Wie Sie mit der NIS2-Umsetzung mithilfe von KI beginnen

Übersicht

Sie erfahren, wie Sie KI nutzen können, um die Umsetzung der NIS2-Richtlinie zu starten – von der Feststellung, ob Ihr Unternehmen betroffen ist, bis hin zum Verständnis der Pflichten für wesentliche und wichtige Einrichtungen, der Genehmigung durch das Leitungsorgan gemäß Artikel 20, der Durchführung einer Gap-Analyse gemäß Artikel 21 und der Erstellung eines umsetzbaren Implementierungsfahrplans mit ISMS Copilot.

Zielgruppe

Dieser Leitfaden richtet sich an:

• CISOs und Compliance-Verantwortliche in Unternehmen, die möglicherweise unter den Geltungsbereich von NIS2 fallen
• Mitglieder des Leitungsorgans, die ihre persönliche Haftung im Rahmen der Richtlinie verstehen müssen
• Sicherheitsberater, die Kunden bei der NIS2-Bereitschaft in EU-Mitgliedstaaten beraten
• IT- und Risikomanager, die für die Operationalisierung der NIS2-Anforderungen verantwortlich sind
• GRC-Teams, die NIS2 neben anderen Rahmenwerken wie ISO 27001, DORA oder GDPR verwalten

Vorbereitungen

Sie benötigen:

• Ein ISMS Copilot-Konto (kostenlose Testversion verfügbar)
• Kenntnisse über die Sektorklassifizierung, Mitarbeiterzahl und den Jahresumsatz Ihres Unternehmens
• Zugriff auf Ihre aktuellen Richtlinien und das Inventar der Informationssicherheitskontrollen (falls verfügbar)
• Kontaktdaten Ihrer nationalen zuständigen Behörde und Ihres CSIRT
• Zugang zur Unternehmensführung für Governance- und Freigabediskussionen

Verständnis von NIS2 und warum KI für die Umsetzung wichtig ist

Was ist die NIS2-Richtlinie?

Die NIS2-Richtlinie ist die aktualisierte Cybersicherheitsgesetzgebung der Europäischen Union und ersetzt die ursprüngliche NIS-Richtlinie (2016/1148). Sie legt umfassende Sicherheits- und Incident-Reporting-Anforderungen für wesentliche und wichtige Einrichtungen in 18 kritischen Sektoren fest. NIS2 erweitert den Kreis der betroffenen Unternehmen erheblich, stärkt Governance und Verantwortlichkeit, harmonisiert Sanktionen in den Mitgliedstaaten und führt strengere Fristen für die Meldung von Vorfällen ein.

NIS2 basiert auf drei zentralen Pflichtensäulen:

• Artikel 20 – Governance: Genehmigung durch das Leitungsorgan, Aufsicht, Schulungen und persönliche Haftung
• Artikel 21 – Risikomanagementmaßnahmen: Zehn Cybersicherheitsbereiche, die alles von der Risikoanalyse bis zur Multi-Faktor-Authentifizierung abdecken
• Artikel 23 – Incident Reporting: 24-Stunden-Vorwarnung, 72-Stunden-Meldung und einmonatiger Abschlussbericht

Die Herausforderung der Umsetzung ohne KI

Die Umsetzung von NIS2 ist anspruchsvoll aufgrund von:

• Komplexität des Geltungsbereichs: Die Feststellung der Anwendbarkeit über Sektoren, Größengrenzen und nationale Umsetzungen erfordert eine detaillierte Analyse
• Breite der Anforderungen: Artikel 21 deckt zehn verschiedene Cybersicherheitsmaßnahmenbereiche ab, die jeweils spezifische Richtlinien, Verfahren und Kontrollen erfordern
• Dokumentationsumfang: Erstellung prüffähiger Richtlinien, Risikobewertungen, Incident-Playbooks und Lieferkettenbewertungen für alle Maßnahmenbereiche
• Mehrjurisdiktionale Komplexität: Unternehmen, die in mehreren EU-Mitgliedstaaten tätig sind, müssen nationale Unterschiede in der Umsetzung verfolgen
• Enge Fristen: Die Durchsetzung ist bereits im Gange, und Aufsichtsbehörden können jederzeit Inspektionen durchführen

