Home/ Projektpläne/ NIS2-Umsetzung
Beispiel-Projektplan

Projektplan für eine NIS2-Umsetzung

Der Projektplan für eine NIS2-Umsetzung umfasst 10 Phasen, 83 Aufgaben, 29 Wochen Laufzeit und ein Budget von etwa 405.000 €. Er führt von Projektinitialisierung und regulatorischer Einordnung über BSI-Registrierung und IT-/OT-Bestandsaufnahme bis zu Governance, Melde- und Notfallprozessen. Hinzu kommen technische Schutzmaßnahmen, Lieferkettensicherheit sowie Schulungen für Geschäftsleitung und Fachbereiche.

  • 29 Wochen
  • 10 Phasen
  • 83 Aufgaben
  • Budget ca. 405.000 €
Diesen Plan in PathHub öffnen Eigenen Plan erstellen

Ohne Anmeldung · öffnet sofort

Eigenes Vorhaben? Der KI-Projektplan-Generator erstellt dir einen Plan wie diesen aus einer kurzen Beschreibung.

So sieht der Plan in PathHub aus. Klick dich durch die Reiter oder hake Aufgaben ab.

app.pathhub.ai/try?example=nis2-deLive öffnen
Beispielplan

Umsetzung der NIS2-Anforderungen im Maschinenbauunternehmen

Das Projekt dient der strukturierten Umsetzung der NIS2-Anforderungen in einem mittelständischen Maschinenbauunternehmen mit IT-/OT-Umgebung. Im Fokus stehen die Registrierung beim BSI, die regulatorische Einordnung, die Erfassung kritischer Assets sowie die Einführung belastbarer Governance-, Melde- und Notfallprozesse. Ergänzend werden technische Schutzmaßnahmen, Lieferkettensicherheit und Schulungen für Geschäftsleitung und Fachbereiche verankert. Ziel ist ein nachweisfähiger, auditfester und dauerhaft betreibbarer Sicherheitsrahmen für Produktion und Unternehmens-IT.

Gesamtfortschritt0%
29Wochen
0/10Phasen
0/83Aufgaben
405.000 €Budget
KI-Empfehlung KIKI-Chat KIKI-Tools KI

Phasen

1

Phase 1: Projektinitialisierung und Anwendungsbereich

Ausstehend · 4W · 0/6
Geschäftsleitung gemeinsam mit IT-Leitung beziehungsweise Informationssicherheitsbeauftragtem
0

In dieser Phase werden Projektauftrag, Verantwortlichkeiten, Unternehmensgrenzen und der sachliche Geltungsbereich verbindlich festgelegt. Damit entsteht die belastbare Grundlage für Registrierung, Bestandsaufnahme und spätere Nachweisführung.

