Im Betrieb wird NIS2 selten als ganzes Regime greifbar, sondern an einem konkreten Punkt: Ein Kunde verlangt Nachweise, ein Sicherheitsvorfall muss bewertet werden, die Geschäftsführung muss entscheiden. Jede dieser Situationen braucht andere Informationen und führt zu einem anderen Ergebnis. Wählen Sie den Anlass, der gerade ansteht.
Die Prozesse liefern die Fakten. Die Situation bestimmt, welche davon jetzt geprüft, bewertet und dokumentiert werden müssen.
Ein Unternehmen bearbeitet NIS2 nicht als einen einzigen Vorgang. Die relevanten Informationen entstehen in bestehenden Abläufen: bei Benutzerrechten, Lieferantenzugriffen, Schwachstellen, Vorfällen, Ausnahmen und Wiederanlauf.
Erst ein konkreter Anlass legt fest, welche Informationen benötigt werden, wer sie prüfen muss und welches Ergebnis vorliegen soll.
Die Prozesse liefern
Rollen und Verantwortliche
technische Daten
Freigaben
Maßnahmen
Ausnahmen
Verträge
Ereignisse und Zeitpunkte
vorhandene Belege
Die Prüfsituation verlangt
Auswahl der relevanten Informationen
Prüfung auf Vollständigkeit
fachliche Bewertung
dokumentierte Entscheidung
Freigabe
offene Punkte und Fristen
Ergebnis für einen konkreten Adressaten
Es gibt keine feste Eins-zu-eins-Zuordnung zwischen Prozess und Prüfsituation. Ein Lieferantenzugriff kann für eine Kundenanfrage, für die Bewertung eines Sicherheitsereignisses und für eine Entscheidung der Geschäftsführung zugleich relevant sein.
Welche Situation trifft gerade zu?
Wählen Sie den Anlass. Die nächste Seite führt in die fachliche Einordnung und die konkrete Bearbeitung.
Kundenanfrage
Ein Kunde fordert IT-Sicherheitsnachweise
Ein Sicherheitsfragebogen, Lieferantenportal, Vertrag oder eine Ausschreibung verlangt Angaben zu IT-Sicherheit, NIS2 oder Cybersecurity.
Benötigte Informationen, Arbeitsschritte, Ergebnis und was der Kunde nachvollziehen kann.
Aus dem Betrieb benötigt
Betroffene Leistung und Systeme, Sicherheitsmaßnahmen, Rollen und Ansprechpartner, Lieferanten und Subdienstleister, Meldewege, vorhandene Nachweise sowie bekannte Lücken und Ausnahmen.
Das Unternehmen muss
Anfrage und Frist erfassen, Scope festlegen, Einzelanforderungen prüfen, vorhandene Nachweise zuordnen, Lücken und nicht anwendbare Punkte benennen, Aussagen fachlich prüfen und die externe Freigabe dokumentieren.
Ergebnis: Eine freigegebene Kundenantwort mit zugeordneten Nachweisen, offenen Punkten und verantwortlichen Rollen.
Der Kunde kann nachvollziehen
Welche Aussagen für die angefragte Leistung gelten, wodurch sie belegt werden und welche Punkte noch offen sind.
Ein Angriff, Ausfall, Datenverlust oder eine ungewöhnliche Systemaktivität kann eine Bewertung nach §32 BSIG auslösen.
Benötigte Informationen, Arbeitsschritte, mögliche Meldeausgänge und was eine Prüfung nachvollziehen kann.
Aus dem Betrieb benötigt
Kenntniszeitpunkt, betroffene Systeme und Dienste, technische Ereignisdaten, betroffene Nutzer oder Kunden, Auswirkungen auf Verfügbarkeit, Vertraulichkeit und Integrität, bisherige Maßnahmen, Dienstleisterinformationen und Wiederanlaufstatus.
Das Unternehmen muss
Ereignis erfassen, Kenntniszeitpunkt sichern, Auswirkungen bewerten, Verantwortliche einbinden, Erheblichkeit prüfen, Meldeentscheidung dokumentieren, Fristen überwachen und weitere Aktualisierungen sowie den Abschlussbericht vorbereiten.
Ergebnis: Eine dokumentierte Meldebewertung mit Informationsgrundlage, Entscheidung, Verantwortlichen und Fristen. Mögliche Ausgänge: Frühmeldung erforderlich, weitere Meldung erforderlich, derzeit keine Meldung erforderlich oder Bewertung noch offen. Ob eine Meldepflicht vorliegt, muss das Unternehmen auf Grundlage der verfügbaren Informationen und der geltenden Anforderungen bewerten und dokumentieren.
