NIS2-Risikomanagementpflicht · § 30 Abs. 2 Nr. 6 BSIG
Bewertung der Wirksamkeit
NIS2 verlangt, dass Sie regelmäßig prüfen, ob Ihre Sicherheitsmaßnahmen tatsächlich wirken. Maßnahmen einmal aufzusetzen genügt nicht: Sie müssen ihre Wirksamkeit messen, dokumentieren und bei Bedarf nachsteuern.
Warum diese Pflicht wichtig ist
Die Wirksamkeitsbewertung schließt den PDCA-Kreis. Sie liefert der Geschäftsleitung und der Aufsicht den Nachweis, dass das Sicherheitsniveau nicht nur auf dem Papier besteht.
So setzen Sie die Pflicht um
- 01Kontrollen mit Verantwortlichen und Review-Zyklen festlegen
- 02Kennzahlen (KPIs) zur Messung der Wirksamkeit definieren
- 03Interne Audits oder Audit-Simulationen durchführen
- 04Ergebnisse in einem Management-Review bewerten
- 05Abweichungen als Maßnahmen mit Frist nachverfolgen
Diese Nachweise erwartet die Aufsicht
- Kontrollen mit dokumentierten Review-Ergebnissen
- Audit- und Management-Review-Berichte
- Maßnahmenverfolgung aus Feststellungen
Häufige Fehler
Aufsetzen und vergessenMaßnahmen werden eingeführt, aber ihre Wirkung nie überprüft.
Audit ohne FolgenFeststellungen werden dokumentiert, aber nicht behoben.
Passende ISO-27001-Controls
Wer ISO 27001 umsetzt, erfüllt diese NIS2-Pflicht weitgehend mit. Diese Annex-A-Controls decken den Bereich ab:
Häufig gestellte Fragen
Wie weise ich Wirksamkeit nach?
Über Kontrollen mit Review-Zyklen, Kennzahlen, interne Audits und ein dokumentiertes Management-Review.
Brauche ich ein externes Audit?
NIS2 verlangt kein Zertifikat, aber eine nachweisbare, möglichst unabhängige Überprüfung. Interne Audits genügen, wenn sie unabhängig durchgeführt werden.
Wie oft muss bewertet werden?
Regelmäßig und risikobasiert, mindestens jährlich sowie nach wesentlichen Änderungen.
In CompliantDesk
Wirksamkeitsbewertung mit CompliantDesk umsetzen
CompliantDesk deckt diesen Bereich mit folgenden Modulen ab: Kontrollen mit Review-Zyklen · Audit-Simulation · Board-Report. Starten Sie mit dem kostenlosen NIS2-Check.
Bereit für ein ISMS, das nicht bei Excel endet?
Demo buchenKostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten