ISO 27005 und NIS2: Kein Gesetz nennt die Norm — Anhang 2.1.2 Kapitel für Kapitel gemappt
Kein NIS2-Rechtstext nennt ISO 27005 — ENISA nennt sie zweimal, in Fußnoten. Was das für Ihre Risikoanalyse nach § 30 BSIG praktisch bedeutet.
-
-
Zero Trust und NIS2: Null Treffer im BSIG — brauchen Sie wirklich eine neue Zugangsarchitektur?
Im BSIG steht „Zero Trust“ null Mal. Verbindlich ist genau ein Satz der DVO 2024/2690 – und der steht nicht in der Zugriffskontrolle. Was daraus folgt.
-
Tier-2-Lieferanten und NIS2: Die Prüfpflicht endet bei Tier 1 — vier Mechanismen reichen trotzdem tiefer
Das Wort Tier kommt in der NIS2 nicht vor. Warum Ihre Prüfpflicht bei der ersten Lieferantenebene endet — und vier Normen, die Tier 2 trotzdem erreichen.
-
Business-Impact-Analyse (BIA): Was Nummer 4.1.3 verbindlich verlangt — und was nur empfohlen ist
Business-Impact-Analyse: Nummer 4.1.3 der NIS2-Durchführungsverordnung verlangt sie verbindlich. Methode nach BSI 200-4, MTA/RTO/RPO-Herleitung, Nachweise.
-
Schutzziele der Informationssicherheit: Die CIA-Triade nennt drei — NIS2 vier
CIA-Triade und NIS2: Die Richtlinie nennt vier Schutzziele der Informationssicherheit, § 30 BSIG nur drei. Was das für Ihre Schutzbedarfsfeststellung heißt.
-
NIS2 im Compliance Management System verankern: Die 7 Grundelemente des IDW PS 980, auf § 30 BSIG gemappt
NIS2 im Compliance Management System verankern: Welche Pflicht aus § 30 BSIG in welches der sieben IDW-PS-980-Grundelemente gehört — und was im ISMS bleibt.
-
SBOM-Pflicht nach CRA: Was ab 11. Dezember 2027 gilt — und warum NIS2 Artikel 21 sie nie erwähnt
Die SBOM-Pflicht steht im CRA — nicht in NIS2 Artikel 21. Was ab 11.12.2027 gilt, wie tief die Stückliste reichen muss und welche Felder Pflicht sind.
-
Incident Response Plan: Die Vorlage, die 24-Stunden-, 72-Stunden- und Monatsfrist übersteht
24 Stunden, 72 Stunden, ein Monat: die Struktur, die ein Incident Response Plan braucht, damit die BSI-Meldung nach § 32 BSIG vollständig rausgeht.
-
GRC (Governance, Risk & Compliance): Was NIS2 vorschreibt — und welche Säule ohne Frist bleibt
GRC unter NIS2: § 38 BSIG bindet die Governance, § 30 liefert den Risikokatalog — und für die Compliance-Säule nennt das Gesetz keinen Prüfturnus.
-
Ransomware-Angriff: Die 24-Stunden-Frist ans BSI läuft, bevor die Forensik beginnt
Die 24-Stunden-Frist des § 32 BSIG läuft ab Kenntnis — nicht ab der Analyse. Was in den ersten 60 Minuten zählt und was die Erstmeldung wirklich verlangt.
