.
Beschluss: Bewertungsrahmen, Rollen, Verteiler und Schutzklasse freigeben.
Leitungspflichten öffnenRisikolage
zu bewerten
Kritische Diensteszenarien, Trends, Datenqualität, Maßnahmenwirkung und befristete Akzeptanzen sind einzeln sichtbar zu machen.
Beschluss: Behandlung, Zwischenkontrolle oder formal befugte Risikoakzeptanz.
NIS2-Risikoregister öffnenRisikomanagementmaßnahmen
10 Felder
Ein Konzept, eine Bestellung oder ein Projektstatus belegt noch keine funktionierende und wirksame Kontrolle.
Beschluss: Lücken, Prioritäten, Wirksamkeitskriterien und Nachprüfungen festlegen.
Maßnahmenkatalog öffnenWirksamkeit und Datenqualität
Nachweise
Scope, Testmethode, Zeitraum, Stichprobe, Ergebnis, Abweichung und unabhängige Plausibilisierung bestimmen die Aussagekraft.
Bewertung: wirksam, teilweise wirksam, unwirksam oder nicht bewertbar.
Wirksamkeitsprüfung öffnenVorfälle und Meldung
bereit?
Erheblichkeitsbewertung, Fristen, Portalzugänge, Stellvertretung, Parallelpflichten und Lessons Learned müssen getestet sein.
Beschluss: fehlende Bereitschaft unverzüglich mit Owner und Termin behandeln.
Melderegister öffnenKontinuität
testen
Erreichte Wiederanlauf- und Datenverlustwerte, Notbetrieb, Kommunikation und Abhängigkeiten werden mit den genehmigten Zielen verglichen.
Bewertung: Abweichungen, Ersatzmaßnahmen und erneuten Test beschließen.
Kritikalität und Abhängigkeiten öffnenLieferkette
Ende-zu-Ende
Vertragslücken, Unterauftragnehmer, Vorfälle, Exitfähigkeit und Single Points of Failure dürfen nicht im Durchschnitt verschwinden.
Beschluss: Behandlung, Vertragsnachtrag, Alternative oder befristetes Restrisiko.
Lieferketten-Risikomanagement öffnenRessourcen
Soll/Ist
Personal, Kompetenz, Zeit, Technik, Budget, externe Unterstützung und Notfallreserve werden gemeinsam bewertet.
Beschluss: konkrete Kapazität, Budget, Owner, Zeitraum und erwartete Wirkung.
Ressourcen und Berichtswesen öffnenAudit und Aufsicht
auskunftsfähig
Interne und externe Prüfungen, Behördenanfragen, Mängel, Korrekturpläne und Nachweise der Mängelbeseitigung benötigen einen konsistenten Status.
Bewertung: offene Aufträge und Fristen priorisieren; Originale geschützt referenzieren.
NIS2-Nachweisregister öffnenSchulung und Kompetenz
belegen
Teilnahme allein zeigt noch nicht, ob Risiken, Maßnahmen und Auswirkungen auf relevante Dienste beurteilt werden können.
Bewertung: Lernziel, Teilnahme, Transfer, Übung und festgestellte Kompetenzlücke.
Leitungsschulung öffnenFür die gewählte Sicht sind keine Steuerungsfelder vorhanden.
| Bewertung | Bedeutung | Managementreaktion |
|---|---|---|
| Geeignet und wirksam | Ziel, Scope, Betrieb und Wirkung sind mit aktuellen Nachweisen belegt | fortführen und risikobasiert überwachen |
| Teilweise wirksam | Kontrolle wirkt grundsätzlich, besitzt aber konkrete Lücken oder Einschränkungen | Korrektur mit Owner, Termin und Zwischenkontrolle beschließen |
| Unwirksam | Ziel wird nicht erreicht oder wesentliche Kontrolle fällt aus | priorisierte Behandlung, Ersatzmaßnahme und erneute Prüfung |
| Nicht bewertbar | Daten, Scope, Freigabe oder Prüfnachweis reichen nicht aus | Datenlücke sichtbar lassen; keine grüne Aussage ableiten |
| Nicht anwendbar | nur nach nachvollziehbarer organisations- und rechtsbezogener Begründung | Begründung, Entscheider und nächsten Review dokumentieren |
Die Bewertung bezieht sich immer auf ein konkretes Kontrollziel, einen festgelegten Scope und einen Datenzeitraum. Ein Durchschnittswert darf einen kritischen Einzelfall nicht verdecken.