Wie ISMS Copilot die NIS2-Umsetzung beschleunigt

ISMS Copilot bietet maßgeschneiderte KI-Unterstützung für NIS2:

• Festlegung des Geltungsbereichs: Analyse Ihres Sektors, Ihrer Größe und Ihrer Dienstleistungen zur Bestimmung der Klassifizierung als wesentliche oder wichtige Einrichtung
• Gap-Analyse: Hochladen bestehender Dokumentation und Identifizierung von Lücken in Bezug auf alle Maßnahmenbereiche von Artikel 21
• Richtlinienerstellung: Entwurf prüffähiger Richtlinien für jeden der zehn geforderten Cybersicherheitsbereiche
• Vorlagen für Incident Reporting: Erstellung von Workflows für 24-Stunden-, 72-Stunden- und Abschlussberichte gemäß Artikel 23
• Lieferkettenbewertungen: Erstellung von Sicherheitsfragebögen und Risikobewertungsrahmen für Lieferanten
• Rahmenwerkspezifisches Wissen: Antworten basierend auf NIS2-Artikeln, Erwägungsgründen und ENISA-Leitlinien – keine generischen Internet-Ergebnisse

Schritt 1: Festlegung Ihres NIS2-Geltungsbereichs

Sektorklassifizierung

NIS2 gilt für mittlere und große Unternehmen (50+ Mitarbeiter ODER Jahresumsatz/Bilanzsumme von 10 Millionen EUR oder mehr), die in 18 festgelegten Sektoren tätig sind. Der erste Schritt besteht darin, zu bestätigen, ob die Aktivitäten Ihres Unternehmens in diese Sektoren fallen.

Wesentliche Einrichtungen (Anhang I – Hohe Kritikalität):

Sektor

Beispiele

Energie

Strom, Fernwärme/-kälte, Öl, Gas, Wasserstoff

Verkehr

Luft-, Schienen-, Wasser-, Straßenverkehrsbetreiber

Bankwesen

Kreditinstitute

Finanzmarktinfrastruktur

Handelsplätze, zentrale Gegenparteien

Gesundheit

Gesundheitsdienstleister, Referenzlabore, pharmazeutische Forschung/Herstellung, Hersteller von Medizinprodukten

Trinkwasser

Wasserversorgung und -verteilung

Abwasser

Sammlung, Entsorgung, Behandlung von Abwasser

Digitale Infrastruktur

IXPs, DNS-Anbieter, TLD-Registries, Cloud-/Rechenzentren/CDNs, Vertrauensdiensteanbieter, Telekommunikation

ICT-Dienstleistungsmanagement (B2B)

Managed Service Provider, Managed Security Service Provider

Öffentliche Verwaltung

Zentrale und regionale Regierungsstellen

Weltraum

Betreiber bodengestützter Infrastruktur

Wichtige Einrichtungen (Anhang II):

Sektor

Beispiele

Post- und Kurierdienste

Universaldienstleister, Expresslieferdienste

Abfallwirtschaft

Betreiber von gefährlichen und ungefährlichen Abfällen

Chemikalien

Herstellung und Vertrieb von Chemikalien

Lebensmittel

Produktion, Verarbeitung, Vertrieb von Lebensmitteln

Fertigung

Medizinprodukte, IVDs, Elektronik, Optik, elektrische Geräte, Maschinen, Kraftfahrzeuge, Transportausrüstung

Digitale Anbieter

Online-Marktplätze, Suchmaschinen, Social-Media-Plattformen

Forschungsorganisationen

Forschungseinrichtungen (wenn Ergebnisse kommerziell genutzt werden)

Nutzung von KI zur Festlegung des Geltungsbereichs

1. Öffnen Sie ISMS Copilot unter chat.ismscopilot.com

2. Führen Sie eine Geltungsbereichsbewertung durch:

   "Bewerten Sie, ob unser Unternehmen unter den Geltungsbereich von NIS2 fällt. Wir sind ein Unternehmen aus dem [Sektor] mit [Anzahl] Mitarbeitern und einem Jahresumsatz von EUR [Betrag], tätig in [EU-Mitgliedstaaten]. Unsere Hauptaktivitäten umfassen [Beschreibung der Dienstleistungen]. Bestimmen Sie, ob wir als wesentliche oder wichtige Einrichtung gelten, welcher Mitgliedstaat zuständig ist und welche spezifischen Pflichten gelten."

