Pflicht nach § 30 BSIG für besonders wichtige und wichtige Einrichtungen

NIS2 Risikoanalyse: Risiken für Ihre IT-Systeme bewerten und behandeln

§ 30 BSIG verpflichtet besonders wichtige und wichtige Einrichtungen, die Risiken für ihre IT-Systeme regelmäßig zu analysieren und daraus verhältnismäßige Maßnahmen abzuleiten.

  • 01Risikoanalyse nach anerkannter Methode, prüffähig dokumentiert
  • 02Vollständiges Asset-Inventar mit Schutzbedarf
  • 03Risikoakzeptanzkriterien und Risikoeigentümer festgelegt
  • 04Behandlungsplan, den die Geschäftsleitung freigeben kann
Leistungen ansehen
11+Jahre Erfahrung
120+Mitarbeitende
540+Projekte
ISO 27001zertifiziert

NIS2 Risikoanalyse: was § 30 BSIG verlangt

Die Risikoanalyse ist die erste der zehn Mindestmaßnahmen aus § 30 Abs. 2 BSIG (Art. 21 Abs. 2 lit. a NIS2) und die Grundlage aller anderen: Erst aus ihr ergibt sich, welche Maßnahmen verhältnismäßig sind. Einrichtungen müssen Bedrohungen und Schwachstellen ihrer IT-Systeme systematisch erfassen, Eintrittswahrscheinlichkeit und Auswirkung bewerten, bestehende Maßnahmen auf Wirksamkeit prüfen und die Ergebnisse dokumentieren.

Die Methode ist frei wählbar, das BSI empfiehlt eine Orientierung an Standards wie BSI-Standard 200-3. Die Analyse folgt einem gefahrenübergreifenden Ansatz, berücksichtigt also auch Feuer, Stromausfall oder menschliche Fehler, und ist regelmäßig sowie nach wesentlichen Änderungen oder Sicherheitsvorfällen zu aktualisieren.

Wir führen die NIS2 Risikoanalyse gemeinsam mit IT, Fachbereichen und Informationssicherheit durch: Geltungsbereich festlegen, Assets und Abhängigkeiten zu Dienstleistern erfassen, Risiken bewerten, Akzeptanzkriterien und Risikoeigentümer festlegen und einen Behandlungsplan erstellen, den die Geschäftsleitung freigibt. Wo bereits ein ISMS nach ISO 27001 besteht, bauen wir auf dessen Risikobeurteilung auf, statt eine zweite Methode einzuführen. Die übergreifende Steuerung aller Risiken beschreibt unsere Leistung NIS2 Risikomanagement.

2 Leistungsbausteine

Leistungsumfang

01

Risikoanalyse nach BSI-Standard 200-3 oder ISO/IEC 27005

Wir legen Geltungsbereich und Methode fest, erfassen Assets und Schutzbedarf, bewerten Bedrohungen und Schwachstellen und dokumentieren die Ergebnisse so, dass sie einer Prüfung durch das BSI standhalten.

  • Qualitative und quantitative Bewertungsmethoden
  • Einbindung von Schwachstellenscans
  • Asset-Erfassung und Identifikation kritischer Systeme
  • Risikomatrix, Akzeptanzkriterien und Risikoeigentümer
02

Risikobehandlung und laufende Aktualisierung

Wir leiten aus der Bewertung einen Behandlungsplan ab (vermeiden, verringern, übertragen, akzeptieren), stimmen ihn mit der Geschäftsleitung ab und verankern die regelmäßige und anlassbezogene Aktualisierung, etwa nach Sicherheitsvorfällen oder neuen Dienstleistern.

  • Behandlungsplan mit Verantwortlichen und Fristen
  • Regelmäßige und anlassbezogene Neubewertung
  • Auswertung von BSI-Warnungen und Bedrohungsinformationen
  • Verknüpfung mit Business-Impact-Analyse und Notfallmanagement

5 Phasen

Unser Vorgehen

Wir führen die Risikoanalyse in sechs Schritten durch, angelehnt an den vereinfachten Ablauf des BSI, und verankern sie so, dass Sie sie künftig selbst aktualisieren können.

  1. Kontext und Geltungsbereich festlegen

  2. Assets und Abhängigkeiten erfassen, Schutzbedarf bestimmen

  3. Bedrohungen und Schwachstellen identifizieren und Risiken bewerten

  4. Risiken behandeln und Verantwortliche festlegen

  5. Dokumentieren, freigeben und regelmäßig überprüfen

Sarah Richter

Ansprechpartner

Sarah Richter

Head of Informationssicherheit, Cyber Security

10+ Jahre Erfahrung, CISA, CISM, Lead Auditor, DORA, NIS2, BCM, Cyber- und Informationssicherheit

+49 69 913 113-01 info@advisori.de LinkedIn
Effektive Risikoanalysesysteme verwandeln komplexe Bedrohungslandschaften in strategische Intelligenz. Unser systematischer Ansatz gewährleistet nicht nur NIS2-Compliance, sondern schafft nachhaltigen Wettbewerbsvorteil durch überlegene Risikointelligenz.
Expertenmeinung von ADVISORI

Unsere Expertise

  • 01Erfahrung mit BSI-Standard 200-3, ISO/IEC 27005 und Risikobeurteilungen nach ISO 27001
  • 02Bewährte Erfahrung in der Integration komplexer Risikosysteme
  • 03Branchenspezifische Risikomodelle für verschiedene kritische Sektoren
  • 04Ergebnisse, die Geschäftsleitung und Prüfer verstehen

Grundlage aller NIS2 Maßnahmen

Ohne Risikoanalyse lässt sich nicht begründen, welche Maßnahmen verhältnismäßig sind. Das BSI empfiehlt deshalb ausdrücklich, vor der Umsetzung von Risikomanagementmaßnahmen eine Risikoanalyse durchzuführen.