Projektauftrag durch die Geschäftsleitung mit Benennung des Sponsors, des Informationssicherheitsbeauftragten, der Entscheidungswege und des Eskalationsverfahrens verabschieden
01.10. – 03.10. 3 Tage
Geschäftsleitung
Unternehmens- und Standortmatrix für Gesellschaften, Werke, Produktionsbereiche, Büros und ausgelagerte Betriebsstätten erstellen
01.10. – 04.10. 4 Tage
IT-Leitung beziehungsweise Informationssicherheitsbeauftragter
Vorläufige Scope-Matrix für IT-Systeme, Produktionsanlagen, OT-Netze, Cloud-Dienste, Fernwartungszugänge und kritische Geschäftsprozesse erstellen
01.10. – 08.10. 6 Tage
IT-Leitung gemeinsam mit Produktions- und OT-Leitung
Rollen- und Verantwortlichkeitsmodell mit Geschäftsleitung, IT-Betrieb, Produktion, Einkauf, Recht, Datenschutz, Personalabteilung und Betriebsrat festlegen
04.10. – 09.10. 4 Tage
Projektleitung beziehungsweise Informationssicherheitsbeauftragter
Beteiligungs- und Abstimmungsplan für den Betriebsrat einschließlich mitbestimmungspflichtiger Kontroll-, Protokollierungs- und Schulungsmaßnahmen erstellen
04.10. – 09.10. 4 Tage
Personalabteilung gemeinsam mit Rechtsabteilung und Betriebsrat
Zentralen Projektraum mit Berechtigungskonzept, Dokumentenstruktur, Nachweisregister, Terminplan und Vorlagen für Beschlüsse und Freigaben einrichten
10.10. – 12.10. 3 Tage
Projektleitung
Rechtliche Betroffenheitsanalyse anhand von Unternehmensgröße, Tätigkeitsfeldern, Organisationseinheiten, Dienstleistungen und gegebenenfalls sektoralen Kriterien durchführen
29.10. – 02.11. 5 Tage
Rechtsabteilung und Compliance
Gesetzliche, branchenspezifische und behördliche Anforderungen einschließlich Melde-, Risikomanagement-, Schulungs- und Nachweispflichten in einem Verpflichtungsregister erfassen
29.10. – 02.11. 5 Tage
Informationssicherheitsbeauftragter
Rechtsträger, Standorte, Ansprechpartner, betroffene Dienste und technische beziehungsweise organisatorische Kontaktstellen für die Registrierung abgleichen
05.11. – 08.11. 4 Tage
Rechtsabteilung gemeinsam mit IT-Leitung und Personalabteilung
Erforderliche Unternehmens- und Kontaktdaten für das BSI-Registrierungsverfahren zusammentragen, plausibilisieren und gegen Handelsregister- und Organisationsdaten prüfen
05.11. – 08.11. 4 Tage
Projektleitung gemeinsam mit Rechtsabteilung
Registrierungsunterlagen im vorgesehenen BSI-Verfahren beziehungsweise bei der zuständigen Meldestelle einreichen und Eingangsbestätigung sowie Rückfragen revisionsfähig dokumentieren
09.11. – 13.11. 3 Tage
Geschäftsleitung beziehungsweise bevollmächtigte Vertretung
Registrierungsstatus, behördliche Ansprechpartner und daraus resultierende Pflichten in einem Management-Entscheidungspapier zusammenfassen und durch die Geschäftsleitung freigeben lassen
14.11. – 16.11. 3 Tage
Informationssicherheitsbeauftragter
Erfassungsmethode, Asset-Kategorien, Pflichtattribute und Qualitätskriterien für das gemeinsame IT-/OT-Assetregister definieren
05.11. – 07.11. 3 Tage
Informationssicherheitsbeauftragter
Geschäftsanwendungen, Server, Netzwerkkomponenten, Endgeräte, Identitätsdienste und Cloud-Dienste mit den jeweiligen Eigentümern und Betriebsverantwortlichen erfassen
08.11. – 15.11. 6 Tage
IT-Betrieb und Netzwerkverantwortliche
Produktionsanlagen, Steuerungen, Engineering-Stationen, Leitsysteme, Maschinen-PCs und OT-Netzkomponenten je Werk und Produktionsbereich aufnehmen
08.11. – 19.11. 8 Tage
Produktions- und OT-Leitung gemeinsam mit Anlagenverantwortlichen
Passive Netzwerkerfassung und Dokumentenprüfung zur Identifikation von Kommunikationswegen, unbekannten Geräten und nicht dokumentierten OT-Verbindungen durchführen
16.11. – 23.11. 6 Tage
Netzwerkverantwortliche gemeinsam mit OT-Spezialisten
Datenflüsse zwischen Büro-IT, Produktionsnetzen, Maschinen, ERP-/MES-Systemen, Engineering-Umgebungen und externen Diensten als Abhängigkeitsdiagramme dokumentieren
