NIS-2-Geschäftsleitungsschulung

§ 38 Abs. 1 BSIG-E verpflichtet Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen zur Umsetzung und Überwachung der nach § 30 von diesen Einrichtungen zu ergreifenden Risikomanagementmaßnahmen. Geschäftsleitungen haften, wenn sie ihren Verpflichtungen nicht nachkommen. 

§ 38 Abs. 3 BSI-E beinhaltet daher eine eigene Schulungspflicht für Geschäftsleitungen (mehr hierzu finden Sie in der vorläufigen BSI-Handreichung „NIS-2-Geschäftsleitungsschulung“), unabhängig von den Schulungspflichten für Mitarbeitende gemäß § 30 Abs. 2 Nr. 7 BSIG-E). Für Beschäftigte bieten wir auch den Kurs „NIS-2-Basiswissen für Mitarbeitende“ an.

Die 1-tägige Schulung vermittelt die notwendigen Kenntnisse und Fähigkeiten, um die zu ergreifenden Risikomanagementmaßnahmen im Bereich der Cybersicherheit zu billigen und deren Umsetzung zu überwachen:

• Verstehen der gesetzlichen Anforderungen und Verantwortlichkeiten;
• Fähigkeit zur Identifikation, Bewertung und Priorisierung von Risiken;
• Verständnis der Auswirkungen von Cybersicherheitsrisiken;
• Eingehende Kenntnisse zur Implementierung und Überwachung von effektiven Maßnahmen und deren Nachhaltigkeit.

Eine Geschäftsleitung (i.S.d. § 2 Nr. 13 BSIG-E) ist „eine natürliche Person, die nach Gesetz, Satzung oder Gesellschaftsvertrag zur Führung der Geschäfte und zur Vertretung einer besonders wichtigen Einrichtung oder wichtigen Einrichtung berufen ist […].“ 

Darüber hinaus richtet sich die Schulung an alle Interessierte, die in leitender Position bzw. im Management tätig sind und/oder den Geschäftsleitungen zuarbeiten.

Überblick NIS-2-Richtlinie

• Einordnung ins Rechtssystem
• Verantwortlichkeit und Pflichten
• Umsetzungsstand rechtlicher Vorgaben
• Inhalte und Anforderungen

Umsetzung und Dokumentation von Risikomanagementmaßnahmen

• Grundlagen Informationssicherheitsmanagementsystem
• Risikomanagement und -systeme
• Schutzbedarfsanalyse 

Melde- und Unterrichtungspflichten / Registrierungspflicht und ggf. besondere Registrierungspflichten

• Registrierungsverfahren
• Vorgehensweise für Meldungen
• Sicherheitsvorfälle erkennen und einordnen
• Einbeziehung von Aufsichtsbehörden und deren Vorgehensweise

Pflichten der Geschäftsleitungen

• Anforderungen an Schulungen, Awareness und Sensibilisierung
• Schulung von Leitungsorganen
• Haftungsfragen (Cyberversicherung)

Risikoanalyse (Erkennung und Bewertung von Risiken) / Risikomanagementmaßnahmen

Technische Anforderungen

• Erkennung und Behandlung von IT-Sicherheitsvorfällen (IT-Incident-Management)
• Business Continuity Management (BCM)
• IT-Notfallpläne (u. a. Shutdown und Wiederherstellungspläne)
• Maßnahmen zur Schwachstellenidentifikation und -behandlung (Schwachstellenanalyse)
• Kryptografie / Verschlüsselung, Signaturen
• Zugriffskontrolle / Berechtigungskonzeption
• Rechte- und Rollen-Konzepte (Multi-Faktor-Authentifizierung / logische Zugriffskontrollen)
• Sicherheit von IT-Lieferketten (IT-Dienstleister, Lieferanten)

Auswirkungen von Risiken und Risikomanagementmaßnahmen

Sektor- und einrichtungsspezifische Inhalte

Szenarien, Übungen und Fallstudien (Praxisbeispiele und Umsetzungsmöglichkeiten)