NIS2-Risikomanagementpflicht · § 30 Abs. 2 Nr. 5 BSIG
Sicherheit bei Beschaffung, Entwicklung & Wartung
Sicherheit muss über den gesamten Lebenszyklus Ihrer Systeme gewährleistet sein: bei Beschaffung, Entwicklung und Wartung. Dazu gehören Schwachstellen- und Patchmanagement sowie eine sichere Konfiguration (Härtung) Ihrer IT.
Warum diese Pflicht wichtig ist
Ungepatchte Schwachstellen und unsichere Standardkonfigurationen sind das häufigste Einfallstor für Angriffe. Ein systematischer Patch- und Härtungsprozess schließt diese Lücken zeitnah.
So setzen Sie die Pflicht um
- 01Sicherheitsanforderungen bei Beschaffung und Entwicklung festlegen
- 02Schwachstellen systematisch erkennen (Scans, CERT-Warnungen, Hersteller-Advisories)
- 03Patches risikobasiert und fristgerecht einspielen
- 04Systeme nach Härtungs-Baselines sicher konfigurieren
- 05Änderungen über ein Change-Management steuern
Diese Nachweise erwartet die Aufsicht
- Schwachstellen- und Patchmanagement-Prozess mit Fristen
- Scan-Ergebnisse und dokumentierter Patchstand
- Härtungs-Baselines und Konfigurationsnachweise
Häufige Fehler
Patches verschlepptBekannte kritische Lücken bleiben wochenlang offen.
StandardkonfigurationSysteme laufen mit unsicheren Werkseinstellungen ohne Härtung.
Passende ISO-27001-Controls
Wer ISO 27001 umsetzt, erfüllt diese NIS2-Pflicht weitgehend mit. Diese Annex-A-Controls decken den Bereich ab:
Häufig gestellte Fragen
Wie schnell muss ich patchen?
Risikobasiert: kritische und aktiv ausgenutzte Schwachstellen so schnell wie möglich, idealerweise binnen weniger Tage.
Was ist eine Härtungs-Baseline?
Ein definierter, sicherer Soll-Zustand für Systeme, oft auf Basis anerkannter Standards wie CIS Benchmarks.
Brauche ich einen Schwachstellenscanner?
Für eine systematische Erkennung ja, ergänzt um die Auswertung von Hersteller- und CERT-Meldungen.
In CompliantDesk
Beschaffung, Entwicklung & Schwachstellen mit CompliantDesk umsetzen
CompliantDesk deckt diesen Bereich mit folgenden Modulen ab: Schwachstellenmanagement · Assets · Kontrollen. Starten Sie mit dem kostenlosen NIS2-Check.
Verwandte NIS2-Pflichten
Bereit für ein ISMS, das nicht bei Excel endet?
Demo buchenKostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten