NIS2 Risikobewertung dokumentieren richtig
Ein Serverraum ist gegen unbefugten Zutritt geschützt, doch die Kameraaufzeichnung fällt bei einem Netzwerkausfall aus. Das ist kein rein technisches Detail, sondern ein bewertbares Risiko mit Folgen für Betrieb, Aufklärung und Verfügbarkeit. Wer die NIS2 Risikobewertung dokumentieren muss, braucht deshalb mehr als eine Liste möglicher Cyberbedrohungen. Gefordert ist ein nachvollziehbarer Nachweis, wie Risiken erkannt, priorisiert, behandelt und regelmäßig neu bewertet werden.
Für Unternehmen mit kritischen Prozessen, vernetzten Sicherheitsanlagen oder hohen Verfügbarkeitsanforderungen verbindet diese Aufgabe IT-Sicherheit, physische Sicherheit und Organisation. Eine gute Dokumentation schafft nicht nur eine Grundlage für Compliance. Sie macht Abhängigkeiten sichtbar, erleichtert Entscheidungen und sorgt dafür, dass Maßnahmen auch bei Personalwechseln nachvollziehbar bleiben.
Was eine NIS2-Risikobewertung nachweisbar machen muss
NIS2 stellt das Risikomanagement in den Mittelpunkt. Entscheidend ist nicht, ob ein Unternehmen ein bestimmtes Formular verwendet. Entscheidend ist, ob ein Dritter den Weg von der Gefährdung über die Bewertung bis zur Maßnahme verstehen und prüfen kann. Die Dokumentation muss daher zeigen, welche Systeme und Prozesse geschützt werden, welche Risiken bestehen und warum die gewählte Behandlung angemessen ist.
Im deutschen Umsetzungsrahmen sind der konkrete Anwendungsbereich und branchenspezifische Vorgaben sorgfältig zu prüfen. Unabhängig davon bietet sich eine Dokumentation an, die sich an etablierten Informationssicherheitsprozessen orientiert und den tatsächlichen Betrieb abbildet. Eine Vorlage ohne Bezug zu den eigenen Anlagen, Dienstleistern und Verantwortlichkeiten genügt nicht.
Mindestens diese Punkte sollten zusammengeführt werden:
- der Geltungsbereich mit Organisationseinheiten, Standorten, Diensten und schützenswerten Werten,
- relevante Bedrohungen, Schwachstellen und Abhängigkeiten,
- eine nachvollziehbare Bewertung von Eintrittswahrscheinlichkeit und Auswirkung,
- beschlossene Maßnahmen mit Verantwortlichen, Terminen und Umsetzungsstatus,
- Restrisiken, Freigaben sowie feste Auslöser für eine erneute Bewertung.
Die Unterlagen müssen nicht in einem einzigen Dokument liegen. In der Praxis ist eine Kombination aus Risikoregister, Asset-Verzeichnis, Maßnahmenplan, Sitzungsprotokollen und technischen Nachweisen häufig sinnvoll. Wesentlich ist die eindeutige Verknüpfung: Ein Risiko im Register muss auf die betroffenen Systeme, die Entscheidung und den Umsetzungsnachweis verweisen.
Den Geltungsbereich vor der Bewertung sauber festlegen
Viele Risikobewertungen werden zu allgemein, weil bereits der Betrachtungsrahmen unklar bleibt. Beginnen Sie daher nicht mit einer abstrakten Bedrohungsliste, sondern mit den Leistungen, deren Ausfall oder Manipulation Folgen hätte. Bei einem Krankenhaus können das Zutrittskontrolle, Notfallkommunikation, Netzwerkverbindungen zu Sicherheitsleitstellen und die Videoüberwachung sensibler Bereiche sein. Bei einem Industrieunternehmen stehen zusätzlich Produktionsnetze, Werkschutz und externe Fernwartungszugänge im Fokus.
Erfassen Sie nicht nur IT-Systeme, sondern auch unterstützende Komponenten. Dazu gehören Stromversorgung, Netzwerk-Switche, Server, Speichersysteme, Mobilfunkanbindungen, Zeitsynchronisation, Gebäudetechnik und Dienstleisterzugänge. Eine Wärmebildkamera kann technisch einwandfrei arbeiten und dennoch ihren Zweck verfehlen, wenn die Netzwerkstrecke, die Aufzeichnungsplattform oder die Alarmweiterleitung nicht verfügbar ist.