| Rolle | Aufgabe in der Managementbewertung |
|---|---|
| Geschäftsleitung | Bewertungsrahmen bestätigen, kritisch hinterfragen, Gesamturteil und verbindliche Beschlüsse treffen |
| NIS2-Koordination | Planung, Datenanforderung, Konsistenzprüfung, Agenda, Protokoll und Follow-up steuern |
| Dienstverantwortliche | Auswirkung, Leistung, Abhängigkeiten und dienstbezogene Risiken vertreten |
| Risikoeigentümer | Risiko, Behandlung, Restrisiko, Unsicherheit und Entscheidungsbedarf erläutern |
| Maßnahmenowner | Umsetzung, Nachweis, Hindernisse, Zwischenkontrollen und Wirksamkeitsstatus berichten |
| Informationssicherheit/IT/OT | technische Lage, Schwachstellen, Identitäten, Architektur, Überwachung und Resilienz bewerten |
| Incident-/BCM-Funktion | Vorfälle, Meldebereitschaft, Notbetrieb, Wiederanlauf und Übungen berichten |
| Einkauf/Lieferantenmanagement | kritische Anbieter, Verträge, Unterauftragnehmer, Konzentration und Exit darstellen |
| Recht/Compliance/Datenschutz | Rechtsstand, Aufsicht, Verträge und Parallelpflichten abgrenzen |
| Audit/Revision | unabhängige Feststellungen, Ursachen, Nachprüfung und Datenqualität berichten |
| Personal/Schulung | Kompetenz, Stellvertretung, Leitungs- und Rollenschulung bewerten |
| Protokollführung | Entscheidung, abweichende Auffassung, Owner, Termin und Freigabe unverwechselbar festhalten |
Vor der Sitzung werden Beschlussfähigkeit, Vertretung und mögliche Interessenkonflikte geprüft. Operative Aufgaben können delegiert werden; die Geschäftsleitung benötigt dennoch eine ausreichende Informations- und Überwachungsgrundlage.
Das Muster sieht mindestens eine jährliche Gesamtbewertung vor. Dieser Turnus ist eine interne Governance-Festlegung und keine im BSIG ausdrücklich genannte Jahresfrist. Zusätzlich wird eine vorgezogene oder themenbezogene Bewertung ausgelöst durch:
Dringende Entscheidungen warten nicht auf den planmäßigen Bewertungstermin.
| Zeitpunkt | Tätigkeit | Ergebnis |
|---|---|---|
| T–6 Wochen | Bewertungszeitraum, Datenstichtag, Scope und Teilnehmende festlegen | freigegebener Bewertungsrahmen |
| T–5 Wochen | Daten und Nachweise bei führenden Ownern anfordern | Input- und Vollständigkeitsliste |
| T–4 Wochen | Registerstände, Kennzahlen, Feststellungen und Fristen abgleichen | konsolidierter Datenstand |
| T–3 Wochen | Datenqualität, Widersprüche, kritische Einzelfälle und fehlende Nachweise prüfen | Lücken- und Eskalationsliste |
| T–2 Wochen | Leitungsvorlage mit Optionen, Ressourcen und Beschlussvorschlägen verteilen | entscheidungsfähiges Managementpaket |
| T | Bewertung durchführen und Beschlüsse protokollieren | Gesamturteil und Beschlussliste |
| T+5 Arbeitstage | Protokoll und Registereinträge zur Prüfung verteilen | reviewfähiger Entwurf |
| T+10 Arbeitstage | Protokoll, Beschlüsse und Verteiler freigeben | geschützter Leitungsnachweis |
| danach | Maßnahmen, Risiken, Nachweise und Folgeberichte aktualisieren | konsistente Steuerungsstände |
Ein verspäteter oder unvollständiger Input wird nicht durch eine positive Schätzung ersetzt. Kritische Lücken werden der Geschäftsleitung vor der Sitzung sichtbar gemacht.
