Guide
Software für die NIS2-Umsetzung: Maßnahmen über Abteilungen hinweg steuern
NIS2-Software auswählen: Betroffenheit, Maßnahmen, Vorfälle und Leitungsentscheidungen trennen. Mit praktischem Lieferanten-Prüffall.
Die Betroffenheit ist geklärt. Jetzt liegen Maßnahmen bei IT, Einkauf, Personal und Geschäftsleitung. Das eigentliche NIS2-Projekt beginnt dort, wo aus dieser Liste ein funktionierender Arbeitsablauf werden muss.
Wählt Software anhand einer offenen Sicherheitslücke: Wer priorisiert sie, wer setzt um und wer prüft den Abschluss? Die folgende Auswahlhilfe verbindet IT, Einkauf, Personal und Leitung in diesem Ablauf.
Welche Lücke soll die Beschaffung schließen?
Eine Betroffenheitsprüfung, ein Werkzeug zur technischen Erkennung und eine GRC-Plattform leisten unterschiedliche Dinge. Der Anwendungsbereich nach § 28 BSIG gehört an den Anfang. Danach solltet ihr vorhandene Werkzeuge nutzen und die fehlende Verbindung schaffen.
| Bereits vorhanden | Noch offen | Auswahlfrage |
|---|---|---|
| Technische Befunde | Priorisierung nach Geschäftsfolgen | Können betroffene Werte, Assets und Prozesse zugeordnet werden? |
| Sicherheitsrichtlinien | Freigabe, Verteilung und Anwendung | Erreichen Änderungen die relevanten Mitarbeitenden? |
| Dienstleisterverträge | Verantwortete Sicherheitsmaßnahmen | Wer bewertet Nachweise und behandelt Lücken? |
| Notfallpläne | Praktisch überprüfter Wiederanlauf | Bleiben Testergebnisse und Nacharbeit verbunden? |
Diese Struktur ist eine Arbeitshilfe, kein vollständiger gesetzlicher Maßnahmenkatalog. Die Anforderungen an eure Einrichtung müssen gesondert ermittelt werden.
Kopexa verbindet die Arbeit über Abteilungen hinweg
In Kopexa erfasst ihr Informationswerte und Assets, bewertet Risiken und ordnet Maßnahmen zu. Die Nachweise liegen an den Maßnahmen, die wiederum auf Controls gemappt werden. So bleibt erkennbar, welche Umsetzung eine Anforderung tatsächlich trägt.
Dokumentversionen durchlaufen Freigaben. Über den Workforce Hub werden relevante Inhalte der Belegschaft zugänglich, einschließlich Benachrichtigungen und dokumentierter Bearbeitung. Prozesse mit BPMN beschreiben Übergaben, eine BIA unterstützt die Priorisierung nach Ausfallfolgen.
Für die Leitung sollten daraus konkrete Entscheidungen entstehen: Welches Risiko bleibt offen? Welche Ressource fehlt? Welche Maßnahme hat Vorrang? Der Management-Review-Guide zeigt, wie Berichte zu einer Entscheidungsvorlage werden.
Prüft einen Vorfall, nicht nur den normalen Arbeitsstand
Ein wichtiger Dienstleister meldet eine Störung. Lasst im Test den betroffenen Prozess finden, die Auswirkungen beurteilen und Verantwortliche für technische Reaktion und Meldeprüfung bestimmen. Wer vertritt die zuständige Person außerhalb der Geschäftszeit?
Prüft den Meldeweg separat: Wer bereitet Informationen vor, wer entscheidet und wer übermittelt sie? Die hier beschriebenen Kopexa-Funktionen umfassen keinen Behörden-Meldekanal. Den organisatorischen Ablauf erklärt unser Vorfallmanagement-Guide.
Entscheidet nach Umsetzbarkeit
Nehmt im Pilot eine offene Lücke, die mehrere Rollen betrifft. Verfolgt sie bis zum geprüften Abschluss. Erfasst dabei zusätzliche Dateneingaben, notwendige Rückfragen und unklare Zuständigkeiten. Wenn die neue Lösung nur eine weitere Liste erzeugt, ist der Engpass nicht behoben.
Für kleine Teams vertieft der Guide zum ISMS ohne eigene IT-Abteilung die Zusammenarbeit mit externen IT-Partnern. Für eine abteilungsübergreifende Umsetzung könnt ihr Kopexa zwei Wochen begleitet am eigenen Arbeitsablauf testen.
Kurz beantwortet
Häufige Fragen
Noch eine Frage offen? Hier findest du die Antworten zum Nachlesen.
Macht ein NIS2-Katalog das Unternehmen automatisch compliant?
Nein. Die tatsächliche Umsetzung, Verantwortlichkeit und Wirksamkeit müssen geprüft werden. Zudem können sektorspezifische Regeln gelten.
Quellen
- BSIG § 28: Anwendungsbereich — Bundesministerium der Justiz [Abgerufen am ]