S+P Seminar A27 · Information Security
Ein Tag. Drei Werkzeuge für deine Leitungsverantwortung.
Dein Praxisseminar zu den Pflichten der Geschäftsleitung nach dem NIS-2-Umsetzungsgesetz: Risikomanagement, Meldepflichten, Lieferkette und Krisenfestigkeit. Du nimmst drei Werkzeuge mit: NIS-2 Risk Assessment, Melde- und Eskalationsplan und IT-Sicherheitsstrategie.
Das ausführliche Programm
01
02
03
Für Führungskräfte, die Informationssicherheit verantworten, ohne selbst IT-Spezialist:in zu sein – und für die Fachfunktionen, die ihnen zuarbeiten.
Keine Vorkenntnisse nötig. Hilfreich sind Organigramm, Dienstleisterübersicht und vorhandene Sicherheitsrichtlinien – damit arbeitest du in den Praxisfällen am eigenen Stand.
Jeder Termin arbeitet mit dem am Seminartag geltenden Stand – BSIG, europäische Durchführungsrechtsakte und BSI-Vorgaben werden laufend fortgeschrieben.
Regulatorisches Update · Stand 01.10.2026
Sieben relevante Änderungen für Leitung, Meldewesen und Lieferkette – im Seminar in den drei Blöcken eingeordnet, mit klarer Trennung von bisheriger und neuer Regelung.
| Bisherige Regelung | Neue Regelung |
|---|---|
| Pflichten der Geschäftsleitung (§ 38 BSIG)Das BSIG a. F. richtete die Sicherheitspflichten nach § 8a an die Betreiber kritischer Infrastrukturen, nicht an deren Leitung. Die Verantwortung der Geschäftsleitung ergab sich allein aus dem Gesellschaftsrecht, etwa § 93 AktG und § 43 GmbHG. | Seit 06.12.2025Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen müssen die Risikomanagementmaßnahmen nach § 30 BSIG umsetzen und ihre Umsetzung überwachen (§ 38 Abs. 1 BSIG). Bei schuldhafter Pflichtverletzung haften sie ihrer Einrichtung nach den Regeln des Gesellschaftsrechts (§ 38 Abs. 2 BSIG). Zudem müssen sie regelmäßig an Schulungen teilnehmen (§ 38 Abs. 3 BSIG); einen festen Turnus oder eine Mindestdauer nennt das Gesetz nicht. |
| Risikomanagementmaßnahmen (§ 30 BSIG)Nur Betreiber kritischer Infrastrukturen mussten nach § 8a BSIG a. F. angemessene organisatorische und technische Vorkehrungen treffen und diese alle zwei Jahre gegenüber dem BSI nachweisen. | Seit 06.12.2025Besonders wichtige und wichtige Einrichtungen ergreifen geeignete, verhältnismäßige und wirksame Maßnahmen in zehn Bereichen, darunter Bewältigung von Sicherheitsvorfällen, Aufrechterhaltung des Betriebs, Sicherheit der Lieferkette und Schulungen (§ 30 Abs. 1 und 2 BSIG). Die Einhaltung ist zu dokumentieren (§ 30 Abs. 1 Satz 3 BSIG). Eine Übergangsfrist für die Umsetzung gibt es nicht. |
| Meldepflichten (§ 32 BSIG)Betreiber kritischer Infrastrukturen meldeten erhebliche Störungen nach § 8b Abs. 4 BSIG a. F. unverzüglich an das BSI, ohne gestufte Fristen. | Seit 06.12.2025Erhebliche Sicherheitsvorfälle meldest du in Stufen: frühe Erstmeldung spätestens nach 24 Stunden, Meldung mit erster Bewertung spätestens nach 72 Stunden, auf Ersuchen des BSI Zwischenmeldungen und spätestens einen Monat nach der 72-Stunden-Meldung die Abschlussmeldung (§ 32 Abs. 1 BSIG). Dauert der Vorfall dann noch an, legst du zunächst eine Fortschrittsmeldung vor (§ 32 Abs. 2 BSIG). |