| Eingabe | Mindestinhalt | Führende Quelle |
|---|---|---|
| frühere Beschlüsse | offen, umgesetzt, wirksam, unwirksam, überfällig und neu zu entscheiden | Entscheidungs- und Maßnahmenregister |
| Betroffenheit und Scope | Rechtsträger, Einrichtungsart, relevante Dienste, Systeme, Standorte und Dritte | Betroffenheitsakte und Geltungsbereich |
| Änderungen | Organisation, Dienste, Technik, Bedrohungen, Recht, Kunden, Lieferanten und Personal | Änderungs- und Kontextübersicht |
| Risikolage | Top-Risiken, Trends, Restrisiken, Kaskaden, Konzentration und Datenqualität | NIS2-Risikoregister |
| Risikobehandlung | Priorität, Fortschritt, Zwischenmaßnahme, Ressourcen, Zielrisiko und Wirksamkeit | Risikobehandlungsplan |
| Maßnahmen nach § 30 | Umsetzungs- und Wirksamkeitsstatus der zehn Mindestbereiche | Maßnahmenkatalog und Nachweisregister |
| Vorfälle und Meldungen | Wirkung, Erheblichkeit, Fristen, Behördenkommunikation und Lessons Learned | Incident- und Melderegister |
| Kontinuität | BIA, Wiederanlaufziele, Tests, Notbetrieb, Abweichungen und Kommunikation | BCM-/Testnachweise |
| Lieferkette | kritische Anbieter, Vorfälle, Vertragslücken, Unterauftragnehmer und Exit | Lieferketten-Risikoregister |
| Schwachstellen und Änderungen | kritische Expositionen, Patchausnahmen, Alttechnologie und Entwicklungsrisiken | Schwachstellen-/Änderungsregister |
| Identitäten und Kryptografie | privilegierte Zugriffe, MFA, Schlüssel, Ausnahmen und Review | Zugriffs- und Kryptonachweise |
| Wirksamkeitsprüfungen | Hypothese, Methode, Scope, Stichprobe, Ergebnis und Nachprüfung | Wirksamkeitsprogramm |
| Audit und Aufsicht | interne/externe Feststellungen, Behördenanfragen, Fristen und Mängelbeseitigung | Audit-/Aufsichtsakte |
| Schulung und Kompetenz | Leitungsschulung, kritische Rollen, Vertretung und Transfer | Schulungsnachweise |
| Ressourcen | Soll/Ist, Engpässe, Budget, externe Hilfe und Notfallreserve | Ressourcenregister und Forecast |
Jeder wesentliche Input erhält einen Datenqualitätsstatus:
| Kriterium | Prüffrage |
|---|---|
| Vollständigkeit | Sind alle relevanten Dienste, Standorte, Systeme und Dritten enthalten? |
| Aktualität | Passt der Datenstichtag zur Berichtsperiode und aktuellen Lage? |
| Richtigkeit | Ist die Quelle plausibilisiert oder stichprobenartig geprüft? |
| Konsistenz | Verwenden Bericht, Register und Nachweis dieselbe Definition und denselben Scope? |
| Nachvollziehbarkeit | Können Wert, Formel, Entscheidung und Änderung reproduziert werden? |
| Unabhängigkeit | Wurde eine kritische Selbstaussage angemessen durch eine zweite Rolle geprüft? |
| Schutz | Ist die Information angemessen klassifiziert und nur berechtigt zugänglich? |
Fehlende Daten führen zu nicht bewertbar oder einem sichtbaren Vorbehalt. Nullwerte sind nicht automatisch gute Werte: „keine Vorfälle“ kann auch unzureichende Erkennung oder Meldekultur bedeuten.
