Risikomanagement nach § 30 BSIG

NIS2 Risikomanagement-Framework: Anforderungen nach § 30 BSIG umsetzen

Ein NIS2 Risikomanagement-Framework ist der Rahmen, in dem besonders wichtige und wichtige Einrichtungen ihre Risiken für die Informationssicherheit systematisch ermitteln, bewerten, behandeln und überwachen, damit die Maßnahmen nach § 30 BSIG geeignet, verhältnismäßig und wirksam sind.

  • 01Klarer Rahmen: Leitlinie, Rollen, Risikokriterien und Prozess
  • 02Maßnahmen nach § 30 BSIG, die nachweislich aus den Risiken abgeleitet sind
  • 03Regelmäßige Berichte an die Geschäftsleitung nach § 38 BSIG
  • 04Wirksamkeitsprüfung der Maßnahmen als eigener Prozess
Leistungen ansehen
11+Jahre Erfahrung
120+Mitarbeitende
540+Projekte
ISO 27001zertifiziert

Zweck eines Risikomanagement-Frameworks im Kontext von NIS2

Der Zweck eines Risikomanagement-Frameworks im Kontext von NIS2 ist, Entscheidungen über Sicherheitsmaßnahmen auf eine nachvollziehbare Grundlage zu stellen. § 30 BSIG verlangt geeignete, verhältnismäßige und wirksame Maßnahmen; ob eine Maßnahme verhältnismäßig ist, hängt vom Ausmaß der Risikoexposition, der Größe der Einrichtung, den Umsetzungskosten sowie Eintrittswahrscheinlichkeit und Schwere möglicher Sicherheitsvorfälle ab.

Das lässt sich nur beurteilen, wenn Risiken regelmäßig nach festen Kriterien ermittelt, bewertet und behandelt werden. Die Maßnahmen müssen auf einem gefahrenübergreifenden Ansatz beruhen, also neben Cyberangriffen auch Ausfälle, menschliche Fehler und physische Ereignisse abdecken, und ihre Einhaltung ist zu dokumentieren. Für Cloud-, Rechenzentrums-, Managed-Service- und weitere digitale Anbieter schreibt die Durchführungsverordnung (EU) 2024/2690 ausdrücklich einen geeigneten Risikomanagementrahmen vor.

Wir bauen Ihr NIS2 Risikomanagement-Framework auf oder passen ein bestehendes an: Risikomanagement-Leitlinie, Rollen von Geschäftsleitung, Risikoeigentümern und Informationssicherheitsbeauftragten, Bewertungs- und Akzeptanzkriterien, ein Risikoregister, die Ableitung der zehn Mindestmaßnahmen aus den Risiken, Berichte an die Geschäftsleitung und die Prüfung der Wirksamkeit. Die eigentliche Risikoanalyse nach BSI-Standard 200-3 oder ISO/IEC 27005 vertieft unsere Leistung NIS2 Risikoanalyse.

2 Leistungsbausteine

Leistungsumfang

01

Rahmen und Kriterien festlegen

Wir legen Leitlinie, Rollen, Bewertungs- und Akzeptanzkriterien sowie den Risikoprozess fest, abgestimmt auf Ihre Organisation und vorhandene Managementsysteme.

  • Risikomanagement-Leitlinie mit Geltungsbereich und Zielen
  • Rollen: Geschäftsleitung, Risikoeigentümer, Informationssicherheitsbeauftragte
  • Kriterien für Eintrittswahrscheinlichkeit, Auswirkung und Risikoakzeptanz
  • Risikoregister und Dokumentation
02

Framework einführen und betreiben

Wir führen den Prozess ein, verknüpfen ihn mit den zehn Mindestmaßnahmen nach § 30 BSIG und richten Berichte und Wirksamkeitsprüfungen ein.