Hilfreich ist eine Einteilung nach Schutzbedarf. Vertraulichkeit ist etwa bei Videobildern, Zutrittsdaten und Kennzeichendaten relevant. Integrität betrifft die Manipulation von Aufzeichnungen, Konfigurationen und Alarmmeldungen. Verfügbarkeit entscheidet darüber, ob eine Sicherheitsfunktion in einem Störungs- oder Krisenfall tatsächlich nutzbar ist. Je nach Anwendungsfall kann auch die Nachweisbarkeit von Ereignissen ein eigener Bewertungsaspekt sein.
Abhängigkeiten sichtbar machen
Sicherheitsinfrastruktur ist heute oft softwaregestützt und vernetzt. Daher gehört zu jeder Risikobewertung die Frage, welche externen oder internen Leistungen vorausgesetzt werden. Ist der Hersteller-Support geregelt? Gibt es Wartungszugänge? Wo liegen Konfigurationssicherungen? Welche Person kann bei einem Ausfall Berechtigungen ändern oder Aufzeichnungen prüfen?
Diese Fragen sind besonders relevant, wenn mehrere Gewerke zusammenwirken. Die Videoüberwachung ist dann nicht isoliert zu bewerten, sondern als Teil eines Sicherheitsprozesses. Fällt die Nummernschilderkennung aus, kann dies beispielsweise den Zufahrtsprozess beeinträchtigen. Werden Kameras unzulässig administriert, entstehen gleichzeitig Sicherheits- und Datenschutzrisiken.
Risiken nachvollziehbar bewerten statt nur beschreiben
Ein Eintrag wie „Cyberangriff auf Kamerasystem“ ist noch keine belastbare Risikobewertung. Er beschreibt weder das konkrete Szenario noch die Auswirkung. Besser ist eine präzise Formulierung: „Ein kompromittierter Fernwartungszugang ermöglicht die Änderung von Kamerakonfigurationen und das Abschalten der Aufzeichnung an Standort A.“ Daraus lassen sich Ursachen, Folgen und geeignete Maßnahmen ableiten.
Für die Bewertung genügt häufig eine einfache, einheitlich angewendete Skala. Beispielsweise kann die Eintrittswahrscheinlichkeit von selten bis häufig und die Auswirkung von gering bis kritisch reichen. Die Bewertung sollte durch Kriterien gestützt sein: mögliche Betriebsunterbrechung, Personenschutz, finanzielle Folgen, rechtliche Folgen, Datenschutz, Wiederherstellungszeit und Reputationsschäden.
Ein rein rechnerischer Risikowert kann die Priorisierung erleichtern, ersetzt aber keine fachliche Entscheidung. Ein seltenes Ereignis mit gravierenden Folgen kann trotz niedriger Eintrittswahrscheinlichkeit eine sofortige Maßnahme erfordern. Umgekehrt kann ein Risiko akzeptabel sein, wenn die Auswirkung begrenzt, der Aufwand unverhältnismäßig und die Begründung durch die zuständige Leitung dokumentiert ist.
Maßnahmen mit dem Risiko verknüpfen
Für jedes relevante Risiko sollte klar sein, ob es vermieden, reduziert, übertragen oder bewusst akzeptiert wird. Bei Sicherheitsanlagen sind technische Maßnahmen nur ein Teil der Antwort. Netzwerksegmentierung, starke Administrationskonten, verschlüsselte Übertragung und aktuelle Firmware senken Risiken. Ebenso notwendig sind geregelte Wartungsfenster, Rollen- und Berechtigungskonzepte, Notfallabläufe sowie Tests der Wiederherstellung.
Dokumentieren Sie pro Maßnahme den Soll-Zustand, den Verantwortlichen, das Zieldatum und den Status. Eine Aussage wie „Passwörter wurden angepasst“ ist zu ungenau. Aussagekräftiger ist: „Administrative Zugänge der Video-Management-Plattform wurden auf personengebundene Konten mit Mehrfaktor-Authentifizierung umgestellt; Abschluss am 15. Mai, Prüfung durch Informationssicherheitsbeauftragten.“ Technische Details können in Anlagen oder Betriebsdokumenten stehen, sofern die Referenz im Risikoregister eindeutig ist.
Auch Restrisiken gehören in die Unterlagen. Nach einer Maßnahme bleibt häufig ein Rest an Unsicherheit - etwa durch Lieferketten, unvermeidbare Fernzugriffe oder begrenzte Redundanz an kleineren Standorten. Dieses Restrisiko benötigt eine Bewertung, eine verantwortliche Freigabe und gegebenenfalls zusätzliche Überwachung.