| Maßnahmenfeld | Leitungsfrage | Typischer Nachweis |
|---|---|---|
| Risikoanalyse und Sicherheitskonzepte | Decken Szenarien die relevanten Dienste und einen gefahrenübergreifenden Ansatz ab? | freigegebene Methodik, Risiko- und Maßnahmenregister |
| Bewältigung von Sicherheitsvorfällen | Funktionieren Erkennung, Eskalation, Meldeentscheidung und Wiederherstellung unter Zeitdruck? | Übungen, Incident-Akten, Melderegister |
| Betriebskontinuität und Krisenmanagement | Werden genehmigte Zeit- und Mindestbetriebsziele praktisch erreicht? | Restore-, Wiederanlauf- und Krisenübungen |
| Lieferkettensicherheit | Werden unmittelbare Anbieter, Unterauftragnehmer, Konzentrationen und Exit gesteuert? | Due Diligence, Vertrag, Monitoring, Exit-Test |
| Erwerb, Entwicklung, Wartung, Schwachstellen | Werden Sicherheitsanforderungen über den Lebenszyklus und kritische Lücken wirksam behandelt? | Entwicklungs-, Change-, Patch- und Schwachstellennachweise |
| Wirksamkeitsbewertung | Belegen Prüfungen nicht nur Existenz, sondern tatsächliche Wirkung? | Testprogramm, Stichprobe, Ergebnis, Nachprüfung |
| Schulung und Sensibilisierung | Können Leitung und kritische Rollen Risiken und Dienstwirkungen kompetent beurteilen? | Lernziele, Teilnahme, Transfer und Übung |
| Kryptografie | Sind Einsatz, Schlüssel, Altverfahren und Migration risikobasiert gesteuert? | Kryptokonzept, Schlüsselregister, Migrationsplan |
| Personal, Zugriff und IKT-Verwaltung | Sind kritische Rollen, Zugriffe, Funktionstrennung und Anlagen vollständig kontrolliert? | Rollen-, Berechtigungs- und Assetreviews |
| MFA und sichere Kommunikation | Sind kritische Zugänge und Notfallkommunikation angemessen geschützt und getestet? | Abdeckungsberichte, Ausnahmen, Kommunikationsübung |
Die Tabelle behauptet keine Umsetzung. Für jedes Feld werden Scope, Owner, Status, Nachweis, Abweichung, Restrisiko und Managemententscheidung geführt.
Eine NIS2-Bewertung darf nicht bei abstrakten Kontrollen stehen bleiben. Für jeden relevanten Dienst wird mindestens folgende Sicht erzeugt:
| Dimension | Leitungsfrage |
|---|---|
| Leistungsversprechen | Welche Empfänger und gesellschaftlichen/wirtschaftlichen Wirkungen sind betroffen? |
| Kritikalität | Welche MTPD-, RTO-, RPO- und Mindestbetriebsziele gelten? |
| Ende-zu-Ende-Abhängigkeiten | Welche Systeme, Daten, Standorte, Personen und Lieferanten sind unverzichtbar? |
| Risikolage | Welche Szenarien überschreiten Toleranz oder verändern sich negativ? |
| Kontrollen | Welche Maßnahmen schützen den Dienst und wie wurde ihre Wirkung geprüft? |
| Vorfälle | Welche Ereignisse, Beinahevorfälle und Trends verändern die Bewertung? |
| Wiederherstellung | Wurden Ziele im realistischen Test erreicht? |
| Entscheidung | Welche Ressource, Maßnahme, Akzeptanz oder Eskalation ist erforderlich? |
Die Leitung erhält keine reine Risikoliste, sondern eine entscheidungsfähige Auswahl:
Eine Risikoakzeptanz dokumentiert Risiko, Dienstwirkung, Laufzeit, Verantwortlichen, bestehende und geplante Maßnahmen, Alternativen, Frühindikatoren, Widerrufskriterien und nächsten Review. Sie schließt keine zwingende Rechtspflicht aus.
| Prüfpunkt | Bewertungsinhalt |
|---|---|
| Erkennung und Triage | Zeit, Qualität, Eskalation und Abdeckung relevanter Dienste |
| Kenntniserlangung | nachvollziehbare Entscheidung mit Zeitstempel und Tatsachengrundlage |
| Meldestufen | 24-/72-Stunden-, Zwischen-, Fortschritts- und Abschlussfähigkeit |
| Zugänge und Vertretung | BSI-Portal, Berechtigungen, Wochenend- und Ausfallvertretung |
| Parallelpflichten | DSGVO, Kunden, Sektor, Versicherer und Strafverfolgung getrennt geprüft |
| Wiederherstellung | Dienstwirkung, Notbetrieb, RTO/RPO und Kommunikationsfähigkeit |
| Lernen | Ursachen, Korrekturmaßnahmen, Wirksamkeit und Rückführung in Risiken |
Ein leerer Melderegisterstand beweist keine erfolgreiche Vorfallbeherrschung. Übungen, Alarmierungsproben und technische Erkennungsnachweise sind erforderlich.
Die Leitung bewertet mindestens:
Ein Zertifikat eines Providers ersetzt nicht die Prüfung des tatsächlich genutzten Dienstes, des Scopes und der eigenen Verantwortungsanteile.
