NIS2 Risikomanagement-Paket

Beschreibung

Sie sollten keine eigene Risikomethodik erfinden müssen, nur um Ihre Konzepte zur Risikoanalyse nach § 30 Abs. 2 Nr. 1 BSIG (Art. 21 Abs. 2 lit. a NIS2) nachvollziehbar zu dokumentieren. Das Risikomanagement-Paket liefert Ihnen eine durchgängige Risikokette — Bewertungsmethodik, Risikoregister, Behandlungsplan und die formale Akzeptanz von Restrisiken — zugeordnet Art. 21 Abs. 2 lit. a NIS2 und Anhang Nr. 2 der Durchführungsverordnung (EU) 2024/2690, editierbar und auf Deutsch.

Wenn das BSI nach Ihrer Risikoanalyse fragt

Sie sind vermutlich nicht zufällig hier gelandet. § 30 BSIG verpflichtet besonders wichtige und wichtige Einrichtungen, geeignete, verhältnismäßige und wirksame Maßnahmen zur Beherrschung von IT-Sicherheitsrisiken zu ergreifen — an erster Stelle nennt Abs. 2 Nr. 1 „Konzepte in Bezug auf die Risikoanalyse“. Die Einhaltung ist nach Abs. 1 Satz 3 zu dokumentieren. Für Cloud-, Rechenzentrums-, DNS- und Managed-Service-Anbieter und die weiteren in § 30 Abs. 3 BSIG genannten Einrichtungsarten legt Anhang Nr. 2 der Durchführungsverordnung (EU) 2024/2690 verbindlich fest, was dazugehört: eine Risikomanagementmethodik, Risikokriterien, dokumentierte Risikobewertungen, ein Risikobehandlungsplan und die Akzeptanz der Restrisiken durch die Leitungsorgane. Für alle anderen Einrichtungen ist sie eine gute Orientierung.

Die Angst gilt nicht der Regulierung selbst — sie gilt dem leeren Blatt. Sie wollen nicht drei Wochenenden in eine selbstgebaute Methodik investieren, nur damit ein Prüfer Ihre informell geführte Risikoliste zurückweist, weil kein definiertes Bewertungskriterium dahintersteht, kein konsistentes Register existiert und keine unterschriebene Akzeptanz für die Risiken vorliegt, die Sie bewusst in Kauf genommen haben. Ohne eine nachvollziehbare Kette lässt sich Ihre Risikoanalyse nur schwer belegen — egal wie gut Ihre tatsächlichen Maßnahmen sind. Auch die Geschäftsleitung ist gefordert: Nach § 38 BSIG muss sie die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen; bei schuldhafter Pflichtverletzung haftet sie der Einrichtung nach Gesellschaftsrecht. Bußgelder nach § 65 BSIG richten sich gegen die Einrichtung: Werden Maßnahmen nach § 30 nicht ergriffen oder nicht dokumentiert, drohen bis zu 10 Mio. € (besonders wichtige) bzw. bis zu 7 Mio. € (wichtige Einrichtungen); nur bei mehr als 500 Mio. € Gesamtumsatz bis zu 2 % bzw. 1,4 % des weltweiten Umsatzes.

Sie sollten nicht zur Risikomethodik-Autorin oder zum -Autor werden müssen, nur um zu belegen, dass Sie Risiken aktiv steuern. Diese Arbeit ist bereits strukturiert — Sie brauchen sie nur noch in der Hand.

Sie sind nicht die Erste, die vor dieser Lücke steht

Wenn Sie die NIS2-Richtlinie gelesen, die BSI-Hinweise durchsucht und den Abstand zwischen „Risikoanalyse dokumentieren“ und einem belastbaren Dokumentensatz gespürt haben — genau für Sie ist dieses Paket gebaut. Das Schwierige ist nicht zu wissen, dass Sie eine Risikomethodik brauchen. Das Schwierige ist, diese Anforderung ohne Beratertagessatz in etwas Belastbares zu verwandeln.

Jede Vorlage ist einem Artikel oder CIR-Abschnitt zugeordnet, folgt einer konsistenten Struktur (Zweck, Geltungsbereich, Definitionen, Verantwortlichkeiten, Anforderungen, Ausnahmen, Überwachung, Referenzen) und enthält vorausgefüllte Verantwortlichkeiten-Tabellen sowie rot markierte Platzhalter für Ihre unternehmensspezifischen Angaben — damit das, was Sie dem Prüfer vorlegen, wie eine durchdachte Methodik wirkt und nicht wie ein zusammengeflicktes Dokument.

