NIS2-Richtlinie
Ordnen Sie Sicherheitsmaßnahmen, Business Continuity, Lieferkettenrisiken und Vorfallprozesse den zuständigen Verantwortlichen zu. KaitoSec verbindet Umsetzung, Freigabe und Nachweis mit ISMS, BCMS, DSMS und AIMS.
Eine Maßnahme, mehrere Standards
Nutzen Sie freigegebene Maßnahmen und Nachweise aus Ihrer ISMS-Software oder Ihrem Grundschutz-Programm weiter, während NIS2-spezifischer Scope, Leitungsverantwortung und Meldepflichten sichtbar bleiben.
Eine Maßnahme
Lieferanten- und Dienstleisterprüfung
Von der Maßnahme zur Richtlinie
§ 30 BSIG bündelt Risikoanalyse, Vorfallbehandlung, Kontinuität, Lieferkettensicherheit, Zugriffskontrolle, Kryptografie und Wirksamkeitsprüfung in einem gesteuerten Maßnahmenprogramm.
Eine Maßnahme
Lieferanten- und Dienstleisterprüfung
Managementsysteme
Richtlinien und Verfahren
Die Betroffenheit hängt von Sektor, Dienst, Unternehmensgröße und gesetzlichen Ausnahmen ab. KaitoSec dokumentiert Einstufungsbegründung und verantwortete Prüfung; die rechtliche Bewertung bleibt bei Ihrer Organisation.
01
Prüfen Sie Sektor, Dienste, Unternehmensgröße und relevante Ausnahmen in einer geführten Bewertung. KaitoSec hält Einstufungsvorschlag und Begründung prüfbar; Ihre Organisation bestätigt das rechtliche Ergebnis.
02
§ 38 BSIG verlangt von der Geschäftsleitung, die Maßnahmen umzusetzen, ihre Umsetzung zu überwachen und an Schulungen teilzunehmen. Bei einer Pflichtverletzung kann eine Haftung gegenüber der Einrichtung für schuldhaft verursachte Schäden greifen. KaitoSec protokolliert Freigaben, Risikoakzeptanzen und Richtlinienentscheidungen als prüffähige Spur.
03
Konfigurieren Sie die für Ihre Organisation geltenden Meldeschritte, Fristen und Freigaben. KaitoSec hält Sachstand, Verantwortliche und vorbereitete Meldedaten am Vorfall zusammen.
04
Bereiten Sie Fragebögen aus vorhandenem Kontext vor, dokumentieren Sie Lieferantenrisiken und weisen Sie Nachfassaktionen einer verantwortlichen Person zu. Die Bewertung bleibt eine fachliche Entscheidung.
05
Artikel 21 verlangt zehn Mindestmaßnahmen, von Risikoanalyse und Vorfallbehandlung über Geschäftskontinuität und Lieferkettensicherheit bis zur Kryptografie. KaitoSec implementiert jede Maßnahme einmal und mappt sie in BCMS, ISMS und DSMS, wo sich die Substanz deckt. Eine ISO-22301-BC-Übung ist auch NIS2-Kontinuitätsnachweis; eine ISMS-Zugriffsrichtlinie ist auch NIS2-Maßnahme. Die Maßnahme wird einmal gepflegt und zählt in jedem Audit, in das sie gehört.
Bereiten Sie Informationen, Zuständigkeiten und Nachweise für die BSI-Registrierung und Vorfallmeldungen vor. Übermittlung und rechtliche Einstufung bleiben unter Kontrolle Ihres autorisierten Teams.
01
Führen Sie Einrichtungsstatus, Dienste, Kontaktverantwortung und die erforderlichen Organisationsangaben in einem geprüften Datensatz zusammen, bevor autorisierte Personen sie im BSI-Portal übermitteln.
02
Eine Gesamtansicht aller NIS2-Artikel-21-Sicherheitsmaßnahmen, die Ihrer Organisation zugeordnet sind, von Zugangskontrolle und Verschlüsselung bis zu Geschäftskontinuität und Lieferkettensicherheit. Jede Pflicht zeigt Verantwortliche, Nachweisstatus und Umsetzungstermin.
03
Response-Playbooks führen durch Erkennung, Eindämmung und die für Ihre Organisation konfigurierten Meldeschritte. Fristen und Zuständigkeiten bleiben am Vorfall sichtbar und müssen fachlich geprüft werden.