3. Prüfen Sie Sonderfälle:

   "Wir liegen unter den standardmäßigen NIS2-Größengrenzen, bieten aber [Beschreibung der kritischen Dienstleistung] an. Könnten wir dennoch unter Artikel 2-Ausnahmen oder nationale Umsetzungsbestimmungen fallen? Welche Kriterien würden eine Einbeziehung auslösen?"

4. Dokumentieren Sie die Entscheidung zum Geltungsbereich:

   "Erstellen Sie eine formelle NIS2-Geltungsbereichserklärung für unser Unternehmen, die Folgendes dokumentiert: Sektorklassifizierung, Analyse der Größengrenzen, Einstufung der Einrichtung (wesentlich/wichtig), zuständiger Mitgliedstaat und die Begründung für unsere Entscheidung. Formatieren Sie dies als prüffähiges Dokument."

Schritt 2: Verstehen des Unterschieds zwischen den Pflichten wesentlicher und wichtiger Einrichtungen

Warum die Klassifizierung wichtig ist

Ihre Klassifizierung als wesentliche oder wichtige Einrichtung bestimmt direkt Ihr Aufsichtsregime, das Strafmaß und die Intensität der Pflichten unter NIS2.

Aspekt

Wesentliche Einrichtungen

Wichtige Einrichtungen

Aufsicht

Proaktiv (ex ante) – Behörden können jederzeit prüfen

Reaktiv (ex post) – Behörden untersuchen nach Vorfällen oder Hinweisen auf Nichteinhaltung

Höchststrafen

10 Mio. EUR oder 2 % des globalen Jahresumsatzes, je nachdem, welcher Betrag höher ist

7 Mio. EUR oder 1,4 % des globalen Jahresumsatzes, je nachdem, welcher Betrag höher ist

Haftung des Leitungsorgans

Persönliche Haftung für Mitglieder des Leitungsorgans

Persönliche Haftung für Mitglieder des Leitungsorgans

Art. 21-Maßnahmen

Vollständige Umsetzung aller zehn Maßnahmenbereiche

Vollständige Umsetzung aller zehn Maßnahmenbereiche (angemessen zum Risiko)

Incident Reporting

24h/72h/1 Monat-Meldung an das CSIRT

24h/72h/1 Monat-Meldung an das CSIRT

Zusätzliche Durchsetzungsmaßnahmen

Aussetzung von Zertifizierungen, Verbot von Leitungsfunktionen

Warnungen, verbindliche Anweisungen, Anordnungen zur Einhaltung

Analyse der Pflichten mit KI

Bitten Sie ISMS Copilot, die spezifischen Pflichten für Ihre Klassifizierung aufzuschlüsseln:

"Wir wurden als [wesentliche/wichtige] Einrichtung unter NIS2 in [Mitgliedstaat] klassifiziert. Erstellen Sie eine umfassende Pflichtenmatrix, die Folgendes zeigt: jede Anforderung aus Artikel 20, 21 und 23, was wir konkret umsetzen müssen, das Aufsichts- und Durchsetzungsregime, dem wir unterliegen, und die Strafen für die Nichteinhaltung in jedem Pflichtenbereich."

Schritt 3: Genehmigung durch das Leitungsorgan und Behandlung der persönlichen Haftung

Warum die Governance nach Artikel 20 an erster Stelle steht

Artikel 20 von NIS2 verlangt, dass das Leitungsorgan (Vorstand, Geschäftsführung oder ein gleichwertiges Gremium) die Maßnahmen zum Management von Cybersicherheitsrisiken formal genehmigt und deren Umsetzung überwacht. Dies ist keine Option – es handelt sich um eine gesetzliche Pflicht mit persönlicher Haftung.

