Wo die Informationen für NIS2 tatsächlich entstehen
Kundenanfragen, Meldebewertungen und Entscheidungen der Geschäftsführung beginnen selten mit einem leeren Formular. Die benötigten Angaben entstehen vorher: bei Benutzerrechten, Lieferantenzugriffen, Ausnahmen, Schwachstellen und Wiederanlauf.
Diese Seite zeigt, was die Prozesse festhalten müssen und wofür die Informationen später genutzt werden können.
Der Prozess erzeugt die Fakten. Die konkrete Situation bestimmt, welche davon geprüft, bewertet und freigegeben werden.
Welche Ausnahme bleibt offen und wann wird erneut geprüft?
Ausnahme, Gegenmaßnahme, Frist, Review
05 · Verwendung
Für welche Kundenanfrage, Meldebewertung oder Entscheidung werden die Informationen benötigt?
Kundenantwort · Meldeentscheidung · Entscheidung der Geschäftsführung
Die Informationen entstehen einmal im betrieblichen Prozess. Je nach Anlass werden unterschiedliche Teile davon wiederverwendet.
Fünf wiederkehrende IT-Abläufe, in denen NIS2-relevante Informationen entstehen
Diese Abläufe bestehen in vielen Unternehmen bereits. Sie laufen für den Geschäftsbetrieb, nicht für die Compliance. Für NIS2 müssen Verantwortliche, Entscheidungen, Ausnahmen und Prüftermine darin so festgehalten werden, dass der Vorgang später ohne Rekonstruktion erklärt werden kann. Bei Berechtigungen muss erkennbar sein, wer den Zugriff beantragt, geprüft, genehmigt und tatsächlich eingerichtet hat. Beim Sicherheitsereignis müssen Kenntniszeitpunkt, betroffene Systeme, Auswirkungen, Maßnahmen und Meldeentscheidung dokumentiert werden. Bei einer Ausnahme müssen Begründung, Risiko, Gegenmaßnahme, Entscheidung, Laufzeit und erneute Prüfung feststehen.
Benutzerkonto
Benutzerkonto und Berechtigungen
Ein Mitarbeiter beginnt, wechselt die Rolle oder verlässt das Unternehmen.
Was festgehalten werden muss, was danach vorliegt und welche Prüfsituationen darauf zugreifen können.
Was das Unternehmen festhalten muss
Person und Rolle, benötigte Systeme, fachliche Begründung, beantragte und genehmigte Rechte, entscheidende Rolle, tatsächlich eingerichtete Berechtigungen, MFA-Status, Ausnahmen sowie Review- oder Entzugstermin.
Nach der Freigabe ist dokumentiert: Ein begründeter Berechtigungsantrag, eine dokumentierte Freigabe, die technische Umsetzung und ein festgelegter Review.
Wofür die Informationen gebraucht werden können
Kundenanfrage: Zugriffskontrolle und Berechtigungsprozess erklären
Sicherheitsereignis: betroffene Konten und tatsächliche Rechte feststellen
Geschäftsführung: kritische Zugriffe und überfällige Reviews überwachen
Ein Dienstleister, SaaS-Anbieter oder technischer Partner benötigt Zugriff auf Systeme, Daten oder Produktionsumgebungen.
Was festgehalten werden muss, was danach vorliegt und welche Prüfsituationen darauf zugreifen können.
Was das Unternehmen festhalten muss
Leistung und Zweck, betroffenes System, Zugriffspfad, Rechte und Authentifizierung, Vertrag und Ansprechpartner, Meldeweg, Laufzeit, Freigabe sowie Entzug oder Review.
Der Prozess hinterlässt: Ein zeitlich und fachlich begründeter Lieferantenzugriff mit Freigabe, Meldeweg und erneutem Prüftermin.
Wofür die Informationen gebraucht werden können
Kundenanfrage: Subdienstleister und Zugriffsschutz erklären
Sicherheitsereignis: beteiligte Dienstleister und Meldewege feststellen
Geschäftsführung: kritische Abhängigkeiten und offene Risiken bewerten
Ein Konto oder System kann vorübergehend nicht mit Mehrfaktor-Authentifizierung abgesichert werden.
Was festgehalten werden muss, was danach vorliegt und welche Prüfsituationen darauf zugreifen können.
Was das Unternehmen festhalten muss
Betroffenes System oder Konto, Ausnahmegrund, Risiko, kompensierende Maßnahme, Entscheidung, Gültigkeitsdauer, Verantwortlicher sowie Review und Entzug.
Ergebnis des Vorgangs: Eine befristete Ausnahme mit Begründung, Gegenmaßnahme, Freigabe und erneutem Prüftermin.
Wofür die Informationen gebraucht werden können
Kundenanfrage: bekannte Abweichung und Gegenmaßnahmen erklären
Sicherheitsereignis: Relevanz der Ausnahme für Ursache und Wirkung prüfen
Geschäftsführung: über wesentliche Ausnahmen und verbleibende Risiken entscheiden
Eine Schwachstelle ist bekannt, kann aber nicht sofort behoben werden.
