Beratungsfeld 05
Cybersecurity und Resilienz
Welche Abläufe dürfen auch unter Angriff nicht ausfallen und was muss die Leitung dafür entscheiden, verantworten und nachweisen?
Herausforderung, Unterstützung, Arbeitsergebnis
Worum es geht und was am Ende vorliegt.
Sicherheit als Führungsaufgabe, ausgehend von Geschäftsrisiken und kritischen Abläufen. Risikotransparenz, Verantwortlichkeiten, Ausfallsicherheit, Wiederanlauf.
Herausforderung
Angriffe, Ausfälle und neue Pflichten nach NIS2, KRITIS-Dachgesetz und Cyber Resilience Act treffen die Geschäftsfähigkeit und die persönliche Verantwortung der Leitung. Vielen Organisationen fehlt die Übersicht, welche Risiken wirklich zählen, wer wofür verantwortlich ist und in welcher Reihenfolge Maßnahmen wirken.
Unterstützung durch Torsten Maier
Torsten Maier verbindet Sicherheit mit Führungsverantwortung und Geschäftsfähigkeit. Er schafft Risikotransparenz ausgehend von den kritischen Abläufen, klärt Verantwortlichkeiten, priorisiert Maßnahmen und steuert die Umsetzung bis zu einer belastbaren Ausfallsicherheit mit geübtem Wiederanlauf. Der Beitrag ist strategische Beratung und Steuerung, technische Prüfleistungen und Zertifizierungen übernehmen akkreditierte Stellen.
Arbeitsergebnis
- Risikobild mit Priorisierung der notwendigen Maßnahmen
- Zielarchitektur und Verantwortlichkeiten für Sicherheit und Resilienz
- Maßnahmenplan mit Terminen und Nachweisen nach NIS2, KRITIS-Dachgesetz und Cyber Resilience Act
- Management-Bericht, der Aufsichtsrat und Prüfern standhält
Leistungsumfang
Was dieser Bereich umfasst.
- Betroffenheitsanalyse nach BSIG, KRITIS-Dachgesetz und Cyber Resilience Act
- Risikomanagement, Bewertung vorhandener Maßnahmen und priorisierte Umsetzungsplanung
- Meldeprozesse, Notfallmanagement, Wiederanlauf und Sicherheit in der Lieferkette
- Governance-Management mit Statusübersicht über Anforderungen, Risiken, Maßnahmen, Verantwortliche und Nachweise
- Management-Berichterstattung, Wirksamkeitskontrollen und Schulung der Geschäftsleitung
- Produktsicherheit nach Cyber Resilience Act, getrennt geführt von den Organisationspflichten nach NIS2
Typische Fragen
Typische Fragen an diesen Bereich.
Fällt die Organisation unter NIS2 oder das KRITIS-Dachgesetz und was ist bis wann zu tun?
Was muss die Geschäftsleitung persönlich wissen, überwachen und nachweisen?
Welche Abläufe müssen nach einem Angriff zuerst wieder laufen und wer entscheidet das?
Nutzen
Was Unternehmen und Institutionen davon haben.
Vorstände und Unternehmensleitungen
Klarheit über Pflichten und Haftung, ein Maßnahmenplan mit Verantwortlichen und Terminen und ein Bericht, der Aufsichtsrat und Prüfern standhält.
Ministerien, Behörden und öffentliche Auftraggeber
Einordnung der Anforderungen an Behörden und kritische Anlagen und ein Weg, sie mit vorhandenen Mitteln umzusetzen.
Verantwortliche für Sicherheit, IT und Betrieb
Meldeprozesse, Notfallmanagement und Lieferkettensicherheit, die für den Ernstfall geübt sind.
Branchen und Zielgruppen
Wo dieser Bereich typischerweise zum Einsatz kommt.
Typische Aufgaben aus den Branchen. Die Beratung ist branchenübergreifend, keine Kundenreferenzen.
Vorgehensweise und fachliche Hintergründe
So wird gearbeitet.
Anforderungen, Risiken, Maßnahmen, Verantwortliche, Nachweise und Management-Bericht werden in einer nachvollziehbaren Statusübersicht geführt. Informationssicherheit, KI-Governance und Datenmanagement lassen sich darin verbinden. Die Arbeit erfolgt in den Werkzeugen des Auftraggebers, es wird keine eigene Softwareplattform angeboten.
ISO/IEC 27001, ISO/IEC 42001 und BSI IT-Grundschutz dienen als Grundlagen. Eine Zertifizierung ist nur dort Pflicht, wo Gesetz oder Kunde sie verlangen. Zertifizierungen, Audits und technische Prüfungen führen akkreditierte Stellen durch, die Beratung bereitet darauf vor.
BSIG und NIS2, Stand Oktober 2026
Das neue BSIG zur NIS2-Umsetzung gilt seit dem 6. Dezember 2025. Erstmeldung erheblicher Vorfälle binnen 24 Stunden, Detailmeldung binnen 72 Stunden, Abschlussmeldung binnen eines Monats nach der Detailmeldung. Bei betroffenen Einrichtungen ist die Geschäftsleitung verpflichtet, die Risikomanagementmaßnahmen umzusetzen sowie deren Umsetzung zu überwachen und muss regelmäßig an Schulungen teilnehmen.
KRITIS-Dachgesetz, Stand Oktober 2026
Gilt seit dem 17. März 2026 und regelt die physische Resilienz kritischer Anlagen. Betreiber registrieren sich beim BBK spätestens drei Monate, nachdem ihre Anlage als kritische Anlage gilt. Die Risikoanalyse ist erstmals neun Monate, Resilienzmaßnahmen und Resilienzplan zehn Monate nach der Registrierung fällig. Die Geschäftsleitung muss die Maßnahmen billigen und ihre Umsetzung überwachen.
Cyber Resilience Act, Stand Oktober 2026
Gilt für Produkte mit digitalen Elementen. Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle seit dem 11. September 2026, volle Anwendung ab dem 11. Dezember 2027.
Abgrenzung
Keine Rechtsberatung. Die Beratung ordnet Betroffenheit, Pflichten und Organisation fachlich ein und bereitet Entscheidungen vor. Die rechtliche Prüfung im Einzelfall, insbesondere zu Haftung und Bußgeldrisiken, erfolgt durch die Rechtsabteilung oder Kanzlei.
Folgen fehlender Umsetzung
Betriebliche Risiken durch Ausfall und Datenverlust, aufsichtliche Anordnungen und Prüfungen, Bußgelder, die bei NIS2 in den Millionenbereich reichen, sowie eine Haftung der Geschäftsleitung nach den allgemeinen gesellschaftsrechtlichen Regeln. Es gibt weder eine automatische persönliche Haftung nach jedem Angriff noch eine Freistellung durch eine Schulung allein.
Weitere Beratungsfelder
Kontakt
Vorhaben besprechen.
anfrage@c-strategicadvisors.com