Compliance-Lexikon · NIS-2
Meldepflicht NIS-2 – Praxis
Meldepflicht NIS-2 wird von Auditoren nicht danach bewertet, ob das Thema bekannt ist, sondern ob eine belastbare, datierte Umsetzung nachweisbar ist. Dieser Artikel zeigt, was konkret vorzubereiten ist.
Was Auditoren konkret prüfen
Der Auditor erwartet keinen theoretischen Idealzustand, sondern einen nachvollziehbaren Prozess mit Verantwortlichkeiten, Fristen und Nachweisen. Ist eindeutig geregelt, welche Vorfälle als „erheblich“ im Sinne von § 32 BSIG gelten und damit meldepflichtig sind?
Häufige Fehler in der Praxis
- Erheblichkeitskriterien existieren nicht, jede Entscheidung erfolgt ad hoc
- Meldungen werden verspätet abgesetzt, weil interne Freigaben zu lange dauern
- Vorfälle bei Dienstleistern werden nicht in die eigene Meldepflicht einbezogen
Praxis-Tipp
Im Zweifel gilt: lieber frühzeitig vorläufig melden als die 24-Stunden-Frist wegen interner Abstimmung zu verspäten. Eine Korrektur der Meldung ist jederzeit möglich.
Was als erheblicher Vorfall gilt
Ein Vorfall gilt in der Regel als erheblich, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht hat oder verursachen kann, oder wenn er andere Personen oder Einrichtungen erheblich schädigen kann. Die konkrete Schwelle sollte unternehmensspezifisch definiert und regelmäßig anhand realer Fälle geschärft werden.
Evidence-Anforderungen im Audit
Vorzulegen sind in der Regel: Dokumentierte Erheblichkeitskriterien, Beispielfälle für Schulungszwecke, Nachweis durchgeführter Meldungen oder Tests. Eine strukturierte Ablage dieser Nachweise erspart im Audit-Fall zeitraubende Nachrecherchen.
Nächster Schritt
Compliance-Stresstest starten
Kostenloser Stresstest auf Basis der BAM-Objekte – unverbindlich, 20 Minuten.
Die strategische Einordnung – warum Meldepflicht NIS-2 über die technische Umsetzung hinaus Bedeutung hat – findet sich auf Ebene 3.