  • Einführung des Risikoprozesses in IT und Fachbereichen
  • Ableitung und Nachverfolgung der Maßnahmen aus den Risiken
  • Kennzahlen und Wirksamkeitsprüfung nach § 30 Abs. 2 Nr. 6 BSIG
  • Regelmäßige Berichte an die Geschäftsleitung

5 Phasen

Unser Vorgehen

Wir bauen Ihr NIS2 Risikomanagement-Framework in fünf Schritten auf und binden es in Ihre bestehenden Managementsysteme ein.

  1. Bestehendes Risikomanagement und Lücken zu § 30 BSIG aufnehmen

  2. Leitlinie, Rollen und Kriterien festlegen

  3. Risikoanalyse durchführen und Maßnahmen ableiten

  4. Überwachung und Berichte an die Geschäftsleitung einrichten

  5. Wirksamkeit prüfen und den Rahmen anpassen

Sarah Richter

Ansprechpartner

Sarah Richter

Head of Informationssicherheit, Cyber Security

10+ Jahre Erfahrung, CISA, CISM, Lead Auditor, DORA, NIS2, BCM, Cyber- und Informationssicherheit

+49 69 913 113-01 info@advisori.de LinkedIn

Unsere Stärken

  • 01Tiefgreifende Expertise in NIS2, BSIG und Standards der Informationssicherheit
  • 02Erprobte Methoden nach ISO/IEC 27001, 27005 und BSI-Standard 200-3
  • 03Branchenspezifische Anpassung an verschiedene Sektoren und Organisationsgrößen
  • 04Ganzheitlicher Ansatz mit Integration in bestehende Governance-Strukturen

Die Geschäftsleitung trägt die Verantwortung

Nach § 38 BSIG muss die Geschäftsleitung die Risikomanagementmaßnahmen umsetzen und überwachen, regelmäßig an Schulungen zu Risiken und Risikomanagementpraktiken teilnehmen und haftet bei schuldhafter Pflichtverletzung ihrer Einrichtung für den Schaden. Ein Framework mit klaren Berichtswegen macht diese Aufsicht überhaupt erst möglich.

Weiterführend

8 FRAGEN, KURZ BEANTWORTET

Häufig gestellte Fragen zu NIS2 Risikomanagement

Was ist der Zweck eines Risikomanagement-Frameworks im Kontext von NIS2?

Das NIS2 Risikomanagement-Framework ist das strukturierte System aus Leitlinien, Rollen, Prozessen und Maßnahmen, mit dem besonders wichtige und wichtige Einrichtungen Risiken für ihre IT-Systeme, Komponenten und Prozesse systematisch ermitteln, bewerten, behandeln und überwachen. Sein Zweck: Es macht nachvollziehbar, warum die Maßnahmen nach § 30 BSIG geeignet, verhältnismäßig und wirksam sind, liefert der Geschäftsleitung die Grundlage für ihre Aufsicht nach § 38 BSIG und dient als Nachweis gegenüber dem BSI.

Was fordert NIS2 für das Risikomanagement?

§ 30 Abs. 1 BSIG (Art. 21 Abs. 1 NIS2) verlangt geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, deren Einhaltung zu dokumentieren ist. Sie sollen den Stand der Technik einhalten und auf einem gefahrenübergreifenden Ansatz beruhen. § 30 Abs. 2 nennt zehn Mindestmaßnahmen: Konzepte zur Risikoanalyse und Informationssicherheit, Bewältigung von Sicherheitsvorfällen, Aufrechterhaltung des Betriebs und Krisenmanagement, Sicherheit der Lieferkette, Sicherheit bei Erwerb, Entwicklung und Wartung, Bewertung der Wirksamkeit, Schulungen und Sensibilisierung, Kryptographie, Personalsicherheit mit Zugriffskontrolle und Asset-Management sowie Multi-Faktor-Authentifizierung und gesicherte Kommunikation.

Wie baut man ein NIS2-konformes Risikomanagement-Framework auf?

