Kategorie: SAVISCON GRC-COCKPIT

Das GRC-COCKPIT ist das digitale Tool für ein strukturiertes und durchgängiges GRC-Management. In dieser Kategorie lesen Sie alle Neuigkeiten rund um das GRC-COCKPIT.

KI Cyberangriffe: Was praktisch gegen Phishing hilft

/in , , , /von

Dass KI Cyberangriffe verändert, ist seit dem 12. Mai 2026 amtlich. Das Bundeskriminalamt hat an diesem Tag sein Bundeslagebild Cybercrime 2025 vorgestellt und einen Punkt in den Untertitel gehoben, der in den Jahren davor eine Randnotiz war: Künstliche Intelligenz verschärft die Bedrohungslage. Erfasst wurden 333.922 Fälle von Cyberkriminalität in Deutschland, davon 126.034 Inlandstaten und 207.888 Taten mit Auslandsbezug. Für Unternehmen, die unter das NIS2-Umsetzungsgesetz fallen, also unter die deutsche Umsetzung der europäischen NIS2-Richtlinie, hängt daran eine praktische Frage: Welche der gesetzlichen Pflichten greifen, wenn KI Cyberangriffe sprachlich und organisatorisch besser vorbereitet als früher? Aufschieben lässt sich die Antwort nicht, das NIS2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025 ohne allgemeine Übergangsfrist.

Was die Zahlen für 2025 zeigen

Zwei Angriffsformen fallen im Bundeslagebild besonders auf:

  • Ransomware, also die Verschlüsselung von Unternehmensdaten mit anschließender Lösegeldforderung: 1.041 angezeigte Fälle, ein Zuwachs von 10 Prozent
  • DDoS, also die gezielte Überlastung von Servern und Onlinediensten: 36.706 Fälle, ein Zuwachs von 25 Prozent

Aussagekräftiger als die Gesamtzahl ist, wen diese Angriffe treffen. Bei Ransomware waren 96 Prozent der Betroffenen Unternehmen und Behörden, rund 90 Prozent davon kleine und mittlere Unternehmen. Den Schaden durch Datendiebstahl, Spionage und Sabotage bezifferte der Bitkom in seiner Untersuchung Wirtschaftsschutz vom September 2025 auf 289,2 Milliarden Euro innerhalb von zwölf Monaten, betroffen waren 87 Prozent der befragten Unternehmen.

Das BSI hat seinen Lagebericht 2025 unter eine andere Perspektive gestellt: nicht mehr die Frage, wer angreift, sondern wie groß die eigene Angriffsfläche ist. Hier sind zwei wichtige Zahlen aus dem Bericht: Im Durchschnitt wurden 119 neue Schwachstellen pro Tag bekannt, ein Anstieg um 24 Prozent gegenüber dem Vorjahr. Und kleine und mittlere Unternehmen erfüllen im Schnitt rund 56 Prozent der Basisanforderungen an IT-Sicherheit. Der Abstand zwischen dem, was angreifbar ist, und dem, was abgesichert ist, wächst also von beiden Seiten. In diese Lücke hinein macht KI Cyberangriffe billiger.

Wie KI Cyberangriffe verändert

Wie stark KI Cyberangriffe beschleunigt, beziffert das BKA nicht. Die Pressemitteilung zum Lagebild formuliert es knapp: Cyberkriminelle nutzen KI, um Angriffe schneller, gezielter und professioneller durchzuführen. Eine Fallzahl nennt die Behörde nicht, die Aussage bleibt qualitativ. Konkreter wird das BSI an der Stelle, an der Unternehmen es zuerst merken, bei Phishing-Mails. Die Nachrichten wirken authentischer, besonders dann, wenn Kriminelle sie mithilfe von Künstlicher Intelligenz erzeugen.

Praktisch heißt das, die klassischen Erkennungsmerkmale einer Phishing-Mail, also Rechtschreibfehler, holprige Anrede und offensichtlich falsche Absender, verlieren an Aussagekraft. Schulungen, die auf diesen Merkmalen aufbauen, greifen zu kurz, wenn KI Cyberangriffe vorbereitet. Was trägt, sind Prüfschritte am Prozess, der Rückruf über eine bekannte Nummer bei Zahlungs- und Datenanfragen, das Vier-Augen-Prinzip bei Änderungen an Bankverbindungen und ein Meldeweg, den Mitarbeiter auch bei einem Fehlalarm ohne Scheu nutzen.

Was NIS2 an dieser Stelle verlangt

Eine Einordnung vorweg, weil sie oft für Verwirrung sorgt: NIS2 steht in Deutschland nicht in einem eigenen Gesetz. Das NIS2-Umsetzungsgesetz hat das BSI-Gesetz neu gefasst. Aus diesem Grund stehen die NIS2-Pflichten dort und das BSI ist die Behörde, mit der Sie in diesem Fall zu tun haben.

§ 30 Absatz 2 BSIG nennt zehn Mindestbereiche, die die Risikomanagementmaßnahmen abdecken müssen. Für die Arbeitsplanung haben wir diese zu vier Blöcken gebündelt, die Bereiche selbst sind die des Gesetzes:

  • Risiko-Management und Sicherheitskonzepte, einschließlich der Bewertung, ob die Maßnahmen wirken
  • Bewältigung von Sicherheitsvorfällen, von der Erkennung bis zur Dokumentation
  • Aufrechterhaltung des Betriebs mit Backup-Management, Wiederherstellung und Krisenmanagement
  • Sicherheit der Lieferkette und der eigenen Beschaffung, einschließlich Schwachstellenmanagement

Zwei der zehn Bereiche aus § 30 Absatz 2 BSIG stehen nicht in diesen vier Blöcken: grundlegende Schulungen und Sensibilisierung für alle Beschäftigten sowie Multi-Faktor-Authentifizierung. Weil KI Cyberangriffe sprachlich glättet, sind es gegen Phishing die beiden wirksamsten Punkte der ganzen Liste: die Schulung greift vor dem Klick, die Multi-Faktor-Authentifizierung danach.

Dazu kommen die Meldepflichten nach § 32 BSIG. Der Ablauf ist dreistufig: Erstmeldung innerhalb von 24 Stunden nach Kenntnis des Vorfalls, Meldung mit einer ersten Bewertung innerhalb von 72 Stunden nach Kenntnis, Abschlussmeldung innerhalb eines Monats nach der 72-Stunden-Meldung. Dauert ein Vorfall zu diesem Zeitpunkt noch an, tritt an die Stelle der Abschlussmeldung zunächst eine Fortschrittsmeldung.

Die Geschäftsleitung nimmt § 38 BSIG enger in die Pflicht, als viele Zusammenfassungen es wiedergeben. Sie setzt die Risikomanagementmaßnahmen um und überwacht ihre Umsetzung. Absatz 3 verpflichtet die Geschäftsleitung zusätzlich, selbst regelmäßig an Schulungen teilzunehmen. Einen gesetzlichen Turnus dafür gibt es nicht, aus unserer Projekterfahrung ist eine Wiederholung mindestens alle drei Jahre sinnvoll.

Fünf Maßnahmen für Ihre NIS2-Umsetzung

Wer die Anforderungen in konkrete Arbeit übersetzen will, findet hier einen Einstieg:

  1. Awareness-Training auf den Stand bringen, den KI Cyberangriffe nötig machen, mit Phishing-Simulationen statt Merkmal-Checklisten.
  2. Meldeprozess vorbereiten, mit einer Vorlage für die 24-Stunden-Meldung und benannten Vertretungen für Urlaub und Krankheit.
  3. Risikoanalyse um Szenarien ergänzen, in denen KI Cyberangriffe vorbereitet, insbesondere Social Engineering gegen Buchhaltung, Einkauf und Assistenzfunktionen.
  4. Regeln für den eigenen KI-Einsatz dokumentieren: Welche Werkzeuge sind zugelassen? Welche Daten dürfen hineingegeben werden? Wer gibt das frei?
  5. Wirksamkeit messbar machen, zum Beispiel über die Zeit bis zum Schließen bekannter Sicherheitslücken und die Meldequote in Phishing-Simulationen.

Punkt vier ist derjenige, der in vielen Unternehmen noch offen ist. Welche Daten in ein KI-Werkzeug dürfen, ist neben einer Sicherheitsfrage auch eine Datenschutzfrage. Wie sich beides zusammen regeln lässt, können Sie in unserem Beitrag KI im Unternehmen und Datenschutz nachlesen.

NIS2-Registrierung, Nachweise und Prüfungen

Betroffene Einrichtungen mussten sich bis zum 6. März 2026 über das Portal des BSI registrieren. Bis Ende Juli 2026 hat das BSI Nachmeldungen geduldet, eine gesetzliche Nachfrist war dies jedoch nicht. Wer heute noch nicht registriert ist, sollte das kurzfristig nachholen und die Verzögerung dokumentieren. Was in dieser Lage sinnvollerweise zuerst passieren sollte, steht in unserem Beitrag dazu, warum viele Unternehmen noch zögern.

Wie viele Unternehmen betroffen sind, steht noch nicht endgültig fest. Das BSI geht von rund 29.500 Unternehmen und Institutionen aus, das Bundesinnenministerium lässt diese Zahl derzeit vom Statistischen Bundesamt überprüfen. Der Fachpresse zufolge waren zum 31. Juli 2026 18.845 Einrichtungen registriert, davon 6.490 besonders wichtige und 12.355 wichtige. Zwischen der Erwartung und dem Registrierungsstand liegt also eine erhebliche Lücke.

Beim Nachweis lohnt eine Unterscheidung, die häufig untergeht. Einen festen Zyklus gibt es nur für Betreiber kritischer Anlagen. Sie müssen dem BSI nach § 39 BSIG alle drei Jahre nachweisen, dass sie die Risikomanagementmaßnahmen aus § 30 und die besonderen Anforderungen an kritische Anlagen aus § 31 erfüllen, und zwar durch Sicherheitsaudits, Prüfungen oder Zertifizierungen. Aufgedeckte Mängel gehen mit, das BSI kann einen Plan zur Behebung verlangen.

Für alle übrigen Einrichtungen gilt kein Turnus. Das BSI kann Nachweise im Rahmen der Aufsicht anfordern, und angefordert wird dann der Stand, der zu diesem Zeitpunkt dokumentiert ist. Nachträglich lässt sich das nicht herstellen. Mit ersten systematischen Prüfungen durch das BSI wird ab 2027 gerechnet.

Zur Einordnung der Sanktionen, weil dazu viel Halbes im Umlauf ist: § 65 BSIG staffelt die Bußgeldrahmen nach Verstoß. Der obere Rahmen liegt bei 10 Millionen Euro für besonders wichtige und bei 7 Millionen Euro für wichtige Einrichtungen. Die häufig zitierte Umsatzvariante von 2 bzw. 1,4 Prozent greift nach den Absätzen 6 und 7 nur bei einem weltweiten Gesamtumsatz über 500 Millionen Euro und nur für bestimmte Verstöße. Ein „je nachdem, welcher Betrag höher ist“ kennt das BSIG, anders als die Richtlinie, nicht.

Für den Mittelstand entscheidet sich in der Praxis deshalb wenig an der Höhe des Rahmens. Es entscheidet sich daran, ob Sie im Fall einer Anfrage belegen können, was Sie getan haben. Wer seine Risikobewertungen, Maßnahmenentscheidungen, Reviews und Schulungsnachweise festhält, beantwortet eine Aufsichtsanfrage in Tagen. Wer die Nachweise erst zusammensuchen muss, ist Wochen damit beschäftigt und hat für die Zwischenzeit keine belastbare Aussage. Das ist der Aufwand, der sich durch Dokumentation vermeiden lässt, und es ist der Punkt, an dem eine gute Umsetzung sonst schwer belegbar bleibt.

Wie die SAVISCON bei der NIS2-Umsetzung unterstützt

Wenn KI Cyberangriffe beschleunigt, verkürzt sich die Zeit, die für eine Reaktion bleibt. Ein Informationssicherheits-Managementsystem, das über Excel-Tabellen und SharePoint-Ordner verteilt liegt, erfüllt die Dokumentations- und Reviewpflichten aus NIS2 nur mit hohem manuellem Aufwand. Das GRC-COCKPIT bündelt Risikobewertung, Maßnahmenverfolgung, Policies und Reporting in einer Oberfläche, sodass Freigaben und Fortschritte nachvollziehbar bleiben. Wer erst wissen will, wo er steht, findet im NIS2-Assessment der SAVISCON eine Erhebung zum Festpreis, aus der die nächsten Schritte hervorgehen.

Wenn Sie einen strukturierten Einstieg suchen: Der NIS2 Kickstart ist ein vorkonfiguriertes Datenpaket für das GRC-COCKPIT mit 33 bewerteten Risiken und 30 SOLL-Maßnahmen zur Risikominimierung. Sie starten hier Ihre NIS2-Umsetzung nicht bei null.

Dieser Beitrag wurde teilweise mit Unterstützung von KI erstellt und redaktionell überarbeitet.