Konkret verlangt Artikel 20:

• Mitglieder des Leitungsorgans müssen die gemäß Artikel 21 verabschiedeten Maßnahmen zum Management von Cybersicherheitsrisiken genehmigen
• Mitglieder des Leitungsorgans müssen die Umsetzung dieser Maßnahmen überwachen
• Mitglieder des Leitungsorgans können für Verstöße persönlich haftbar gemacht werden
• Mitglieder des Leitungsorgans müssen an Cybersicherheitsschulungen teilnehmen und regelmäßige Schulungen für Mitarbeiter fördern

Erstellung der Management-Präsentation mit KI

1. Erstellen Sie eine präsentationstaugliche Unterlage für das Leitungsorgan:

   "Erstellen Sie eine Executive-Briefing zu den Pflichten der NIS2-Richtlinie für das Leitungsorgan eines Unternehmens aus dem [Sektor], das als [wesentliche/wichtige] Einrichtung klassifiziert ist. Behandeln Sie: Was NIS2 speziell vom Leitungsorgan verlangt, die Bestimmungen zur persönlichen Haftung gemäß Artikel 20, die Strafen, denen wir ausgesetzt sind (bis zu EUR [10M/7M] oder [2%/1,4%] des globalen Umsatzes), das Aufsichtsregime und welche Entscheidungen auf Vorstandsebene genehmigt werden müssen. Formatieren Sie dies für eine 30-minütige Vorstandspräsentation."

2. Entwerfen Sie einen Beschluss des Leitungsorgans:

   "Entwerfen Sie einen formellen Beschluss des Leitungsorgans zur Genehmigung der Einführung von Maßnahmen zum Management von Cybersicherheitsrisiken gemäß NIS2 für unser Unternehmen. Enthalten sein sollten: Anerkennung der NIS2-Pflichten, Genehmigung des Rahmens für das Management von Cybersicherheitsrisiken, Benennung verantwortlicher Personen, Verpflichtung zur kontinuierlichen Aufsicht und Schulung sowie die Freigabe der erforderlichen Ressourcen."

3. Erstellen Sie einen Schulungsplan für das Leitungsorgan:

   "Gestalten Sie ein Cybersicherheitsschulungsprogramm für Mitglieder des Leitungsorgans, das die Schulungsanforderungen von Artikel 20 der NIS2 erfüllt. Enthalten sein sollten: NIS2-spezifische Governance-Pflichten, Grundlagen des Cyberrisikos für nicht-technische Führungskräfte, Verantwortlichkeiten im Incident Reporting, Aufsicht über Lieferkettenrisiken und die Bewertung von Cybersicherheitsberichten. Geben Sie Dauer, Häufigkeit und Dokumentation der Nachweise an."

Schritt 4: Durchführung einer Gap-Analyse gemäß Artikel 21

Verständnis der zehn Maßnahmenbereiche

Artikel 21(2) verlangt von Unternehmen, Maßnahmen zum Management von Cybersicherheitsrisiken umzusetzen, die mindestens folgende zehn Bereiche abdecken:

1. (a) Richtlinien zur Risikoanalyse und Sicherheit von Informationssystemen
2. (b) Incident-Handling
3. (c) Geschäftskontinuität, einschließlich Backup-Management, Notfallwiederherstellung und Krisenmanagement
4. (d) Sicherheit der Lieferkette, einschließlich sicherheitsrelevanter Aspekte der Beziehungen zu direkten Lieferanten und Dienstleistern
5. (e) Sicherheit bei der Beschaffung, Entwicklung und Wartung von Netzwerk- und Informationssystemen, einschließlich der Behandlung von Schwachstellen und deren Offenlegung
6. (f) Richtlinien und Verfahren zur Bewertung der Wirksamkeit von Maßnahmen zum Management von Cybersicherheitsrisiken
7. (g) Grundlegende Cybersicherheitshygiene und Cybersicherheitsschulungen
8. (h) Richtlinien und Verfahren zur Nutzung von Kryptografie und, wo angemessen, Verschlüsselung
9. (i) Sicherheit im Personalwesen, Zugriffskontrollrichtlinien und Asset-Management
10. (j) Nutzung von Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierungslösungen, gesicherte Sprach-/Video-/Textkommunikation und gesicherte Notfallkommunikationssysteme

