NIS2 Cyber-Governance verstehen, Verantwortung wahrnehmen, Umsetzung gestal-ten

Nutzen:

Die vierstündige IHK-Schulung vermittelt Geschäftsführungen und anderen Entscheidungsträgern die wesentlichen Grundlagen, Verantwortlichkeiten und Handlungsschritte rund um NIS2. Im Mittelpunkt stehen dabei nicht abstrakte Rechtsvorgaben, sondern die Frage: Was bedeutet NIS2 konkret für die Unternehmensleitung und welche nächsten Schritte sind sinnvoll?

Transfer, Interaktion und Wissensüberprüfung

Zwischen den vier Modulen finden kurze Transfer- und Reflexionsphasen statt. Die Teilnehmenden überprüfen dabei:

• Welche Inhalte betreffen das eigene Unternehmen?
• Wo bestehen bereits belastbare Strukturen?
• Welche Verantwortlichkeiten sind noch offen?
• Welche Maßnahmen sollten zuerst angestoßen werden?
• Welche Nachweise und Entscheidungsgrundlagen fehlen?

Kurze Wissensüberprüfungen und Praxisfragen unterstützen den Lerntransfer und helfen, die Inhalte auf die eigene Organisation zu übertragen.

Ihr Mehrwert

Nach der Schulung können die Teilnehmenden:

• die Bedeutung von NIS2 für das eigene Unternehmen besser einschätzen,
• die eigene Betroffenheit strukturiert weiterprüfen,
• die wesentlichen Pflichten und Verantwortlichkeiten der Geschäftsleitung einordnen,
• Risiken für Betrieb, Wertschöpfungskette und Dienstleister besser bewerten,
• erste Maßnahmen zur Verbesserung der Cyberresilienz priorisieren,
• Verantwortlichkeiten und Entscheidungswege im Unternehmen klären,
• einen pragmatischen ISMS- und Umsetzungsfahrplan entwickeln,
• Anforderungen an Vorfallmeldung, Lieferkettensicherheit und Dokumentation nachvollziehen,
• die Inhalte einer angemessenen Geschäftsleitungs- beziehungsweise Leitungsschulung im Sinne der NIS2- und BSIG-Anforderungen einordnen.

Inhalt:

Modul 1: Verantwortung der Geschäftsführung und Risikolandschaft

Warum NIS2? – Die neue Risikolandschaft

• Aktuelle Cyberrisiken und ihre Bedeutung für Unternehmen
• Warum Informationssicherheit eine Geschäftsführungsaufgabe ist
• Einordnung der NIS2-Regulierung und ihrer Zielsetzung
• Erste Orientierung zur eigenen NIS2-Betroffenheit

Die persönliche Verantwortung der Geschäftsführung

• Rolle und Pflichten der Geschäftsleitung
• Verantwortung für Risikomanagement und Sicherheitsmaßnahmen
• Steuerung, Überwachung und Berichterstattung
• Zusammenspiel von Geschäftsführung, IT, Datenschutz und weiteren Verantwortlichen

Risikoabsicherung – Bußgelder und Sanktionen richtig einordnen

• Welche Aufsichts- und Durchsetzungsmechanismen bestehen?
• Wie sind mögliche Haftungsfolgen und Sanktionen sachlich einzuordnen?
• Warum strukturierte Verantwortlichkeiten und dokumentierte Entscheidungen wichtig sind

„Duty of Care“ – Sorgfaltspflicht als Steuerungsinstrument

• Sorgfaltspflichten als Grundlage verantwortungsvoller Unternehmensführung
• Risikobewusstsein als Teil strategischer Entscheidungen
• Wie Geschäftsleitungen angemessene Sicherheitsmaßnahmen anstoßen und überwachen können

Jedes Modul enthält Elemente zur Reflexion, Interaktion und Wissensüberprüfung. Dadurch werden die Inhalte direkt auf die eigene Unternehmenssituation übertragen.

