NIS2 im Compliance Management System verankern: Welche Pflicht aus § 30 BSIG in welches der sieben IDW-PS-980-Grundelemente gehört — und was im ISMS bleibt.
Die SBOM-Pflicht steht im CRA — nicht in NIS2 Artikel 21. Was ab 11.12.2027 gilt, wie tief die Stückliste reichen muss und welche Felder Pflicht sind.
24 Stunden, 72 Stunden, ein Monat: die Struktur, die ein Incident Response Plan braucht, damit die BSI-Meldung nach § 32 BSIG vollständig rausgeht.
GRC unter NIS2: § 38 BSIG bindet die Governance, § 30 liefert den Risikokatalog — und für die Compliance-Säule nennt das Gesetz keinen Prüfturnus.
Die 24-Stunden-Frist des § 32 BSIG läuft ab Kenntnis — nicht ab der Analyse. Was in den ersten 60 Minuten zählt und was die Erstmeldung wirklich verlangt.
Das Wort Phishing steht 0-mal im BSIG — die Schulung ist trotzdem Pflicht. Woher sie kommt, woran Ihre Leute Phishing erkennen, was messbar wirkt.
Was ist ein ISMS? Definition, Aufbau in vier Bausteinen — und warum das Wort im BSIG null Mal vorkommt, § 30 Absatz 1 Satz 3 es aber trotzdem verlangt.
§ 30 BSIG nennt den Penetrationstest kein einziges Mal. Was CIR Anhang 6.5 stattdessen verlangt — plus Ablauf, Anbieterprüfung und Kosten 2026.
IEC 62443 ist keine Pflicht — aber § 30 BSIG verlangt, sie zu berücksichtigen. Welche Normteile Sie als Betreiber brauchen und welche Ihr Lieferant schuldet.
NIS2-Schulung für Geschäftsführer: nicht delegierbar, nicht bußgeldbewehrt – aber nach §§ 61, 62 BSIG direkt prüfbar. Was § 38 Abs. 3 wirklich verlangt.