26.11. – 29.11. 4 Tage
IT-Leitung gemeinsam mit Produktions- und OT-Leitung
Kritische Produktionsprozesse, Qualitätsprüfungen, Instandhaltungsabläufe und Wiederanlaufabhängigkeiten den unterstützenden Systemen und Anlagen zuordnen
30.11. – 06.12. 5 Tage
Produktionsleitung und Werksverantwortliche
Fernwartungszugänge, VPN-Verbindungen, Herstellerzugänge, Modemstrecken und externe Administrationswege mit Zweck, Berechtigung und Protokollierung erfassen
20.11. – 23.11. 4 Tage
IT-Betrieb und Instandhaltungsleitung
Kritische IT-/OT-Dienstleister, Betreiber von Wartungsplattformen, Telekommunikationsanbieter und sonstige externe Abhängigkeiten dem Assetregister zuordnen
26.11. – 29.11. 4 Tage
Einkauf und Lieferkettenmanagement
Veraltete, nicht mehr unterstützte oder technisch nicht patchbare Systeme und Steuerungen mit vorhandenen Ersatz- und Kompensationsmaßnahmen kennzeichnen
30.11. – 05.12. 4 Tage
OT-Leitung gemeinsam mit IT-Betrieb und Anlagenverantwortlichen
Schutzbedarf für priorisierte Geschäftsprozesse, Systeme und Anlagen in Workshops bewerten und das geprüfte IT-/OT-Basisinventar durch die jeweiligen Eigentümer bestätigen lassen
07.12. – 14.12. 6 Tage
Informationssicherheitsbeauftragter
Bewertungsmethodik für Eintrittswahrscheinlichkeit, Schadensauswirkung, Risikoklasse und Akzeptanzgrenzen für IT- und OT-Risiken festlegen
10.12. – 12.12. 3 Tage
Informationssicherheitsbeauftragter
Bedrohungsworkshops für Ransomware, kompromittierte Fernwartung, Produktionsmanipulation, Identitätsmissbrauch, Lieferantenausfall und Datenverlust durchführen
13.12. – 20.12. 6 Tage
Informationssicherheitsbeauftragter gemeinsam mit IT-Betrieb und OT-Leitung
Schwachstellen, veraltete Systeme, fehlende Protokollierung, unzureichende Backups und unkontrollierte Zugänge gegen das Assetregister abgleichen
13.12. – 18.12. 4 Tage
IT-Betrieb und Netzwerkverantwortliche
Risiken aus kritischen Lieferanten, Herstellersupport, externen Plattformen und einzelnen Dienstleisterabhängigkeiten bewerten
21.12. – 25.12. 3 Tage
Einkauf und Lieferkettenmanagement gemeinsam mit dem Informationssicherheitsbeauftragten
Zentrales Risikoregister mit Verantwortlichem, bestehender Kontrolle, Risikowert, Behandlung, Zieltermin und erforderlicher Managemententscheidung erstellen
26.12. – 01.01. 5 Tage
Informationssicherheitsbeauftragter
Zielbild für Identitätsmanagement, Netzarchitektur, OT-Segmentierung, Protokollierung, Backup, Wiederanlauf, Fernwartung und Vorfallbehandlung entwerfen
02.01. – 09.01. 6 Tage
IT-Leitung gemeinsam mit Produktions- und OT-Leitung
Maßnahmen in kurzfristige, mittelfristige und investitionsabhängige Arbeitspakete priorisieren und Abhängigkeiten zu Produktionsfenstern dokumentieren
26.12. – 31.12. 4 Tage
Projektleitung gemeinsam mit IT-Betrieb und Produktionsleitung
Sicherheitszielbild, Risikobehandlungen, Restrisiken und Ressourcenbedarf der Geschäftsleitung zur Genehmigung vorlegen
10.01. – 11.01. 2 Tage
Geschäftsleitung
Rollenmodell für Geschäftsleitung, Informationssicherheitsbeauftragten, System- und Anlagenverantwortliche, Vorfallverantwortliche sowie Stellvertretungen verbindlich festlegen
14.01. – 18.01. 5 Tage
Informationssicherheitsbeauftragter
Übergeordnete Informationssicherheitsrichtlinie einschließlich Geltungsbereich, Verantwortlichkeiten, Risikobehandlung und Managementpflichten erstellen und genehmigen lassen
21.01. – 25.01. 5 Tage
Geschäftsleitung gemeinsam mit dem Informationssicherheitsbeauftragten
Richtlinien und Verfahrensanweisungen für Identitäten, privilegierte Zugänge, Änderungen, Schwachstellen, Patches, Backups, Protokollierung und Fernwartung ausarbeiten
21.01. – 30.01. 8 Tage
IT-Leitung und IT-Betrieb
