Software · NIS2
Eine NIS2-Software soll belegen, dass Ihre Einrichtung die Pflichten aus dem BSI-Gesetz erfüllt: die zehn Risikomanagementmaßnahmen nach § 30 BSIG, die Meldepflichten nach § 32, die Registrierung nach § 33 und die Verantwortung der Geschäftsleitung nach § 38. Diese Seite zeigt, was eine Software dafür leisten muss, worauf Sie bei der Auswahl achten sollten und wie Sightadel das umsetzt.
Ausgangslage
NIS2 gilt in Deutschland über das BSI-Gesetz für wichtige und besonders wichtige Einrichtungen. Ein NIS2-Zertifikat gibt es nicht. Gefragt ist ein belastbarer Nachweisstand gegenüber BSI, Kunden und Prüfern. Die zehn Maßnahmenbereiche nach § 30 Abs. 2 BSIG reichen von Risikoanalyse und Vorfallbewältigung über Backup und Notfallplanung, Lieferkette, Schwachstellen, Schulung und Kryptografie bis zu Zugriffskontrolle und Mehrfaktor-Authentifizierung.
Neu gegenüber einem klassischen ISMS sind vor allem drei Punkte. Erhebliche Sicherheitsvorfälle sind dem BSI in Stufen zu melden: Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden, Abschlussbericht spätestens einen Monat nach Übermittlung der Meldung; die ersten beiden Fristen laufen ab Kenntnisnahme. Betroffene Einrichtungen müssen sich beim BSI registrieren. Und die Geschäftsleitung setzt die Maßnahmen um, überwacht ihre Umsetzung und nimmt regelmäßig an Schulungen teil.
Eine NIS2-Software muss deshalb mehr können als Maßnahmen abhaken. Die Meldewege müssen stehen, bevor etwas passiert. Beschlüsse der Leitung müssen mit Datum abgelegt sein. Nachweise wie Wiederherstellungstests oder Lieferantenbewertungen müssen aktuell bleiben. Entscheiden muss weiterhin die Leitung: über Risikoakzeptanz, Ressourcen und Zuständigkeiten.
Warum jetzt
Sektor, Beschäftigtenzahl und Umsatz ergeben, dass Sie unter das BSI-Gesetz fallen. Registrierung, Maßnahmen und Leitungspflichten müssen jetzt geordnet angegangen werden.
Nach § 38 BSIG bleibt die Verantwortung bei der Leitung, auch wenn andere die Arbeit machen. Sie will sehen, was umgesetzt ist, was fehlt und bis wann.
Auch wer selbst nicht betroffen ist, erreicht die Anforderungen über Kunden. Diese müssen ihre Dienstleister bewerten und fordern Belege an.
Sie haben ISO 27001 und wollen die Nachweise weiterverwenden. Hinzu kommen Meldekette, Registrierung und Leitungsbeschluss, ohne doppelte Dokumentation.
Relevante Frameworks
In eigenen Worten zusammengefasst, keine Rechtsberatung. Maßgeblich ist der Originaltext in der geltenden Fassung.
Für wichtige und besonders wichtige Einrichtungen nach dem BSI-Gesetz. In Sightadel zerlegt in 40 Prüfpunkte zu den zehn Maßnahmen nach § 30, dazu Meldekette, Registrierung und Leitungsbeschluss. Bis zu einem belastbaren Nachweisstand vergehen typischerweise drei bis neun Monate.
Zum Framework →Kein Muss für NIS2, aber die Maßnahmen nach § 30 BSIG decken sich in weiten Teilen mit Anhang A. Wer ein ISMS betreibt, liegt beim Aufwand eher am unteren Ende.
Zum Framework →Ein Sicherheitsvorfall kann zugleich eine Datenpanne sein und beide Meldepflichten auslösen. Die technischen Maßnahmen nach Art. 32 nutzen dieselben Nachweise.
Zum Framework →Für Finanzunternehmen geht DORA vor. Viele Maßnahmen decken sich, die Meldefristen unterscheiden sich im Startpunkt: DORA knüpft an die Einstufung, NIS2 an die Kenntnisnahme.
Zum Framework →Empfohlene Reihenfolge
Einstufung als wichtige oder besonders wichtige Einrichtung mit Begründung festhalten, Registrierung beim BSI erledigen und als Nachweis ablegen.
Zuständige, Vertretungen und Erreichbarkeiten festlegen, Meldevorlagen ablegen. Das geht vor allem anderen, weil ein Vorfall nicht wartet.
Die 40 Prüfpunkte geführt durchgehen, vorhandene Dokumente zuordnen. Am Ende steht, was belegt ist und was fehlt.
Aktionspläne mit Verantwortlichen und Fristen. Typische Brocken sind Wiederherstellungstests, Lieferantenbewertung und die Abdeckung der Mehrfaktor-Anmeldung.
Die Leitung lässt sich schulen, beschließt die Umsetzung der Maßnahmen mit Datum und legt fest, wie sie die Umsetzung überwacht.
Interne Prüfung, Managementbewertung und eine Übung des Vorfallprozesses. Danach kehren diese Schritte als Zyklus wieder.
Auswahl
Eine Checkliste mit den zehn Maßnahmen bieten viele Tools. Prüfen Sie, ob die Software auch die Teile abdeckt, die NIS2 von einem klassischen ISMS unterscheiden.
Die Anforderungen sollten auf § 30, § 32, § 33 und § 38 BSIG verweisen, nicht nur auf die EU-Richtlinie. Geprüft wird nach deutschem Recht.
Zuständige, Vertretungen und Vorlagen sollten vorab hinterlegt sein. Achten Sie darauf, dass die drei Fristen aus dem Zeitpunkt der Kenntnisnahme berechnet werden.