Die Dokumente, die Ihre Risikokette schließen

Sie erhalten acht aufeinander abgestimmte Kern-Vorlagen für Art. 21 Abs. 2 lit. a NIS2 (Risikoanalyse) und lit. f (Wirksamkeitsbewertung) — von der Methodik bis zur laufenden Wirksamkeitsmessung. Kein Dokument steht für sich allein: Jedes verweist auf das nächste und schließt so die logischen Lücken zwischen Bewertung, Behandlung und Freigabe.

• Dok. 04 — Informationssicherheitsleitlinie: Rahmendokument, das Geltungsbereich, Ziele und Verantwortlichkeiten der Informationssicherheit festlegt — die Grundlage, auf die alle weiteren Dokumente verweisen.
• Dok. 05 — Risikobewertungsmethodik: Definiert Ihre Bewertungskriterien (5×5-Matrix: Auswirkung × Eintrittswahrscheinlichkeit), Risikostufen und Akzeptanzkriterien, orientiert an Anhang Nr. 2.1.2 CIR — damit jede Bewertung wiederholbar und nachvollziehbar bleibt.
• Dok. 06 — Risikobewertungstabelle (Excel): Vorstrukturiertes Risikoregister zur Erfassung identifizierter Risiken mit Wahrscheinlichkeit, Auswirkung, bestehenden Kontrollen und berechnetem Risikoniveau.
• Dok. 07 — Risikobehandlungstabelle (Excel): Ordnet jedem Risiko eine Behandlungsoption zu (Vermeiden, Behandeln, Transferieren, Akzeptieren) — mit Maßnahmenbeschreibung, Verantwortlichen und Terminen.
• Dok. 08 — Akzeptanz von Restrisiken: Formales Freigabedokument für bewusst akzeptierte Risiken — dokumentiert die Entscheidung der Geschäftsleitung bzw. der befugten Risikoverantwortlichen, wie sie Anhang Nr. 2.1.1 CIR vorsieht.
• Dok. 09 — Risikobewertungs- und Behandlungsbericht: Fasst den gesamten Bewertungszyklus als Bericht an die Geschäftsleitung zusammen — und als Nachweisunterlage für interne Prüfungen und Anfragen der Aufsicht.
• Dok. 10 — Risikobehandlungsplan: Priorisierte Maßnahmenliste mit Terminen, Zuständigkeiten und Umsetzungsstatus — zeigt dem Prüfer, dass Risiken aktiv gesteuert werden.
• Dok. 46 — Methodik zur Messung der Cybersicherheitsreife: Reifegradmodell und KPI-Katalog zur laufenden Messung der Wirksamkeit Ihrer Sicherheitsmaßnahmen, zugeordnet Art. 21 Abs. 2 lit. f NIS2, § 30 Abs. 2 Nr. 6 BSIG und Anhang Nr. 7 CIR.

Zusammen bilden diese acht Dokumente einen geschlossenen Kreislauf: Methodik festlegen → Risiken bewerten → Behandlung entscheiden → Restrisiken akzeptieren → an die Geschäftsleitung berichten → Umsetzung planen → Wirksamkeit messen. Ihr Download enthält zusätzlich 3 System-Anleitungen (Implementierungs-Masterplan, Rollen-Matrix, Abhängigkeits-Karte) — 11 Dateien insgesamt (8 Kern-Vorlagen inkl. 2 Excel-Arbeitsmappen + 3 System-Anleitungen).

Welche Paragrafen diese Dokumente abdecken

So funktioniert es

1. Sofort herunterladen. Nach der Zahlung landet das komplette Paket in Ihrem Postfach — editierbare DOCX und XLSX, ohne Wartezeit.

2. Rote Felder ausfüllen. Ersetzen Sie die rot markierten Platzhalter durch Ihre Unternehmensdaten und passen Sie die vorausgefüllten Tabellen an. Struktur und Artikel-Zuordnung sind bereits fertig.

3. Ersten Bewertungszyklus durchführen. Erstellen Sie Ihre Risikobewertung, den Behandlungsplan und die Management-Freigabe — und gehen Sie mit einer dokumentierten Methodik hinter jedem Eintrag in die nächste Prüfung.

Wer das Risikomanagement-Paket nutzt

Wenn Sie IT-Sicherheitsbeauftragte/r in einer besonders wichtigen oder wichtigen Einrichtung sind — Einrichtungen müssen ihre Risikomanagementmaßnahmen nach § 30 BSIG dokumentieren, und Sie haben keine Zeit, Formulare und Verknüpfungen von Grund auf neu zu entwickeln.

Wenn Sie Compliance-Verantwortliche/r oder Datenschutzbeauftragte/r sind — Sie wollen das NIS2-Risikomanagement in ein bestehendes ISO-27001- oder TISAX-System integrieren und brauchen editierbare DOCX- und XLSX-Vorlagen, die sich an Ihr Unternehmen anpassen lassen.

