Betroffenheit dokumentieren · Lücken bewerten · Umsetzung begleiten
Ich unterstütze Sie mit einer dokumentierten Betroffenheitsanalyse, Gap-Analysen und praktischer Umsetzungsbegleitung. Gemeinsam klären wir Anforderungen, priorisieren Lücken und entwickeln passende Maßnahmen – einschließlich Lieferantenrisiken, Meldeprozessen und prüffähigen Nachweisen.
Risikomanagement, Meldewege, Registrierung und Leitungsverantwortung sind anhand des jeweiligen Pflichtenrahmens zu betrachten. Wir klären den Anwendungsbereich und ordnen die Pflichten Ihren bestehenden Prozessen, Verantwortlichen und Nachweisen zu.
TÜV-zertifizierter NIS-2-Experte
Seit Inkrafttreten des NIS-2-Umsetzungsgesetzes am 6. Dezember 2025 müssen erfasste Einrichtungen ihre Pflichten zu Steuerung, Nachweisen und zum Umgang mit Sicherheitsvorfällen in verlässliche Abläufe überführen. Der konkrete Pflichtenrahmen ist vorab zu klären.
Bei erheblichen Sicherheitsvorfällen verlangt § 32 BSIG eine frühe Erstmeldung und eine Meldung jeweils unverzüglich, spätestens 24 beziehungsweise 72 Stunden nach Kenntniserlangung. Die Abschlussmeldung folgt grundsätzlich spätestens einen Monat nach Übermittlung der 72-Stunden-Meldung. Auf Ersuchen des BSI kommt eine Zwischenmeldung hinzu.
Besonders wichtige und wichtige Einrichtungen müssen sich nach § 33 BSIG spätestens drei Monate, nachdem sie erstmals oder erneut als solche gelten, registrieren. Für Änderungen gilt grundsätzlich: unverzüglich, spätestens zwei Wochen nach Kenntnis. Sonder- und Übergangsregeln, insbesondere nach § 66 BSIG, sind anhand der Einrichtung und der jeweils geltenden Fassung gesondert zu prüfen.
Meine Erfahrung aus aktuellen Projekten: Die größte Unsicherheit liegt selten in der Technik, sondern in der richtigen Einordnung von Pflichten, Geltungsbereich und Verantwortung.
Organisationen etwa aus Energie, Transport, Gesundheit oder digitaler Infrastruktur können erfasst sein. Bei Behörden und öffentlichen Einrichtungen ist der jeweils einschlägige Regelungsrahmen gesondert zu prüfen.
Ob ein Unternehmen erfasst ist, hängt unter anderem von Tätigkeit, Größenmerkmalen, verbundenen Unternehmen und Sonderregeln ab. Ich arbeite diese Grundlagen mit Ihnen heraus und dokumentiere die Einordnung.
Auch ohne direkte BSIG-Pflicht können regulierte Kunden Sicherheitsnachweise und vertragliche Zusagen verlangen. Ich unterstütze bei der Abgrenzung, beim Soll-Ist-Abgleich und bei der Vorbereitung auf Kundenprüfungen.
Typischer Einstieg: Betroffenheit klären und Gap-Analyse
Jede Leistung ist einzeln oder als Teil einer Begleitung möglich. Wir knüpfen an Ihren Ist-Stand an und vereinbaren Ergebnisse und Umfang vor Beginn. Aufgaben, Größe, tatsächliche Risiken und geltende Anforderungen bestimmen die Ausgestaltung.
Ausgewählt
Dokumentierte Betroffenheitsanalyse
Ich analysiere mit Ihnen, ob und in welchem Umfang Ihre Organisation nach dem deutschen BSIG erfasst ist. Die Einordnung berücksichtigt Aufgaben, Tätigkeiten, Rechtsform, Größenmerkmale und Strukturen und wird nachvollziehbar dokumentiert. Besonderheiten öffentlicher Einrichtungen grenzen wir gesondert ab.
Ergebnis: Eine dokumentierte fachliche Einordnung als Entscheidungsgrundlage. Offene Rechts- oder Sachverhaltsfragen werden ausdrücklich benannt.
Welche Anforderungen sind bereits abgedeckt, und wo besteht Handlungsbedarf? Ich gleiche Ihre Prozesse, Maßnahmen und Nachweise mit den einschlägigen Anforderungen ab.
Ergebnis: Ein dokumentierter Soll-Ist-Abgleich und ein Maßnahmenplan als Grundlage für Entscheidungen und Umsetzung.
Ich unterstütze Ihre Verantwortlichen dabei, die priorisierten Aufgaben in praktikable Abläufe zu überführen. Geeignete ISMS-, Datenschutz- und Notfallstrukturen werden weiterverwendet.
Ergebnis: Abgestimmte Maßnahmen, nutzbare Unterlagen und ein nachvollziehbarer Umsetzungsstand.
Ich helfe Ihnen, Anforderungen, Entscheidungen und Umsetzungsbelege für interne Abstimmungen, Kundenaudits und behördliche Rückfragen zusammenzuführen.
Ergebnis: Geordnete Nachweise und sichtbare offene Punkte im vereinbarten Umfang. Eine unabhängige Auditierung wird separat abgegrenzt.
Im Vorfall müssen Bewertung, Entscheidung und Meldung ineinandergreifen. Ich unterstütze bei organisatorischen Abläufen einschließlich der Schnittstellen zu IT-Dienstleistern und Krisenmanagement.
Ergebnis: Dokumentierte Melde- und Eskalationswege, Zuständigkeiten und Vorlagen für den Ereignisfall.
Als fachlicher Sparringspartner unterstütze ich ISB, Projektverantwortliche und die Leitung bei Priorisierung, Abstimmung und offenen Entscheidungen.