04
NIS2 unterscheidet wesentliche und wichtige Einrichtungen in 18 Sektoren, jeweils mit eigenen Pflichten. Der Einrichtungsassistent von KaitoSec fragt Tätigkeit, Größe und Dienste ab, schlägt Ihre Einstufung vor und blendet Anforderungen aus, die für Sie nicht gelten. Die Begründung bleibt dokumentiert, die fachliche Bestätigung bleibt bei Ihnen.
05
NIS2 Art. 21 verlangt explizit Business-Continuity-Maßnahmen, einschließlich Backup-Management, Notfallwiederherstellung und Krisenmanagement. KaitoSec übersetzt diese Pflichten in strukturierte Workflows: Führen Sie Ihre BIA durch, definieren Sie Recovery-Strategien, erstellen Sie BC-Pläne und steuern Sie Krisenmanagement-Eskalationen. Jede Maßnahme ist mit Ihrem NIS2-Pflichtenregister verknüpft, damit Sie die Umsetzung jederzeit nachweisen können.
Von NIS2 betroffen sind „besonders wichtige“ und „wichtige“ Einrichtungen, wenn ihre Tätigkeit einer erfassten Einrichtungsart zugeordnet ist und die gesetzlichen Größenkriterien oder Sonderregeln greifen. Für wichtige Einrichtungen gilt typischerweise: mindestens 50 Mitarbeitende oder sowohl mehr als 10 Mio. € Jahresumsatz als auch mehr als 10 Mio. € Jahresbilanzsumme. Der kostenlose NIS2-Betroffenheitscheck liefert eine erste Einordnung in fünf Minuten.
NIS2 verlangt nach § 30 BSIG Maßnahmen in zehn Bereichen: Risikoanalyse und Informationssicherheit; Vorfallbehandlung; Business Continuity; Lieferkettensicherheit; sichere Beschaffung, Entwicklung und Wartung einschließlich Schwachstellenmanagement; Wirksamkeitsprüfung; Cyberhygiene und Cybersicherheitsschulungen; Kryptografie; Personalsicherheit, Zugriffskontrolle und Asset-Management; sowie, soweit angemessen, MFA oder kontinuierliche Authentifizierung und sichere Kommunikation. Über das Compliance-Mapping sind sie in KaitoSec mit ISO 27001 und BSI IT-Grundschutz verknüpft. Unser Leitfaden zur NIS2-Umsetzung führt Schritt für Schritt durch die Umsetzung.
NIS2-Meldepflichten greifen bei erheblichen Sicherheitsvorfällen: Nach Kenntniserlangung ist innerhalb von 24 Stunden eine frühe Erstmeldung fällig, innerhalb von 72 Stunden eine Vorfallmeldung und grundsätzlich spätestens einen Monat danach der Abschlussbericht. Im Reporting hält KaitoSec Meldepfade, Zuständigkeiten und Vorlagen bereit, damit die Fakten im Ernstfall nicht gesucht werden müssen.
Nein, ein ISO-27001-Zertifikat reicht für NIS2 nicht vollständig, deckt aber den Großteil ab. NIS2 fordert zusätzlich explizite Lieferkettensteuerung, Meldeprozesse und die Verantwortung der Geschäftsleitung. Das Risikomanagement und das Lieferantenmanagement in KaitoSec schließen die Lücken.
Eine persönliche Haftung der Geschäftsleitung ist nach § 38 BSIG möglich. Sie muss die Maßnahmen umsetzen und ihre Umsetzung überwachen; bei Pflichtverletzungen kann eine Haftung gegenüber der Einrichtung für schuldhaft verursachte Schäden greifen. KaitoSec liefert dafür die Berichtssicht im Reporting – Stand der Umsetzung ohne Rückfrage an die IT.
Verbinden Sie Lieferanten, Verträge, unterstützte Services, Befunde und Folgemaßnahmen mit demselben Risikokontext, den die NIS2-Aufsicht verwendet.
Halten Sie NIS2 mit den Managementsystemen und sektorspezifischen Pflichten verbunden, die Ihre Organisation bereits betreibt. Betreiber, die bereits unter das KRITIS-Dachgesetz fallen, tragen eng verwandte Pflichten – siehe wie NIS2 und das KRITIS-Dachgesetz zusammenhängen.
