DORA, NIS-2 & Expertenwissen (2026/2027):
IKT-Risikomanagement & Audit-Readiness

1. 01

   Persönliche Haftung der Geschäftsleitung

   § 38 BSIG · Art. 20 RL (EU) 2022/2555

   Die Geschäftsleitung muss die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und sich selbst schulen lassen. Wer das delegiert, behält die Verantwortung – und haftet bei Pflichtverletzung.

   Das bringt S+P mit

   • NIS-2 Risk Assessment: Betroffenheit, Einstufung und die Maßnahmenbereiche nach § 30 BSIG auf einen Blick
   • Vorlage für die Billigung und Überwachung durch die Geschäftsleitung, datiert und nachweisbar
   • Rollenraster: was an CISO, Compliance und IT delegiert wird und was bei der Leitung bleibt

   Passendes Programm: A27 · NIS-2 für Führungskräfte

2. 02

   IKT-Drittparteien und Informationsregister

   Art. 28 bis 30 DORA

   Das Register muss alle IKT-Dienstleistungen abbilden, nicht nur die Verträge. Entscheidend sind Kritikalität, Unterauftragsketten und eine Ausstiegsstrategie, die vor dem Ernstfall existiert.

   Das bringt S+P mit

   • IKT-Vertrags-Check: Pflichtinhalte nach Art. 30 DORA Klausel für Klausel gegen den eigenen Vertrag
   • Registerstruktur mit Kritikalitätsbewertung und Konzentrationsrisiko je Dienstleister
   • Ausstiegsstrategie als Vorlage, an einem Dienstleisterausfall durchgespielt

   Passendes Programm: A26 · DORA Compliance

3. 03

   Meldewege unter Zeitdruck

   Art. 17 bis 19 DORA · § 32 BSIG · Art. 33 DSGVO

   Ein Vorfall löst oft mehrere Meldungen mit unterschiedlichen Fristen und Adressaten aus. Ohne vorab festgelegte Kriterien und Zuständigkeiten entscheidet im Ernstfall der Zufall.

   Das bringt S+P mit

   • Melde-Fahrplan für IKT-Vorfälle: vom ersten Alarm bis zum Abschlussbericht, mit Kriterien, Fristen und Zuständigen
   • Melde- und Eskalationsplan mit den Stufen 24 Stunden, 72 Stunden und 1 Monat nach NIS-2
   • Abstimmung paralleler Meldewege zur Datenschutzaufsicht und, für Hersteller, nach dem Cyber Resilience Act

   Passendes Programm: A15 · CISO Update

4. 04

   Belastungstests und operative Resilienz

   Art. 24 bis 27 DORA · Art. 11, 12, 14 DORA

   Konzepte genügen nicht mehr, die Aufsicht prüft die operative Umsetzung. Testumfang, Nachtest und Wiederanlaufpläne brauchen einen dokumentierten Nachweis, nicht nur eine Beschreibung.

   Das bringt S+P mit

   • Resilienz-Testplan: Umfang, Frequenz und Nachverfolgung festgestellter Mängel bis zum dokumentierten Nachtest
   • Einordnung der bedrohungsorientierten Penetrationstests (TLPT) nach Art. 26 und 27 DORA
   • Übung für Notfall-, Wiederanlauf- und Krisenkommunikation, ausgewertet entlang der DORA-Vorgaben

   Passendes Programm: A26 · DORA Compliance

5. 05

   Cyber Resilience Act für Hersteller

   VO (EU) 2024/2847

   Hersteller von Produkten mit digitalen Elementen müssen aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle melden. Die Meldepflichten gelten seit dem 11.09.2026, die übrigen Pflichten folgen später.

   Das bringt S+P mit

   • Einordnung, ob dein Unternehmen als Hersteller, Importeur oder Händler betroffen ist
   • Ablauf für das Schwachstellenmanagement mit Meldeweg und Zuständigkeiten
   • Abgleich mit den Meldestufen nach NIS-2, damit Fristen nicht doppelt gepflegt werden

   Passendes Programm: A15 · CISO Update

6. 06

   KI-Verordnung im Sicherheitsbetrieb

   VO (EU) 2024/1689

   Seit dem 02.02.2025 gelten die Verbote nach Art. 5 und die Pflicht zur KI-Kompetenz nach Art. 4. Wer KI-Werkzeuge ohne Inventar und Einstufung zulässt, hat ein Organisationsproblem, bevor ein Schaden entsteht.

   Das bringt S+P mit

   • KI-Inventar mit Klassifizierungsmatrix: Rolle, verbotene Praktiken, Hochrisiko-Einstufung, Transparenzpflichten
   • AI Governance Framework mit festgelegten Verantwortlichkeiten und Freigabeprozess für die Fachbereiche
   • Schulungsnachweis zur KI-Kompetenz, verknüpft mit dem Awareness-Programm nach Art. 13 Abs. 6 DORA

   Passendes Programm: A09 · KI-Compliance

Zertifikats-Lehrgänge – Sachkunde von Grund auf

Seminare – Update und Spezialthemen

Alle Termine im Überblick

1. 1

   Quick-Check

   Reifegrad deiner DORA- und NIS-2-Umsetzung bewerten und Lücken erkennen – ehrlich, nicht nach Plan.

   Zum Selbsttest

2. 2

   Seminar & Tool Box

   Praxis-Werkzeuge für DORA, NIS-2, Incident-Reporting und die KI-Verordnung.

   Zu den Terminen

3. 3

   Zertifikat & Badge

   Sachkunde belegen – für Aufsicht, Revision und die eigene Personalakte.

   So funktioniert das Badge

4. 4

   C.O.R.E. Update

   Quartalsweise zu DORA, NIS-2 und KI-Verordnung aktuell bleiben, mit gesonderter Anmeldung.

   C.O.R.E. im Detail