Was festgehalten werden muss, was danach vorliegt und welche Prüfsituationen darauf zugreifen können.
Was das Unternehmen festhalten muss
Betroffenes System, Schwachstelle und Kritikalität, Exponierung und Betriebswirkung, verfügbare Maßnahme, Grund der Verschiebung, kompensierende Maßnahmen, Owner, Frist sowie erneute Bewertung.
Der Prozess hinterlässt: Eine priorisierte Schwachstelle oder begründete Patch-Ausnahme mit Gegenmaßnahmen, Verantwortlichem und Termin.
Wofür die Informationen gebraucht werden können
Kundenanfrage: Schwachstellenprozess und offene Ausnahmen erklären
Sicherheitsereignis: mögliche Ausnutzung und Wirkung bewerten
Geschäftsführung: wesentliche Restrisiken und überfällige Maßnahmen entscheiden
Ein kritischer Dienst fällt aus oder muss nach einem Vorfall wiederhergestellt werden.
Was festgehalten werden muss, was danach vorliegt und welche Prüfsituationen darauf zugreifen können.
Was das Unternehmen festhalten muss
Priorisierte Dienste, Abhängigkeiten, Kommunikationswege, Entscheidungsrollen, Wiederanlaufreihenfolge, Backup- und Restore-Informationen, Dienstleisterkontakte, Test oder Übung sowie offene Maßnahmen.
Für die weitere Prüfung liegt vor: Eine abgestimmte Wiederanlaufreihenfolge mit Verantwortlichen, Kommunikationswegen, Abhängigkeiten und überprüften Wiederherstellungsschritten.
Wofür die Informationen gebraucht werden können
Kundenanfrage: Betriebsfortführung und Wiederherstellung erklären
Sicherheitsereignis: Auswirkungen, Maßnahmen und Wiederanlauf dokumentieren
Geschäftsführung: Prioritäten, Abhängigkeiten und offene Risiken entscheiden
Aus einem Prozess, je nach Anlass ein anderes Ergebnis
Ein Prozess produziert Daten für den Geschäftsbetrieb. Eine Prüfsituation bereitet diese Informationen für einen konkreten Anlass und Adressaten auf. Was beim Onboarding, beim Lieferantenzugriff oder bei einer Ausnahme entstanden ist, wird je nach Anlass zur Antwort an einen regulierten Kunden, zur Meldebewertung gegenüber dem BSI oder zur Entscheidungsgrundlage für die Geschäftsführung.
Der Prozess liefert die Informationen. Die Prüfsituation wählt die relevanten Angaben aus, bewertet sie und führt sie zu einer Kundenantwort, Meldeentscheidung oder Entscheidung der Geschäftsführung zusammen.
Kundenanfrage
Kunde fordert Nachweise
Benötigt typischerweise
Prozessbeschreibung, Verantwortliche, umgesetzte Maßnahmen, vorhandene Belege, bekannte Ausnahmen und die nächste Prüfung.
Ergebnis: Freigegebene Kundenantwort mit zugeordneten Nachweisen und offenen Punkten.
Wenn ein Kunde fragt, ein Sicherheitsereignis eintritt oder die Geschäftsführung entscheiden muss, führt der Compliance Arbeitsplatz die dafür benötigten Angaben, Belege, Entscheidungen und offenen Punkte zusammen.
Die operativen Daten bleiben in HR, IAM, ITSM, SIEM, Lieferantenmanagement oder Dokumentenablage. Der Compliance Arbeitsplatz verweist auf die benötigten Informationen und hält fest, wer geprüft und entschieden hat und wann erneut geprüft wird.
Die Reihe zeigt, wo NIS2-relevante Daten und Entscheidungen im täglichen Betrieb entstehen: bei Benutzerrechten, Lieferantenzugriffen, Ausnahmen, Schwachstellen und Wiederanlauf.
Nicht in jedem Fall. Häufig können bestehende Prozesse genutzt werden. Sie müssen jedoch Verantwortliche, Entscheidungsgrundlage, Umsetzung, Ausnahmen und erneute Prüfung eindeutig festhalten.
Es gibt keine feste Zuordnung. Ein Prozess kann Informationen für mehrere Situationen liefern, und eine Prüfsituation benötigt regelmäßig Angaben aus mehreren Prozessen.
In den vorhandenen Fachsystemen, etwa HR, IAM, ITSM, SIEM oder Lieferantenmanagement. Die konkrete Prüfsituation verweist auf diese Informationen und führt ihre Bewertung zusammen.
Mit einem wiederkehrenden Vorgang, der aktuell relevant ist: Benutzeranlage, Lieferantenzugriff, MFA-Ausnahme, offene Schwachstelle oder Wiederanlauf.
Nächster Schritt
Wählen Sie den Prozess, in dem die Informationen entstehen
Prüfen Sie, welche Daten, Freigaben, Ausnahmen und Reviews Ihr bestehender Ablauf heute festhält. Wechseln Sie anschließend in die Prüfsituation, für die diese Informationen benötigt werden.