Cyberangriffe 2026: Zahlen, Wege und was jetzt zählt

/in , , /von

Wer die Bedrohungslage durch Cyberangriffe einschätzen will, muss zwei Arten von Quellen unterscheiden. Die großen Jahresberichte von BSI, BKA und ENISA beschreiben jeweils das vergangene Jahr, also das Jahr 2025. Dennoch lassen sich hieraus aktuelle Trends für dieses Jahr ableiten. Das laufende Bild liefert der Monatsbericht zur IT-Sicherheitslage des Bundesamts für Sicherheit in der Informationstechnik (BSI), zuletzt für den Berichtszeitraum Juni 2026. Für Unternehmen, die unter das NIS2-Umsetzungsgesetz fallen, ist das keine Statistik zur Kenntnisnahme. Seit dem 6. Dezember 2025 müssen sie ihre Maßnahmen an der tatsächlichen Risikolage ausrichten und diese Ausrichtung belegen können.

Cyberangriffe 2026: Was die laufenden Zahlen zeigen

Der BSI-Monatsbericht für Juni 2026 zählt rund 7,42 Millionen neue Schadprogramm-Varianten, im Schnitt 247.000 pro Tag und damit 15 Prozent weniger als im Mai. Im Juni 2025 waren es noch 9,5 Millionen. Die reine Menge an Schadsoftware, mit der Cyberangriffe vorbereitet werden, ist also rückläufig.

Die Angriffsfläche entwickelt sich gegenläufig. Die Zahl der bekannt gewordenen Schwachstellen stieg von 10.702 im vierten Quartal 2025 auf 10.806 im ersten Quartal 2026. Bei Überlastungsangriffen fällt die Entwicklung deutlicher aus: Der BSI-Index für DDoS-Angriffe lag im Juni 2026 bei 320 Punkten, elf Prozent über dem Vormonat und steigt seit Februar 2026 spürbar an. Das BSI bewertet die Lage als sehr bedrohlich.

Am deutlichsten zeigt sich das bei der Schadwirkung. Der BSI-Index für mutmaßlich Geschädigte aus Deutschland auf sogenannten Leak-Seiten stieg von 268 Punkten im ersten Quartal 2026 auf 359 Punkte im zweiten Quartal, ein Plus von 34 Prozent. Cyberangriffe werden also nicht zahlreicher, sondern in ihrer Wirkung härter.

Was die Jahresberichte aus 2025 beitragen

Die Jahresberichte ordnen Cyberangriffe in längere Entwicklungen ein, die reine Monatszahlen nicht zeigen. Entscheidend ist: Sie beschreiben das Vorjahr, nicht das laufende Jahr.

Das Bundeskriminalamt hat im Bundeslagebild Cybercrime 2025, veröffentlicht am 12. Mai 2026, für das Berichtsjahr 2025 insgesamt 333.922 Cybercrime-Fälle erfasst, davon 126.034 Inlandstaten und 207.888 Taten mit Auslandsbezug. Der BSI-Lagebericht 2025 vom 11. November 2025 deckt den Zeitraum Juli 2024 bis Juni 2025 ab und nennt durchschnittlich 119 neue Schwachstellen pro Tag, ein Plus von 24 Prozent. Der ENISA Threat Landscape 2025 wertet für denselben Zeitraum 4.875 Vorfälle in der EU aus, mit der öffentlichen Verwaltung als am häufigsten betroffenem Sektor (63,1 Prozent).

Den wirtschaftlichen Schaden beziffert die Bitkom-Studie Wirtschaftsschutz 2025 auf 289,2 Milliarden Euro für Diebstahl, Spionage und Sabotage zusammen, davon rund 202,4 Milliarden Euro allein durch Cyberangriffe. 87 Prozent der befragten Unternehmen waren betroffen. Eine neuere Erhebung liegt nicht vor.

Ransomware bleibt teuer, der Druck verlagert sich

Ransomware bleibt die Form der Cyberangriffe mit dem größten Schadenspotenzial für einzelne Unternehmen. Das BKA zählt für 2025 insgesamt 1.041 angezeigte Fälle, ein Zuwachs von zehn Prozent. Die Verteilung der Betroffenen ist eindeutig:

  • 96 Prozent der Betroffenen waren Unternehmen und Behörden
  • rund 90 Prozent davon kleine und mittlere Unternehmen
  • nur 7 Prozent der Betroffenen zahlten Lösegeld

Die gesunkene Zahlungsbereitschaft hat eine Nebenwirkung. Wenn Verschlüsselung allein nicht mehr zahlt, verschieben Angreifer den Druck auf die Veröffentlichung der Daten. Genau das zeigt der gestiegene Leak-Index. Cyberangriffe enden damit immer häufiger nicht mit der Verschlüsselung, sondern mit dem Datenabfluss. Die Meldepflicht gegenüber der Aufsicht bleibt in beiden Fällen bestehen.

Die Wege, über die Cyberangriffe beginnen

Über alle Berichte hinweg wiederholen sich fünf Einstiegspunkte:

  • Phishing und Identitätsmissbrauch, sprachlich unauffälliger als noch vor zwei Jahren
  • Ungepatchte Systeme mit Internetzugang, deren Zahl auch 2026 weiter steigt
  • IT-Dienstleister und Lieferanten mit administrativem Zugang zu fremden Systemen
  • Unzureichend gesicherte IoT-Geräte, in Deutschland dominiert vom Botnetz Badbox
  • Überlastungsangriffe als Begleitung oder Ablenkung, seit Februar 2026 mit steigender Tendenz

Zwei Punkte haben hierbei eine eigene Dynamik. Laut Einschätzung des BKA senken frei verfügbare Sprachmodelle den Aufwand für Phishing-Kampagnen. Eine gemessene Größe ist dies jedoch nicht, denn die Fallstatistik kennt kein Merkmal für den Einsatz von KI. Der Zugang über Dienstleister verlagert das Risiko zudem aus der IT-Abteilung heraus in Einkauf und Vertragsmanagement.

Was die Bedrohungslage für die NIS2 Anforderungen bedeutet

Die Pflichten aus § 30 BSIG lesen sich anders, wenn die Lagezahlen daneben liegen. Risikomanagement, Angriffserkennung, Business Continuity, Lieferkettensicherheit und Schulungen sind keine abstrakte Liste, sondern die Antwort auf die fünf Wege, über die Cyberangriffe beginnen. Das BSI verlangt geeignete, verhältnismäßige und wirksame Maßnahmen und deren Dokumentation. Verhältnismäßig heißt: gemessen an der Risikolage.

Bei einem erheblichen Sicherheitsvorfall gelten drei Fristen: 24 Stunden für die Erstmeldung, 72 Stunden für die Meldung mit erster Bewertung, ein Monat für die Abschlussmeldung. Wer bei einem Ransomware-Vorfall am Wochenende erst Zuständigkeiten klären muss, verliert die erste Frist.

Wie weit die Umsetzung ist, zeigt die offizielle Statistik des BSI. Zum 30. Juni 2026 waren 17.945 NIS-2-Registrierungen erfasst, darunter 11.501 wichtige und 6.215 besonders wichtige Einrichtungen. Über das Portal gingen 692 Erstmeldungen und insgesamt 1.659 Meldungen ein. Die gesetzliche Registrierungsfrist endete am 6. März 2026, die vom BSI eingeräumte Nachfrist bis zum 31. Juli 2026 ist ebenfalls verstrichen. Was Unternehmen tun können, die die NIS2-Frist versäumt haben, hat die SAVISCON in einem eigenen Beitrag zusammengestellt.

Fünf Punkte, die aus der aktuellen Lage folgen

Aus dem Lagebild der Cyberangriffe lassen sich Prioritäten ableiten, die ohne großes Vorprojekt umsetzbar sind:

  1. Angriffsfläche inventarisieren: Welche Systeme sind aus dem Internet erreichbar, wer betreibt sie, wann wurden sie zuletzt aktualisiert?
  2. Patch-Zeiten messen statt Patch-Prozesse beschreiben. Die Zeit bis zur Schließung einer Schwachstelle ist eine belastbare Kennzahl.
  3. Wiederanlauf üben statt nur Backups anlegen. Getestet wird die Wiederherstellung.
  4. Meldeprozess vorbereiten, mit benannter Kontaktstelle, Vertretungsregelung für Wochenenden und fertiger Meldevorlage.
  5. Zugänge von Dienstleistern prüfen: Wer hat administrative Rechte, seit wann, und wird das nachgehalten?

Der Punkt, an dem Projekte hängen bleiben, ist selten die Auswahl der Maßnahmen, sondern der Nachweis, dass sie laufen. Ohne festgehaltene Entscheidungen, Reviews und Termine bleibt auch eine gute Umsetzung schwer belegbar.

Der Punkt, an dem Projekte hängen bleiben, ist selten die Auswahl der Maßnahmen, sondern der Nachweis, dass sie laufen. Ohne festgehaltene Entscheidungen, Reviews und Termine bleibt auch eine gute Umsetzung schwer belegbar.

Wie die SAVISCON Sie unterstützt

Wer die Bedrohungslage in konkrete Steuerung übersetzen will, braucht Risikobewertung, Maßnahmen und Nachweis an einer Stelle. Das GRC-COCKPIT führt Risikobewertung, Maßnahmenverfolgung, Richtlinien und Reporting in einer Oberfläche zusammen. Freigaben und Änderungen bleiben nachvollziehbar, der Status für die Geschäftsführung entsteht aus den laufenden Daten. Ergänzend führt die SAVISCON auf Wunsch ein NIS2-Assessment zum Festpreis durch, welches den Ist-Stand gegen das BSIG abgleicht.

Sie möchten schnellstmöglich mit der Umsetzung von NIS2 starten? Der NIS2-Kickstart im GRC-COCKPIT liefert Ihnen einen Einstieg, mit dem Sie nicht bei null beginnen.

Dieser Beitrag wurde teilweise mit Unterstützung von KI erstellt und redaktionell überarbeitet.

NIS2 mit Excel: Wann die Tabelle nicht mehr reicht

/in , , /von

Die meisten NIS2-Projekte im Mittelstand beginnen in einer Tabelle. Das ist kein Fehler, sondern der schnellste Weg zu einem ersten Überblick: Wer NIS2 mit Excel startet, hat nach zwei Wochen eine Asset-Liste, eine Gap-Analyse und eine Reihenfolge, in der gearbeitet wird. Der Bruch kommt später, mit den Anforderungen des Gesetzes: Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beziffert die Zahl der registrierungspflichtigen Unternehmen und Einrichtungen der Bundesverwaltung auf etwa 29.500. Für sie gilt das NIS2-Umsetzungsgesetz seit dem 6. Dezember 2025 und es verlangt keinen Projektabschluss, sondern eine dauerhafte NIS2 Nachweispflicht: einen Zustand, der jederzeit belegbar bleibt.

NIS2 mit Excel: Wofür die Tabelle reicht

Am Anfang eines NIS2-Projekts geht es um eine Momentaufnahme: Wo stehen wir, was fehlt, was kostet es? Auf diese Fragen liefert NIS2 mit Excel schnell brauchbare Antworten, ohne Einführungsprojekt und für jeden im Unternehmen lesbar.

Vier Aufgaben lassen sich sauber in Excel erledigen:

  • Die Betroffenheitsprüfung samt Begründung dokumentieren
  • Ein erstes Asset-Inventar aufbauen, Aufwand rund 20 bis 40 Stunden
  • Eine Gap-Analyse gegen die Anforderungsbereiche führen, je Bereich mit Ist-Stand, Lücke, Kritikalität und geschätztem Aufwand
  • Eine Roadmap mit Prioritäten, Verantwortlichen und Terminen ableiten

Auch Word hat hier seinen Platz. Eine Informationssicherheitsleitlinie als Word-Dokument ist unproblematisch, solange erkennbar bleibt, welche Fassung gilt und wer sie freigegeben hat. Die erste Risikoanalyse kostet ohne bestehendes Managementsystem 40 bis 80 Stunden. Diese Zeit geht in die Inhalte, nicht in die Werkzeugauswahl. In dieser Phase ist NIS2 mit Excel eine vernünftige Entscheidung.

Der Punkt, an dem NIS2 die Tabelle überholt

Die Pflichten stehen in § 30 Absatz 2 BSIG, den das NIS2-Umsetzungsgesetz eingeführt hat. Das BSI formuliert die Kernanforderung so: Unternehmen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen zu ergreifen und zu dokumentieren.

Wirksam heißt, dass die Wirksamkeit der Maßnahmen regelmäßig bewertet werden muss; sie ist einer der zehn Mindestbereiche des Gesetzes. Dokumentieren heißt, dass der Nachweis nicht im Ergebnis liegt, sondern im Weg dorthin. Die Verantwortung für Umsetzung und Überwachung liegt laut BSI bei der Geschäftsleitung.

Damit verschiebt sich die Aufgabe. Aus einer Liste, die abgearbeitet wird, wird ein Regelkreis, der laufen muss. Eine Tabelle kann einen Zustand abbilden. Einen Prozess kann sie nicht führen. Das ist der eigentliche Einwand gegen NIS2 mit Excel: nicht die Datei selbst, sondern der fehlende Regelkreis um sie herum.

Sechs Bruchstellen bei NIS2 mit Excel

Wer NIS2 mit Excel dauerhaft führt, stößt an immer dieselben Stellen.

Keine Versionierung, kein Audit-Trail

Wer hat wann welche Risikobewertung geändert, und mit welcher Begründung? In der Tabelle steht am Ende nur das Ergebnis. Bei einer Prüfung ist die Frage nach dem Weg dorthin Standard. Dem BSI stehen dafür regelmäßige Berichterstattung, Audits und unangekündigte Vor-Ort-Kontrollen zur Verfügung.

