Navigieren durch NIS-2 für Vorstand und Geschäftsführung

Die Inhalte basieren auf dem BSI-Gesetz (BSIG) sowie den Vorgaben des Bundesamtes für Sicherheit in der Informationstechnik (BSI) und umfassten folgende inhaltliche Schwerpunkte:

Rechtlicher Rahmen, Regulatorik und Betroffenheit

• Historische Einordnung und der Paradigmenwechsel von der NIS-1- zur NIS-2-Richtlinie (Security vs. Resilience)
• Zusammenspiel von IT-Rechtsnormen (BSIG, DSGVO, DORA, KRITIS-DachG, CRA)
• Methodik zur Betroffenheitsprüfung: Schwellenwerte, Sektoren (Anlagen 1 und 2 BSIG) und Sonderregelungen wie die „Vernachlässigbarkeit“

IT-Governance: Pflichten und Haftung der Geschäftsleitung

• Die gesetzlichen Pflichten der Geschäftsleitung (§ 38 BSIG): Umsetzung, Überwachung und Billigung der Risikomanagementmaßnahmen
• Persönliche und gesellschaftsrechtliche Haftung bei Organisationsverschulden
• Aufsichtsbehördliche Kompetenzen des BSI: Ad-hoc-Prüfungen, Anordnungen, staatliche Berufsverbote für die Geschäftsleitung (§ 61 BSIG) sowie Bußgeldvorschriften (bis zu 10 Mio. €)

Informationssicherheits-Managementsysteme (ISMS) & Risikoanalyse

• Aufbau und Struktur eines ISMS nach etablierten Standards (ISO 27001, BSI IT-Grundschutz, B3S)
• Grundlagen des IT-Assetmanagements und der Schutzbedarfsanalyse für IT-Systeme, Prozesse und Geschäftsinformationen
• Risikomanagement-Prozesse (IS-RMS): Identifizierung, Bewertung von Eintrittswahrscheinlichkeiten, Schadenshöhe und Festlegung von Ausfallzeiten

Die 10 gesetzlichen Mindestanforderungen (IT-Risikomanagement)

• Strategische Umsetzung der gesetzlichen technisch-organisatorischen Maßnahmen nach § 30 Abs. 2 BSIG
• IT-Notfallkonzeption und Business Continuity Management (BCM) zur Aufrechterhaltung des Geschäftsbetriebs („Going Concern“)
• Sicherheit der Lieferketten (Supply-Chain-Risiken) und Dienstleistersteuerung
• Methoden der Zugriffskontrolle (Least-Privilege), Verschlüsselung und Multi-Faktor-Authentifizierung (MFA)
• Kontrolle der Wirksamkeit durch Penetrationstests (Blue/Red-Teaming) und Cyberhygiene/Awareness-Schulungen

Gesetzliche Registrierungs-, Melde- und Unterrichtungspflichten

• Fristen und Ablauf der Registrierung beim BSI
• Definition „erheblicher Sicherheitsvorfälle“ (inkl. Vorgaben der NIS-2-Durchführungsverordnung EU 2024/2690)
• Das strenge Melderegime beim BSI: Frühe Erstmeldung (24h), Meldung (72h), Abschlussbericht (1 Monat)
• Behördlich angeordnete Unterrichtungspflichten gegenüber Dienstleistungsempfängern (Kunden)