Wenn Sie Geschäftsführer/in oder Prokurist/in einer besonders wichtigen oder wichtigen Einrichtung sind — Sie wollen Ihre Umsetzungs- und Überwachungspflicht nach § 38 BSIG nachvollziehbar wahrnehmen und dokumentieren, dass Risikomanagement in Ihrem Haus aktiv betrieben und überwacht wird.

Häufige Fragen zum Risikomanagement-Paket

Muss ich alle 8 Kern-Dokumente ausfüllen, oder genügen einzelne davon?

Die acht Kern-Dokumente bauen aufeinander auf: Jedes bildet einen anderen Schritt des Prozesses ab — von der Methodik über Bewertung, Behandlung und Restrisiko-Akzeptanz bis zur Wirksamkeitsmessung. Ein einzelnes Dokument belegt nur einen Ausschnitt; für eine nachvollziehbare Kette empfehlen wir, alle acht zu nutzen und den Umfang an Ihre Einrichtung anzupassen.

Sind die Vorlagen mit ISO 27001 kompatibel?

Die Methodik (Dok. 05) und die Bewertungstabellen (Dok. 06, 07) orientieren sich an ISO/IEC 27001:2022 (Abschnitt 6.1), ISO/IEC 27005 und BSI-Standard 200-3 und lassen sich in ein bestehendes ISMS integrieren. Unternehmen mit ISO-27001-Zertifizierung können die Dokumente als Ausgangspunkt für die NIS2-spezifischen Ergänzungen nutzen.

Wie lange dauert das Ausfüllen der Vorlagen realistisch?

Der Aufwand hängt vor allem von der Anzahl der bewerteten Assets und der Teamgröße ab. Da Struktur, Bewertungsskalen und Tabellen bereits vorbereitet sind, konzentrieren Sie sich auf die inhaltliche Bewertung — statt eine Methodik von Grund auf zu entwickeln.

Was ist der Unterschied zwischen Dok. 09 (Bericht) und Dok. 10 (Plan)?

Dok. 09 blickt zurück: Es fasst die Ergebnisse der Bewertung zusammen und richtet sich an Auditoren und die Geschäftsleitung. Dok. 10 blickt nach vorn: Es legt fest, welche Maßnahmen mit welchem Zieldatum und welcher Zuständigkeit umzusetzen sind. Anhang Nr. 2.1.1 CIR verlangt beides — dokumentierte Risikobewertungen und einen Risikobehandlungsplan.

Gilt das Paket auch für wichtige Einrichtungen, nicht nur besonders wichtige?

Ja. § 30 BSIG gilt für besonders wichtige und wichtige Einrichtungen gleichermaßen (Ausnahmen u. a. für Finanzunternehmen unter DORA und Energieanlagenbetreiber nach EnWG, § 28 Abs. 5 und 6 BSIG). Der Umfang der Risikoanalyse lässt sich proportional zur Unternehmensgröße anpassen — die Dokumente sind dafür flexibel gestaltet.

Ist das dasselbe Risikomanagement wie im Komplettpaket?

Ja. Es sind dieselben Kern-Dokumente, die auch im Komplettpaket (66 Vorlagen + 10 Anleitungen) enthalten sind. Wenn Sie ausschließlich das Risikomanagement benötigen, ist dieses fokussierte Paket die richtige Wahl. Brauchen Sie später den vollen Umfang, kontaktieren Sie uns für die Differenzzahlung zum Komplettpaket.

Was ist, wenn eine Vorlage nicht zu meinem Unternehmen passt?

Dafür gibt es die 30-Tage-Zusage: Passt eine Vorlage nicht zu Ihrer Compliance-Umgebung — oder benötigen Sie ein Dokument außerhalb des Standardumfangs — schreiben Sie uns innerhalb von 30 Tagen, und wir aktualisieren oder ergänzen es. Sie behalten in jedem Fall alles. Eine rechtliche Prüfung Ihres Einzelfalls ist nicht enthalten.

Schließen Sie die Lücke in Ihrer Risikodokumentation jetzt — nicht erst nach der Prüfung

Das Risikomanagement-Paket ist das Fundament Ihrer NIS2-Compliance: Die Risikoanalyse steht in § 30 Abs. 2 BSIG an erster Stelle, und die übrigen Maßnahmen bauen auf ihren Ergebnissen auf. Mit diesen editierbaren Vorlagen unterstützen Sie die Umsetzung von Art. 21 Abs. 2 lit. a NIS2 bzw. § 30 Abs. 2 Nr. 1 BSIG — auf Deutsch, angepasst an Ihr Unternehmen, sofort nach dem Download einsatzbereit.