Verantwortlichkeiten ohne Verbindlichkeit

In der Spalte „Verantwortlich“ steht ein Name. Ob die Person davon weiß, ob sie die Aufgabe angenommen hat und was bei einem Personalwechsel passiert, steht dort nicht. Aufgaben ohne Zusage und ohne Eskalationsweg bleiben liegen.

Fristen, an die niemand erinnert

NIS2 arbeitet mit Wiederholungen. Interne Audits sind mindestens jährlich fällig, Management-Reviews quartalsweise empfohlen, die Risikoanalyse mindestens jährlich zu aktualisieren, Zugriffsrechte quartalsweise zu prüfen. Eine Tabelle erinnert an keinen dieser Termine. Die Wiedervorlagen liegen in den Kalendern einzelner Personen, und dort enden sie auch.

Doppelpflege über drei Listen

Assets, Risiken und Maßnahmen hängen zusammen: Ein Asset trägt Risiken, ein Risiko wird durch Maßnahmen behandelt, eine Maßnahme braucht ihre Begründung aus dem Risiko. In getrennten Dateien muss jede Änderung an drei Stellen nachgezogen werden. Nach einigen Monaten weichen die Listen voneinander ab, und es ist nicht mehr entscheidbar, welche stimmt.

Meldepflicht unter Zeitdruck

Bei einem erheblichen Sicherheitsvorfall gelten die drei Meldefristen des BSI: 24 Stunden für die Erstmeldung, 72 Stunden für die Meldung mit erster Bewertung, 30 Tage für die Abschlussmeldung. Wird ein Vorfall am Samstagabend entdeckt, läuft die erste Frist am Sonntagabend ab. In diesen Stunden entscheidet sich, ob die betroffenen Systeme, die Kontaktstelle und die Meldevorlage auffindbar sind oder erst zusammengesucht werden.

Bericht an die Leitung

Die Geschäftsleitung muss Maßnahmen billigen und die Umsetzung überwachen. Dafür braucht sie einen Status, der nicht aus vier Dateien zusammengerechnet werden muss. Wo der Bericht Handarbeit ist, entsteht er selten. Und ein Projekt, nach dem die Geschäftsführung nicht mehr fragt, schläft ein.

Als siebte Bruchstelle kommt die Lieferkette hinzu, weil Bewertungen von Lieferanten und Dienstleistern wiederholt und belegt werden müssen. Wie sich das Lieferkettenrisiko unter NIS2 steuern lässt, behandelt ein eigener Beitrag im SAVISCON-Blog.

Fünf Fragen, die den Kipppunkt zeigen

Ob NIS2 mit Excel bei Ihnen noch trägt, klärt sich an fünf Fragen:

  1. Können Sie zu einer Maßnahme sagen, wer sie wann freigegeben hat, ohne jemanden zu fragen?
  2. Wissen Sie heute, welche Reviews in den nächsten 30 Tagen fällig sind?
  3. Ist jedem hoch bewerteten Risiko eine Maßnahme zugewiesen, mit Termin und Verantwortlichem?
  4. Könnten Sie in zwei Stunden einen belastbaren Statusbericht für die Geschäftsführung erzeugen?
  5. Ist die Risikobewertung von vor zwölf Monaten heute noch nachvollziehbar?

Zweimal Nein ist ein Signal, dreimal Nein ein Befund. Ein in Tabellen geführtes Managementsystem ist nach etwa einem Jahr veraltet, weil seine Pflege ohne Erinnerungen und Freigabewege an einzelnen Personen hängt.

Von der Pflichtliste zur Steuerungsaufgabe

NIS2 als Compliance-Pflicht abzuarbeiten gehört zu den häufigsten Missverständnissen bei NIS2 und führt zu einem Ordner, der einmal vollständig war. NIS2 als Steuerungsaufgabe zu führen heißt, vier Dinge dauerhaft zu betreiben:

  • Einen Regelkreis aus Planen, Umsetzen, Prüfen und Anpassen, nicht nur die ersten zwei Schritte
  • Einen festen Berichtsrhythmus an die Geschäftsführung, monatlich statt jährlich
  • Nachweise, die im Moment ihrer Entstehung festgehalten werden und nicht rückwirkend
  • Eine Stelle, die Änderungen aufnimmt: neue Systeme, neue Prozesse, neue Dienstleister

Die Kostenfrage lässt sich dabei rechnen. Eine ISMS- oder GRC-Software liegt bei 5.000 bis 30.000 Euro pro Jahr, ein externer Berater bei 1.200 bis 1.800 Euro pro Tag. Wer die Pflege manuell leistet, zahlt sie in Arbeitszeit: Ein internes Audit bindet 16 bis 40 Stunden im Jahr, die Prüfung von Zugriffsrechten 8 bis 16 Stunden pro Quartal.

Mit ersten systematischen BSI-Prüfungen wird ab 2027 gerechnet. Bis dahin entscheidet sich, ob im Unternehmen eine Historie entstanden ist oder eine Tabelle. NIS2 mit Excel zu starten ist vertretbar. NIS2 mit Excel zu steuern ist es nicht.

Wie die SAVISCON unterstützt

Das GRC-COCKPIT führt Risikobewertung, Maßnahmenverfolgung, Richtlinien und Reporting in einer Oberfläche zusammen. Freigaben, Änderungen und Wiedervorlagen bleiben nachvollziehbar, der Status für die Geschäftsführung entsteht aus den laufenden Daten. Wer NIS2 mit Excel begonnen hat, fängt dabei nicht neu an: Asset-Listen, Risikobewertungen und Maßnahmen lassen sich übernehmen. Wer vorher wissen will, wo das eigene Unternehmen steht, kann mit der SAVISCON ein NIS2-Assessment zum Festpreis durchführen.

Sie haben mit der NIS2 Umsetzung noch nicht begonnen? Mit dem NIS2 Kickstart beginnen Sie nicht bei 0.

Dieser Beitrag wurde teilweise mit Unterstützung von KI erstellt und redaktionell überarbeitet.

NIS2 Missverständnisse: Was Unternehmen wirklich wissen müssen

/in , , /von

Seit dem 6. Dezember 2025 ist das NIS2-Umsetzungsgesetz in Deutschland geltendes Recht, ohne Übergangsfrist. Trotzdem herrscht in vielen kleinen und mittleren Unternehmen weiterhin Unklarheit darüber, wer betroffen ist und was zu tun ist. Diese Unsicherheit hat einen Namen: NIS2 Missverständnisse. Aussagen wie „Das betrifft nur große Konzerne“ oder „Das ist Sache der IT“ halten sich hartnäckig, obwohl sie rechtlich nicht zutreffen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat diesem Problem im Frühjahr 2026 sogar eine eigene Kampagne unter dem Titel „NIS-Verständnis statt Missverständnis“ gewidmet. Wir ordnen die wichtigsten NIS2 Missverständnisse für Sie ein.

Diese sechs NIS2 Missverständnisse begegnen uns in Beratungsgesprächen immer wieder, und jedes davon kann im Ernstfall teuer werden.

„Das betrifft nur kritische Infrastruktur“

Die NIS2-Richtlinie reguliert insgesamt 18 Sektoren, davon 11 als „essential“ (kritisch) und 7 als „important“ (wichtig) eingestuft. Zu den wichtigen Sektoren zählen unter anderem Post und Kurier, Chemikalien, Ernährung sowie das verarbeitende Gewerbe und die Herstellung, also klassische Mittelstandsbranchen ohne KRITIS-Charakter. Das BSI stellt in seiner Kampagne ausdrücklich klar, dass die Regulierung deutlich über den Kreis der kritischen Infrastruktur hinausgeht.

„Nur Konzerne sind betroffen“

NIS2 setzt bei der Unternehmensgröße an, nicht beim Bekanntheitsgrad. Als „wichtige Einrichtung“ gilt bereits, wer 50 bis 250 Mitarbeitende beschäftigt oder einen Jahresumsatz von 10 bis 50 Millionen Euro erzielt. Für „besonders wichtige Einrichtungen“ liegt die Schwelle bei über 250 Mitarbeitenden oder mindestens 50 Millionen Euro Umsatz. Ein Betrieb mit 60 Beschäftigten kann damit bereits in der Pflicht stehen, auch ohne Konzernstruktur im Hintergrund.

„Mitarbeiterzahl und Umsatz müssen beide über der Schwelle liegen“

Ein Detail, das häufig übersehen wird: Die Kriterien Mitarbeiterzahl und Umsatz beziehungsweise Bilanzsumme gelten alternativ, nicht kumulativ. Es reicht, wenn eines der beiden Merkmale erfüllt ist. Solche NIS2 Missverständnisse rund um Schwellenwerte führen in der Praxis häufig zu einer falschen Selbsteinschätzung. Wer die eigene Betroffenheit prüft, sollte deshalb beide Werte einzeln betrachten und nicht nur auf einen davon schauen.

„Das übernimmt die IT-Abteilung“

Nach dem NIS2-Umsetzungsgesetz müssen Geschäftsleitungen die Risikomanagementmaßnahmen ihres Unternehmens selbst billigen, ihre Umsetzung überwachen und sich regelmäßig zu Cybersicherheit schulen lassen, empfohlen mindestens alle drei Jahre. Bei Verstößen greift zudem eine persönliche Haftung der Geschäftsleitung. Cybersicherheit ist damit Chefsache und keine reine IT-Angelegenheit, wie es auch das BSI in seiner Übersicht zu NIS-2-regulierten Unternehmen betont.

„Als Zulieferer sind wir nicht direkt betroffen“

NIS2 verlangt von betroffenen Unternehmen, auch die Cybersicherheit ihrer Lieferkette zu prüfen und in ihr Risikomanagement einzubeziehen. Gerade bei Lieferketten entstehen viele NIS2 Missverständnisse, weil Zulieferer sich fälschlicherweise außen vor sehen. Wer als Zulieferer oder Dienstleister für ein NIS2-pflichtiges Unternehmen arbeitet, bekommt entsprechende Anforderungen dadurch oft vertraglich weitergereicht, unabhängig von der eigenen formalen Einstufung. Ein Blick auf die eigenen Kundenbeziehungen lohnt sich also auch dann, wenn die Größenschwellen selbst nicht erreicht werden.

„Die Frist ist ohnehin schon abgelaufen, jetzt lohnt sich nichts mehr“

Genau hier entstehen häufig weitere NIS2 Missverständnisse: Die gesetzliche Registrierungsfrist beim BSI endete bereits am 6. März 2026, und auch die vom BSI eingeräumte Nachfrist bis zum 31. Juli 2026 ist inzwischen verstrichen. Wer sich noch nicht registriert hat, sollte das schnellstmöglich nachholen, denn die inhaltlichen Pflichten aus NIS2 gelten unabhängig von der Registrierung weiter, auch nach Ablauf beider Fristen. Wer noch nicht strukturiert begonnen hat, muss deshalb trotzdem nicht bei null anfangen: Mit dem NIS2 Kickstart steht ein vorkonfiguriertes NIS2-System im GRC-COCKPIT bereit, inklusive einem Monat kostenlosem Sparring.

Was Sie jetzt tun können

Um NIS2 Missverständnisse in der eigenen Organisation zu vermeiden, ist der erste sinnvolle Schritt eine ehrliche Bestandsaufnahme: Fällt Ihr Unternehmen in einen der 18 regulierten Sektoren, und werden die Schwellenwerte bei Mitarbeiterzahl, Umsatz oder Bilanzsumme erreicht? Das BSI stellt dafür eine eigene Betroffenheitsprüfung bereit, mit der sich die eigene Einordnung in wenigen Minuten klären lässt. Unser NIS2-Whitepaper fasst Hintergründe, Pflichten und Mindestanforderungen zusammen. Für die Geschäftsführung haben wir die wichtigsten Punkte zusätzlich im NIS2-Briefing für die Geschäftsführung gebündelt, die Checkliste mit den ersten Schritten zeigt, wie die Umsetzung konkret beginnt. Wer die Anforderungen aus IT-Sicherheit, Risiko-Management und Meldeprozessen dauerhaft strukturiert abbilden möchte, findet im GRC-COCKPIT eine Software dafür. Bei Fragen zur eigenen Betroffenheit steht unser Consulting-Team für ein unverbindliches Beratungsgespräch zur Verfügung.

Dieser Beitrag wurde teilweise mit Unterstützung von KI erstellt und redaktionell überarbeitet.

NIS2 Maßnahmen: Die 10 wichtigsten Pflichten einfach erklärt

/in , , /von

Welche NIS2 Maßnahmen für Ihr Unternehmen gelten, ist für viele Verantwortliche aktuell die drängendste Frage. Die Registrierung beim BSI ist dabei nur der erste Schritt. Der eigentliche Kern der Regulierung liegt in §30 BSIG: Dort definiert der Gesetzgeber zehn Risikomanagementmaßnahmen, die besonders wichtige und wichtige Einrichtungen umsetzen müssen. Diese beiden Kategorien ergeben sich aus einer Kombination von Branche und Unternehmensgröße und betreffen damit auch zahlreiche mittelständische Unternehmen, etwa aus den Bereichen Finanzwesen, Gesundheitswesen, verarbeitendes Gewerbe oder Logistik. Seit dem Inkrafttreten des NIS2UmsuCG am 6. Dezember 2025 gelten diese Maßnahmen ohne Übergangsfrist.

In diesem Beitrag erklären wir Ihnen die zehn Pflichtmaßnahmen einfach und verständlich, damit Sie wissen, wo Sie in Ihrem Unternehmen ansetzen müssen, denn die NIS2 Anforderungen betreffen praktisch jeden Unternehmensbereich. Einen kompakten Sofort-Überblick über die ersten Schritte, gibt Ihnen zusätzlich unsere NIS2 Checkliste.

Welche NIS2 Maßnahmen gelten für Ihr Unternehmen?

§30 Absatz 1 BSIG verpflichtet betroffene Einrichtungen zu geeigneten, verhältnismäßigen und wirksamen technischen und organisatorischen Maßnahmen. Die konkreten NIS2 Maßnahmen folgen dabei einem gefahrenübergreifenden Ansatz: Es geht nicht nur um Cyberangriffe, sondern auch um physische Risiken wie Stromausfälle oder Naturereignisse. Ziel ist es, Störungen zu vermeiden und die Auswirkungen von Sicherheitsvorfällen zu minimieren.

Darüber hinaus verlangt §30 BSIG ausdrücklich, dass die Umsetzung und Einhaltung der Risikomanagementmaßnahmen dokumentiert wird. Unternehmen müssen daher Nachweise über ihre Sicherheitsmaßnahmen führen, beispielsweise in Form von Richtlinien, Verfahrensanweisungen, Schulungsnachweisen, Auditberichten oder Risikobewertungen.

Die Umsetzung orientiert sich am Stand der Technik und kann an bestehenden Standards wie ISO 27001 oder dem IT-Grundschutz des BSI ansetzen. Wichtig zu wissen: Die Anforderungen beschränken sich nicht nur auf produktionsnahe oder kritische Systeme. Laut Gesetzesbegründung sind grundsätzlich sämtliche informationstechnischen Systeme, Komponenten und Prozesse betroffen, die für die Erbringung der Dienste des Unternehmens genutzt werden. Dazu kann ausdrücklich auch die Büro-IT gehören. Für die Geschäftsführung fassen wir die wichtigsten Punkte zusätzlich in unserem NIS2 GF-Briefing kompakt zusammen.

Die 10 NIS2 Pflichtmaßnahmen nach §30 BSIG einfach erklärt

Die folgenden zehn Bereiche bilden den Kern der NIS2 Maßnahmen und sind für jede betroffene Einrichtung verpflichtend umzusetzen.

  1. 1.
    Risikoanalyse und Sicherheitskonzepte
    Bevor Sie Maßnahmen umsetzen, müssen Sie wissen, welchen Risiken Ihr Unternehmen ausgesetzt ist. Die Risikoanalyse bildet die Grundlage für alle weiteren Schritte und kann sich beispielsweise am BSI-Standard 200-3 orientieren.
  2. 2.
    Bewältigung von Sicherheitsvorfällen (Incident Response)
    Wenn es zu einem Sicherheitsvorfall kommt, muss klar sein, wer was tut. §30 BSIG verlangt dafür dokumentierte Incident-Response-Prozesse mit klaren Verantwortlichkeiten. Bei signifikanten Vorfällen kommt zusätzlich die gesonderte Meldepflicht nach §32 BSIG mit einer 24-Stunden-Frist zum Tragen.
  3. 3.
    Aufrechterhaltung des Betriebs (Business Continuity Management)
    Backup-Management, Notfallwiederherstellung und Krisenmanagement sorgen dafür, dass Ihr Unternehmen auch nach einem Vorfall handlungsfähig bleibt.
  4. 4.
    Sicherheit der Lieferkette
    Unternehmen müssen Sicherheitsrisiken entlang ihrer Liefer- und Dienstleisterkette bewerten und angemessen steuern. Dabei sind insbesondere sicherheitsrelevante Aspekte der Beziehungen zu unmittelbaren Anbietern und Dienstleistern zu berücksichtigen.
  5. 5.
    Sicherheit bei Erwerb, Entwicklung und Wartung von IT-Systemen
    Beim Einkauf und der Entwicklung neuer Systeme müssen Sicherheitsaspekte von Anfang an mitgedacht werden, inklusive dem Umgang mit und der Offenlegung von Schwachstellen.
  6. 6.
    Bewertung der Wirksamkeit von Risikomanagementmaßnahmen
    Maßnahmen umzusetzen reicht nicht aus. Sie müssen regelmäßig prüfen, ob diese auch wirken, und das dokumentieren.
  7. 7.
    Grundlegende Schulungen und Sensibilisierungsmaßnahmen
    Ein großer Teil der Sicherheitsvorfälle entsteht durch menschliches Fehlverhalten. §30 BSIG verlangt deshalb grundlegende Schulungs- und Sensibilisierungsmaßnahmen im Bereich der IT-Sicherheit, damit Mitarbeitende Risiken wie Phishing erkennen und sich sicher verhalten.
  8. 8.
    Kryptografie und Verschlüsselung
    Konzepte für den Einsatz von Verschlüsselung schützen Daten sowohl bei der Speicherung als auch bei der Übertragung.
  9. 9.
    Personalsicherheit, Zugriffskontrolle und Verwaltung von IT-Systemen
    Wer darf auf welche Systeme zugreifen, und wie werden IKT-Systeme, -Produkte und -Prozesse verwaltet? Diese Maßnahme umfasst Konzepte für die Sicherheit des Personals sowie Berechtigungs- und Zugriffskontrollkonzepte.
  10. 10.
    Multi-Faktor-Authentifizierung und gesicherte Kommunikation
    Der Einsatz von Multi-Faktor-Authentifizierung sowie gesicherte Sprach-, Video- und Textkommunikation runden den Maßnahmenkatalog ab, ebenso wie gesicherte Notfallkommunikationssysteme.

Die Geschäftsleitung steht in der Verantwortung

Die Umsetzung der NIS2 Anforderungen ist keine reine IT-Aufgabe. Nach §38 BSIG muss die Geschäftsleitung die Risikomanagementmaßnahmen billigen und deren Umsetzung überwachen. Die Gesetzesbegründung stellt klar, dass sie die Maßnahmen aktiv verantworten und kontinuierlich überwachen muss. Diese Pflicht ist nicht delegierbar, auch bei Einschaltung von Hilfspersonen bleibt die Geschäftsleitung letztverantwortlich. Zusätzlich müssen Geschäftsführerinnen und Geschäftsführer regelmäßig an Cybersicherheitsschulungen teilnehmen, nach der Gesetzesbegründung gelten dabei Schulungen als regelmäßig, die mindestens alle drei Jahre erfolgen. Verletzt die Geschäftsleitung diese Pflichten schuldhaft, haftet sie persönlich gegenüber dem eigenen Unternehmen.

Weitere Hintergründe zu Chancen und Pflichten rund um NIS2 finden Sie in unserem aktualisierten NIS2 Whitepaper.

Strukturiert umsetzen statt einzeln abarbeiten

Zehn Maßnahmenbereiche auf einmal wirken zunächst umfangreich, und auch die NIS2 Anforderungen insgesamt erscheinen auf den ersten Blick komplex. In der Praxis lassen sie sich jedoch in überschaubare Arbeitspakete zerlegen, priorisiert nach Risiko und Aufwand. Tools wie das SAVISCON GRC-COCKPIT unterstützten Sie dabei, Risikomanagement, Compliance und Informationssicherheit strukturiert und nachvollziehbar an einem Ort zu steuern, von der Risikoanalyse bis zur Nachweisdokumentation.

Wer die Registrierungsfrist bereits verpasst hat oder noch nicht strukturiert gestartet ist, kann mit dem NIS2 Kickstart sofort loslegen: ein vorkonfiguriertes NIS2-System im GRC-COCKPIT, inklusive einem Monat kostenfreiem Sparring.

Fazit

Die NIS2 Anforderungen enden nicht mit der Registrierung beim BSI. Wer die zehn Maßnahmen nach §30 BSIG jetzt strukturiert angeht, schafft nicht nur Rechtssicherheit, sondern auch eine solide Basis für Informationssicherheit im gesamten Unternehmen.

Für bestimmte Einrichtungen können zusätzlich europäische Durchführungsrechtsakte konkrete technische und methodische Mindestanforderungen an einzelne Maßnahmen vorgeben. Unternehmen sollten daher neben dem BSIG auch die sektorbezogenen Vorgaben der Europäischen Union im Blick behalten.

Jetzt kostenlos und unverbindlich einen Beratungstermin buchen

Oder den NIS2 Kickstart anfordern

KI im Unternehmen und Datenschutz: Wie beides gelingt

/in , , , /von

Künstliche Intelligenz verändert die Art, wie Unternehmen arbeiten. Texte werden schneller erstellt, Daten effizienter ausgewertet, Routineaufgaben automatisiert. Die Frage lautet heute nicht mehr, ob KI in Unternehmen eingesetzt wird, sondern wie. Und genau an dieser Stelle kommt für viele Entscheider eine essenzielle Folgefrage auf: Wie lässt sich der Einsatz von KI mit dem Datenschutz vereinbaren?

Die gute Nachricht: KI und Datenschutz sind kein Widerspruch. Sie erfordern jedoch eine strukturierte Vorgehensweise, klare interne Regeln und ein Verständnis der geltenden Rechtslage. Mit dem EU AI Act ist seit 2024 ein europäisches Regelwerk in Kraft, das den Einsatz von intelligenten Systemen verbindlich rahmt, während die Datenschutz-Grundverordnung (DSGVO) beim Umgang mit personenbezogenen Daten weiterhin vollumfänglich gilt. Dieser Beitrag gibt Ihnen einen praxisnahen Überblick, was beide Themen konkret bedeuten und wie Unternehmen diese Technologien intern sicher, rechtssicher und verantwortungsvoll einführen können.

Was der EU AI Act für Unternehmen bedeutet

Der EU AI Act (Verordnung EU 2024/1689), zu Deutsch KI-Verordnung bzw. KI-VO, ist die weltweit erste umfassende Regulierung für den Einsatz von künstlicher Intelligenz. Sie trat am 1. August 2024 in Kraft und wird schrittweise wirksam.

Zeitplan und Pflichten im Überblick

Die Verordnung folgt einem gestaffelten Zeitplan:

  • Seit 2. Februar 2025: Verbote für Systeme mit inakzeptablem Risiko gelten unmittelbar. Gleichzeitig ist die Schulungspflicht nach Art. 4 in Kraft: Unternehmen müssen sicherstellen, dass ihre Mitarbeitenden nachweislich ausreichende Kompetenz im Umgang mit diesen Technologien besitzen.
  • Seit 2. August 2025: Dokumentations- und Informationspflichten für Anbieter von Systemen mit allgemeinem Verwendungszweck (GPAI-Systeme) treten in Kraft.
  • Ab 2. August 2026: Transparenzpflichten für generative Sprachmodelle werden wirksam, unter anderem die Kennzeichnungspflicht für maschinell generierte Inhalte.
  • Ab 2. August 2027: Die vollständigen Anforderungen für Hochrisiko-Systeme nach Anhang I der Verordnung gelten.

Bei Verstößen drohen Bußgelder von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.

Risikostufen nach der KI-Verordnung

Der AI Act ordnet intelligente Systeme in vier Risikostufen ein:

  • Inakzeptables Risiko: Diese Anwendungen sind verboten, etwa Social Scoring durch Behörden oder bestimmte Formen biometrischer Echtzeit-Fernidentifizierung.
  • Hohes Risiko: Automatisierte Systeme in sensiblen Bereichen wie HR, Kreditvergabe oder kritischer Infrastruktur. Sie unterliegen strengen Auflagen zu Transparenz, menschlicher Aufsicht und Dokumentation.
  • Begrenztes Risiko: Anwendungen wie Chatbots, bei denen Transparenzpflichten gelten.
  • Minimales Risiko: Der Großteil der heute eingesetzten Tools, etwa textgenerierende Anwendungen für interne Zwecke. Hier gelten keine zwingenden Zusatzpflichten aus der Verordnung.

Für die meisten Unternehmen, die KI im Büroalltag einsetzen, fallen die genutzten Systeme überwiegend in die Kategorien begrenztes oder minimales Risiko. Die Schulungspflicht nach Art. 4 gilt dennoch für alle.

DSGVO und KI-VO: zwei Regelwerke, ein Ziel

Ein häufiger Irrtum in der Praxis: Unternehmen glauben, entweder die DSGVO oder die KI-VO im Blick haben zu müssen. Tatsächlich laufen beide Regelwerke gleichzeitig und ergänzen sich.

Was die DSGVO beim KI-Einsatz verlangt

Sobald künstliche Intelligenz personenbezogene Daten verarbeitet, greift die DSGVO in vollem Umfang. Das ist schnell der Fall: Wer Kundendaten, E-Mail-Adressen oder CRM-Inhalte in ein solches Tool eingibt, betritt sofort den Anwendungsbereich der DSGVO. Die zentralen Anforderungen lauten:

  • Rechtmäßigkeit: Jede automatisierte Datenverarbeitung braucht eine Rechtsgrundlage nach Art. 6 DSGVO.
  • Zweckbindung: Daten dürfen nur für den Zweck verarbeitet werden, für den sie erhoben wurden.
  • Datenminimierung: Es sind so wenig Daten wie möglich zu verwenden.
  • Transparenz: Betroffene Personen müssen informiert werden, wenn ihre Daten von automatisierten Systemen verarbeitet werden.
  • Richtigkeit: Falsche personenbezogene Daten, die ein solches System erzeugt, müssen korrigiert werden können.