Eine spätere Prüfung kann nachvollziehen
Wann Kenntnis bestand, welche Informationen vorlagen, wie die Auswirkungen bewertet wurden und wer die Meldeentscheidung getroffen hat.
Die Geschäftsführung muss entscheiden und überwachen
Wesentliche Risiken, Maßnahmen, Ausnahmen oder überfällige Punkte benötigen Billigung, Entscheidung oder erneute Vorlage an die Geschäftsführung.
Benötigte Informationen, Arbeitsschritte, Ergebnis und was eine Prüfung nachvollziehen kann.
Aus dem Betrieb benötigt
Wesentliche Risiken, geplante und offene Maßnahmen, Ausnahmen und Restrisiken, Fristen und überfällige Punkte, Ergebnisse von Wirksamkeitsprüfungen, Vorfälle und Eskalationen, Entscheidungsbedarf und verantwortliche Rollen.
Das Unternehmen muss
Sachverhalt und Entscheidungsbedarf benennen, wesentliche Informationen zusammenführen, Handlungsoptionen darstellen, Empfehlung und Restrisiko dokumentieren, Entscheidung oder Billigung festhalten, Verantwortliche und Fristen setzen, erneute Vorlage terminieren und die Umsetzung überwachen.
Ergebnis: Eine dokumentierte Entscheidung oder Billigung der Geschäftsführung mit Entscheidungsgrundlage, Maßnahmen, Verantwortlichen und Wiedervorlage.
Eine Prüfung kann nachvollziehen
Welche Informationen der Geschäftsführung vorlagen, was entschieden wurde, wer die Umsetzung verantwortet und wie die weitere Überwachung erfolgt.
Die bestehenden Systeme bleiben für ihre operativen Daten verantwortlich. Die Prüfsituation führt nur die Informationen zusammen, die für den konkreten Anlass benötigt werden.
Eine Kundenanfrage kann Angaben aus Lieferantenmanagement, IAM, Patch Management und Vorfallprozess benötigen. Eine Meldebewertung kann auf Monitoring, Benutzerrechten, Dienstleisterinformationen und Wiederanlaufdaten aufbauen. Eine Entscheidung der Geschäftsführung kann Risiken, Ausnahmen, Maßnahmen und Wirksamkeitsprüfungen aus mehreren Bereichen zusammenführen.
Geführte Bearbeitung
Der Compliance Arbeitsplatz führt die jeweilige Situation
Der Compliance Arbeitsplatz ersetzt keine operativen Systeme. Er führt die Kundenanfrage, Meldebewertung oder Geschäftsführungsentscheidung als eigenen Vorgang.
Der Compliance Arbeitsplatz hält fest, welche Informationen verwendet wurden, wer geprüft und entschieden hat, welche Punkte offen bleiben und wann erneut geprüft wird.
HR, IAM, ITSM, SIEM und Lieferantenmanagement bleiben für ihre Fachdaten verantwortlich. Der Compliance Arbeitsplatz verweist auf diese Informationen und führt ihre Bewertung für den konkreten Anlass.
Eine konkrete Situation, in der ein Unternehmen Informationen aus mehreren Prozessen zusammenführen, bewerten und dokumentieren muss. Typische Fälle sind eine Kundenanfrage, ein Sicherheitsereignis und eine Entscheidung der Geschäftsführung.
Nein. Eine Prüfsituation greift regelmäßig auf mehrere Prozesse zurück. Umgekehrt kann ein Prozess Informationen für mehrere Prüfsituationen liefern.
Nicht zwingend. Viele Angaben liegen bereits in HR-, IAM-, ITSM-, Lieferanten-, Vorfall- oder Dokumentensystemen. Sie müssen für den konkreten Anlass ausgewählt, geprüft und eindeutig zugeordnet werden.
Nein. Die vorhandenen Systeme bleiben für ihre operativen Daten verantwortlich. Der Compliance Arbeitsplatz hält fest, welche Informationen verwendet wurden, wer geprüft und entschieden hat, welche Punkte offen bleiben und wann erneut geprüft wird.
Die Situation mit dem aktuellen externen oder internen Anlass: eine laufende Kundenanfrage, ein eingetretenes Sicherheitsereignis oder eine anstehende Entscheidung der Geschäftsführung.
Nächster Schritt
Wählen Sie die Situation, die jetzt bearbeitet werden muss
Beginnen Sie mit dem konkreten Anlass. Die Fachseite erklärt die Anforderungen. Der Compliance Arbeitsplatz führt anschließend durch die Bearbeitung.