Für Betreiber kritischer Anlagen sieht § 39 BSIG spezifische periodische Nachweise vor. Für besonders wichtige Einrichtungen enthält § 61 Aufsichts- und Durchsetzungsmaßnahmen einschließlich möglicher Audits, Prüfungen, Zertifizierungen, Nachweis- und Dokumentationsanforderungen. Bei wichtigen Einrichtungen kann das BSI unter den Voraussetzungen des § 62 die Einhaltung überprüfen und Maßnahmen nach § 61 treffen. Anwendbarkeit, Zeitpunkt und Umfang werden organisationsbezogen rechtlich geprüft.
Die Managementbewertung zeigt deshalb:
| Aufsichtsthema | erforderliche Leitungssicht |
|---|---|
| Prüfbereitschaft | verantwortliche Kontaktstelle, geschützter Datenraum und aktuelles Nachweisregister |
| Feststellungen | Schwere, Dienstwirkung, Ursache, Frist und verantwortliche Behandlung |
| Mängelbeseitigungsplan | Maßnahmen, Ressourcen, Zwischenkontrolle und Nachweis der Beseitigung |
| Behördenanfrage | Eingang, Rechtsgrundlage, Frist, Freigabe, Antwort und Versandbestätigung |
| Dokumentationslücke | Auswirkung auf Aussagefähigkeit und priorisierte Schließung |
| Prüfungsunabhängigkeit | Eignung, Unabhängigkeit und möglicher Interessenkonflikt der Prüffunktion |
Die öffentliche Seite enthält keine Behördenkorrespondenz oder vertraulichen Prüfungsunterlagen.
§ 38 Absatz 3 BSIG verlangt regelmäßige Schulungen, damit die Geschäftsleitung Risiken, Risikomanagementpraktiken und Auswirkungen auf die erbrachten Dienste beurteilen kann. Die Managementbewertung prüft daher nicht nur Teilnahmebescheinigungen, sondern:
| Ressourcenart | Soll-/Ist-Frage | mögliche Leitungsentscheidung |
|---|---|---|
| Personal | Sind kritische Rollen quantitativ und qualitativ ausreichend besetzt? | Stelle, externe Hilfe oder Prioritätsänderung |
| Kompetenz | Sind Aufgaben und Technologien mit ausreichendem Wissen abgedeckt? | Ausbildung, Coaching oder Providerunterstützung |
| Zeit | Ist neben Regelbetrieb ausreichend Kapazität für Risiken, Tests und Nachweise vorhanden? | Freistellung, Roadmap oder Scopepriorisierung |
| Budget | Deckt die Planung notwendige Umsetzung, Betrieb und Wirksamkeitsprüfung? | Betrag, Zeitraum und Budgetowner freigeben |
| Technik | Sind Werkzeuge, Lizenzen, Telemetrie und sichere Kommunikation angemessen? | Beschaffung, Ersatz oder Konsolidierung |
| Notfallreserve | Besteht Reserve für Incident, Wiederherstellung und externe Spezialisten? | Bereitschaft, Rahmenvertrag oder Reservebudget |
| Vertretung | Funktioniert die Stellvertretung praktisch und mit Berechtigungen? | zweite Rolle benennen und testen |
Eine Budgetablehnung schließt das zugrunde liegende Risiko nicht. Folgen, Zwischenmaßnahmen und verbleibendes Risiko werden ausdrücklich entschieden.
| Kennzahl | Steuerungsfrage | Aussagegrenze |
|---|---|---|
| Anteil relevanter Dienste mit aktueller Risikoanalyse | Ist der Scope vollständig bewertet? | sagt nichts über Qualität der Bewertung aus |
| kritische Restrisiken über Toleranz | Wo ist eine Leitungsentscheidung erforderlich? | Datenqualität und Bewertungsmethode beachten |
| überfällige hoch priorisierte Maßnahmen | Wo stockt die Umsetzung? | Aktivität ist noch keine Wirksamkeit |
| nachweislich wirksame Maßnahmen | Welche Kontrollen erreichen ihr Ziel? | nur mit definiertem Scope und Prüfmethode |
| kritische Schwachstellen über Frist | Wo steigt die Exposition? | Asset- und Exposure-Vollständigkeit erforderlich |
| erfolgreiche Wiederherstellungstests | Werden Zeit- und Datenverlustziele erreicht? | Testumfang und Realitätsnähe angeben |
| offene Lieferantenfeststellungen | Wo wirken Dritte auf den Dienst? | Kritikalität und Vertragsrechte unterscheiden |
| Vorfallbewertung innerhalb Zielzeit | Funktioniert Eskalation und Meldebereitschaft? | Null Vorfälle ist kein Wirksamkeitsnachweis |
| Geschäftsleitungsbeschlüsse überfällig | Werden Entscheidungen umgesetzt? | Abschluss erst nach Wirksamkeitsprüfung |
| kritische Rollen ohne getestete Vertretung | Wo besteht personeller Single Point of Failure? | Berechtigung und Kompetenz mitprüfen |
Jede Kennzahl benötigt Definition, Scope, Formel, Quelle, Owner, Stichtag, Ziel, Warn- und Eskalationsschwelle, Trendregel und Aussagegrenze.