Durchführung der Gap-Analyse mit KI

1. Bereiten Sie Ihr aktuelles Inventar vor: Bevor Sie die Gap-Analyse durchführen, sammeln Sie Ihre bestehenden Richtlinien, Risikobewertungen, Incident-Response-Pläne, Business-Continuity-Pläne und alle Dokumentationen zu Sicherheitskontrollen.

2. Dokumente hochladen und Analyse durchführen:

   "Ich lade unsere aktuelle Dokumentation zur Informationssicherheit hoch. Führen Sie eine umfassende Gap-Analyse in Bezug auf alle zehn Maßnahmenbereiche von NIS2 Artikel 21(2) durch. Bewerten Sie für jeden Bereich: (1) ob wir eine dokumentierte Richtlinie oder ein Verfahren haben, (2) ob der Inhalt der Richtlinie den NIS2-Anforderungen entspricht, (3) ob es Nachweise für die Umsetzung gibt, (4) spezifische identifizierte Lücken, (5) Risikostufe der Lücke (Kritisch/Hoch/Mittel/Niedrig) und (6) empfohlene Maßnahmen zur Behebung mit geschätztem Aufwand."

3. Falls keine bestehende Dokumentation vorhanden ist:

   "Wir beginnen die NIS2-Umsetzung von Grund auf ohne bestehende Cybersicherheitsrichtlinien. Erstellen Sie eine Baseline-Gap-Analyse, die alle zehn Maßnahmenbereiche von Artikel 21(2) als nicht konform ausweist, zusammen mit einem priorisierten Maßnahmenplan. Beschreiben Sie für jeden Bereich, welche Dokumentation, Kontrollen und Nachweise wir erstellen müssen, und schätzen Sie den Aufwand für ein Unternehmen der Größe [Unternehmensgröße] im Sektor [Sektor]."

4. Erstellen Sie den Gap-Analyse-Bericht:

   "Formatieren Sie die Ergebnisse der Gap-Analyse als formellen NIS2-Gap-Analyse-Bericht mit: Executive Summary, Methodik, detaillierten Ergebnissen pro Maßnahmenbereich von Artikel 21(2), Gesamtbewertung der Compliance-Reife, priorisiertem Maßnahmenplan mit Zeitplan und Ressourcenanforderungen. Dieser Bericht wird unserem Leitungsorgan zur Genehmigung vorgelegt."

Schritt 5: Einrichten Ihres ISMS Copilot-Arbeitsbereichs für NIS2

Warum ein dedizierter Arbeitsbereich wichtig ist

Ein dedizierter NIS2-Arbeitsbereich in ISMS Copilot stellt sicher, dass jede KI-Antwort auf Ihren NIS2-Umsetzungskontext zugeschnitten ist, hält Ihre Projektgespräche und hochgeladenen Dokumente organisiert und schafft eine Prüfspur Ihrer Compliance-Arbeiten.

Erstellen Ihres NIS2-Arbeitsbereichs

1. Melden Sie sich bei ISMS Copilot unter chat.ismscopilot.com an
2. Klicken Sie auf das Arbeitsbereichs-Dropdown-Menü in der Seitenleiste
3. Wählen Sie "Neuen Arbeitsbereich erstellen"
4. Benennen Sie Ihren Arbeitsbereich nach einer klaren Konvention:

• "NIS2-Umsetzung – [Firmenname]"
• "NIS2-Compliance – [Kundenname] – [Mitgliedstaat]"
• "NIS2 [Wesentliche/Wichtige] Einrichtung – [Sektor]"

5. Legen Sie benutzerdefinierte Anweisungen fest, um alle Antworten anzupassen:

Fokus auf die Einhaltung der NIS2-Richtlinie (EU 2022/2555).