Produktionsspezifische Regelungen für Wartungsfenster, Anlagenänderungen, Notfallzugänge, Sicherheitsprüfungen und Kompensationsmaßnahmen bei Legacy-Systemen erstellen
31.01. – 08.02. 7 Tage
Produktions- und OT-Leitung
Kontrollkatalog mit Kontrollziel, Kontrollverantwortlichem, Frequenz, Nachweisform, Aufbewahrungsfrist und Eskalationsweg aufbauen
31.01. – 07.02. 6 Tage
Informationssicherheitsbeauftragter
Prozess für Risikogenehmigungen, Ausnahmen, befristete Abweichungen und dokumentierte Kompensationsmaßnahmen einführen
08.02. – 13.02. 4 Tage
Informationssicherheitsbeauftragter gemeinsam mit Rechtsabteilung
Datenschutz-, arbeitsrechtliche und mitbestimmungsrechtliche Prüfung von Protokollierung, Überwachung, Schulungen und Rollenanforderungen durchführen
11.02. – 15.02. 5 Tage
Rechtsabteilung und Datenschutzbeauftragter gemeinsam mit dem Betriebsrat
Kennzahlen für Patchstatus, offene Risiken, Vorfälle, Schulungsquote, Lieferantenstatus und Nachweisqualität definieren
08.02. – 13.02. 4 Tage
Informationssicherheitsbeauftragter
Richtlinien, Rollenmodell, Kontrollkatalog und Nachweisablage durch die Geschäftsleitung abnehmen und organisationsweit veröffentlichen
19.02. – 21.02. 3 Tage
Geschäftsleitung
Kriterien für Sicherheitsvorfälle, erhebliche Vorfälle, Beinahevorfälle und meldepflichtige Ereignisse einschließlich IT-/OT-spezifischer Beispiele definieren
21.01. – 25.01. 5 Tage
Informationssicherheitsbeauftragter gemeinsam mit Rechtsabteilung und OT-Leitung
Eskalationsworkflow vom Ersthinweis über Triage, technische Analyse, Managemententscheidung und Behördenmeldung bis zum Abschlussbericht modellieren
28.01. – 31.01. 4 Tage
Informationssicherheitsbeauftragter
Rufbereitschaft, Stellvertretungen, Erreichbarkeiten und Eskalationszeiten für Geschäftsleitung, IT-Betrieb, Produktion, Recht, Datenschutz und Dienstleister festlegen
28.01. – 30.01. 3 Tage
IT-Leitung gemeinsam mit Personalabteilung
Vorlagen für 24-Stunden-Frühwarnung, 72-Stunden-Meldung, Zwischeninformationen und Abschlussbericht mit Pflichtfeldern und Freigabeschritten erstellen
01.02. – 07.02. 5 Tage
Rechtsabteilung und Informationssicherheitsbeauftragter
Playbooks für Ransomware, kompromittierte Fernwartung, Produktionsausfall, manipulierte Steuerung, Identitätsmissbrauch und Datenabfluss ausarbeiten
01.02. – 12.02. 8 Tage
IT-Betrieb und Produktions- und OT-Leitung
Sicheren Kommunikations- und Beweissicherungsweg für Vorfallinformationen, Protokolle, Forensikdaten und Behördenkommunikation einrichten
13.02. – 15.02. 3 Tage
IT-Betrieb gemeinsam mit Datenschutzbeauftragtem und Rechtsabteilung
Vorfallprozess mit Ticketsystem, Alarmierung, Protokollierung und gegebenenfalls zentraler Ereignisüberwachung technisch und organisatorisch verknüpfen
13.02. – 19.02. 5 Tage
Netzwerkverantwortliche und IT-Betrieb
Prozessdurchlauf mit einem simulierten IT-/OT-Vorfall durchführen, Zeitmessung gegen die Meldefristen vornehmen und erkannte Lücken dokumentieren
20.02. – 22.02. 3 Tage
Informationssicherheitsbeauftragter
Umsetzungsbacklog mit betroffenen Systemen, Abhängigkeiten, Wartungsfenstern, Rückfalloptionen und Abnahmekriterien für alle priorisierten Maßnahmen erstellen
28.01. – 01.02. 5 Tage
Projektleitung gemeinsam mit IT-Betrieb und OT-Leitung
Privilegierte Konten, getrennte Administrationskonten, Mehr-Faktor-Authentisierung und regelmäßige Berechtigungsüberprüfungen für priorisierte IT-/OT-Umgebungen umsetzen
04.02. – 12.02. 7 Tage
IT-Betrieb und Netzwerkverantwortliche
Fernwartungsarchitektur mit zentralem Zugang, zeitlich begrenzten Herstellerkonten, Freigabeprozess, Sitzungsprotokollierung und Notfallabschaltung einführen
04.02. – 12.02. 7 Tage
IT-Leitung gemeinsam mit Instandhaltungsleitung und kritischen Dienstleistern
Zonen- und Kommunikationsmodell für Büro-IT, Server, Produktionsnetze, Maschinenzellen, Engineering-Stationen und externe Übergänge in Firewall-Regeln überführen
