Welche NIS2-Nachweise sollten Unternehmen vorbereiten? Fünf praktische Bereiche zeigen, wie aus laufendem IT-Betrieb nachvollziehbare Dokumentation entsteht.
Ein Sicherheitskonzept beschreibt, wie ein Unternehmen seine IT schützen will. Ob die vorgesehenen Maßnahmen im Alltag tatsächlich umgesetzt werden, zeigt sich an den Nachweisen aus dem laufenden Betrieb. Wer hat einen Alarm bewertet? Welche Reaktion folgte auf einen Sicherheitsvorfall? Und wurde eine erkannte Schwachstelle behoben?
Gerade im Mittelstand liegen diese Informationen häufig verteilt in verschiedenen Systemen, Tickets und Berichten. Für eine Prüfung müssen sie verständlich zusammengeführt werden. Eine strukturierte Dokumentation sollte deshalb schon im Alltag entstehen.
Für besonders wichtige und wichtige Einrichtungen verlangt § 30 des BSI-Gesetzes geeignete, verhältnismäßige und wirksame Risikomanagementmaßnahmen. Die Einhaltung dieser Verpflichtung ist zu dokumentieren. Zu den Maßnahmen gehören unter anderem die Bewältigung von Sicherheitsvorfällen, der Umgang mit Schwachstellen und die Bewertung der Wirksamkeit des Risikomanagements.
Welche konkreten Nachweise erforderlich sind, hängt vom Unternehmen und den einschlägigen Anforderungen ab. Die folgenden fünf Bereiche sind eine praktische Orientierung für die Vorbereitung. Sie bilden keinen abschließenden gesetzlichen Prüfkatalog.
Ein ausgelöster Alarm sagt zunächst nur, dass ein System eine Auffälligkeit erkannt hat. Für die Nachvollziehbarkeit ist zusätzlich wichtig, wie die Meldung eingeordnet wurde und welche Entscheidung daraus folgte.
Hilfreich sind Einträge zum Zeitpunkt der Meldung, zur zuständigen Person oder Rolle, zur Priorität und zum Bearbeitungsergebnis. Auch die Einstufung als Fehlalarm sollte nachvollziehbar sein. Maßgeblich sind dabei die festgelegten Bewertungs- und Eskalationsregeln.
Bei einem tatsächlichen Vorfall sollte sich der Ablauf rekonstruieren lassen: Welche Systeme waren betroffen? Wann wurde der Vorfall erkannt? Welche Maßnahmen wurden ergriffen und wer hat sie freigegeben?
Ein strukturierter Vorfallsbericht verbindet die technische Zeitleiste mit Entscheidungen, Gegenmaßnahmen und dem Ergebnis. Festgehaltene Erkenntnisse helfen anschließend, vergleichbare Vorfälle besser zu bewältigen.
Unternehmen sollten nachvollziehen können, welche Systeme überwacht werden, welche Zeiträume abgedeckt sind und wie mit Ausfällen oder Überwachungslücken umgegangen wird. Dazu gehören auch Zuständigkeiten und die Erreichbarkeit bei kritischen Meldungen.
Wenn das Sicherheitsmodell eine 24/7-Überwachung vorsieht, sollten Abdeckung und Bearbeitung entsprechend belegbar sein. Eine pauschale Pflicht zu einer bestimmten 24/7-Lösung für jedes betroffene Unternehmen ergibt sich aus § 30 BSIG jedoch nicht.
Eine Liste gefundener Schwachstellen ist ein Ausgangspunkt. Aussagekräftiger wird sie, wenn erkennbar ist, welche Systeme betroffen sind, wie die Risiken priorisiert wurden und wer die Behebung verantwortet.
Ergänzend sollten vereinbarte Fristen, umgesetzte Maßnahmen und die Überprüfung der Behebung dokumentiert werden. Bleibt eine Schwachstelle vorübergehend bestehen, sollte auch die Entscheidung dazu nachvollziehbar sein.
Ein Prozesshandbuch beschreibt den vorgesehenen Ablauf. Tickets, Freigaben, Übungsprotokolle und dokumentierte Überprüfungen zeigen, wie dieser Ablauf tatsächlich angewendet wird.
Solche Belege helfen, Verantwortlichkeiten und Übergaben sichtbar zu machen. Sie unterstützen außerdem die regelmäßige Prüfung, ob die festgelegten Sicherheitsmaßnahmen wirksam sind.
Eine belastbare Dokumentation beginnt mit klaren Regeln: Welche Informationen werden erfasst? Wo werden sie abgelegt? Wer prüft ihre Vollständigkeit? Und wie lange müssen sie unter Berücksichtigung der geltenden Anforderungen aufbewahrt werden?
Automatisierte Erfassung und einheitliche Berichte können den Aufwand reduzieren. Sie ersetzen jedoch nicht die fachliche Bewertung und die Kontrolle, ob alle relevanten Systeme und Abläufe erfasst sind. Fehlende historische Aufzeichnungen lassen sich durch neue Tools nicht nachträglich herstellen.
DSP unterstützt mittelständische Unternehmen dabei, Angriffserkennung, Reaktion und Dokumentation miteinander zu verbinden. Ziel ist eine Struktur, in der relevante Informationen kontinuierlich erfasst und Entscheidungen nachvollziehbar festgehalten werden.
Der erste Schritt ist ein Abgleich: Welche der fünf Nachweisbereiche sind bereits abgedeckt, wo gibt es Lücken und welche Abläufe müssen angepasst werden?
Nutzen Sie die kostenlose NIS2-Expertenberatung von DSP, um Ihre vorhandenen Nachweise und den weiteren Handlungsbedarf gemeinsam zu prüfen.