Darüber hinaus kann beim Einsatz von künstlicher Intelligenz eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO erforderlich sein. Die deutschen Datenschutzaufsichtsbehörden haben klargestellt, dass dies in diesem Kontext vielfach der Fall sein wird. Für Unternehmen, die hierbei Unterstützung suchen, bietet SAVISCON Datenschutz-Beratung und die Leistung des externen Datenschutzbeauftragten an.

Wichtig ist auch die Frage der vertraglichen Absicherung: Wird ein externes Tool eines Drittanbieters genutzt, ist in der Regel ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO abzuschließen.

Die DSK-Orientierungshilfen als praktischer Kompass

Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hat seit 2024 mehrere Orientierungshilfen veröffentlicht, die konkrete Hinweise zur datenschutzkonformen Nutzung und Entwicklung intelligenter Systeme geben.

Die Orientierungshilfe „Künstliche Intelligenz und Datenschutz“ (Mai 2024) richtet sich an Verantwortliche und gibt Leitlinien zur Konzeption, Implementierung und Nutzung entsprechender Systeme. Besonders hervorgehoben wird: Unternehmen sind auch für die Folgen eines fehlerhaft trainierten externen Systems verantwortlich, wenn sie es als Verantwortliche einsetzen.

Die Orientierungshilfe „Empfohlene technische und organisatorische Maßnahmen bei der Entwicklung und beim Betrieb von KI-Systemen“ (Juni 2025) konkretisiert die Anforderungen entlang von sieben Gewährleistungszielen: Datenminimierung, Transparenz, Vertraulichkeit, Integrität, Verfügbarkeit, Intervenierbarkeit und Nichtverkettung. Diese Ziele sind entlang des gesamten Lebenszyklus umzusetzen, von der Planungsphase bis zum laufenden Betrieb.

Grundprinzipien beider Dokumente sind „data protection by design“ – Datenschutz ist von Anfang an in die Konzeption einzubeziehen, nicht erst im Nachhinein – und „data protection by default“: Datenschutz durch datenschutzfreundliche Voreinstellungen.

Die größten Datenschutzrisiken beim KI-Einsatz

Das BSI hat in seinen aktualisierten Empfehlungen für den sicheren Einsatz generativer KI (2025) darauf hingewiesen, dass sich die Bedrohungslage durch sicherheitsrelevante Vorfälle gegenüber dem Vorjahr verdoppelt hat. Drei Risikobereiche verdienen besondere Aufmerksamkeit:

Shadow AI: unkontrollierter KI-Einsatz

Studien zeigen, dass mehr als 70 Prozent der Mitarbeitenden privat Tools wie ChatGPT oder ähnliche Anwendungen nutzen, darunter auch mit Firmendaten. Unternehmen, die keine offizielle Strategie und keine freigegebenen Tools bereitstellen, verlieren die Kontrolle darüber, welche Informationen nach außen gelangen. Dieses Phänomen wird als „Shadow AI“ (Schatten-KI) bezeichnet und stellt das Pendant zur klassischen Schatten-IT dar.

Das BSI empfiehlt ausdrücklich: Keine vertraulichen oder personenbezogenen Daten in nicht geprüfte, offene Systeme eingeben. Unternehmen, die ihren Mitarbeitenden keine sichere Alternative anbieten, riskieren unkontrollierten Datenabfluss.

Dateneingabe, Datenschutz-Folgenabschätzung und Auftragsverarbeitung

Das BSI weist darauf hin, dass Eingaben an automatisierte Systeme grundsätzlich weiterverarbeitet werden können. Bei vielen frei zugänglichen Anwendungen werden Eingaben für das Training des Modells genutzt. Eine einmal eingegebene E-Mail-Adresse oder ein Name kann in Trainingsdaten eingehen und durch gezielte Angriffe abfließen.

Unternehmen sollten daher vor der Nutzung externer Lösungen klären: Welche Lizenz wird genutzt? Welche Datenschutzzusagen macht der Anbieter? Ist ein Auftragsverarbeitungsvertrag (AVV) vorhanden? Und ist für den geplanten Einsatzfall eine Datenschutz-Folgenabschätzung (DSFA) erforderlich?

Hinzu kommt ein weiteres Risiko, das BSI und DSK gleichermaßen thematisieren: Solche Systeme können falsche Informationen über Personen erzeugen (sogenannte Halluzinationen). Das stellt ein Risiko im Hinblick auf das Recht auf Richtigkeit und das Recht auf Berichtigung nach DSGVO dar.

In fünf Schritten zur datenschutzkonformen KI-Einführung

Aus den Empfehlungen von BSI und DSK sowie den Vorgaben der KI-VO lassen sich fünf praktische Schritte ableiten, mit denen Unternehmen KI sicher und rechtssicher einführen:

Schritt 1: KI-Bestandsaufnahme

Welche intelligenten Systeme werden im Unternehmen bereits genutzt, auch informell? Eine strukturierte Bestandsaufnahme ist der erste Schritt, um Schatten-IT aufzudecken und den Handlungsbedarf zu ermitteln.

Schritt 2: Risikoklassifizierung nach KI-VO

Für jedes eingesetzte oder geplante System ist zu prüfen, welcher Risikostufe es nach der Verordnung zuzuordnen ist. Davon hängen die weiteren Compliance-Anforderungen ab. Dies können Sie am besten über ein GRC-Management-System abbilden.

Schritt 3: DSGVO-Prüfung und Datenschutz-Folgenabschätzung

Sobald personenbezogene Daten verarbeitet werden, sind Rechtsgrundlage, Zweckbindung, AVV und gegebenenfalls eine DSFA zu prüfen. Technisch geschlossene Systeme sind aus datenschutzrechtlicher Sicht vorzuziehen. Unterstützung bietet SAVISCON mit dem Datenschutz-Management-System.

Schritt 4: Interne KI-Richtlinie erstellen

Die DSK empfiehlt für alle Unternehmen, die entsprechende Technologien einsetzen, interne Richtlinien zu entwickeln: Wer darf welche Werkzeuge für welche Zwecke nutzen? Welche Daten dürfen eingesetzt werden? Wie werden Ergebnisse auf ihre Richtigkeit geprüft? Eine solche Unternehmensrichtlinie schafft Klarheit für Mitarbeitende und schützt das Unternehmen vor unkontrolliertem Dateneinsatz.

Schritt 5: Mitarbeitende nachweislich schulen

Seit dem 2. Februar 2025 ist die Schulungspflicht nach Art. 4 KI-VO in Kraft. Unternehmen müssen sicherstellen und dokumentieren, dass ihre Mitarbeitenden ausreichende Kompetenz im Umgang mit diesen Technologien besitzen. Inhaltlich empfehlen BSI und DSK, dass Schulungen mindestens die Abgrenzung zwischen DSGVO und KI-VO, praktische Regeln für die Dateneingabe, die Pflicht zur menschlichen Prüfung von Ergebnissen sowie einen klaren Eskalationsweg bei Unsicherheiten abdecken. SAVISCON bietet hierzu Schulungen für Unternehmen an, die sowohl die rechtlichen Grundlagen als auch den sicheren praktischen Umgang mit diesen Technologien im Berufsalltag vermitteln.

Fazit: KI und Datenschutz als gemeinsames Fundament

Wer KI verantwortungsvoll einführt, gewinnt auf mehreren Ebenen: Effizienz im Arbeitsalltag, Compliance-Sicherheit gegenüber Behörden und Vertrauen bei Kunden und Mitarbeitenden. BSI und DSK haben mit ihren aktuellen Empfehlungen und Orientierungshilfen das notwendige Werkzeug bereitgestellt, es kommt auf die strukturierte Umsetzung im Unternehmen an.

Bei SAVISCON begleiten wir unsere Kunden seit Jahren beim strukturierten Aufbau von Managementsystemen für IT-Sicherheit, Datenschutz und Compliance. Und wir entwickeln diese Kompetenz stetig intern weiter, denn auch wir erproben den Einsatz intelligenter Technologien in unseren eigenen Arbeitsprozessen und lernen dabei täglich dazu.

Sie möchten KI in Ihrem Unternehmen einführen und dabei Datenschutz und Verordnungs-Konformität von Anfang an mitdenken? Ob Schulung für Ihr Team, externer Datenschutzbeauftragter oder die Einbindung in Ihr GRC-Management: Sprechen Sie uns an.

Jetzt kostenlos und unverbindlich einen Beratungstermin buchen

NIS2: Warum viele Unternehmen noch zögern und was jetzt hilft

/in , /von

NIS2 nach Fristablauf: Warum viele Unternehmen noch nicht mit der NIS2 Umsetzung begonnen haben und was jetzt zählt

Die nationale Umsetzung der NIS2 Richtlinie gilt seit dem 6. Dezember 2025 in Deutschland. Die ursprüngliche Registierungsfrist beim Bundesamt für Sicherheit in der Informationstechnik endete am 6. März 2026. Spätestens seitdem ist klar: Die Anforderungen sind verbindlich, eine Karenzzeit gibt es nicht.

Gleichzeitig zeigt sich in der Praxis ein anderes Bild. Viele betroffene Unternehmen haben mit der strukturierten Umsetzung der NIS2 Anforderungen bislang noch nicht begonnen. Zahlen belegen das: Bis zum Ablauf der Registrierungsfrist am 6. März 2026 hatten sich lediglich rund 11.500 der ca. 30.000 Betroffenen beim BSI registriert. Das entspricht knapp 38 Prozent. Darüber hinaus zeigt sich, dass auch ein Teil der bereits registrierten Unternehmen bislang nicht mit der konkreten Umsetzung der NIS2 Vorgaben begonnen hat.

Kein Einzelfall, sondern Realität

Diese Situation ist kein Einzelfall. In Gesprächen mit Unternehmen aus unterschiedlichen Branchen zeigt sich, dass ein großer Teil der betroffenen Organisationen noch am Anfang steht oder sich weiterhin in einer Orientierungsphase befindet.

Das Bundesamt für Sicherheit in der Informationstechnik geht davon aus, dass in Deutschland rund 30.000 Unternehmen direkt oder indirekt unter den Anwendungsbereich von NIS2 fallen. Betroffen sind dabei nicht nur klassische Betreiber kritischer Infrastrukturen, sondern auch zahlreiche mittelständische Unternehmen aus Industrie, Logistik, Energie, Gesundheitswesen und digitalen Diensten.

Gleichzeitig weisen Verbände wie Bitkom seit Jahren darauf hin, dass regulatorische Anforderungen im Bereich der Informationssicherheit zwar bekannt sind, die konkrete Umsetzung im Unternehmensalltag jedoch häufig verzögert erfolgt. Gründe dafür sind fehlende Ressourcen, Unsicherheit über den eigenen Status und die Frage, wie ein sinnvoller Einstieg aussehen kann.

Bin ich überhaupt betroffen?

Eine der häufigsten Fragen lautet aktuell: Fällt mein Unternehmen überhaupt unter NIS2?

Für eine erste Einschätzung stellt das BSI einen offiziellen Selbstcheck zur Verfügung. Mit wenigen Angaben können Unternehmen prüfen, ob sie voraussichtlich unter den Anwendungsbereich der Richtlinie fallen.

Zum offiziellen BSI Selbstcheck:
Jetzt Betroffenheit prüfen

Dieser Test ersetzt keine rechtliche Prüfung, bietet aber eine gute erste Orientierung.

Warum viele Unternehmen noch nicht gestartet haben

Selbst wenn die Betroffenheit grundsätzlich klar ist, fällt der Einstieg vielen Unternehmen schwer. In der Praxis begegnen uns immer wieder ähnliche Herausforderungen:

Häufig wirken die Anforderungen komplex und abstrakt, eine klare Priorisierung fehlt, bestehende Maßnahmen sind zwar vorhanden aber nicht systematisch dokumentiert und Verantwortlichkeiten sind unklar verteilt. Hinzu kommt, dass NIS2 nicht nur technische Maßnahmen fordert, sondern auch organisatorische und prozessuale Themen adressiert, einschließlich der Verantwortung der Geschäftsleitung.

Gerade auf Ebene der Geschäftsführung bestehen häufig Unsicherheiten darüber, welche Pflichten konkret bestehen und welche Haftungsrisiken sich ergeben können.

Für diesen Zweck haben wir ein kompaktes GF Briefing zur NIS2 Richtlinie erstellt. Es richtet sich gezielt an Geschäftsführungen und Entscheider und zeigt verständlich auf, was NIS2 bedeutet, welche Verantwortlichkeiten bestehen und welche nächsten Schritte sinnvoll sind.

Zum GF Briefing NIS2:
Jetzt herunterladen

Erste Schritte oder Bestandsaufnahme

Unternehmen, die bereits begonnen haben oder einzelne Maßnahmen umgesetzt haben, stehen häufig vor einer anderen Frage: Wo stehen wir eigentlich wirklich und was fehlt noch?

Für diese Situation eignet sich eine strukturierte Bestandsaufnahme. Eine Checkliste hilft dabei, vorhandene Maßnahmen einzuordnen und Lücken sichtbar zu machen.

