NIS-2 kompakt und umsetzbar

NIS-2 ist in Kraft und damit steigt der Handlungsdruck: Bin ich betroffen? Welche Pflichten gelten? Und wie setze ich das schnell und sauber um? In diesem Seminar klären wir zuerst strukturiert die Betroffenheit (kritische Anlagen, wichtige bzw. besonders wichtige Einrichtungen). Anschließend übersetzen wir das Pflichtenprogramm in konkrete Maßnahmen: Risikomanagement, Melde- und Registrierungspflichten sowie die Verantwortung der Geschäftsleitung. Die Teilnehmer erhalten im Ergebnis eine pragmatische Umsetzungslogik entlang § 30 Abs. 2 BSIG – inklusive Gap-Analyse, Priorisierung und Best Practices für den industriellen Mittelstand.

Ziel und Nutzen

Die Teilnehmenden können ihre NIS-2-Betroffenheit strukturiert einschätzen, kennen die zentralen Pflichten (inkl. Meldefristen) und nehmen eine klare Vorgehensmethodik mit, um Maßnahmen aus § 30 Abs. 2 BSIG auditierbar in der Organisation zu verankern inkl. Prioritäten, Quick Wins und Next Steps. Kein juristisches Vorwissen nötig; Basisverständnis der eigenen IT-/OT-Landschaft hilfreich.

Agenda

1. Einstieg: NIS-2 in Deutschland – was ändert sich wirklich?

• Einordnung: BSIG/BSI-KritisV und Ausblick auf konkretisierende Verordnungen
• Typische Missverständnisse im Mittelstand (Betroffenheit ≠ „nur KRITIS“)
• Erwartungsmanagement: „Compliance“ vs. echte Resilienz
  

2. Betroffenheitsanalyse: Bin ich „drin“ – und wenn ja, warum?

• Kritische Anlagen: Sektoren, Dienstleistungen, Schwellenwerte, Betreiberbegriff
• Besonders wichtige vs. wichtige Einrichtungen: Sektoren, Mindestgrößen, Unternehmensgruppenlogik
• Praxisleitfaden zur Selbsteinschätzung (inkl. Nebentätigkeits-Privileg)
  

3. Pflichtenprogramm: Was muss umgesetzt werden – und in welchen Fristen?

• Risikomanagementmaßnahmen nach § 30 Abs. 2 BSIG (10 Themenfelder)
• Meldepflichten: abgestuft 24h / 72h / 1 Monat bei erheblichen Vorfällen
• Registrierungspflichten und Governance: Rolle & Pflichten der Geschäftsleitung (Überwachung/Schulung)
  

4. Umsetzungsschwerpunkt: Methodik & Roadmap

• Vorgehen über strukturierte Ist-Analyse: organisatorisch + technisch, Reifegrad & Gap-Analyse
• Orientierung an Standards (z. B. ISO 27001) als Audit-Framework – plus NIS-2-spezifische Ergänzungen
• Beispiele je Maßnahmenfeld: Incident Response, BC/Backups, Lieferkette, Vulnerability Mgmt, Awareness, MFA, Wirksamkeits-KPIs
  

5. Work Sessions / Breakouts: „Bring your case“ – von Fragen zu konkreten Next Steps

• Fragen der Teilnehmenden sammeln und priorisieren
• In Fallbeispiele übersetzen und gemeinsam Lösung/Prio/Owner definieren
• Ergebnis: persönliche 30-60-90-Tage-Agenda pro Unternehmen

Zielgruppe

Geschäftsführung, IT-Leitung, CISO/ISB, OT-/Produktion-IT-Verantwortliche, Compliance / Risk / Datenschutz / BCM-Verantwortlich