Modul 2: Die zehn Grundsätze digitaler Betriebssicherheit

Überblick: Die 10 Gebote der digitalen Betriebssicherheit

Die Teilnehmenden erhalten einen strukturierten Überblick über zentrale Schutzbereiche der digitalen Betriebsfähigkeit:

• Risikoanalyse und Sicherheitsorganisation
• Notfallvorsorge und Wiederanlauf
• Schutz kritischer Systeme und Prozesse
• Umgang mit Sicherheitsvorfällen
• Sicherheitsmaßnahmen bei Entwicklung, Beschaffung und Betrieb
• Schwachstellenmanagement
• Zugriffs- und Berechtigungskonzepte
• Backup, Wiederherstellung und Krisenmanagement
• Lieferketten- und Dienstleisterrisiken
• Schulung, Sensibilisierung und Cyberhygiene

Fundamentale Resilienz – Überleben im Ernstfall

• Welche Fähigkeiten benötigt ein Unternehmen im Krisenfall?
• Wie lassen sich kritische Geschäftsprozesse identifizieren?
• Welche Bedeutung haben Notfallpläne, Backups und Wiederanlaufverfahren?

Schutz der Wertschöpfungskette

• Abhängigkeiten von Lieferanten und Dienstleistern
• Risiken durch externe IT-, Cloud- und Softwareanbieter
• Grundsätze für eine angemessene Absicherung kritischer Beziehungen

Governance, Mensch und Daten

• Informationssicherheit als Zusammenspiel von Organisation, Menschen und Technik
• Verantwortungsbewusstsein und Sicherheitskultur
• Schutz geschäftskritischer und personenbezogener Daten

Identität und Zugriff – Wer darf was?

• Bedeutung von Rollen- und Berechtigungskonzepten
• Prinzip der minimalen Rechtevergabe
• Typische Risiken durch privilegierte Zugänge und veraltete Berechtigungen

Modul 3: Cyber-Governance, Vorfallmeldung und Nachweisbarkeit

Die drei Säulen der Cyber-Governance

• Verantwortlichkeiten
• Risikomanagement
• Nachweisbarkeit und Überwachung

Die drei Bereiche bilden den organisatorischen Rahmen für eine

wirksame und dauerhaft steuerbare Informationssicherheit

Der Prozess der Vorfallmeldung nach NIS2

• Was ist ein relevanter Sicherheitsvorfall?
• Welche internen Melde- und Eskalationswege sollten vorbereitet sein?
• Welche Rollen übernimmt die Geschäftsleitung im Vorfall?
• Warum klare Prozesse und vorbereitete Kommunikationswege entscheidend sind

Aufbau eines ISMS-Light: Der PDCA-Zyklus

• Plan: Risiken und Ziele bestimmen
• Do: Maßnahmen und Verantwortlichkeiten umsetzen
• Check: Wirksamkeit überprüfen
• Act: Verbesserungen und Anpassungen vornehmen

Der PDCA-Zyklus wird als pragmatischer Ansatz vorgestellt, mit dem

auch mittelständische Unternehmen Informationssicherheit systematisch

weiterentwickeln können.

Nachweisbarkeit: Die Kunst der revisionssicheren Dokumentation

• Welche Entscheidungen und Maßnahmen sollten dokumentiert werden?
• Wie werden Zuständigkeiten, Prüfungen und Freigaben nachvollziehbar festgehalten?
• Welche Bedeutung haben Nachweise für Geschäftsleitung, Aufsicht und interne Steuerung?

Modul 4: Lieferkette, Cyberhygiene und Schulungspflichten

Die Verantwortung endet nicht am Werkstor

• Warum Sicherheitsrisiken nicht an den Grenzen des eigenen Unternehmens enden
• Gemeinsame Verantwortung in vernetzten Geschäftsprozessen
• Bedeutung von Dienstleistern, Partnern und ausgelagerten IT-Prozessen

Sicherheit der Lieferkette: Geteiltes Risiko, gemeinsame Verant-

wortung

• Identifikation kritischer Lieferanten und Dienstleister
• Sicherheitsanforderungen in Auswahl, Vertrag und Zusammenarbeit
• Überwachung und Bewertung externer Risiken
• Umgang mit Abhängigkeiten und Ausfallrisiken

Cyberhygiene und Schulungspflichten: Die menschliche Firewall

stärken

• Sicherheitsbewusstsein als Bestandteil der Unternehmenssicherheit
• Typische Risiken durch Phishing, Social Engineering und Fehlbedienung
• Aufgaben der Geschäftsleitung bei Schulung und Sensibilisierung
• Entwicklung einer nachhaltigen Sicherheitskultur