Die bevorstehende Frist am 3. Oktober 2026 markiert den letzten Schritt der Registrierung auf der Liste der Schlüssel- und wichtigen Einrichtungen. Sie schließt jedoch nicht den Anpassungsprozess an die Änderung des Gesetzes über das nationale Cybersicherheitssystem ab. Die wichtigste Verpflichtung ist die Implementierung eines Informationssicherheits-Managementsystems (ISMS). Einrichtungen, die die gesetzlichen Kriterien am 3. April 2026 erfüllten, müssen dies bis zum 3. April 2027 tun.
Was versteht man unter ISMS im Sinne des KSC-Gesetzes?
Das ISMS ist ein nationaler Rahmen zur Umsetzung der Anforderungen der NIS2-Richtlinie zum Cybersicherheitsrisikomanagement. Es handelt sich nicht um eine für Prüfungszwecke erstellte Richtliniensammlung. Gemäß Artikel 8 Absatz 1 des Gesetzes umfasst das System Informationssysteme, die in Prozessen eingesetzt werden, welche die Leistungserbringung des Unternehmens betreffen. Es muss insbesondere Folgendes gewährleisten:
- Systematische Risikobewertung: Regelmäßiges Erkennen, Analysieren, Bewerten und Steuern des Risikos des Eintretens eines Ereignisses.
- Verhältnismäßige technische und organisatorische Maßnahmen: Sicherheitsmaßnahmen, die auf das ermittelte Risiko zugeschnitten sind und den aktuellen Wissensstand, die Implementierungskosten sowie die Größe des Unternehmens berücksichtigen. Das Gesetz legt unter anderem Sicherheitsrichtlinien, Lieferkettensicherheit, Notfallpläne, kontinuierliche Systemüberwachung, Anlagenmanagement und Zugangskontrolle fest.
- Vorfall- und Schwachstellenmanagement: Sammeln von Informationen über Cyberbedrohungen, Bearbeitung von Vorfällen und Maßnahmen zur Risikominderung, einschließlich regelmäßiger Software-Updates.
Risikobewertung
Die Risikobewertung ist der Ausgangspunkt für die Auswahl aller Sicherheitsmaßnahmen. Fehlt eine dokumentierte Risikoanalyse, ist die Wirksamkeit jeder umgesetzten Maßnahme beeinträchtigt. In dieser Phase sollten Sie Folgendes beachten:
- Eine einheitliche Methodik einführen: Eine einheitliche Risikobewertungsmethode sowie Kriterien für die Risikoakzeptanz entwickeln und genehmigen.
- Inventarisierung von Vermögenswerten: Erstellen Sie ein Verzeichnis der Systeme, Daten, Prozesse und Lieferanten, die unter das ISMS fallen.
- Erstellen Sie einen Risikomanagementplan: Weisen Sie Gegenmaßnahmen, Risikoverantwortliche und Umsetzungsfristen zu. Die diesbezüglichen Entscheidungen obliegen dem Management des Unternehmens.
- Durchführung von Managementschulungen: Der Geschäftsführer und die für Cybersicherheit zuständige Person müssen jährlich eine Schulung absolvieren, deren Teilnahme dokumentiert werden muss. Es empfiehlt sich, die erste Schulung im Jahr 2026 durchzuführen, bevor der Vorstand wichtige Implementierungsentscheidungen trifft.
Dokumentation und Implementierung von Sicherheitsmaßnahmen
Nach Abschluss der Risikoanalyse geht die Organisation zur Umsetzung konkreter Lösungen über:
- Sicherheitsdokumentation: Das Gesetz unterteilt sie in normative und operative Dokumentation. Zur normativen Dokumentation gehören unter anderem ISMS-Dokumentationen, thematische Richtlinien, Dokumentationen des Business-Continuity-Management-Systems und technische Dokumentationen. Die operative Dokumentation umfasst Aufzeichnungen, die die Durchführung von Aktivitäten bestätigen, einschließlich Systemprotokollen. Sämtliche Dokumentationen müssen überwacht, versioniert und nach der Außerbetriebnahme mindestens zwei Jahre lang aufbewahrt werden.
- Verfahren zur Bearbeitung von Zwischenfällen: Eskalationswege und Berichtsvorlagen zur Einhaltung gesetzlicher Fristen mit dem zuständigen CSIRT des Sektors: Frühwarnung innerhalb von 24 Stunden, Meldung eines größeren Zwischenfalls innerhalb von 72 Stunden und Abschlussbericht innerhalb eines Monats.
- Geschäftskontinuität: Implementieren, dokumentieren und testen Sie Geschäftskontinuitätspläne, Notfallpläne und Geschäftswiederherstellungspläne.
- Technische Maßnahmen: Kontinuierliche Systemüberwachung, Zugriffsmanagement, regelmäßige Updates und, falls erforderlich, Verschlüsselung und Multi-Faktor-Authentifizierung. Jede Sicherheitsmaßnahme sollte auf einem Risikomanagementplan basieren.
- Lieferkette: Überprüfung von Verträgen mit ITK-Anbietern und Implementierung von Bewertungsverfahren. Wir haben dies im vorherigen Artikel dieser Reihe ausführlich behandelt.
Start und Überprüfung
Die letzten Wochen vor dem Stichtag sollten genutzt werden, um zu überprüfen, ob das System in der Praxis funktioniert:
- Nutzung des S46-Systems: Ab dem 3. April 2027 müssen die Organisationen mit der Nutzung des S46-IT-Systems beginnen, das unter anderem zur Meldung von Vorfällen verwendet wird.
- Mitarbeiterschulung: Schulung der Mitarbeiter in neuen Verfahren und grundlegenden Prinzipien der Cyberhygiene, inklusive Dokumentation der Teilnahme.
- Verfahrensprüfung: PlanspielezurDarstellung eines Großschadensszenarios, einschließlich des Meldeverfahrens an das CSIRT des Sektors und der Kommunikation mit dem Management.
- Wirksamkeitsbewertung: Interne oder Managementprüfung zur Bestätigung der Vollständigkeit der Dokumentation und der Wirksamkeit der umgesetzten Maßnahmen.
Zusammenfassung
Der 3. April 2027 markiert das Ende der Systementwicklung, nicht das Ende der Verantwortlichkeiten. Ab diesem Datum muss das ISMS kontinuierlich betrieben werden. Risiken müssen regelmäßig bewertet, Vorfälle dokumentiert und die Wirksamkeit der Sicherheitsmaßnahmen überprüft werden. Schlüsselstellen müssen bis zum 3. April 2028 ihr erstes Sicherheitsaudit durchführen und dieses anschließend mindestens alle drei Jahre wiederholen. Ein Audit darf nicht von einer Person durchgeführt werden, die im vergangenen Jahr ISMS-bezogene Aufgaben innerhalb der Organisation wahrgenommen hat. Für Schlüsselstellen kann eine Behörde beispielsweise nach einem schwerwiegenden Vorfall ein externes Audit anordnen. Ab dem 3. April 2028 können Aufsichtsbehörden grundsätzlich sowohl gegen die Organisation als auch gegen die verantwortliche Person Bußgelder verhängen.
Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Rechtsberatung dar.
Der aktuelle Stand der Rechtslage ist der 17. September 2026.