| Registrierung (§ 33 BSIG)Registrieren mussten sich nach § 8b Abs. 3 BSIG a. F. nur Betreiber kritischer Infrastrukturen. | Seit 06.12.2025 · Frist drei MonateBesonders wichtige und wichtige Einrichtungen registrieren sich spätestens drei Monate, nachdem sie erstmals oder erneut als solche gelten, über die gemeinsame Registrierungsmöglichkeit von BSI und BBK (§ 33 Abs. 1 BSIG). Für Einrichtungen, die bereits bei Inkrafttreten erfasst waren, lief diese Frist bis 06.03.2026. Kommt eine Einrichtung der Pflicht nicht nach, kann das BSI sie selbst registrieren (§ 33 Abs. 3 BSIG). |
| Bußgelder (§ 65 BSIG)Die Bußgeldvorschriften des § 14 BSIG a. F. betrafen vor allem Betreiber kritischer Infrastrukturen und Anbieter digitaler Dienste. | Seit 06.12.2025Verstöße gegen die Maßnahmen- und Dokumentationspflicht nach § 30 Abs. 1 BSIG und gegen die Meldepflichten nach § 32 BSIG können bei besonders wichtigen Einrichtungen mit bis zu 10 Mio. €, bei wichtigen Einrichtungen mit bis zu 7 Mio. € geahndet werden (§ 65 Abs. 2 Nr. 2 bis 5, Abs. 5 Satz 1 Nr. 1 BSIG). Bei mehr als 500 Mio. € Gesamtumsatz reicht der Rahmen bis 2 % bzw. 1,4 % des weltweiten Gesamtumsatzes (§ 65 Abs. 6 und 7 BSIG). Eine unterlassene Registrierung kann mit bis zu 500.000 € geahndet werden (§ 65 Abs. 2 Nr. 6, Abs. 5 Satz 1 Nr. 5 BSIG). Die Bußgelder richten sich gegen die Einrichtung. |
| Cyber Resilience Act: Meldepflichten für HerstellerFür Hersteller von Produkten mit digitalen Elementen gab es keine EU-weit einheitliche Pflicht, ausgenutzte Schwachstellen oder schwerwiegende Sicherheitsvorfälle bei ihren Produkten zu melden. | Seit 11.09.2026Hersteller melden aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle bei ihren Produkten über die zentrale Meldeplattform: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden (Art. 14 i. V. m. Art. 71 Abs. 2 VO (EU) 2024/2847). Die übrigen Anforderungen der Verordnung gelten ab 11.12.2027. Relevant für Einrichtungen, die selbst vernetzte Produkte herstellen. |
| KRITIS-Dachgesetz: physische ResilienzDie physische Resilienz kritischer Infrastrukturen war nur sektoral geregelt; das BSIG a. F. erfasste allein die IT-Sicherheit. | Seit 17.03.2026 · Fristen ab KRITIS-VerordnungDas KRITIS-Dachgesetz (G. v. 11.03.2026, BGBl. 2026 I Nr. 66) setzt die RL (EU) 2022/2557 um und verpflichtet Betreiber kritischer Anlagen zu Registrierung, Risikoanalyse und Resilienzmaßnahmen. Nach der Änderung durch Art. 8 des Gesetzes vom 21.07.2026 (BGBl. 2026 I Nr. 221), in Kraft seit 29.07.2026, beginnt die Registrierungsfrist von drei Monaten erst mit Inkrafttreten der Rechtsverordnung zur Bestimmung kritischer Anlagen (§ 8 KRITIS-Dachgesetz). |
Rechtsgrundlagen: NIS2UmsuCG · BGBl. 2025 I Nr. 301 · BSIG · §§ 28, 30, 32, 33, 38, 65 · NIS-2-Richtlinie · RL (EU) 2022/2555 · Cyber Resilience Act · VO (EU) 2024/2847, Art. 14, 71 · CER-Richtlinie · RL (EU) 2022/2557 · KRITIS-Dachgesetz · BGBl. 2026 I Nr. 66, geändert durch BGBl. 2026 I Nr. 221. Die Pflichten sind jeweils nach Einstufung der Einrichtung, Sektor und Rolle als Hersteller oder Betreiber einzuordnen.
