Betroffenheit gesellschaftsbezogen vorbereiten
Unternehmensgruppen neigen dazu, NIS2 entweder vollständig zentral oder vollständig lokal zu behandeln. Beides greift zu kurz. Tätigkeiten, Größenmerkmale, Rechtsform, Standorte und kritische Services müssen für jede relevante Gesellschaft strukturiert aufgenommen werden.
Eine fachliche Scope-Vorprüfung schafft die Faktenbasis für die anschließende rechtliche Bewertung. Konzernzugehörigkeit allein beantwortet die Betroffenheit nicht und ersetzt keine qualifizierte Einzelfallprüfung.
- Rechtsträger, Tätigkeiten und relevante Sektoren
- Mitarbeiter- und Finanzmerkmale nach der anwendbaren Betrachtungslogik
- Kritische Leistungen, Empfänger und grenzüberschreitende Abhängigkeiten
Group Governance und lokale Verantwortung verbinden
Zentrale Security-Funktionen können Mindestanforderungen, Methoden und Plattformen bereitstellen. Die jeweilige Geschäftsleitung benötigt trotzdem eine nachvollziehbare Sicht auf Risiken, Entscheidungen und offene Abweichungen ihrer Gesellschaft.
Ein RACI allein genügt nicht. Für wesentliche Kontrollen muss klar sein, wer die Leistung erbringt, wer ihre Wirksamkeit steuert, wer Evidenz liefert und wer über Ausnahmen entscheidet.
Shared Services und Abhängigkeiten sichtbar machen
Gemeinsame Identitäten, Netze, Cloud-Plattformen, SOC-Leistungen, Backups und Lieferanten wirken häufig über mehrere Gesellschaften. Eine zentrale Kontrolle kann dadurch viele Einheiten absichern – ihr Ausfall kann aber ebenso viele Einheiten gleichzeitig treffen.
Das Betriebsmodell sollte Leistungserbringung, Kontrollverantwortung, Serviceziele, Eskalation und Evidenzlieferung in einer gemeinsamen Abhängigkeitskarte verbinden.
Kontrollrahmen, Ausnahmen und Evidenz strukturieren
Ein gemeinsamer Kontrollkatalog reduziert Doppelarbeit, wenn er nicht zur starren Einheitslösung wird. Lokale Ausnahmen benötigen einen Owner, eine nachvollziehbare Begründung, kompensierende Maßnahmen und einen erneuten Bewertungstermin.
Evidenz sollte möglichst aus stabilen Prozessen und Systemen entstehen. Ad-hoc-Screenshots kurz vor einer Prüfung sind kein tragfähiges Betriebsmodell.
- Einheitliche Kontrollziele mit lokalem Umsetzungsnachweis
- Versionierte Ausnahme- und Risikoentscheidungen
- Wiederverwendbare Evidenzquellen mit bestätigter Verantwortlichkeit
Reporting und Vorfallprozesse gruppenweit organisieren
Managementberichte müssen Konzernrisiken, lokale Exponierung und gesellschaftsspezifischen Entscheidungsbedarf unterscheiden. Aggregation darf keine abweichende Risikolage verdecken.
Meldewege, Eskalationsschwellen, Verantwortlichkeiten und Informationsübergaben gehören vor einem Vorfall geklärt. Fachliche Vorbereitung und rechtliche Bewertung werden dabei sauber getrennt.
Leistungsabgrenzung
Unterstützt werden fachliche Scope-Vorprüfung, Governance, Kontrollzuordnung, Roadmap und Evidenzstruktur. Eine verbindliche rechtliche Betroffenheitsfeststellung, Rechtsberatung oder regulatorische Entscheidung erfolgt nicht.