13.02. – 21.02. 7 Tage
Netzwerkverantwortliche gemeinsam mit OT-Leitung
Segmentierung und Zugriffsregeln zunächst in einer repräsentativen Produktionsumgebung pilotieren, Funktion, Qualität und Wiederanlauf testen und die Freigabe dokumentieren
22.02. – 04.03. 7 Tage
OT-Leitung gemeinsam mit Netzwerkverantwortlichen und Anlagenverantwortlichen
Freigegebene Netzwerksegmentierung schrittweise auf die priorisierten Produktionsbereiche ausrollen und jede Umstellung mit Rückfallplan und Abnahmeprotokoll dokumentieren
05.03. – 15.03. 9 Tage
Netzwerkverantwortliche und Produktionsleitung
Schwachstellen- und Patchmanagement mit risikobasierten Fristen, sicheren OT-Prüfverfahren, Wartungsfenstern und dokumentierten Kompensationsmaßnahmen einrichten
13.02. – 21.02. 7 Tage
IT-Betrieb gemeinsam mit OT-Leitung
Nicht patchbare oder nicht unterstützte Legacy-Systeme durch zusätzliche Zugriffsbeschränkungen, Netzwerkisolierung, Allowlisting oder sonstige Kompensationsmaßnahmen absichern
22.02. – 04.03. 7 Tage
OT-Leitung und Anlagenverantwortliche
Zentrale Protokollierung für Identitäten, Firewalls, Fernwartung, Server, kritische Anwendungen und ausgewählte OT-Komponenten aktivieren und Aufbewahrungsregeln umsetzen
05.03. – 14.03. 8 Tage
IT-Betrieb und Netzwerkverantwortliche
Backup-Konzept für kritische Geschäftsdaten, Maschinenkonfigurationen, Steuerungsprogramme und Wiederanlaufdokumentation einschließlich Offline- beziehungsweise unveränderbarer Kopien umsetzen
05.03. – 14.03. 8 Tage
IT-Betrieb gemeinsam mit OT-Leitung
Wiederherstellung priorisierter Daten, Systemkonfigurationen und ausgewählter Anlagenkomponenten in abgestimmten Testumgebungen prüfen und Ergebnisse protokollieren
15.03. – 21.03. 5 Tage
IT-Betrieb und Anlagenverantwortliche
Server, Endgeräte, Engineering-Stationen und Administrationsarbeitsplätze anhand freigegebener Härtungsstandards konfigurieren und Abweichungen dokumentieren
13.02. – 21.02. 7 Tage
IT-Betrieb
Technische Wirksamkeitsprüfung mit Konfigurationsabgleich, Zugriffstests, Protokollprüfung und dokumentierter As-built-Dokumentation durchführen
22.03. – 29.03. 6 Tage
Informationssicherheitsbeauftragter gemeinsam mit IT-Betrieb und OT-Leitung
Kriterien für Kritikalität, Abhängigkeit, Fernzugriff, Datenverarbeitung, Produktionsrelevanz und Ausfallauswirkung von Lieferanten festlegen
04.02. – 06.02. 3 Tage
Einkauf und Lieferkettenmanagement
Lieferanten- und Dienstleisterportfolio mit kritischen Herstellern, Wartungsfirmen, Cloud-Anbietern, Netzbetreibern und Softwarelieferanten klassifizieren
07.02. – 13.02. 5 Tage
Einkauf gemeinsam mit IT-Leitung und OT-Leitung
Sicherheitsfragebogen und Nachweiskatalog für kritische Partner einschließlich Zertifizierungen, Schwachstellenmanagement, Vorfallmeldung, Backup und Unterauftragnehmern erstellen
04.02. – 06.02. 3 Tage
Informationssicherheitsbeauftragter
Sicherheitsnachweise, Prüfberichte, Notfallkontakte und Angaben zu Unterauftragnehmern der priorisierten Lieferanten einholen und bewerten
14.02. – 20.02. 5 Tage
Einkauf und Lieferkettenmanagement
Fernwartungsberechtigungen, Herstellerkonten, Wartungsfenster und Protokollierungsnachweise der kritischen Dienstleister gegen die neue Fernwartungsarchitektur prüfen
14.02. – 19.02. 4 Tage
IT-Betrieb und Instandhaltungsleitung
Vertragsklauseln zu Sicherheitsanforderungen, unverzüglicher Vorfallinformation, Mitwirkung bei Untersuchungen, Audit- und Nachweisrechten sowie Unterauftragnehmern ausarbeiten
21.02. – 27.02. 5 Tage
Rechtsabteilung gemeinsam mit Einkauf und Informationssicherheitsbeauftragtem
Für festgestellte Lieferantenlücken verbindliche Maßnahmenpläne, Fristen, Ersatzkontrollen und Eskalationsentscheidungen mit den Partnern vereinbaren
28.02. – 05.03. 4 Tage