NIS2 Risikobewertung dokumentieren als laufenden Prozess
Eine Risikobewertung verliert schnell an Wert, wenn sie nur für ein Audit erstellt wird. Neue Systeme, geänderte Bedrohungslagen, Sicherheitsvorfälle und organisatorische Veränderungen können die ursprüngliche Einschätzung überholen. Legen Sie deshalb feste Prüfzyklen fest und definieren Sie Ereignisse, die eine außerplanmäßige Neubewertung auslösen.
Typische Auslöser sind schwerwiegende Störungen, erkannte Schwachstellen, der Austausch zentraler Komponenten, neue Fernzugänge, Wechsel von Dienstleistern oder wesentliche Änderungen an Standorten und Prozessen. Auch Ergebnisse aus Penetrationstests, Wartungen oder Übungen sollten in das Risikoregister zurückfließen. So entsteht ein Kreislauf aus Erkennen, Bewerten, Behandeln, Prüfen und Anpassen.
Für die Steuerung empfiehlt sich eine klare Rollenverteilung. Die Fachabteilung kennt den betrieblichen Schaden eines Ausfalls. IT und Informationssicherheit bewerten technische Bedrohungen und Schutzmaßnahmen. Sicherheitsverantwortliche beurteilen Auswirkungen auf Objektschutz, Alarmierung und Einsatzabläufe. Die Geschäftsleitung trägt die Verantwortung für Prioritäten, Ressourcen und die Akzeptanz erheblicher Restrisiken.
Nachweise für Technik, Betrieb und Prüfung bündeln
Eine überzeugende Dokumentation lebt von belastbaren Belegen. Dazu zählen Netzpläne, Berechtigungskonzepte, Konfigurationsstände, Wartungsprotokolle, Schulungsnachweise, Ergebnisse von Wiederherstellungstests und Protokolle von Managemententscheidungen. Nicht jeder Nachweis gehört in das Risikoregister selbst. Aber er sollte auffindbar, versioniert und dem jeweiligen Risiko zugeordnet sein.
Bei Videoüberwachung und Detektionssystemen ist die Betriebsrealität besonders relevant. Dokumentieren Sie beispielsweise, wie Ausfälle erkannt werden, wer Alarmketten prüft, wie lange Aufzeichnungen verfügbar bleiben und wie Konfigurationen gesichert wiederhergestellt werden. Werden Systeme durch externe Partner betreut, müssen Zuständigkeiten, Reaktionszeiten, Zugriffswege und Freigabeprozesse ebenfalls nachvollziehbar sein.
Datenschutz darf dabei nicht getrennt betrachtet werden. Kamerastandorte, Aufbewahrungsfristen, Zugriffsrechte und Exportfunktionen können sowohl datenschutzrechtliche als auch informationssicherheitsrelevante Risiken auslösen. Eine abgestimmte Betrachtung vermeidet widersprüchliche Maßnahmen und reduziert den Dokumentationsaufwand.
Typische Schwachstellen in der Dokumentation
Häufig fehlen Eigentümer für einzelne Risiken. Dann ist zwar eine Maßnahme vorgesehen, aber niemand steuert ihre Umsetzung oder bestätigt ihre Wirksamkeit. Ebenso problematisch sind pauschale Bewertungen ohne Kriterien. Wenn mehrere Risiken alle als „hoch“ gelten, fehlt eine belastbare Priorisierung für Investitionen und Betriebsmaßnahmen.
Ein weiterer Fehler liegt in der Verwechslung von Maßnahme und Nachweis. Der Kauf einer neuen Kamera, Firewall oder Speicherlösung ist kein Beleg dafür, dass ein Risiko ausreichend behandelt wurde. Erst die dokumentierte Konfiguration, die Abnahme, ein Funktionstest und die Einbindung in Betriebsprozesse zeigen die tatsächliche Wirksamkeit.
Gerade bei sicherheitskritischen Infrastrukturen lohnt sich zudem ein Blick über die einzelne Komponente hinaus. IBC Raif GmbH begleitet Sicherheitskonzepte dort, wo Videoüberwachung, Detektion, Netzwerkarchitektur und regulatorische Anforderungen zusammengeführt werden müssen. Die technische Planung sollte von Beginn an so gestaltet sein, dass sie Betrieb, Wartung und prüfbare Nachweise unterstützt.
Eine belastbare Risikodokumentation entsteht nicht durch möglichst viele Seiten. Sie entsteht, wenn Verantwortliche auch Monate später erkennen können, welches Risiko bestand, warum eine Entscheidung getroffen wurde und ob die zugesagte Schutzwirkung im Alltag tatsächlich vorhanden ist.