Die Software sollte Leitungsbeschluss und Schulungsnachweise der Leitung mit Datum ablegen. Ohne diesen Beleg fehlt der Teil, für den die Leitung persönlich verantwortlich ist.
Kritische Dienstleister, Fragebögen, Vertragsanforderungen und Zertifikate mit Ablaufdatum gehören in eine Liste mit Erinnerung an die nächste Bewertung.
Wer ein ISMS hat, sollte Nachweise nicht kopieren müssen. Ein Beleg sollte für Anhang A und § 30 BSIG zugleich zählen.
Ein NIS2-Zertifikat gibt es nicht. Seien Sie vorsichtig bei Anbietern, die eines in Aussicht stellen. Ziel ist ein belastbarer Nachweisstand.
So hilft Sightadel
Die zehn Maßnahmen nach § 30 BSIG in 40 Prüfpunkten, jeweils als Frage mit Erklärung. Dazu Prüfpunkte zu Meldekette, Registrierung und Verantwortung der Geschäftsleitung.
Mehr erfahren →Testprotokolle, Schulungslisten und Richtlinien mit Version und Gültigkeitsdatum. Sightadel erinnert vor Ablauf. Ein Nachweis zählt für NIS2, ISO 27001 und DSGVO zugleich.
Mehr erfahren →Dienstleister mit Kritikalität, Fragebögen und Nachweisen samt Gültigkeitsdatum. Abgelaufene Zertifikate fallen auf, Neubewertungen kommen als Erinnerung.
Mehr erfahren →Lücken werden zu Maßnahmen mit Verantwortlichem und Frist. Die Geschäftsleitung sieht mit der Rolle Viewer, was offen und überfällig ist, und kann so ihrer Überwachungspflicht nachkommen.
Mehr erfahren →Der Security Score bewertet die von außen sichtbare Angriffsfläche Ihrer Domains mit einer Note von 0 bis 100 und listet konkrete Probleme. Das unterstützt den Umgang mit Schwachstellen nach § 30 Abs. 2 Nr. 5.
Mehr erfahren →Branchenvorlagen liefern Entwürfe, etwa für Leitlinie, Kryptokonzept und Meldevorlagen. Die KI macht Vorschläge aus Ihren bereits erfassten Daten. Welche Verfahren zulässig sind und welches Restrisiko tragbar ist, legen Sie fest.
Mehr erfahren →Aufwand und Dauer
Die Spannen sind Erfahrungswerte, keine Zusage. Den größten Einfluss haben die Zahl der Standorte und Dienstleister, der Ausgangsstand und die Zeit, die die Leitung einbringt.
Was Sie lizenzieren · typisch Professional
Eine Einrichtung mit mehreren Beteiligten und einer Reihe kritischer Dienstleister nimmt NIS2 typischerweise in der Edition Professional, oft zusammen mit ISO 27001. Ist ISO 27001 dabei, kostet NIS2 dauerhaft weniger. Mit vielen Lieferanten oder Gesellschaften passt Enterprise.
Lizenz je Framework, Mindestlaufzeit ein Jahr, monatlich oder jährlich zahlbar. Alle Preise, Rabatte und einen Rechner finden Sie auf der Preisseite. Kosten einer Zertifizierungs- oder Prüfstelle kommen getrennt hinzu.
Das Gesetz schreibt keine Software vor. Es verlangt umgesetzte und belegbare Maßnahmen, funktionierende Meldewege und eine Leitung, die die Umsetzung überwacht. Eine Software lohnt sich, sobald mehrere Personen beteiligt sind, Nachweise regelmäßig erneuert werden müssen und die Leitung einen aktuellen Stand braucht.
Excel kann die zehn Maßnahmen auflisten. Fristen für Nachweise, Erinnerungen an Lieferantenbewertungen und Verknüpfungen zu Belegen müssen Sie dann von Hand pflegen. Vorhandene Tabellen lassen sich in Sightadel importieren.
Sightadel wird je Framework und Edition lizenziert, jährlich. Die aktuellen Beträge stehen auf der Preisseite. Ist ISO 27001 bereits lizenziert, kostet NIS2 dauerhaft weniger. Sie können 14 Tage kostenlos testen, ohne Zahlungsdaten.
Nein. NIS2 kennt kein Zertifikat. Ziel ist ein belastbarer Nachweisstand gegenüber BSI, Kunden und Prüfern. Ein ISO-27001-Zertifikat kann dabei helfen, ersetzt aber Meldekette, Registrierung und Leitungsbeschluss nicht. Mehr dazu auf der Seite zu NIS2.
Nein. Sightadel führt durch die Anforderungen und hält den Stand fest. Berater wählen Sie aus dem Partnernetzwerk in der App oder bringen Ihren eigenen mit. Prüfungen machen unabhängige Auditoren, ebenfalls aus dem Partnernetzwerk oder Ihre eigenen. Für keine Vermittlung fließt eine Provision.
Sie setzt die Maßnahmen um, überwacht die Umsetzung und nimmt regelmäßig an Schulungen teil. Die Verantwortung bleibt bei ihr, auch wenn andere die Arbeit machen. Risikoakzeptanz, Ressourcen und Zuständigkeiten entscheidet sie. Sightadel legt Beschluss und Schulungsnachweise mit Datum ab.
Nein. Die Meldung geben Sie selbst ab. Sightadel hält Meldewege, Zuständige, Vertretungen und Vorlagen bereit und berechnet die drei Fristen aus dem Zeitpunkt der Kenntnisnahme.
Sightadel wird in Deutschland entwickelt und betrieben.
14 Tage, voller Zugriff, keine Zahlungsdaten. Was Sie anlegen, bleibt im bezahlten Plan erhalten.