Ergebnis: Vorbereitete Entscheidungen und ein abgestimmter Arbeitsplan für Ihre Verantwortlichen.
Ich unterstütze beim risikoorientierten Umgang mit Lieferanten und Dienstleistern sowie bei Anforderungen, die regulierte Kunden an Ihre Organisation stellen.
Ergebnis: Eine priorisierte Lieferantenbewertung mit Maßnahmen und Nachweisen. Direkte BSIG-Pflichten und vertragliche Kundenanforderungen bleiben unterscheidbar.
Die folgenden Ergebnisse entstehen je nach vereinbartem Auftrag. Eine Betroffenheitsanalyse erfordert einen anderen Umfang als eine vollständige Umsetzungsbegleitung. Gemeinsam legen wir fest, was Sie für Ihre nächsten Entscheidungen benötigen.
Umsetzung in der Praxis
Ein vorhandenes ISMS kann viele Grundlagen liefern. Entscheidend ist die nachvollziehbare Verbindung zwischen einer anwendbaren Pflicht, dem betroffenen Dienst, der umgesetzten Maßnahme und einem aktuellen Beleg. Eine Zertifikatskopie oder eine Richtlinie allein beantwortet diese Fragen nicht.
Für die Gap-Analyse erfassen wir je Anforderung den vorhandenen Nachweis, seinen Geltungsbereich und Stand, die verbleibende Lücke sowie Verantwortliche und Termine. Fehlende Informationen erhalten einen offenen Prüfstatus. Die folgende Auswahl zeigt, wie sich vorhandene ISMS-Unterlagen nutzen lassen.
| Anforderung | Nutzbarer ISMS-Nachweis | Was zusätzlich zu prüfen ist |
|---|---|---|
| Risikoanalyse und Sicherheitskonzepte§ 30 Abs. 2 Nr. 1 BSIG | ISMS-Geltungsbereich, Risikobewertung und begründeter Maßnahmenplan mit Zuständigkeiten. | Sind die betroffenen Dienste, Standorte, Systeme und Abhängigkeiten im betrachteten Umfang tatsächlich enthalten? |
| Betriebsfortführung und Wiederherstellung§ 30 Abs. 2 Nr. 3 BSIG | Notfallkonzept, begründete Wiederanlaufziele, Backup-Regeln und Protokolle von Wiederherstellungstests. | Zeigt ein aktueller Test, dass die für den Dienst benötigten Daten und Abläufe innerhalb der festgelegten Ziele wiederhergestellt werden können? |
| Sicherheit der Lieferkette§ 30 Abs. 2 Nr. 4 BSIG | Lieferanteninventar, Kritikalitätsbewertung, vereinbarte Sicherheitsanforderungen und Überprüfungen. | Passen Leistungsumfang, Abhängigkeiten und verfügbare Nachweise zum Risiko? Sind offene Punkte Verantwortlichen und Terminen zugeordnet? |
| Wirksamkeit der Maßnahmen§ 30 Abs. 2 Nr. 6 BSIG | Kontrollplan, geeignete Kennzahlen, Testergebnisse, interne Audits und Nachverfolgung von Abweichungen. | Sind Bewertungskriterien festgelegt und wird aus einem negativen Ergebnis eine überprüfbare Folgemaßnahme? |
| Vorfallbewältigung und Meldungen§ 30 Abs. 2 Nr. 2 und § 32 BSIG | Vorfallprozess, Eskalationsmatrix, Vertretungen, Übungen und ein dokumentierter Entscheidungs- und Meldeverlauf. | Deckt der bestehende Prozess die Bewertung erheblicher Vorfälle, gesetzlichen Fristen, Meldewege und notwendigen Informationen ab? |
| Umsetzung und Überwachung durch die Leitung§ 38 BSIG, soweit anwendbar | Leitungsentscheidungen, Ressourcenfreigaben, Berichte zum Maßnahmenstand und Schulungsnachweise. | Ist die Befassung der zuständigen Geschäftsleitung erkennbar? Ein ISMS-Bericht allein belegt noch keine Umsetzung sämtlicher Leitungspflichten. |
Die Tabelle lässt sich seitlich verschieben.
Die Auswahl ist keine vollständige Prüfliste und bestätigt keine Konformität. Weitere Anforderungen, etwa die Registrierung nach § 33 BSIG, sind gesondert zu erfassen. Für bestimmte digitale Dienste sind vorrangige EU-Durchführungsregeln nach § 30 Abs. 3 BSIG zu berücksichtigen; für Betreiber kritischer Anlagen und öffentliche Einrichtungen gelten ergänzende beziehungsweise abweichende Regelungen. Der konkrete Pflichtenrahmen bestimmt die Zuordnung.
Illustratives Beispiel, keine Kundenreferenz: Ein betroffenes Unternehmen sichert die Daten eines wichtigen Betriebsprozesses täglich. Die Datensicherung wird als erfolgreich gemeldet. Ob die Anwendung mit ihren Abhängigkeiten rechtzeitig wieder nutzbar wäre, wurde bislang nicht getestet.
Die dargestellten Inhalte dienen der fachlichen und organisatorischen Orientierung. Eine rechtsverbindliche Prüfung im Einzelfall oder anwaltliche Rechtsberatung wird nicht angeboten.
Getrennt nach Einordnung und Management, damit Sie Aufwand, Zuständigkeiten und Einstieg schneller einschätzen können.
Ob NIS-2 greift, welcher Umfang betroffen ist und was zuerst sinnvoll ist.
Verantwortung, Steuerung und belastbare Entscheidungsgrundlagen.
Ob dokumentierte Betroffenheitsanalyse, Gap-Analyse oder Umsetzungsbegleitung: Beschreiben Sie Ihre Ausgangslage. Gemeinsam grenzen wir den passenden Auftrag ab.