In fünf Schritten: 1) Leitlinie mit Geltungsbereich, Zielen und Verantwortung der Geschäftsleitung festlegen, 2) Kriterien für Eintrittswahrscheinlichkeit, Auswirkung und Risikoakzeptanz definieren und Risikoeigentümer benennen, 3) Risiken analysieren, etwa nach BSI-Standard 200‑3 oder ISO/IEC 27005, 4) Risiken behandeln, also vermeiden, verringern, übertragen oder bewusst akzeptieren, und daraus die Maßnahmen nach § 30 BSIG ableiten, 5) Ergebnisse dokumentieren, regelmäßig und nach Änderungen oder Vorfällen überprüfen und an die Geschäftsleitung berichten.

NIS2 vs. ISO 27001 Risikomanagement: Was sind die Unterschiede?

ISO/IEC 27001 und NIS2 überschneiden sich beim Risikomanagement stark, haben aber unterschiedliche Rollen: ISO/IEC 27001 ist eine freiwillige, zertifizierbare Norm für ein ISMS, NIS2 beziehungsweise das BSIG sind verbindliches Recht mit konkreten Mindestmaßnahmen. Ein ISMS nach ISO/IEC 27001 deckt viele Anforderungen ab, aber nicht alle, etwa Meldefristen, Registrierung und die Schulungspflicht der Geschäftsleitung. Das BSI nennt ISO/IEC 27001 und BSI-Standard 200‑1 als mögliche Grundlage für ein ISMS.

Welche Risiken muss das NIS2 Risikomanagement abdecken?

Alle Risiken für die Verfügbarkeit, Integrität und Vertraulichkeit der IT-Systeme, Komponenten und Prozesse, die Sie für Ihre Dienste nutzen. § 30 Abs. 2 BSIG verlangt einen gefahrenübergreifenden Ansatz: Neben Cyberangriffen wie Ransomware, DDoS oder Phishing gehören Insider, kompromittierte Lieferanten und Dienstleister, Systemfehler und menschliche Fehler sowie physische Ereignisse wie Feuer, Überschwemmung oder Stromausfall dazu.

Wie oft muss das NIS2-Risikomanagement überprüft werden?

Das BSIG nennt kein festes Intervall. Das BSI verlangt eine regelmäßige Überprüfung und Aktualisierung, insbesondere wenn sich die Bedrohungslage ändert, neue Schwachstellen bekannt werden, sich die Organisation ändert oder ein Sicherheitsvorfall eintritt. In der Praxis ist eine vollständige Überprüfung mindestens einmal jährlich verbreitet, ergänzt um anlassbezogene Bewertungen. Die Ergebnisse sind zu dokumentieren, damit sie dem BSI auf Anforderung vorgelegt werden können.

Was ist der Unterschied zwischen NIS2 Risikomanagement und NIS2 Risikoanalyse?

Die Risikoanalyse ist ein Baustein des Risikomanagements: Sie ermittelt und bewertet Risiken nach einer Methode wie BSI-Standard 200‑3 oder ISO/IEC 27005. Das Risikomanagement-Framework ist der Rahmen darum: Leitlinie, Rollen, Kriterien, Behandlung der Risiken, Ableitung der Maßnahmen, Berichte an die Geschäftsleitung und Wirksamkeitsprüfung. Für die Analyse selbst bieten wir die Leistung NIS2 Risikoanalyse an.

Gilt die Durchführungsverordnung (EU) 2024/2690 auch für uns?

Sie gilt für bestimmte digitale Anbieter: DNS-Diensteanbieter, Top Level Domain Name Registries, Cloud-Computing-Dienstleister, Anbieter von Rechenzentrumsdiensten, Betreiber von Content Delivery Networks, Managed Service Provider, Managed Security Service Provider, Online-Marktplätze, Online-Suchmaschinen, Plattformen sozialer Netzwerke und Vertrauensdiensteanbieter. Für diese Einrichtungsarten hat sie nach § 30 Abs. 3 BSIG Vorrang und verlangt unter anderem ausdrücklich einen geeigneten Risikomanagementrahmen. Für alle anderen Einrichtungen gilt § 30 BSIG; die Verordnung ist dort eine nützliche Orientierung.