Unsere NIS2 Checkliste bietet einen strukturierten Überblick über zentrale Anforderungen und eignet sich sowohl für den Einstieg als auch zur Überprüfung des aktuellen Stands.

Zur NIS2 Checkliste:
Jetzt herunterladen

Orientierung für den Einstieg

Viele Unternehmen möchten sich zunächst grundsätzlich informieren, ohne direkt in die Umsetzung einzusteigen. Für diesen Zweck haben wir ein umfassendes NIS2 Whitepaper erstellt, das die Richtlinie, den Anwendungsbereich und die wichtigsten Anforderungen verständlich zusammenfasst.

Zum NIS2 Whitepaper:
Jetzt herunterladen

Frist verpasst bedeutet nicht handlungsunfähig

Auch wenn die Meldefrist verstrichen ist, bedeutet das nicht, dass sinnvolles Handeln nicht mehr möglich ist. Die Pflichten gelten weiter und Aufsichtsbehörden erwarten nachvollziehbare Fortschritte. Gleichzeitig ist zu beachten, dass das Versäumen der Registrierung bereits als Verstoß gegen gesetzliche Vorgaben gewertet werden kann und unter Umständen auch Bußgelder nach sich zieht. Umso wichtiger ist es, entstandene Lücken zügig zu schließen und die erforderlichen Maßnahmen strukturiert nachzuholen.

Entscheidend ist jetzt nicht Perfektion, sondern ein strukturierter Einstieg. Unternehmen sollten vermeiden, entweder in Aktionismus zu verfallen oder weitere Schritte aus Unsicherheit aufzuschieben. Beides führt selten zu belastbaren Ergebnissen.

Struktur statt Neustart

Ein pragmatischer Einstieg nach Fristablauf sollte klare Anforderungen, Risiken und Maßnahmen miteinander verbinden. Vorgefertigte Strukturen helfen dabei, nicht bei null zu beginnen, sondern auf einer belastbaren Grundlage aufzusetzen.

Genau hier setzt der NIS2 Kickstart mit dem GRC-COCKPIT an. Statt eines leeren Systems erhalten Unternehmen ein vorbereitetes System, in dem zentrale NIS2 Anforderungen, Maßnahmen und Risiken bereits strukturiert angelegt und miteinander verknüpft sind. So entsteht schnell Übersicht und Orientierung für die nächsten Schritte.

Mehr zum NIS2 Kickstart:
Jetzt Kickstart anfordern

Was Sie jetzt tun können

Je nach Ausgangslage bieten sich unterschiedliche nächste Schritte an:

  • Prüfen Sie mit dem offiziellen BSI Selbstcheck, ob Ihr Unternehmen betroffen ist.
  • Verschaffen Sie sich einen Überblick über die Anforderungen mit dem NIS2 Whitepaper.
  • Informieren Sie die Geschäftsführung gezielt über Pflichten und Verantwortung mit dem GF Briefing.
  • Prüfen Sie Ihren aktuellen Stand mit der NIS2 Checkliste.
  • Starten Sie strukturiert in die Umsetzung mit dem NIS2 Kickstart.

5 Tipps für Ihr GRC-Management

/in , /von

Governance-, Risk- und Compliance-Management: Basis für gute Unternehmensführung

von Ingo Simon, Geschäftsführer der SAVISCON GmbH

Die Leitungsorgane eines Unternehmens (Governance) haben unter anderem die Aufgabe, die Risiken auf ein Minimum zu reduzieren (Risiko-Management) als auch sicherzustellen, dass das Unternehmen und dessen Mitarbeiter alle relevanten Anforderungen und Regularien aus Gesetzen, Normen und internen Vorgaben Folge leistet (Compliance-Management). Dabei spielen auch die Informationssicherheit und der Datenschutz eine große Rolle, da sie gleichermaßen in das Risiko- und Compliance-Management greifen.

Diese Themen erstrecken sich dabei außerdem auf sämtliche Tätigkeiten von Unternehmen, denn es gibt Vorgaben in allen Bereichen: Finanzen, Personalwesen, Einkauf, Krankenpflege, Umweltschutz, Vertrieb, Logistik usw. Alle Fachbereiche müssen sicherstellen, dass sie alle bestehenden Vorgaben einhalten. Und ebenso müssen alle Bereiche sich um ihre Risiken kümmern, damit sie die Gesamtorganisation nicht gefährden. Der Zustand der Compliance- und Risiko-Managementsysteme muss den Leitungsorganen jederzeit transparent sein.

Als Handlungsgrundlage für gute und verantwortungsvolle Unternehmensführung und -kontrolle können Unternehmen den Deutschen Corporate Governance Kodex (DCGK) zugrunde legen. Wir haben für Sie 5 Tipps für verantwortungsvolles Handeln zusammengestellt:

Tipp 1: Selbstverpflichtung ernst nehmen

Eine zentrale Botschaft des Deutschen Corporate Governance Kodex ist die Selbstverpflichtung. Also: Verpflichten Sie sich selbst dazu, die Anforderungen aus dem Gesetz zur Kontrolle und Transparenz im Unternehmensbereich (KonTraG), dem Transparenz- und Publizitätsgesetzes (TransPuG) sowie dem DCGK zu erfüllen.

Tipp 2: Aufsicht und Geschäftsführung strikt trennen

Eine der wesentlichen Anforderungen, nämlich auf Ebene der Rechtsträger (Geschäftsführung) eine angemessene und wirksame Aufsichtsstruktur zur Kontrolle der operativen Organe zu installieren, geschieht am besten durch die Einrichtung entsprechender Organe (Aufsichtsrat, Verwaltungsrat, Beirat). Dabei hat das Aufsichtsorgan, die Aufgabe dafür zu sorgen, dass die Geschäftsführung/Vorstand dies auch tun.

Unternehmen sollten formalisierte, personenunabhängige Verfahren, wie z. B. die Trennung von Aufsicht und Geschäftsführung, eine umfassende Wirtschaftsprüfung sowie Transparenz nach außen nutzen, um Fehlentwicklungen frühzeitig zu erkennen und diese durch geeignete Maßnahmen möglichst zu vermeiden. Instrumente für eine gute, verantwortungsvolle und wirtschaftliche Unternehmensführung sind laut DCGK für die Bereiche Controlling, Qualitätsmanagement, Leitung, Aufsicht und das Risiko-Management zu entwickeln und anzuwenden. Außerdem sollte ein entsprechendes Berichtswesen etabliert werden.

Tipp 3: Governance, Risk & Compliance gehören zusammen

Immer noch werden Risiko-Management und Compliance-Management in vielen Unternehmen separat voneinander betrachtet. Dabei ergibt es Sinn die Interdependenzen zu nutzen und so die internen Abläufe effizienter zu gestalten. Das spart Zeit, Geld und Nerven. Das ist der Kern des GRC-Managements: Beim GRC-Management werden die drei Bereiche Governance (G), Risk (R) und Compliance (C) in einem System zusammengefasst. Durch die gemeinsame Betrachtung können Sie die Effizienz und Transparenz Ihrer Prozesse steigern.

Tipp 4: GRC-Management als Chance

Sehen Sie das GRC-Management nicht als ein notwendiges Übel, sondern als Chance zur besseren und nachhaltigen Unternehmensführung. Mit einem strukturierten und digitalisierten GRC-Management-System sind Sie der Zeit einen Schritt voraus. Das kann für Sie auch rechtlich und somit finanziell gesehen einen großen Vorteil bedeuten. Denn es werden zunehmend drastischere Sanktionen verhängt. Bußgelder werden immer höher und sind zuweilen sogar existenzgefährdend. Organ-Mitglieder und leitende Angestellte haften häufiger persönlich, auch hier drohen Bußgelder oder sogar Berufsverbote.

Außerdem legen neuere Gesetze auch den Schwerpunkt auf die Nachhaltigkeit, so zum Beispiel das Lieferkettengesetz. Diese Gesetze können dazu frühen, dass, neben Sanktionen, auch tatsächliche Umsatzausfälle eintreten können, wenn den Anforderungen nicht gerecht wird. Denn wird man dem Lieferkettengesetz nicht gerecht kann es sein, dass Auftraggeber einen aus der Lieferantenliste streichen.

Tipp 5: Digitalisieren Sie Ihr GRC-Management

Alle Informationen zum GRC-Management gehören zusammen. Excel, E-Mail und Co. sind nicht mehr als digitale Zettelwirtschaft. Arbeiten Sie besser mit einer Software, die alle notwendigen Anforderungen, Risiken und Maßnahmen an einer zentralen Stelle mit den dazugehörigen Dokumenten speichert und verknüpft. Da in Unternehmen die ineinandergreifenden Prozesse zu immer höheren Anforderungen aus Gesetzen, Normen, Standards und Verträgen führen, empfiehlt sich die Implementierung eines umfassenden und nachhaltigen GRC-Managements.

Aufgrund der Komplexität des GRC-Managements und den daraus entstehenden großen Datenmengen, ergibt es Sinn, die Bearbeitung frühestmöglich mithilfe einer Software durchzuführen. Durch die konsequente digitale Zuweisung von Vorgängen und Abläufen mittels einer strukturellen Software arbeiten alle Mitarbeiter in einem System. „Medienbrüche“ werden durch die komplette Dokumentation aller Vorgänge ausgeschlossen und somit die Revisionssicherheit gewährleistet. Ein umfangreiches Reporting auf Knopfdruck vereinfacht Audits und Prüfungen, wie z. B. bei der Zertifizierung nach ISO 27001. Wir von der SAVISCON GmbH bieten mit unserem GRC-COCKPIT eine Software an, die genau das kann: Alle Management-Systeme gebündelt an einem Ort. Jetzt mehr zum GRC-COCKPIT erfahren.

Über den Autor

Foto Ingo SimonIngo Simon ist Geschäftsführer der SAVISCON GmbH. Er hat das Unternehmen im Jahr 2010 gegründet und war bis 2018 größtenteils mit einigen Beratern in Kundenprojekten auf Basis von Dienstleistungsverträgen unterwegs. Ende 2018 übernahm die SAVISCON GmbH die Software des heutigen GRC-COCKPITs und weitete das Geschäftsfeld von Corporate Communication und Enterprise Content Management auf das GRC-Management aus. Ingo Simon ist zertifizierter Compliance & Integrity-Manager und ebenfalls zertifizierter ISMS-Manager. Kontakt: ingo.simon@saviscon.de oder vernetzen Sie sich mit mir:
XING Profil Ingo Simon LinkedIn Profil Ingo Simon

Neues Jahr, neue Regierung, neue Gesetze

/in , /von

Compliance-Management: das ändert sich 2022

Von Ingo Simon, Geschäftsführer der SAVISCON GmbH

Mit der neuen Regierung entscheidet erstmals auf Bundesebene die Ampel-Koalition aus Grünen, FDP und SPD. Mit dem verabschiedeten Koalitionsvertrag ergeben sich auch einige Änderungen im Compliance-Umfeld für das aktuelle Jahr 2022. Das betrifft unter anderem das Hinweisgeberschutzgesetz sowie das Lieferkettengesetz. Welche Anforderungen aus den Gesetzen auf Sie zukommen, lesen Sie in diesem Blog-Beitrag:

Compliance in Unternehmen / allgemeines Unternehmensrecht

„Wir schützen ehrliche Unternehmen vor rechtsuntreuen Mitbewerberinnen und Mitbewerbern. Wir überarbeiten die Vorschriften der Unternehmenssanktionen einschließlich der Sanktionshöhe, um die Rechtssicherheit von Unternehmen im Hinblick auf Compliance-Pflichten zu verbessern und für interne Untersuchungen einen präzisen Rechtsrahmen zu schaffen.”, steht im Koalitionsvertrag.

Auch wenn das Verbandssanktionsgesetz, das in 2021 im Entwurf veröffentlicht wurde, hier nicht mehr explizit genannt wird, wird das Thema Compliance generell weiter in den Fokus geraten. Auch für Unternehmen, die bisher nicht in stark regulierten Branchen unterwegs sind. Grundsätzlich ist also die Auseinandersetzung mit Compliance und die Etablierung von entsprechenden Prozessen auf jeden Fall sinnvoll und wichtig für die Zukunftssicherheit von Unternehmen jeglicher Branche und Größe.  

Hinweisgeberschutzgesetz (HinSchG)

Bild einer Trillerpfeife

„Wir setzen die EU-Whistleblower-Richtlinie rechtssicher und praktikabel um“, schreibt die Regierung im Koalitionsvertrag. Das Hinweisgeberschutzgesetz soll den Hinweisgebern mehr Rechtssicherheit bei Missstandsmeldungen bringen. Hinweisgeber können aus Unternehmenssicht die eigenen Mitarbeiter sein, Lieferanten, Partner oder Dienstleister, die während ihrer beruflichen Tätigkeit Verstöße gegen das geltende Recht festgestellt haben. Das Gesetz sieht vor, dass alle Unternehmen ab 50 Mitarbeitern ein Hinweisgebersystem mit interner Meldestelle einführen müssen. Für Unternehmen mit bis zu 249 Mitarbeitern gilt eine Übergangsfrist bis zum 17. Dezember 2023. Eine interne Meldestelle hat für Unternehmen einen großen Vorteil: Sie haben die Möglichkeit Missstände zu beseitigen, bevor die Öffentlichkeit und die Presse davon erfahren. So können sie einem möglichen Imageschaden vorbeugen. Welche Anforderungen das Hinweisgebersystem erfüllen muss und wieso eine digitale Lösung sinnvoll ist, lesen Sie in unserem Blog-Beitrag „Hinweisgeberschutzgesetz“.