Jeder Beschluss enthält:
Entscheidungs-ID · Sitzung · Rechts-/Dienstebezug · Ausgangslage · Beschluss · verworfene Optionen · Ressourcen · Owner · Termin · Zwischenkontrolle · Wirksamkeitskriterium · Prüftermin · Nachweisreferenz · Restrisiko · Status · Freigabe
| Status | Bedeutung |
|---|---|
| offen | beschlossen, aber noch nicht begonnen |
| in Umsetzung | Aktivitäten laufen; Abschlussnachweis fehlt |
| umgesetzt | Arbeitsergebnis liegt vor; Wirkung noch nicht geprüft |
| wirksam | definierte Wirkung wurde im festgelegten Scope nachgewiesen |
| unwirksam | Ziel wurde nicht erreicht; Folgeentscheidung erforderlich |
| geschlossen | Wirkung und verbleibendes Risiko wurden befugt entschieden |
Formulierungen wie „IT kümmert sich“ oder „Budget grundsätzlich genehmigt“ reichen nicht aus. Umfang, Kapazität, Verantwortung, Termin und erwartete Wirkung müssen überprüfbar sein.
| Bewertungsdimension | Musterstatus | Begründung |
|---|---|---|
| Betroffenheit und NIS2-Scope | Nicht bewertbar | keine organisationsbezogene Einstufung oder Freigabe auf dieser Musterseite |
| Eignung der Maßnahmen | Nicht bewertbar | keine realen Dienst-, Risiko- oder Kontrolldaten enthalten |
| Verhältnismäßigkeit | Nicht bewertbar | Risikoexposition, Größe, Kosten und Auswirkungen sind organisationsbezogen zu prüfen |
| Umsetzung | Nicht nachgewiesen | veröffentlichte Methodik ist kein Umsetzungsnachweis |
| Wirksamkeit | Nicht nachgewiesen | keine realen Tests, Audits oder Wirksamkeitsnachweise enthalten |
| Meldebereitschaft | Nicht bewertbar | Portalzugänge, Rollen, Übungen und Vertretung sind nicht organisationsbezogen bestätigt |
| Kontinuität | Nicht bewertbar | keine realen Wiederanlaufziele oder Testergebnisse enthalten |
| Lieferkette | Nicht bewertbar | keine realen Provider, Verträge oder Konzentrationen enthalten |
| Leitungsschulung | Nicht nachgewiesen | keine personenbezogenen Teilnahme- oder Transfernachweise enthalten |
| Aufsichts- und Auskunftsfähigkeit | Nicht bewertbar | keine reale Nachweisakte oder Behördenkommunikation enthalten |
Dieses Gesamtbild ist eine Schutzkennzeichnung für das Muster-Wiki, kein negatives Urteil über eine Organisation.
Die Geschäftsleitung entscheidet getrennt:
| Ergebnis | mögliche Ausprägung |
|---|---|
| Eignung des Steuerungsrahmens | geeignet / teilweise geeignet / ungeeignet / nicht bewertbar |
| Angemessenheit und Verhältnismäßigkeit | angemessen / teilweise angemessen / nicht angemessen / nicht bewertbar |
| Umsetzung | ausreichend / lückenhaft / unzureichend / nicht bewertbar |
| Wirksamkeit | wirksam / teilweise wirksam / unwirksam / nicht bewertbar |
| Dienstresilienz | ausreichend / eingeschränkt / unzureichend / nicht bewertbar |
| Leitungs- und Meldebereitschaft | ausreichend / eingeschränkt / unzureichend / nicht bewertbar |
| notwendige Änderungen | Scope, Rollen, Verfahren, Technik, Lieferanten, Ressourcen oder Ziele |
| Verbesserungen | priorisierte Maßnahmen mit Wirkungskriterium |
Eine pauschale Aussage wird durch Dienst-, Risiko- oder Kontrollvorbehalte ergänzt.
