Die rechtliche Einordnung und das Informationssicherheitsmanagement bestimmen, welche Anforderungen für Ihr Unternehmen gelten. Die IT liefert dafür belastbare Informationen über Systeme, Abhängigkeiten und Schutzmaßnahmen. Ein neues Backup oder ein zweites Rechenzentrum allein belegt keine NIS2-Konformität.
Anforderungen
Betroffenheit, Risiken und Verantwortlichkeiten klären
Umsetzung
Maßnahmen auf die konkrete Infrastruktur übertragen
Nachweise
Konfiguration, Tests und offene Punkte dokumentieren
Was am Ende vorliegen sollte
| Arbeitsbereich | Arbeitsgrundlage | Woran sie nutzbar wird |
|---|---|---|
| Systeme und Abhängigkeiten | Übersicht kritischer Anwendungen und Basisdienste | Ein Verantwortlicher und die Abhängigkeiten sind je Anwendung benannt. |
| Administrative Zugänge | Dokumentierte Berechtigungen und Notfallzugänge | Der Zugriff ist auch beim Ausfall regulärer Anmeldedienste geregelt und getestet. |
| Updates und Support | Bestand mit Versionsstand und Supportende | Offene Maßnahmen haben Verantwortliche und Termine. |
| Wiederherstellung | Protokolle praktischer Tests | Dauer, Datenstand und fachliche Funktion sind nachvollziehbar. |
| Betrieb | Änderungs- und Störungsprotokolle | Entscheidungen und deren Umsetzung lassen sich nachvollziehen. |
Mit einer kritischen Anwendung anfangen
Nehmen Sie beispielsweise die Warenwirtschaft: Wo läuft sie, welche Datenbank braucht sie, wie melden sich Nutzer an und wer betreibt die Schnittstellen? Ordnen Sie diesen Bestand den Anforderungen Ihrer Informationssicherheitsverantwortlichen zu. Die folgenden Arbeitsgrundlagen sind keine vollständige NIS2-Checkliste und kein Konformitätsnachweis.
Eine brauchbare Systemübersicht schaffen
Die Übersicht sollte zeigen, welche Geschäftsprozesse von welchen Systemen abhängen, wer sie verantwortet und wo Schutzmaßnahmen bestehen. Erfassen Sie auch externe Betreiber und Systeme, deren Support endet. Wichtiger als ein umfangreiches Dokument ist ein Bestand, den Ihr Team verlässlich aktuell halten kann.
- Identitäten, Berechtigungen, Netzsegmente und administrative Zugänge erfassen.
- Patchstand, Supportstatus und Zuständigkeit je System nachvollziehbar halten.
- Sicherungswege, Wiederherstellungsziele und externe Abhängigkeiten dokumentieren.
Nachweise aus dem Betrieb gewinnen
Ein brauchbarer Testnachweis verbindet System-ID, verantwortliche Person, Prüfdatum, Fehlerbild und Ergebnis. Beispiel: „Warenwirtschaft in isolierter Umgebung wiederhergestellt; Testauftrag gespeichert und erneut geöffnet; E-Mail-Anbindung nicht geprüft.“ Verlinken Sie das Protokoll und erfassen Sie für die offene Prüfung einen Bearbeiter und Termin. Das ist nachvollziehbarer als „Backup vorhanden“, aber kein eigenständiger Konformitätsnachweis.
Diese Fragen sollten geklärt sein
- Sind Geltungsbereich und Verantwortlichkeiten geklärt?
- Lassen sich kritische Prozesse ihren technischen Abhängigkeiten zuordnen?
- Belegen Tests die definierten Ziele und sind offene Maßnahmen zugewiesen?