Organisationskontext:
- Sektor: [z. B. Energie, Gesundheitswesen, digitale Infrastruktur, Fertigung]
- Klassifizierung der Einrichtung: [wesentlich / wichtig]
- Größe: [Mitarbeiterzahl, Jahresumsatz]
- EU-Mitgliedstaat(en): [Hauptzuständigkeit und andere Betriebsstaaten]
- Nationales Umsetzungsgesetz: [Name des nationalen Gesetzes, falls bekannt]
- Aktueller Reifegrad: [von Grund auf neu / ISO 27001 vorhanden / teilweise Kontrollen vorhanden]

Projektumfang:
- Ziel-Compliance-Datum: [Datum]
- Hauptlücken: [Liste der wichtigsten Bereiche aus der Gap-Analyse]
- Wichtige Stakeholder: [CISO, Vorstand, Recht, IT, Betrieb]

Präferenzen:
- Betonung prüffähiger Ergebnisse mit Verweisen auf NIS2-Artikel
- Hervorhebung der Pflichten des Leitungsorgans gemäß Artikel 20
- Berücksichtigung nationaler Umsetzungsaspekte, wo relevant
- Abstimmung mit ISO 27001, wo für Unternehmen, die beide anstreben, anwendbar

Schritt 6: Erstellen Sie Ihren NIS2-Umsetzungsfahrplan

Verständnis der Umsetzungsphasen

Die NIS2-Umsetzung folgt typischerweise diesen Phasen:

Phase

Wichtige Aktivitäten

Typische Dauer

Wichtige Ergebnisse

1. Geltungsbereich und Governance

Festlegung des Geltungsbereichs, Briefing des Leitungsorgans, Beschluss, Governance-Rahmen

2-4 Wochen

Geltungsbereichserklärung, Vorstandsbeschluss, Governance-Charta

2. Gap-Analyse

Bewertung des Ist-Zustands gegenüber allen Art. 21-Bereichen, Überprüfung der nationalen Umsetzung

3-6 Wochen

Gap-Analyse-Bericht, priorisierter Maßnahmenplan

3. Risikobewertung

All-Gefahren-Risikoanalyse, Asset-Identifizierung, Bedrohungslandschaft, Risikobehandlung

4-8 Wochen

Risikomethodik, Risikoregister, Risikobehandlungsplan

4. Entwicklung von Richtlinien und Verfahren

Erstellung von Richtlinien für alle zehn Art. 21-Maßnahmenbereiche

6-10 Wochen

Zehn Richtliniendokumente, unterstützende Verfahren

5. Technische Umsetzung

Implementierung von Kontrollen: MFA, Verschlüsselung, Überwachung, Backup, Zugriffskontrollen

8-16 Wochen

Nachweise der Kontrollimplementierung, Konfigurationsaufzeichnungen

6. Incident-Response-Bereitschaft

Erstellung von Melde-Workflows, Vorlagen, Playbooks, CSIRT-Registrierung

3-5 Wochen

Incident-Klassifizierungsmatrix, Meldevorlagen, Playbooks

7. Sicherheit der Lieferkette

Lieferantenbewertungen, Fragebögen, Vertragsaktualisierungen

4-8 Wochen

Lieferantenrisikoregister, Fragebögen, Vertragsklauseln

8. Schulung und Sensibilisierung

Schulung des Leitungsorgans, Cybersicherheitshygiene für Mitarbeiter, rollenbasierte Schulungen

2-4 Wochen

Schulungsmaterialien, Anwesenheitsnachweise, Kompetenzbewertungen

9. Wirksamkeitstests

Kontrolltests, Schwachstellenbewertungen, Tabletop-Übungen

3-6 Wochen

Testergebnisse, Korrekturmaßnahmenpläne

10. Registrierung bei der Behörde und laufende Compliance

Registrierung bei der nationalen Behörde, Einrichtung kontinuierlicher Überwachung

