Betroffenheit klären
Leistungen, Einrichtungsart, Unternehmensgröße und mögliche Ausnahmen bilden die Grundlage für eine dokumentierte Scope-Prüfung.
NIS-2 Executive Governance
Führungsverantwortung bei Cyberrisiken verstehen und wirksam steuern.
Ein interaktives Executive Training für Geschäftsleitungen, die ihre mögliche Betroffenheit, Risikomanagementpflichten und Entscheidungswege nach NIS-2 strukturiert einordnen wollen.
4 Stunden Executive TrainingOptionales Management-TabletopBSIG §§ 30, 32, 38Keine Rechtsberatung
Für wen
Wenn Cyberrisiken zur Aufgabe der Geschäftsleitung werden.
Entscheidungen vorbereiten
Geschäftswirkung, Risikoprioritäten, Ressourcen und akzeptierte Restrisiken brauchen einen klaren Managementrahmen.
Im Ereignisfall handlungsfähig bleiben
Rollen, Vertretungen, Eskalation und Meldewege müssen funktionieren, wenn der Zeitdruck bereits da ist.
Geschäftsleitungsaufgaben
Der Steuerungsauftrag nach § 38 BSIG.
Risikomanagement veranlassen
Die Geschäftsleitung muss die angemessenen Risikomanagementmaßnahmen nach § 30 BSIG umsetzen lassen und mit Prioritäten und Ressourcen unterlegen.
Umsetzung überwachen
Berichte, Abweichungen und Wirksamkeitsnachweise müssen in regelmäßige Entscheidungen und Reviews einfließen.
Kenntnisse aufbauen
Geschäftsleitungen betroffener Einrichtungen müssen regelmäßig Kenntnisse zur Erkennung und Bewertung von Cyberrisiken sowie zu Risikomanagementpraktiken erwerben.
Trainingsaufbau
Vom Geltungsbereich bis zur beschlussfähigen Managementsteuerung.
Scope und Verantwortung
- Kritische Leistungen und Abhängigkeiten erfassen
- Betroffenheit und offene Prüfpunkte dokumentieren
- Delegation, Bericht und Eskalation klar ordnen
Risiken und Maßnahmen
- Geschäftswirkung statt reiner Technikperspektive bewerten
- Die Mindestbereiche nach § 30 BSIG strukturieren
- Wirksamkeitsnachweise und Managementberichte einordnen
Vorfall und Meldung
- Ereignisse fachlich erfassen und ihre Erheblichkeit prüfen
- Melde- und Eskalationsrollen mit Stellvertretung festlegen
- Die Fristenlogik von 24 Stunden, 72 Stunden und Abschlussmeldung verstehen
Transfer in die Organisation
- Offene Managemententscheidungen priorisieren
- Beschlüsse mit Owner, Termin und Kontrollpunkt dokumentieren
- Optionales Tabletop für eine realistische Entscheidungslage nutzen
Risikomanagement
Die Mindestbereiche nach § 30 BSIG im Managementblick.
Risiko und Governance
Risikoanalyse, Leitlinien, Verantwortung und begründete Risikoakzeptanz schaffen die Entscheidungsbasis.
Vorfall und Wiederanlauf
Incident Handling, Krisenmanagement, Backups und getestete Wiederherstellung richten sich an den kritischen Diensten aus.
Lieferkette und Kontrolle
Dienstleister, Beschaffung, Schwachstellen, Wirksamkeitsprüfung sowie Identitäten und Zugriffe gehören in eine gemeinsame Steuerungslogik.
Meldekette
Fristen helfen nur, wenn Rollen und Freigaben geklärt sind.
Frühe Erstmeldung
Bei einem erheblichen Sicherheitsvorfall ist innerhalb von 24 Stunden nach Kenntniserlangung eine frühe Erstmeldung vorgesehen.
Meldung mit Erstbewertung
Die Meldung aktualisiert die Erstinformationen und enthält eine erste Bewertung von Schweregrad und Auswirkungen.
Abschluss- oder Fortschrittsmeldung
Grundsätzlich folgt die Abschlussmeldung einen Monat nach der 72-Stunden-Meldung. Andauernde Vorfälle erfordern zunächst eine Fortschrittsmeldung.
Die Meldepflichten gelten nach § 32 BSIG frühestens ab Einrichtung des Meldewegs. Die Einordnung eines konkreten Vorfalls und mögliche weitere Pflichten sind stets im Einzelfall zu prüfen.
NIS-2 Management Check
Wo braucht Ihre Geschäftsleitung als Nächstes Klarheit?
Sechs kurze Orientierungsfragen für das Gespräch. Der Check prüft keine rechtliche Betroffenheit und speichert keine Antworten.
Der Check ersetzt keine Scope-Prüfung, Rechtsberatung oder behördliche Meldungsbewertung.
Nächster Schritt
Passt das Executive Training zu Ihrer Ausgangslage?
Im Erstgespräch klären wir Zielgruppe, vorhandene Nachweise, kritische Dienste und ob ein Training, ein Tabletop oder eine weitergehende Governance-Begleitung sinnvoll ist.
Amtliche Grundlage: § 30 BSIG, § 32 BSIG und § 38 BSIG. Das Training bietet keine Rechtsberatung und ist kein BSI-zertifiziertes Training.