Dein Praxistransfer: Prüfe Einstufung und Registrierung deiner Einrichtung, lass dir die Umsetzung der Maßnahmen nach § 30 BSIG regelmäßig berichten und lege fest, wer im Vorfall innerhalb von 24 Stunden über die Meldung entscheidet.
Praxiswerkstatt
Drei Fälle aus der Leitungspraxis ziehen sich durch den Seminartag. An ihnen erarbeitest du Risk Assessment, Melde- und Eskalationsplan und IT-Sicherheitsstrategie.
Der Beschlussentwurf lautet: Die IT-Leitung verantwortet alle Maßnahmen nach § 30 BSIG. Ein Bericht an die Geschäftsführung ist nicht vorgesehen, das letzte Risk Assessment ist zwei Jahre alt.
Deine Aufgabe: Trenne, was die Geschäftsführung delegieren darf, von der Überwachung, die bei ihr bleibt – und erstelle daraus dein Risk Assessment mit Prioritäten, Verantwortlichen und Berichtsrhythmus.
Dein Dienstleister für Fernwartung ist verschlüsselt. Ob eure Systeme betroffen sind, ist unklar – die Rufbereitschaft fragt, ob das BSI informiert werden muss.
Deine Aufgabe: Entscheide unter Unsicherheit, ob ein erheblicher Sicherheitsvorfall vorliegt, wer bis wann meldet und welche weiteren Meldewege laufen – und halte das in deinem Melde- und Eskalationsplan fest.
Wiederanlaufzeiten stehen im Handbuch, getestet wurden sie nie. Für die geplante Übung fehlt Budget, der Aufsichtsrat fragt nach dem Stand.
Deine Aufgabe: Leite aus BSI-Standard 200-4 einen Übungsplan ab, priorisiere das Budget und verankere beides mit Kennzahlen für den Bericht an die Geschäftsleitung in deiner IT-Sicherheitsstrategie.
Dein Ergebnis
Du bewertest den Umsetzungsstand in den zehn Maßnahmenbereichen und priorisierst offene Punkte mit Verantwortlichen und Terminen.
Du legst fest, wer einen Vorfall bewertet, wer meldet und wer vertritt – auch außerhalb der Bürozeiten.
Du verbindest Maßnahmen, Übungen und Budget zu einer Strategie, die die Geschäftsleitung beschließen und nachhalten kann.
Du richtest einen Berichtsrhythmus ein, mit dem die Geschäftsleitung die Umsetzung nachweisbar überwacht.
Du kennst deine kritischen Dienstleister und weißt, welche Sicherheits- und Meldepflichten in ihre Verträge gehören.
Du erhältst das S+P Teilnahmezertifikat mit dokumentierten Inhalten und 6,0 Zeitstunden sowie das Digital Badge.
Selbsteinschätzung
Im Seminarpreis enthalten
Dein Seminar wirkt über den Veranstaltungstag hinaus: mit der S+P Tool Box für deine NIS-2-Umsetzung und S+P C.O.R.E. für regelmäßige Updates zu den Themen, die Leitung und Informationssicherheit im Jahresverlauf treffen.
01 · Direkt anwenden
Dein Werkzeugkasten für die NIS-2-Umsetzung.
Nutze die Seminarinhalte direkt in deinem Arbeitsalltag. Die Tool Box ist ohne Aufpreis im Seminarpreis enthalten und enthält deine drei Werkzeuge aus dem NIS-2-Toolkit sowie Leitfaden, Vorträge und Fallstudien.
Dein Vorteil Du beginnst mit konkreten Arbeitshilfen und passt sie an deine Einrichtung, deine Dienstleister und deine Freigabeprozesse an.
S+P Tool Box entdecken02 · Aktuell bleiben
Dein Update. Dein Austausch. Dein nächster Impuls.