2-3 Wochen

Registrierungsbestätigung, Überwachungsverfahren

Erstellung Ihres Fahrplans mit KI

1. Erstellen Sie einen maßgeschneiderten Umsetzungsplan:

   "Erstellen Sie einen detaillierten NIS2-Umsetzungsfahrplan für unser Unternehmen aus dem [Sektor] ([Mitarbeiterzahl] Mitarbeiter, klassifiziert als [wesentliche/wichtige] Einrichtung in [Mitgliedstaat]). Wir haben derzeit [Beschreibung bestehender Kontrollen: z. B. ISO 27001-zertifiziert / kein formelles ISMS / einige Richtlinien vorhanden]. Enthalten sein sollten: Phasenaufschlüsselung, wichtige Meilensteine, Ressourcenanforderungen, Abhängigkeiten zwischen den Phasen und kritische Pfadelemente. Ziel ist die vollständige Compliance bis [Datum]."

2. Identifizieren Sie Quick Wins:

   "Basierend auf unserer NIS2-Gap-Analyse identifizieren Sie die Top 10 Quick Wins, die wir in den ersten 30 Tagen erreichen können, um unserem Leitungsorgan Fortschritte zu demonstrieren. Konzentrieren Sie sich auf Maßnahmen mit hoher Wirkung und geringem Aufwand, die gleichzeitig die kritischsten Compliance-Lücken schließen."

3. Erstellen Sie den Ressourcenplan:

   "Schätzen Sie die internen und externen Ressourcen, die für die NIS2-Umsetzung in einem [Unternehmensgröße] [Sektor]-Unternehmen benötigt werden. Enthalten sein sollten: FTE-Anforderungen nach Rolle (CISO, Sicherheitsanalyst, IT, Recht, Projektmanager), potenzieller Bedarf an externen Beratern, Technologieinvestitionen und Schulungsbudget. Geben Sie eine Kostenschätzung an."

4. Erstellen Sie einen Kommunikationsplan für Stakeholder:

   "Entwickeln Sie einen Kommunikationsplan für Stakeholder für unser NIS2-Umsetzungsprojekt. Enthalten sein sollten: Kernbotschaften für das Leitungsorgan, Abteilungsleiter, IT-Team, Recht und alle Mitarbeiter. Definieren Sie Kommunikationshäufigkeit, Kanäle und Eskalationswege für jede Phase des Fahrplans."

Schritt 7: Registrierung bei Ihrer nationalen zuständigen Behörde

Verständnis der Registrierungsanforderungen

NIS2 verlangt von wesentlichen und wichtigen Einrichtungen, sich bei der zuständigen nationalen Behörde ihres Mitgliedstaats zu registrieren. Der Registrierungsprozess variiert je nach Mitgliedstaat, erfordert jedoch typischerweise:

• Name, Adresse und Registrierungsnummer des Unternehmens
• Sektor- und Untersektorklassifizierung
• Kontaktdaten der benannten Kontaktperson
• EU-Mitgliedstaaten, in denen die Einrichtung tätig ist
• IP-Adressbereiche (für bestimmte digitale Infrastruktureinrichtungen)

Nutzung von KI zur Vorbereitung der Registrierung

"Bereiten Sie die Informationen vor, die für die Registrierung einer NIS2-Einrichtung bei der zuständigen Behörde in [Mitgliedstaat] erforderlich sind. Unsere Unternehmensdaten sind: [Firmenname, Registrierungsnummer, Sektor, Dienstleistungen, tätige Mitgliedstaaten angeben]. Erstellen Sie eine Checkliste aller Informationen, die wir sammeln müssen, und entwerfen Sie die Registrierungsmeldung."

Abgleich von NIS2 mit bestehenden Rahmenwerken

Nutzung von ISO 27001 für NIS2

Wenn Ihr Unternehmen bereits ISO 27001-zertifiziert ist oder den Standard umsetzt, haben Sie einen erheblichen Vorsprung bei der NIS2-Compliance. Viele Maßnahmenbereiche von Artikel 21 entsprechen direkt den ISO 27001-Kontrollen.

