NIS2 Risikomanagement: Systematische Risikoanalyse nach Art. 21

Das NIS2 Risikomanagement-Framework ist das strukturierte System aus Richtlinien, Prozessen und Maßnahmen, mit dem wesentliche und wichtige Einrichtungen Cybersicherheitsrisiken nach Art. 21 NIS2 systematisch identifizieren, bewerten und behandeln. Es bildet das Herzstück der NIS2-Compliance: Ohne ein dokumentiertes, funktionsfähiges Risikomanagement-Framework sind alle anderen Maßnahmen regulatorisch unvollständig.

Art. 21 Abs. 1 NIS2 verlangt geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen auf Basis einer Risikoanalyse. Art. 21 Abs. 2 benennt zehn Pflichtelemente: Risikoanalyse/Sicherheitskonzepte, Incident Handling, Business Continuity, Lieferkettensicherheit, sichere Entwicklung/Beschaffung, Wirksamkeitsmessung, Cyberhygiene/Schulungen, Kryptographie, Personalmanagement und MFA/Zero Trust. Die Maßnahmen müssen dokumentiert und regelmäßig überprüft werden.

Aufbau in fünf Schritten: 1) Asset-Inventar (alle kritischen Systeme, Daten und Prozesse erfassen), 2) Bedrohungs- und Schwachstellenanalyse (was kann schiefgehen?), 3) Risikobewertung (Eintrittswahrscheinlichkeit × Auswirkung = Risikoniveau), 4) Risikobehandlungsplan (Maßnahmen für inakzeptable Risiken definieren, priorisieren, umsetzen), 5) Dokumentation und Monitoring (Ergebnisse festhalten, regelmäßig überprüfen und an Geschäftsleitung berichten).

ISO 27001 und NIS2 haben überlappende Risikomanagement-Anforderungen, aber unterschiedliche Schwerpunkte: ISO 27001 ist ein freiwilliges ISMS-Framework mit zertifizierbaren Controls, NIS2 ist eine rechtsverbindliche EU-Richtlinie mit spezifischen Pflichtmaßnahmen. Eine bestehende ISO‑27001-Zertifizierung erfüllt viele NIS2-Anforderungen bereits, deckt aber nicht alle ab (z. B. spezifische Meldepflichten, BSI-Registrierung). Als NIS2-konformes ISMS ist ISO 27001 der empfohlene Ausgangspunkt.

Das NIS2-Risikomanagement-Framework muss alle Bedrohungen für Netz- und Informationssysteme abdecken, insbesondere: Cyberangriffe (Ransomware, DDoS, Phishing), Insider-Bedrohungen, Lieferketten-Risiken (kompromittierte Drittanbieter), physische Risiken (Hardwarefehler, Naturkatastrophen), Betriebsrisiken (Konfigurationsfehler, Ausfälle) und regulatorische Risiken (Compliance-Lücken). Der Cross-Threat-Ansatz ist explizit gefordert: kein isoliertes IT-Risikomanagement.

NIS2 fordert kein starres Intervall, aber Best Practice und Behördenerwartung sind: vollständige Risikoüberprüfung mindestens einmal jährlich, anlassbezogene Reviews nach wesentlichen Änderungen (neue Systeme, Vorfälle, regulatorische Updates), kontinuierliches Risiko-Monitoring für wesentliche Einrichtungen sowie Berichte an die Geschäftsführung mindestens halbjährlich. Risikoanalyse-Ergebnisse müssen dokumentiert und bei Behördenprüfungen vorgelegt werden können.