Bedrohungslage, Regulierung und Aufsichtspraxis ändern sich laufend. Mit S+P C.O.R.E. ordnest du aktuelle Entwicklungen ein und diskutierst praktische Umsetzungsfragen mit Fachverantwortlichen und Experten. Mit deiner Buchung bist du unbefristet und kostenfrei dabei – mit einem Update pro Quartal.
Dein Vorteil Du bleibst auch nach dem Seminar mit aktuellen NIS-2-Themen und dem S+P Expertennetzwerk verbunden.
S+P C.O.R.E. entdeckenBei jeder Buchung enthalten: unbefristet und kostenfrei, ein Update pro Quartal. Zu jedem Update-Event meldest du dich kurz an – so können wir das Update auf Teilnehmerzahl und Branchen abstimmen.
S+P Certified
Nach dem Seminartag bekommst du deinen Nachweis digital – dort einsetzbar, wo er gesehen wird: im LinkedIn-Profil, im Lebenslauf und gegenüber Aufsichtsgremien und Auftraggebern.
Über den Referenten
Achim Schulz kennt den Druck von IT-Audits aus dem täglichen Geschäft. Mit der S+P Compliance Services agiert er permanent als Auslagerungsdienstleister für regulierte Unternehmen. Er steckt jeden Tag tief in der Materie. Er weiß genau: DORA, NIS-2 und der CRA dulden keine Ausreden. Er ist der perfekte Sparringspartner für IT-Verantwortliche und die Geschäftsleitung. Warum? Weil er die strengen Vorgaben der Aufsicht täglich in der eigenen Praxis umsetzt. Er schließt die gefährliche Lücke zwischen technischer IT-Sicherheit und aufsichtsrechtlicher Pflicht. Er weiß exakt, was Prüfer heute sehen wollen. In seinen Seminaren gibt es keine abstrakte Theorie. Er übersetzt komplexe RTS-Vorgaben in glasklare Prozesse. Mithilfe der S+P Tool Box liefert er dir sofort anwendbare Templates aus der eigenen Dienstleister-Praxis. Vom IKT-Drittparteien-Register bis zum rechtssicheren Incident-Reporting. Das klare Ziel: Dein Unternehmen wird zu 100 % audit-ready. Du bestehst jeden Belastungstest souverän. Und du schützt das Unternehmen zuverlässig vor drastischen Sanktionen.
LinkedIn-Profil → · Redaktion & Experten →Termine und Buchung
| Ort | S+P Seminare | Datum | |
|---|---|---|---|
| Online | A27 - NIS-2 für Führungskräfte 2027: Cyber-Haftung vermeiden | Jetzt buchen | |
| Online | A27 - NIS-2 für Führungskräfte 2027: Cyber-Haftung vermeiden | Jetzt buchen | |
| Online | A27 - NIS-2 für Führungskräfte 2027: Cyber-Haftung vermeiden | Jetzt buchen | |
| Online | A27 - NIS-2 für Führungskräfte 2027: Cyber-Haftung vermeiden | Jetzt buchen | |
| Online | A27 - NIS-2 für Führungskräfte 2027: Cyber-Haftung vermeiden | Jetzt buchen |
Frage zu Termin, Rechnung oder Anmeldung für mehrere Personen?
Schreib uns – die Antwort kommt in der Regel am nächsten Werktag. Meldest du dich mit mindestens zwei Personen aus einem Unternehmen an, erhalten alle Teilnehmenden 10 % Nachlass; für eine ganze Geschäftsleitung oder ein Führungsteam ist eine Inhouse-Schulung meist wirtschaftlicher.
Erfahrungen von Teilnehmenden
Unabhängige Bewertungen zu unseren Seminaren findest du auf zwei Bewertungsportalen.
Nächster Schritt
Melde dich jetzt an und nimm NIS-2 Risk Assessment, Melde- und Eskalationsplan und IT-Sicherheitsstrategie direkt in deinen Arbeitsalltag mit. Ein Tag live online, 6,0 Zeitstunden, S+P Teilnahmezertifikat und Digital Badge, Tool Box und unbefristet kostenfreies C.O.R.E. Update inklusive.