Bitten Sie ISMS Copilot, eine Zuordnung zu erstellen:

"Erstellen Sie eine detaillierte Zuordnung zwischen den Maßnahmenbereichen von NIS2 Artikel 21 und den ISO 27001:2022 Annex A-Kontrollen. Zeigen Sie für jede NIS2-Anforderung: den entsprechenden ISO 27001-Abschnitt oder die entsprechende Kontrolle, Lücken, in denen ISO 27001 die NIS2-Anforderungen nicht vollständig abdeckt, und zusätzliche Maßnahmen, die für die NIS2-Compliance erforderlich sind."

Abstimmung mit DORA

Unternehmen aus dem Finanzsektor können sowohl NIS2 als auch dem Digital Operational Resilience Act (DORA) unterliegen. Artikel 4 von NIS2 enthält eine Lex-specialis-Bestimmung, die besagt, dass dort, wo DORA gleichwertige oder strengere Anforderungen stellt, diese Vorrang haben.

"Unser Unternehmen unterliegt sowohl NIS2 als auch DORA. Erstellen Sie eine Compliance-Überlappungsanalyse, die zeigt, welche NIS2-Anforderungen vollständig von DORA abgedeckt werden, welche zusätzliche NIS2-spezifische Maßnahmen erfordern und wie ein einheitliches Compliance-Programm strukturiert werden kann, das beide Rahmenwerke erfüllt."

Nächste Schritte in Ihrer NIS2-Umsetzung

Sie haben nun die Grundlage für Ihre NIS2-Umsetzung geschaffen:

• Geltungsbereich festgelegt und dokumentiert
• Klassifizierung der Einrichtung bestätigt
• Leitungsorgan informiert und Beschluss genehmigt
• Gap-Analyse gemäß Artikel 21 abgeschlossen
• ISMS Copilot-Arbeitsbereich konfiguriert
• Umsetzungsfahrplan erstellt

Fahren Sie mit den nächsten Leitfäden dieser Reihe fort:

• Risikobewertung: Siehe Wie Sie eine NIS2-Risikobewertung mit KI durchführen für eine detaillierte Anleitung zur All-Gefahren-Risikoanalyse, Asset-Identifizierung und Risikobehandlung gemäß Artikel 21
• Richtlinienerstellung: Siehe Wie Sie NIS2-Cybersicherheitsrichtlinien mit KI erstellen für eine Schritt-für-Schritt-Anleitung zur Erstellung von Richtlinien für jeden der zehn Maßnahmenbereiche von Artikel 21
• Incident Reporting: Siehe Wie Sie NIS2-Incident Reporting mit KI umsetzen für Artikel 23-Compliance, Melde-Workflows und Playbooks
• Sicherheit der Lieferkette: Siehe Wie Sie die NIS2-Lieferkettensicherheit mit KI verwalten für Lieferantenbewertungen, Fragebögen und vertragliche Anforderungen

Für einsatzbereite Prompts zu allen NIS2-Bereichen erkunden Sie die NIS2-Richtlinien-Prompt-Bibliothek. Für einen umfassenden Überblick über die NIS2-Anforderungen siehe den NIS2-Compliance-Leitfaden für betroffene Unternehmen.

Hilfe erhalten

Für zusätzliche Unterstützung bei Ihrer NIS2-Umsetzung:

• Fragen Sie ISMS Copilot: Nutzen Sie Ihren dedizierten NIS2-Arbeitsbereich für laufende Fragen, während Sie jede Phase durchlaufen
• Dokumente hochladen: Erhalten Sie KI-gestützte Gap-Analysen zu bestehenden Sicherheitsrichtlinien, Risikobewertungen oder Kontrollinventaren
• Rahmenwerk-Fragen: Stellen Sie spezifische Fragen zu NIS2-Artikeln, Erwägungsgründen oder nationalen Umsetzungsanforderungen
• Abstimmung mehrerer Rahmenwerke: Erhalten Sie Anleitungen zur Abstimmung von NIS2 mit ISO 27001, DORA, GDPR oder anderen anwendbaren Rahmenwerken