Nach der Sitzung werden:
Die Managementbewertung ist erst abgeschlossen, wenn das Protokoll freigegeben und die Beschlüsse kontrolliert übergeben sind. Die Maßnahmen selbst bleiben bis zur geprüften Wirkung offen.
| Artefakt | Öffentliche Wiki-Seite | geschützte Ablage |
|---|---|---|
| Verfahren und leere Agenda | ja | freigegebene Fassung zusätzlich |
| reale Leitungsvorlage | nein | vertrauliche Leitungsakte |
| Risiko- und Schwachstellendetails | nein | Risiko-/Sicherheitsregister |
| Protokoll und Beschlüsse | nur Musterstruktur | signierte/freigegebene Originale |
| Behördenkommunikation | nur Verfahrenshinweis | Aufsichtsakte |
| personenbezogene Schulungsnachweise | nein | geschützte Personal-/Nachweisablage |
| technische Test- und Auditberichte | nur Metadaten | geschützte Nachweisablage |
| Maßnahmenstatus | aggregierte Musterlogik | führendes Maßnahmenregister |
| Fehler | Folge | Gegenmaßnahme |
|---|---|---|
| ISO-Bericht unverändert als NIS2-Nachweis verwenden | Dienst-, Rechts- und Aufsichtssicht bleibt unsichtbar | Scope und NIS2-Entscheidungen ausdrücklich ausweisen |
| Bericht ohne Geschäftsleitungsentscheidung | Kenntnisnahme ersetzt keine Steuerung | konkrete Beschlussvorlagen und Freigabe |
| Maßnahmenstatus mit Wirksamkeit verwechseln | scheinbar grüner Zustand | umgesetzt und wirksam strikt trennen |
| fehlende Daten als null oder grün darstellen | Scheinsicherheit | nicht bewertbar und Datenauftrag |
| Durchschnitt verdeckt kritischen Dienst | hohe Wirkung bleibt unerkannt | kritische Einzelfälle separat eskalieren |
| Budgetablehnung beendet das Thema | Risiko bleibt unentschieden | Folgen, Zwischenmaßnahme und Restrisiko beschließen |
| Prüfbericht ohne Scope-Analyse übernehmen | unpassender Nachweis | Zeitraum, Dienst, Standorte und Einschränkungen prüfen |
| Protokoll ohne Follow-up | Beschlüsse bleiben wirkungslos | Entscheidungsregister und Folgebericht |
| sensible Anlagen im öffentlichen Wiki | Sicherheits- und Datenschutzrisiko | geschützte Originalakte mit Metadatenreferenz |
Geplante Vertiefungsseiten im Abschnitt 08 werden bis zur tatsächlichen Anlage nicht als funktionsfähige Links dargestellt:
/NIS2/08-Aufsicht-Audit-und-Verbesserung/NIS2-Kontrollprogramm/NIS2/08-Aufsicht-Audit-und-Verbesserung/Interne-Audits/NIS2/08-Aufsicht-Audit-und-Verbesserung/Externe-Pruefungen-und-Behoerdenanfragen/NIS2/08-Aufsicht-Audit-und-Verbesserung/Abweichungen-und-Korrekturmassnahmen/NIS2/08-Aufsicht-Audit-und-Verbesserung/Kennzahlen-und-Zielerreichung/NIS2/08-Aufsicht-Audit-und-Verbesserung/Nachweis-und-AuskunftsmanagementDie Quellen öffnen in einem neuen Tab. Rechtsstand, Betroffenheit, sektorale Besonderheiten und konkrete Aufsichtssituation werden vor einer realen Anwendung erneut geprüft.
Eine tragfähige Managementbewertung entsteht aus organisationsbezogenen Daten, fachlicher Vorbereitung, ehrlichen Aussagegrenzen und konsequenter Nachverfolgung. Ein Musterprotokoll allein erfüllt diese Anforderungen nicht.
| Version | Datum | Änderung | Freigabe |
|---|---|---|---|
| 0.1 | 09.08.2026 | Erstanlage mit rechtlicher Abgrenzung, Leitungscockpit, Eingaben, Dienstesicht, zehn Maßnahmenfeldern, Aufsicht, Beschlüssen, Nachweisen und Follow-up | Ausstehend |