ByteRay GmbH
Hopfenstraße 8
80335 München
Lösungen · Regulatorik
NIS2 gilt. Jetzt zählt die Umsetzung.
Registrierung und Richtlinien waren der Anfang. Das Gesetz verlangt Betrieb: Angriffe erkennen, in 24 Stunden melden, Wirksamkeit nachweisen.
Registrierung und Richtlinien waren der Anfang. Das Gesetz verlangt Betrieb: Angriffe erkennen, in 24 Stunden melden, Wirksamkeit nachweisen.
Vieles ist erledigt - auf dem Papier. Klicken Sie an, was bei Ihnen steht. Jede Karte zeigt, was damit noch nicht abgedeckt ist.
Vier Haken, vier offene Fragen.
Vom Paragrafen zum Nachweis ↓Fünf Pflichtenbereiche aus dem BSIG, fünf technische Antworten. Wählen Sie links einen Bereich, rechts erscheinen Leistung und Nachweis.
Risk und Compromise Assessments zeigen, wo Ihre Maßnahmen dem Stand der Technik entsprechen und wo nicht. Das Ergebnis ist ein priorisierter Maßnahmenkatalog, kein Papierbericht.
Managed CSIRT auf der CrowdStrike-Falcon-Plattform: Detection 24/7, aktive Response nach gemeinsamem Betriebshandbuch.
Die Frühwarnung in 24 Stunden setzt voraus, dass ein Vorfall erkannt, bewertet und dokumentiert ist. Unser CSIRT liefert die meldefähige Faktenlage, inklusive forensischer Dokumentation für Folge- und Abschlussmeldung.
Die Geschäftsleitung muss Maßnahmen billigen, überwachen und haftet persönlich. Management-Reports machen den Sicherheitsstatus entscheidbar; Tabletop-Übungen bereiten den Ernstfall vor.
SIEM-Compliance-Dashboards im Falcon Next-Gen SIEM übersetzen Logs, Events und Detections in prüfungsrelevante Sichten, tagesaktuell statt einmal im Jahr zusammengesucht.
Die Frist läuft ab Kenntnis des Vorfalls, nicht ab Beauftragung eines Dienstleisters. Meldefähigkeit gehört deshalb in den Regelbetrieb, nicht ins Adressbuch.
Verdacht bewertet, Vorfall klassifiziert, Frühwarnung an das BSI abgesetzt.
Bestätigte Erstbewertung: Schweregrad, Auswirkungen, Kompromittierungsindikatoren.
Ursache, Verlauf, Gegenmaßnahmen. Forensisch belastbar dokumentiert.
Ohne 24/7-Detection ist die 24-Stunden-Frist Glückssache. Mit ihr ist sie Routine.
Auch relevant: ISO 27001, TISAX und das KRITIS-Dachgesetz bilden unsere Compliance-Dashboards als Evidenz ab, die Zertifizierungsberatung bleibt bei Ihren Auditoren. Für den Finanzsektor gilt eigenes Recht:
DORA: mit SIEM-Dashboards →Ein gelebtes ISMS deckt erfahrungsgemäß einen großen Teil der Anforderungen ab. NIS2-spezifisch bleiben unter anderem die BSI-Registrierung, das gestufte Meldeverfahren nach § 32 BSIG und die persönlichen Pflichten der Geschäftsleitung nach § 38 BSIG. Vor allem aber verlangt § 30 wirksame technische Maßnahmen im Betrieb: Erkennung, Reaktion, Protokollierung. Ein Zertifikat ersetzt keine Detection.
Das Gesetz schreibt keine Produkte vor, sondern Ergebnisse: Vorfälle müssen nach Stand der Technik verhindert, erkannt, bewältigt und gemeldet werden. In der Praxis führt daran ohne kontinuierliche Detection (SIEM/EDR) und eine reaktionsfähige Einheit (SOC bzw. CSIRT) kaum ein Weg vorbei. Wir betreiben beides auf der CrowdStrike-Falcon-Plattform, als Managed CSIRT.
Bei erheblichen Sicherheitsvorfällen eine Frühwarnung an das BSI: eine erste Einschätzung, ob ein rechtswidriges oder böswilliges Handeln vermutet wird und ob grenzüberschreitende Auswirkungen möglich erscheinen. Nach spätestens 72 Stunden folgt die Meldung mit bewerteter Faktenlage, nach einem Monat der Abschlussbericht.
Die Registrierung ist eine von mehreren Sofortpflichten. Risikomanagement, Meldefähigkeit und die Billigung durch die Geschäftsleitung gelten seit dem 6. Dezember 2025 ebenfalls, ohne Übergangsfrist. Besonders wichtige Einrichtungen müssen die Wirksamkeit ihrer Maßnahmen zudem bis Dezember 2028 gegenüber dem BSI nachweisen.
Die Geschäftsleitung ist verpflichtet, die Risikomanagementmaßnahmen zu billigen und ihre Umsetzung zu überwachen und haftet bei Pflichtverletzung persönlich. Bußgelder können je nach Einrichtung bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes erreichen.
Unser Fokus ist die technische Umsetzung und der Nachweis: Detection & Response, Meldefähigkeit, Compliance-Dashboards, Assessments und Übungen. Richtlinien- und ISMS-Beratung übernehmen wir nichtr arbeiten dort mit Ihren bestehenden Beratern und Auditoren zusammen und liefern ihnen die technische Evidenz.
Sehr wahrscheinlich indirekt: Regulierte Einrichtungen müssen die Sicherheit ihrer Lieferkette adressieren und geben Anforderungen vertraglich weiter. Wer Nachweise über Detection, Reaktionsfähigkeit und Vorfallmeldung vorlegen kann, bleibt lieferfähig.