Lieferkettengesetz (LkSG)

Sinnbild für das Lieferkettengesetz„Wir unterstützen ein wirksames EU-Lieferkettengesetz, basierend auf den UN-Leitprinzipien Wirtschaft und Menschenrechte, das kleinere und mittlere Unternehmen nicht überfordert. […]“, so steht es im Koalitionsvertrag. Am 11. Juni 2021 hat der Deutsche Bundestag das Lieferkettengesetz in Deutschland verabschiedet. Mit diesem Gesetz wird erstmals die unternehmerische Verantwortung für die Einhaltung von Menschenrechten in den Lieferketten geregelt. Offiziell heißt es „Gesetz über die unternehmerischen Sorgfaltspflichten zur Vermeidung von Menschenrechtsverletzungen in Lieferketten (Lieferkettensorgfaltspflichtengesetz – LkSG)“ oder eben kurz: Lieferkettengesetz. Es sieht vor, dass Unternehmen ab 1.000 Mitarbeitern nachweisen müssen, dass ihre Lieferkette sicher ist. Dazu haben Unternehmen mit über 3.000 Beschäftigten bis Januar 2023 Zeit. Bei Unternehmen mit mehr als 1.000 Mitarbeitenden verschiebt sich die Frist um ein Jahr nach hinten auf Januar 2024. Was es für konkrete Anforderungen vorsieht und welche Sanktionen bei Non-Compliance drohen, lesen Sie in unserem Blog-Beitrag „Das Lieferkettengesetz kommt“.

Fazit

2022 wird ein spannendes Jahr für das Compliance-Umfeld. Es ergeben sich einige Änderungen und die Anforderungen aus den neu in Kraft tretenden Gesetzen erhöhen sich. Um allen Anforderungen gerecht zu werden ist es ratsam sich frühzeitig mit der Umsetzung auseinanderzusetzen, auch wenn Sie beispielsweise das HinSchG erst bis 2023 umsetzen müssen. Um den Überblick im Gesetzesdschungel zu behalten, bietet sich eine Compliance-Management-Software an, die beim Dokumentieren unterstützt. So können alle Compliance-Themenfelder unter einem Software-Dach zusammengehalten werden und greifen auf dieselbe Datenbasis zu. Das erleichtert das konsistente Arbeiten und das monitoren aller Maßnahmen bis hin zur Report-Erstellung auf Knopfdruck. Übrigens: Wir bieten mit unserem GRC-COCKPIT eine Software an, die genau das kann. Wenn Sie interessiert sind, vereinbaren Sie gerne online einen Termin bei uns und wir erörtern, wie Sie das GRC-COCKPIT mit Ihren individuellen Bedürfnissen nutzen können.

Über den Autor

Foto Ingo SimonIngo Simon ist Geschäftsführer der SAVISCON GmbH. Er hat das Unternehmen im Jahr 2010 gegründet und war bis 2018 größtenteils mit einigen Beratern in Kundenprojekten auf Basis von Dienstleistungsverträgen unterwegs. Ende 2018 übernahm die SAVISCON GmbH die Software des heutigen GRC-COCKPITs und weitete das Geschäftsfeld von Corporate Communication und Enterprise Content Management auf das GRC-Management aus. Ingo Simon ist zertifizierter Compliance & Integrity-Manager und ebenfalls zertifizierter ISMS-Manager. Kontakt: 040 80 90 81 446

BSI IT-Grundschutz: In 4 Schritten zur Basis-Absicherung

/in , /von

So starten Sie mit Ihrem ISMS

Von Daniel Straßberger, Informationssicherheitsbeauftragter bei der SAVISCON GmbH

Im heutigen Blogeintrag zum Thema Informationssicherheit wollen wir uns den BSI IT-Grundschutz etwas näher anschauen, spezifisch die Basis-Absicherung. Die Basis-Absicherung ist als Einstieg in den IT-Grundschutz gedacht oder für Unternehmen, die aus finanziellen oder personellen Gründen kein vollständiges Informationssicherheitsmanagementsystem (ISMS) nach der ISO 27001 etablieren können oder wollen. Dennoch kann die Basis-Absicherung, abhängig von der Größe und Art der Organisation, ein sehr umfangreiches Unterfangen sein. Lohnenswert ist dieser Aufwand aber auf jeden Fall, auch für kleinere Unternehmen, denn es gilt: Selbst ein bisschen Informationssicherheit ist besser als gar keine und die IT-Grundschutz Basis-Absicherung ist, meiner Meinung nach, ein guter Ansatz. Das Verfahren des IT-Grundschutzes wurde vom Bundesamt für Sicherheit in der Informationstechnik (BSI) entworfen, um deutschen Organisationen ein Verfahren zur Etablierung eines Informationssicherheitsmanagementsystem (ISMS) nach der ISO 27001-Norm bereitzustellen. Der Nachteil der ISO-Norm ist, dass sie sehr vage formuliert ist, um ein Rahmenwerk für internationale Organisationen aller Art zu schaffen. Der IT-Grundschutz dagegen bietet einen klar definierten Handlungsfaden und entschlackt den Prozess mit dem IT-Grundschutz-Check bei dem einer der aufwendigsten Bereiche zunächst entfällt: das Risiko-Management. Außerdem bietet das BSI mit den Bausteinen des IT-Grundschutz-Kompendiums und dem Gefährdungskatalog eine tolle Einstiegshilfe in ein ISMS.

Schritt 1: Die Vorbereitung

Screenshot aus dem GRC-COCKPIT zum Informationsverbund

Ein Informationsverbund, hier am Beispiel der RECPLAST GmbH im SAVISCON GRC-COCKPIT.

Bevor die eigentliche Basis-Absicherung beginnt, muss sich die Unternehmensleitung zur Informationssicherheit bekennen und den Sicherheitsprozess initiieren: Dies geschieht mit dem Verfassen und Bekanntgeben einer IS-Leitlinie. Dazu empfehle ich Ihnen meinem Blogeintrag „3 Tipps für Ihre Informationssicherheits-Leitlinie“.
Vorrausgehend dazu müssen Sie sich Ihren Geltungsbereich abstecken. Um den Aufwand gering zu halten, sollten Sie sich zunächst auf ihre wichtigsten Geschäftsbereiche konzentrieren („Kronjuwelen“). Anschließend müssen Sie die Assets in dem Geltungsbereich identifizieren und auflisten, dies nennt das BSI den „Informationsverbund“. Dazu gehören Geschäftszweige und -prozesse, IT-Geräte und -Anwendungen, sowie die Räume und Standorte. Wenn Sie bereits im Zuge eines Compliance– oder Risiko-Managements eine ähnliche Auflistung gemacht haben, ist dies eine gute Basis. Denken Sie auch an den Kontext Ihrer Organisation und inwiefern externe Parteien wie Zulieferer und Kunden von ihrem ISMS betroffen sein könnten. Außerdem müssen Sie Rollen festlegen und einen Informationssicherheitsbeauftragten (ISB) bestimmen, der ihr ISMS leitet und verwaltet. Vergessen Sie auch die Sicherheitsziele nicht, für eine Basis-Absicherung wird die CIA-Triade aus Confidentiality (Vertraulichkeit), Integrity (Integrität) und Availability (Verfügbarkeit) erstmal ausreichen.

Schritt 2: Die Modellierung

Screenshot der Basisanforderung im GRC-COCKPIT

Die Basisanforderungen des Bausteins SYS.2.1. Im GRC-COCKPIT kann direkt eine Anforderung abgeleitet werden.

Nach den Vorbereitungen geht es an die eigentliche Basis-Absicherung nach IT-Grundschutz. Zunächst müssen Sie Ihren Informationsverbund mit den Bausteinen aus dem Grundschutzkompendium modellieren. Dazu gehen Sie alle Bausteine durch und wählen die aus, die zu Ihrem Informationsverbund passen. Dabei müssen Sie natürlich nur die auswählen, die Sie auch wirklich brauchen. Wenn ihre Organisation beispielsweise keine Maschinen mit SPS betreibt, können Sie den Baustein IND ignorieren, haben Sie keinen Windows2012-Server brauchen Sie den Abschnitt SYS.1.2.2 nicht bearbeiten. Das BSI stellt Ihnen in dem Kompendium zudem eine Tabelle mit einer Priorisierung absteigend von R1 bis R3 bereit. Dies ist allerdings nur eine Empfehlung, Sie können die Bausteine in beliebiger Reihenfolge zuordnen. Achtung: Die Priorisierung bezieht sich nur auf die Reihenfolge der Umsetzung. Sie müssen alle Bausteine anwenden, die zu Ihrem Informationsverbund passen. Dies ist, abhängig von Ihrer Organisation und dem Geltungsbereich, eine Menge Arbeit und Sie sollten gewissenhaft arbeiten: Die Modellierung ist das Grundgerüst Ihrer Informationssicherheit, denn was Sie hier nicht abbilden, werden Sie später im Rahmen des IT-Grundschutz-Checks auch nicht untersuchen und somit wahrscheinlich auch nicht absichern.

Laut dem Grundschutz sollen Sie dann eine Tabelle verfassen in denen:

  • der Baustein
  • das zugehörige Asset
  • eine verantwortliche Person
  • die Reihenfolge (R1, R2, R3)
  • und zusätzliche Informationen oder Kommentare zur Modellierung

für Ihren gesamten Informationsverbund aufgelistet sind.

Wie Sie die Modellierung dokumentieren, bleibt aber Ihnen überlassen, solange die geforderten Informationen enthalten sind. Ich bilde die Bausteine mit unserem GRC-COCKPIT ab, sodass ich jederzeit darauf zugreifen kann. Gerade während der Arbeit im Home-Office erleichtert es auch den Austausch mit Kollegen.

Schritt 3: Der IT-Grundschutz-Check

Screenshot abgeleitete Maßnahme im GRC-COCKPIT

Eine Maßnahme zu Virenprogrammen, abgeleitet aus der Anforderung SYS.2.1.A6 im GRC-COCKPIT.

Anschließend findet der IT-Grundschutz-Check statt, dabei handelt es sich um einen Soll-Ist-Vergleich zwischen den Anforderungen aus den Bausteinen und dem tatsächlichen Zustand in Ihrer Organisation. Diesen Vergleich müssen Sie als ISB nicht allein vornehmen, stattdessen vereinbaren Sie einen Termin mit der für das Asset verantwortlichen Person (Asset-Eigentümer), beachten Sie, dass es sich auch um externe Personen handeln kann. Bereiten Sie Ihren Gesprächspartner vor, erläutern Sie im Vorfeld die Vorgehensweise und veranlassen Sie, dass Dokumente oder ähnliches zur Überprüfung zum Termin mitgebracht werden.

Beim Termin gehen Sie dann systematisch alle Anforderungen aus dem Baustein durch. Für die Basis-Absicherung müssen Sie nur die Anforderungen die mit einem (B) und dem Schlagwort MÜSSEN gekennzeichnet sind bearbeiten. Dokumentieren Sie den Umsetzungsgrad, zum Beispiel mit „ja“, „nein“ oder „teilweise“. Sollten Anforderungen nicht auf das Asset zutreffen, weil zum Beispiel eine Anwendung oder Konfigurationsart bei Ihnen nicht genutzt wird, können Sie die Anforderung mit „entbehrlich“ abhaken. Wichtig ist, dass die Dokumentation gewissenhaft und vollständig ist, außerdem müssen Sie die Dokumente aufbewahren. Wenn Sie beispielsweise eine Anforderung mit „teilweise“ bewerten, schreiben Sie auf inwiefern die Umsetzung erfolgt ist und was genau noch zu erledigen ist. Halten Sie am Ende auch nochmal Rücksprache mit Ihrem Interviewpartner, um Missverständnisse oder Fehler zu vermeiden.
Anschließend müssen Sie die Ergebnisse Ihres IT-Grundschutz-Checks auswerten und Maßnahmen ausarbeiten, um die Defizite zu beheben. Die Auswahl und Umsetzung der Maßnahmen erfolgen meistens durch die Verantwortlichen Mitarbeiter. Der ISB leitet die Ergebnisse der Auswertung an die entsprechenden Stellen weiter und koordiniert unter Umständen mit den Fachbereichsverantwortlichen die Umsetzung. Außerdem liegt es nahe, eine Priorisierung vorzunehmen. Diese kann auf Basis von Dringlichkeit, Kosten oder Umsetzungsaufwand erfolgen. Wichtig: Schmeißen Sie nicht einfach Geld auf ein Problem! Oftmals ist es effektiver organisatorische Maßnahmen einzuleiten, diese sind oftmals auch deutlich günstiger. Denken Sie auch an die Verhältnismäßigkeit Ihrer Maßnahmen, Sie wollen Ihre Mitarbeiter nicht überlasten und selbstverständlich auch nicht Ihr Budget sprengen. Recherchieren Sie in der Fachliteratur oder tauschen Sie sich mit anderen ISBs oder IT-Security Fachleuten aus, um Anreize und Ideen zu erhalten.