Einkauf und Lieferkettenmanagement
Laufenden Lieferantenüberwachungsprozess mit Wiedervorlage, Nachweisprüfung, Risikobericht und Übergabe an den Regelbetrieb definieren
06.03. – 08.03. 3 Tage
Informationssicherheitsbeauftragter gemeinsam mit Einkauf
Rollenbasiertes Schulungskonzept mit Lernzielen, Pflichtgruppen, Nachweisen, Wiederholungsintervallen und Produktionsunterweisungen erstellen
04.03. – 06.03. 3 Tage
Personalabteilung gemeinsam mit Informationssicherheitsbeauftragtem
Geschäftsleitung zu NIS2-Verantwortung, Risikogenehmigung, Meldefristen, Ressourcenentscheidungen und persönlicher Organisationsverantwortung schulen
07.03. – 08.03. 2 Tage
Informationssicherheitsbeauftragter gemeinsam mit Rechtsabteilung
IT-Administratoren, Netzwerkverantwortliche, OT-Spezialisten und Anlagenverantwortliche zu privilegierten Zugängen, Fernwartung, Protokollierung, Patchverfahren und Notfallmaßnahmen schulen
07.03. – 12.03. 4 Tage
IT-Leitung und OT-Leitung
Produktionsmitarbeitende, Instandhaltung und Schichtverantwortliche zu Erkennung, Meldung und sicherem Verhalten bei verdächtigen Maschinen- oder IT-Ereignissen unterweisen
13.03. – 15.03. 3 Tage
Produktionsleitung und Personalabteilung
Allgemeine Awareness-Schulung für alle Beschäftigten zu Phishing, Zugangsdaten, mobilen Datenträgern, Meldewegen und Umgang mit Dienstleistern durchführen und Teilnahme dokumentieren
18.03. – 22.03. 5 Tage
Personalabteilung
Mit dem Betriebsrat Schulungsinhalte, Protokollierung der Teilnahme, technische Kontrollmaßnahmen und die Verarbeitung von Beschäftigtendaten abstimmen
25.03. – 26.03. 2 Tage
Personalabteilung gemeinsam mit Datenschutzbeauftragtem und Betriebsrat
Tabletop-Übung zu Ransomware mit Auswirkungen auf Produktion und Lieferkette durchführen, die 24-/72-Stunden-Prozesse durchspielen und Verbesserungsmaßnahmen beschließen
27.03. – 29.03. 3 Tage
Informationssicherheitsbeauftragter
Prüfplan für Governance, Risikoregister, Assetregister, Meldeprozesse, Schulungsnachweise, Lieferantenkontrollen und technische Maßnahmen erstellen
25.03. – 26.03. 2 Tage
Informationssicherheitsbeauftragter
Kontroll- und Nachweisstichproben in IT, OT, Produktion, Einkauf und Personalabteilung durchführen und Abweichungen mit Verantwortlichem und Frist dokumentieren
27.03. – 01.04. 4 Tage
Externe fachliche Prüfstelle gemeinsam mit dem Informationssicherheitsbeauftragten
Technische Wirksamkeitsprüfung von Identitäten, Segmentierung, Fernwartung, Protokollierung, Backup und Wiederherstellung ohne unkontrollierte Eingriffe in die Produktion durchführen
27.03. – 29.03. 3 Tage
Externe fachliche Prüfstelle gemeinsam mit IT-Betrieb und OT-Leitung
Melde- und Eskalationsprozess anhand der Übungsergebnisse, der Vorlagen und der Erreichbarkeit der Rollen gegen die 24-/72-Stunden-Anforderungen validieren
02.04. – 03.04. 2 Tage
Informationssicherheitsbeauftragter gemeinsam mit Rechtsabteilung
Festgestellte kritische und hohe Abweichungen nachbessern oder mit befristeter Kompensationsmaßnahme, Verantwortlichem und Zieltermin formell genehmigen lassen
04.04. – 10.04. 5 Tage
IT-Leitung und Produktionsleitung
Managementbewertung mit Kennzahlen, Restrisiken, Lieferantenstatus, Übungsergebnissen, Ressourcenbedarf und verbleibenden Entscheidungen durchführen
11.04. – 12.04. 2 Tage
Geschäftsleitung
Regelbetriebsübergabe mit benannten Prozessverantwortlichen, Kontrollkalender, Risikoregister, Nachweisablage, Schulungsplan und jährlicher Überprüfung abschließen
15.04. – 17.04. 3 Tage
Informationssicherheitsbeauftragter
Abschlussbericht mit Registrierungsstatus, erreichten Maßnahmen, offenen Risiken, Nachbesserungsplan und Roadmap für die folgenden zwölf Monate erstellen und abnehmen lassen
18.04. – 19.04. 2 Tage
Projektleitung gemeinsam mit dem Informationssicherheitsbeauftragten
In der App öffnen: Phasen