Weiterführend

6 FRAGEN, KURZ BEANTWORTET

Häufig gestellte Fragen zu NIS2 Risikoanalyse

Was fordert NIS2 für die Risikoanalyse?

§ 30 Abs. 2 Nr. 1 BSIG (Art. 21 Abs. 2 lit. a NIS2) verlangt Konzepte in Bezug auf die Risikoanalyse und die Sicherheit in der Informationstechnik. Konkret müssen besonders wichtige und wichtige Einrichtungen Bedrohungen und Schwachstellen ihrer IT-Systeme systematisch identifizieren, Eintrittswahrscheinlichkeit und Schadensausmaß bewerten, bestehende Maßnahmen auf Wirksamkeit prüfen, Risiken behandeln und die Ergebnisse dokumentieren. Die Geschäftsleitung muss die Umsetzung nach § 38 BSIG überwachen.

Welche Systeme müssen bei der NIS2-Risikoanalyse betrachtet werden?

Die Risikoanalyse umfasst alle IT-Systeme, Komponenten und Prozesse, die Ihre Einrichtung für die Erbringung ihrer Dienste nutzt: IT-Infrastruktur (Server, Netz, Cloud-Dienste), OT-Systeme (Produktions- und Steuerungsanlagen), kritische Anwendungen, Kommunikationssysteme sowie Systeme von Dienstleistern, auf die zugegriffen wird. Weil der Ansatz gefahrenübergreifend ist, gehören auch Räume, Stromversorgung und physischer Zugang dazu. Der erste Schritt ist die Festlegung des Geltungsbereichs.

Wie führt man eine NIS2-konforme Risikoanalyse durch?

Ein bewährter Ablauf in sechs Schritten, angelehnt an das BSI: (1) Kontext und Geltungsbereich festlegen, (2) Assets erfassen und nach Vertraulichkeit, Integrität und Verfügbarkeit einstufen, (3) Bedrohungen und Schwachstellen identifizieren und Risiken nach Eintrittswahrscheinlichkeit und Auswirkung bewerten, mit festgelegten Akzeptanzkriterien und Risikoeigentümern, (4) Risiken behandeln: vermeiden, verringern, übertragen oder akzeptieren, (5) Ergebnisse dokumentieren, (6) regelmäßig überprüfen. Anerkannte Methoden sind BSI-Standard 200‑3, ISO/IEC 27005 und die Risikobeurteilung nach ISO 27001. Die Wahl der Methode ist frei.

Wie oft muss die NIS2-Risikoanalyse wiederholt werden?

Weder NIS2 noch das BSIG schreiben eine feste Frequenz vor; das BSI verlangt eine regelmäßige Überprüfung, insbesondere wenn sich die Bedrohungslage ändert oder neue Schwachstellen bekannt werden. Anlass für eine Neubewertung sind außerdem wesentliche Änderungen an Systemen oder Prozessen, Sicherheitsvorfälle und neue oder geänderte Dienstleister. ISO 27001 verlangt Risikobeurteilungen in geplanten Abständen und bei erheblichen Änderungen. In der Praxis hat sich ein jährlicher Rhythmus als Untergrenze bewährt.

Wie unterscheidet sich NIS2-Risikoanalyse von ISO 27001?

ISO 27001 und NIS2 verlangen beide eine systematische Risikobeurteilung. In ISO 27001 steht sie in den Abschnitten 6.1.2 und 8.2 (Risikobeurteilung) sowie 6.1.3 und 8.3 (Risikobehandlung), Anhang A liefert die Maßnahmenliste. NIS2 ist dagegen gesetzlich verpflichtend und richtet die Analyse auf die Dienste der Einrichtung aus. Eine ISO‑27001-konforme Risikobeurteilung erfüllt die Anforderung aus § 30 Abs. 2 Nr. 1 BSIG in der Regel, wenn ihr Geltungsbereich alle relevanten Systeme abdeckt. Umgekehrt reicht NIS2-Compliance nicht für eine ISO‑27001-Zertifizierung.

Wie muss die NIS2-Risikoanalyse dokumentiert werden?

Die Dokumentation dient als Nachweis gegenüber dem BSI. Sinnvolle Mindestinhalte: Methodenbeschreibung, Asset-Inventar mit Einstufung, identifizierte Bedrohungen und Schwachstellen, Risikomatrix mit Akzeptanzkriterien, Entscheidungen zur Risikobehandlung, Maßnahmenplan mit Verantwortlichen und Fristen, Freigabe durch die Geschäftsleitung sowie Datum der letzten Aktualisierung. Gesetzlich vorgegeben ist die Dokumentationspflicht (§ 30 Abs. 1 BSIG), nicht diese Gliederung.