Schritt 4: Dran bleiben

Nach der ganzen Arbeit haben Sie ein ISMS nach der Basis-Absicherung des BSI IT-Grundschutz geschaffen. Leider können Sie sich nicht auf Ihrer Arbeit ausruhen, denn die Welt steht nicht still. Nicht nur die IT entwickelt sich ständig weiter und stellt Sie vor neue Herausforderungen und Angriffe, auch Ihre Organisation entwickelt sich ständig weiter, wird wachsen und möglicherweise neue Mitarbeiter und Aufgabenfelder bekommen. Sie müssen Ihr ISMS somit als gelebten Prozess verstehen, der ständig überprüft und angepasst werden muss. Neue Mitarbeiter müssen geschult werden, alte Schulungen aufgefrischt oder ergänzt werden. Neue Technologien am Markt werden neue Umsetzungsmöglichkeiten oder Gefährdungen mit sich bringen. Denken Sie auch daran Ihren Informationsverbund aktuell zu halten und gegebenenfalls die Modellierung mit neuen oder veränderten Bausteinen zu überarbeiten.
Des Weiteren stellt die Basis-Absicherung aus der Sicht des BSIs nur eine Übergangslösung dar, Sie müssen aber selbst entscheiden, ob die Basis-Absicherung für Sie ausreicht oder Sie darauf aufbauend die Kern- bzw. Standardabsicherung angehen möchten. Diesen Schritt werden Sie gehen müssen, wenn Sie eine Zertifizierung Ihres ISMS anstreben. Aber dazu lesen Sie demnächst mehr in unserem Blog.

Porträt Daniel Straßberger

Daniel Straßberger, Informationssicherheitsbeauftragter (ISB) der SAVISCON GmbH

Über den Autor

Als zertifizierter ISMS-Manager und IT-Grundschutz-Praktiker ist Daniel Straßberger bei der SAVISCON GmbH als Informationssicherheitsbeauftragter tätig. Seit April 2021 kümmert er sich um den internen Aufbau des Informationssicherheitsmanagementsystems der SAVISCON GmbH und die Umsetzung aller relevanten Richtlinien und Themen im Bereich Informationssicherheit. Schreiben Sie Daniel Straßberger bei Fragen oder Anregungen zum Thema Informationssicherheit: daniel.strassberger@saviscon.de

IT-Sicherheitsmanagement für KRITIS-Betreiber

/in /von

Qualität steigern, Aufwand senken: Transparenz und Effizienz mit digitalen Werkzeugen optimieren

Von Ingo Simon, Geschäftsführer der SAVISCON GmbH

KRITIS-Betreiber stehen seit jeher vor großen Herausforderungen, was das Management der IT-Sicherheit betrifft. Der Dokumentationsaufwand ist zuweilen kaum mit den vorhandenen Ressourcen zu leisten, und eine tagesgenaue Transparenz über den aktuellen Stand der gesamten IT-Sicherheit ist aus der Gesamtheit der Anforderungen, Risiken und Maßnahmen nur schwer zu konsolidieren. In diesem Beitrag zeigen wir einen Weg, wie Transparenz und Effizienz im Kontext der IT-Sicherheit, aber auch darüber hinaus, geschaffen werden kann.

Die erste Transparenzhürde besteht in der Regel darin, dass der Umfang und die Anzahl der Anforderungen nur schwer zu erfassen sind. Für KRITIS-Betreiber ist eines der wichtigsten Dokumente das vom Bundesamt für Sicherheit in der Informationstechnik (BSI) herausgegebene Dokument „Konkretisierung der Anforderungen an die gemäß § 8a Absatz 1 BSIG umzusetzenden Maßnahmen“. Hier sind genau 100 Anforderungen formuliert, denen der KRITIS-Betreiber gerecht werden muss. Die Anforderungen verweisen wiederum auf andere Dokumente, wie zum Beispiel dem „Kriterienkatalog Cloud Computing C5:2020“, in dem weitere 127 detaillierte Anforderungen niedergeschrieben sind. Von hier gibt es eine Kreuzreferenztabelle mit Verweisen auf die IT-Grundschutzbausteine – da verliert man schon bei den Anforderungen leicht die Übersicht. Wie kann man als KRITIS-Betreiber also die Herausforderungen Transparenz und Effizienz meistern?

Herausforderung Transparenz

Nähert man sich dem Thema Transparenz an, so bedarf es der Strukturanalyse und der Schutzbedarfsfeststellung für mehrere zig bis gern mal hunderte Assets, die bewertet werden müssen – je nach Größe der Organisation. Auf die Schutzbedarfsfeststellung folgt die Risikoanalyse, die entsprechend der Anzahl der Assets zu einer recht hohen Anzahl von Risiken führen kann. Für alle Risiken, deren Bruttorisikobewertung den Risikoappetit der Organisation übersteigt, müssen entsprechende Maßnahmen zur Minimierung des Risikos abgeleitet werden. Damit diese Maßnahmen auch umgesetzt werden, müssen passende Durchführungs- und Überwachungstermine festgelegt werden, die sicherstellen und belegen, dass die Maßnahmen nicht nur Lippenbekenntnisse darstellen. Alle genannten Objekte, also Anforderung, Asset, Risiko, Maßnahme und Überwachung, hängen in diversen Beziehungen miteinander zusammen. Viele Organisationen versuchen, diese Abhängigkeiten in einer Tabellenkalkulation abzubilden. Das scheitert irgendwann zwangsläufig, weil die Nachpflege bei Änderungen in den Objekten und deren Abhängigkeiten zu fehleranfällig ist. Das führt dann zu Dateninkonsistenzen, die entweder gar nicht auffallen, oder erst in der Berichtsführung ans Tageslicht kommen. Dann ist aber meist keine Zeit mehr, den Fehler in der Dokumentation nachzupflegen. Am Ende weiß man nicht wirklich, wo die Organisation in Sachen IT-Sicherheit steht.

Herausforderung Effizienz

Wie zuvor erläutert unterliegt das gesamte Setup eines vollständigen IT-Sicherheitsmanagements einer nicht zu unterschätzenden Komplexität. Um Fehler zu vermeiden, müssen die Mitarbeiter entsprechend in ihren Tätigkeiten geführt werden. Das betrifft sowohl die Aktionen, die zu tun sind, als auch die Daten, die zu erfassen sind. Das leisten die Tabellenkalkulationen in der Regel nicht. Daher werden dann komplexe Arbeitsanweisungen geschrieben, die mit zunehmendem Umfang immer weniger gelesen werden. So entstehen viele Datenfehler auch durch mangelnde Nutzerführung. Des Weiteren ist gerade das Thema Berichtswesen oft extrem aufwendig und vor allem fehleranfällig, wenn die Daten jedes Mal aus verschiedenen Quellen zusammengesucht und konsolidiert werden müssen.

Das passende Werkzeug

AbhängigkeitenMit dem SAVISCON GRC-COCKPIT lassen sich Abhängigkeiten ganz leicht darstellen und bearbeiten.

Was muss nun geschehen, um aus dem Dilemma herauszukommen? Der KRITIS-Betreiber tut gut daran, ein entsprechend geeignetes Werkzeug zu beschaffen, das die erforderlichen Objekte abbilden und miteinander in Beziehung bringen kann. Die Bearbeitung muss prozessorientiert an einem Objekt möglich sein, sodass die Auswirkung auf ein weiteres Objekt vom System gleich mit aktualisiert wird. Der Nachweis der Bearbeitung muss revisionssicher sein und Zusatzdokumente, wie Prüfprotokolle, müssen im System ablegbar sein oder aber zu externen Ablageorten verlinkt werden können. Zum Schluss muss auf der Basis der Daten im System ein möglichst automatisierter Bericht erzeugt werden können, der auf die relevanten Adressatengruppen (Management, Prüfer, Behörden etc.) zugeschnitten ist.  Das A und O eines solchen Systems ist aus unserer Sicht die Verlinkung der verschiedenen Objekte miteinander und damit die Möglichkeit, von einem Objekt per Mausklick auf das nächste Objekt zu navigieren – und das in jede Richtung. Mit dem SAVISCON GRC-COCKPIT gibt es ein Werkzeug, das genau diese „Traceability“ bietet. Nachfolgend möchten wir ein paar mögliche Szenarien nennen.

Beispiel 1: Konsolidieren der Anforderungen

Mit dem SAVISCON GRC-COCKPIT stehen alle relevanten Anforderungen an einem Ort zentral zur Verfügung. Da mehrere Quelldokumente oft identische Anforderungen formulieren, kann hier eine einzige, konsolidierte Anforderung abgeleitet werden. Diese ist im Hintergrund mit allen entsprechenden Quelldokumenten beziehungsweise -Anforderungen verlinkt. Damit hat der IT-Sicherheitsverantwortliche nur noch eine Anforderung, statt vieler, die mit den dazu gehörigen Risiken und den Maßnahmen in Beziehung gebracht werden muss. Trotzdem kann beispielsweise in einem Audit per Mausklick auf die Quellanforderung gesprungen werden, um damit nachvollziehbar die Erfüllung der Anforderung nachzuweisen.

Beispiel 2: Verknüpfen von Risiken mit Assets und Partnern

Wenn Unternehmen mit einer Grundgefährdung des IT-Grundschutzes, beispielsweise „G0.11 Ausfall oder Störung von Dienstleistern“, ein Risiko begründen, ist es wichtig, das Risiko mit einem Asset oder auch einem Partner zu verknüpfen. Das Risiko des Ausfalls eines Wartungsunternehmens ist sicher anders zu bewerten als das Risiko des Ausfalls eines Transportunternehmens. Also müssen das Risiko und seine Bewertung den Asset-Kontext und auch den Partner-Kontext erhalten. Ändert sich die Vertragslage und es kommt ein neuer Dienstleister mit einer anderen Leistungsfähigkeit, ändert sich in der Regel auch das Risiko für das Asset.

Beispiel 3: Verknüpfen von Risiken, Maßnahmen und Überwachungen

Eine der wichtigsten Aufgaben ist es, hoch bewertete Risiken mit entsprechenden Maßnahmen zu minimieren. Die Maßnahmen, zu denen man sich entschlossen hat, muss man zur Sicherstellung der Effektivität zwingend in der Durchführung überwachen. Dazu verknüpft man die Maßnahme mit einer oder mehreren Überwachungen. In den Überwachungen werden die Termine verwaltet und bei Terminüberschreitung Erinnerungen und Eskalations-Workflows angestoßen. Damit wird über die Überwachung der Maßnahmen auch die Minimierung des Risikos automatisch mit überwacht.

Fazit

Wenn man eine Anforderung mit einem Risiko verknüpft und dieses Risiko mit mehreren Maßnahmen zur Minimierung verknüpft, die dann mit diversen Überwachungen verknüpft sind, so hat man eine Grundlage für Transparenz: Sind sämtliche Überwachungen termingerecht durchgeführt und die Maßnahmen als wirksam eingestuft, so bekommen die Überwachungen einen grünen Status. Sind alle Überwachungen an einer verknüpften Maßnahme grün, so wird auch die Maßnahme grün, damit dann auch das verknüpfte Risiko und in Folge auch die verknüpfte Anforderung. Als Ergebnis sieht man in seiner Cockpit-Übersicht viel Grün. Wird aber zum Beispiel bei wiederholenden Maßnahmen und deren Überwachungen ein Termin überschritten – beispielsweise bei der jährlichen IT-Sicherheitseinweisung der Mitarbeiter – dann ist nicht nur der Termin in der Überwachung rot, sondern auch die Maßnahme, und damit das Risiko und die Anforderung. Und das fällt in der Cockpit-Übersicht sofort auf. Zu guter Letzt führt die Ablage, Verknüpfung und Pflege aller Daten in einem System dazu, dass automatisch generierte Berichte immer den aktuellen Stand und immer dieselbe Form haben. Das führt zu einer hohen Effizienz, Qualität und damit Transparenz auch für die Adressaten, die das Cockpit im Tool nicht jeden Tag vor Augen haben. Das SAVISCON GRC-COCKPIT ist genau dafür entwickelt worden, die beschriebenen Vorteile für den Anwender zur Verfügung zu stellen und ist damit ein wertvolles Hilfsmittel für KRITIS-Betreiber. Dieser Ansatz ist über die IT-Sicherheit hinaus auch auf das gesamte Compliance-Management und Risiko-Management anwendbar.

Über den Autor:

Ingo Simon ist Geschäftsführer der SAVISCON GmbH. Er hat das Unternehmen im Jahr 2010 gegründet und war bis 2018 größtenteils mit einigen Beratern in Kundenprojekten auf Basis von Dienstleistungsverträgen unterwegs. Ende 2018 übernahmen er die Software des heutigen GRC-COCKPITs und weitete das Geschäftsfeld von Corporate Communication und Enterprise Content Management auf das GRC-Management aus. Kontakt: 040 80 90 81 446 oder ingo.simon@saviscon.de

SAVISCON Logo Digitale Zukunft

KONTAKT

Telefon: +49 40 80 90 81 446

Telefax: +49 40 80 90 81 447 

E-Mail: info@saviscon.de

SAVISCON ISO 27001 Zertifizierung

SAVISCON GmbH | Winterhuder Weg 86a | 22085 Hamburg | Geschäftsführer: Ingo Simon, Marian Grzabel

Impressum | Datenschutzerklärung | Gender-Hinweis | Kontakt | Icons by Icon8