Timeline

Timeline 10 PhasenStart: 01.10.2026
Phase / Aufgabe
Okt 2026
Nov 2026
Dez 2026
Jan 2027
Feb 2027
Mär 2027
Apr 2027
KW 101.10
KW 422.10
KW 712.11
KW 1003.12
KW 1324.12
KW 1614.01
KW 1904.02
KW 2225.02
KW 2518.03
KW 2808.04
Projektinitialisierung und Anwendungsbereich01.10. – 28.10. · 4 Wo. · 0/6
Projektinitialisierung und Anwendungsbereich
BSI-Registrierung und regulatorische Einordnung29.10. – 25.11. · 4 Wo. · 0/6
BSI-Registrierung und regulatorische Einordnung
IT-/OT-Bestandsaufnahme und Schutzbedarfsanalyse05.11. – 16.12. · 6 Wo. · 0/10
IT-/OT-Bestandsaufnahme und Schutzbedarfsanalyse
Risikoanalyse und Zielbild10.12. – 13.01. · 5 Wo. · 0/8
Risikoanalyse und Zielbild
Governance, Richtlinien und Nachweisführung14.01. – 24.02. · 6 Wo. · 0/9
Governance, Richtlinien und Nachweisführung
Melde- und Notfallmanagement21.01. – 24.02. · 5 Wo. · 0/8
Melde- und Notfallmanagement
Technische Absicherung von IT und OT28.01. – 31.03. · 9 Wo. · 0/13
Technische Absicherung von IT und OT
Lieferkettensicherheit und Dienstleistersteuerung04.02. – 10.03. · 5 Wo. · 0/8
Lieferkettensicherheit und Dienstleistersteuerung
Schulung, Übungen und Betriebsratsbeteiligung04.03. – 31.03. · 4 Wo. · 0/7
Schulung, Übungen und Betriebsratsbeteiligung
Wirksamkeitsprüfung, Nachbesserung und Übergabe25.03. – 21.04. · 4 Wo. · 0/8
Wirksamkeitsprüfung, Nachbesserung und Übergabe
GeplantIn ArbeitAbgeschlossenBlockiertMeilensteine
In der App öffnen: Timeline

Budget

Budget: 405.000 €
Externe Dienstleister · 139.850 €Personal (intern) · 129.750 €Technische Maßnahmen & Infrastruktur · 60.000 €Software & Lizenzen · 45.600 €Schulungen, Übungen & Change · 29.800 €
Externe Dienstleister139.850 €
PositionMengeEinzelpreisGesamt
NIS2-Rechtsberatung und regulatorische Einordnung18 Personentage1.200 €21.600 €
IT-/OT-Assetaufnahme und Schutzbedarfsanalyse32 Personentage1.250 €40.000 €
IT-/OT-Risikoanalyse und Sicherheitszielbild25 Personentage1.250 €31.250 €
Beratung zu Meldeprozessen, Notfallmanagement und Wiederanlauf20 Personentage1.150 €23.000 €
Unabhängige Wirksamkeitsprüfung und fachliche Validierung20 Personentage1.200 €24.000 €
Personal (intern)129.750 €
PositionMengeEinzelpreisGesamt
Projektleitung und Informationssicherheitsbeauftragter60 Personentage850 €51.000 €
IT-Betrieb und Netzwerkverantwortung35 Personentage700 €24.500 €
Produktions- und OT-Leitung einschließlich Instandhaltung35 Personentage700 €24.500 €
Rechtsabteilung, Compliance und Datenschutz16 Personentage800 €12.800 €
Einkauf und Lieferkettenmanagement15 Personentage650 €9.750 €
Personalabteilung, interne Kommunikation und Betriebsratskoordination12 Personentage600 €7.200 €
Technische Maßnahmen & Infrastruktur60.000 €
PositionMengeEinzelpreisGesamt
Industrielle Firewalls und Umsetzung der priorisierten Netzsegmentierung1 Pauschal28.000 €28.000 €
Multi-Faktor-Authentifizierung und privilegiertes Zugriffsmanagement350 Stück55 €19.250 €
Anbindung zentraler Protokollierung und SIEM-Konnektoren1 Pauschal12.750 €12.750 €
Software & Lizenzen45.600 €
PositionMengeEinzelpreisGesamt
GRC- und Risikomanagementplattform einschließlich Nachweisführung12 Monat1.600 €19.200 €
Asset-Discovery- und Schwachstellenmanagement für IT und OT12 Monat1.300 €15.600 €
Awareness- und Phishing-Simulationsplattform12 Monat500 €6.000 €
Geschütztes Dokumenten- und Evidenzmanagement12 Monat400 €4.800 €
Schulungen, Übungen & Change29.800 €
PositionMengeEinzelpreisGesamt
NIS2- und Haftungsschulung für die Geschäftsleitung8 Stunden350 €2.800 €
Rollenbasierte Schulung für IT-, OT- und Produktionsverantwortliche30 Stunden300 €9.000 €
Awareness-Unterweisungen für Beschäftigte350 Stück25 €8.750 €
Tabletop-Übung zu Sicherheitsvorfall, Meldeprozess und Krisenkommunikation1 Pauschal9.250 €9.250 €
In der App öffnen: Budget

Risiken

Hoch

Unklare NIS2-Betroffenheit und fehlerhafte BSI-Registrierung

Wenn bis Ende des dritten Projektmonats nicht eindeutig geklärt ist, ob das Unternehmen beziehungsweise einzelne Organisationseinheiten als wesentliche oder wichtige Einrichtung erfasst sind, können Registrierungsdaten unvollständig, Fristen verpasst oder falsche Ansprechpartner gemeldet werden.

Gegenmaßnahme: Rechtsabteilung, Compliance und Informationssicherheitsbeauftragter dokumentieren bis Ende Monat 2 die Betroffenheitsprüfung, betroffenen Standorte und Organisationseinheiten; die Geschäftsleitung genehmigt bis Ende Monat 3 die Registrierung und benennt dauerhaft erreichbare Sicherheits- und Geschäftsleitungskontakte.
Hoch

Unvollständiges IT-/OT-Asset- und Abhängigkeitsinventar

Wenn bis Ende Monat 4 nicht alle Maschinensteuerungen, Produktionsnetzwerke, Fernwartungszugänge, Legacy-Systeme, Datenflüsse und kritischen Dienstleister erfasst sind, bleiben wesentliche Angriffswege und Wiederanlaufabhängigkeiten unbewertet.

Gegenmaßnahme: Der Informationssicherheitsbeauftragte erstellt gemeinsam mit IT-Betrieb, Produktions- und OT-Leitung bis Ende Monat 4 ein abgenommenes Assetregister einschließlich Abhängigkeitskarten, Schutzbedarf, Eigentümer, Patchstatus und Fernwartungsübersicht; Stichproben in allen Produktionsbereichen validieren die Vollständigkeit.
Hoch

Produktionsunterbrechung durch ungeprüfte technische Sicherheitsmaßnahmen

Wenn zwischen Monat 6 und Monat 9 Netzwerksegmentierung, Patches, MFA oder Änderungen an Fernwartungszugängen ohne OT-Kompatibilitätstest und abgestimmtes Wartungsfenster umgesetzt werden, können Maschinenstillstände, Qualitätsabweichungen oder Sicherheitsabschaltungen entstehen.

Gegenmaßnahme: IT-Leitung und OT-Leitung führen vor jeder produktionsnahen Änderung einen Change-, Abhängigkeits- und Rückfalltest durch, setzen Maßnahmen zunächst in einer Testumgebung oder an einer Pilotanlage um und genehmigen produktive Eingriffe nur mit dokumentiertem Wiederanlaufplan bis Ende Monat 9.
Hoch

Verspätete oder unvollständige Sicherheitsvorfallmeldungen

Wenn bis Monat 7 keine durchgängige Erkennung, Bewertung, Eskalation und Rufbereitschaft eingerichtet ist, können die 24-Stunden-Frühwarnung, die 72-Stunden-Meldung und der abschließende Bericht nicht fristgerecht oder nicht mit belastbaren Informationen übermittelt werden.

Gegenmaßnahme: Der Informationssicherheitsbeauftragte etabliert bis Ende Monat 6 Meldekriterien, Rollen, Vorlagen, Kontaktlisten und Playbooks; IT-Betrieb und Geschäftsleitung führen bis Ende Monat 7 eine dokumentierte Vorfallübung mit BSI-Kommunikationsweg und Verbesserungsmaßnahmen durch.
Hoch

Unzureichende Sicherheit bei Lieferanten und Fernwartungsdienstleistern

Wenn bis Ende Monat 8 kritische Maschinenhersteller, Softwareanbieter und Instandhaltungsdienstleister nicht klassifiziert sowie Fernzugänge und Sicherheitsanforderungen vertraglich geregelt sind, kann ein kompromittierter Dienstleister als Einstieg in die Produktionsumgebung dienen.

Gegenmaßnahme: Einkauf, Lieferkettenmanagement und Informationssicherheitsbeauftragter klassifizieren bis Ende Monat 7 alle kritischen Lieferanten, prüfen bis Ende Monat 8 Sicherheitsnachweise und ergänzen Verträge um Anforderungen zu MFA, Protokollierung, Schwachstellenmeldungen, Vorfallmeldung, Zugriffsbegrenzung und Beendigung von Zugängen.
Hoch

Fehlende Verbindlichkeit der Geschäftsleitung und unzureichende Ressourcen

Wenn die Geschäftsleitung bis Ende Monat 3 weder Risikobereitschaft, Budget, Verantwortlichkeiten noch priorisierte Maßnahmen genehmigt, bleiben Sicherheitslücken in IT und OT bestehen und die persönliche Verantwortungs- und Haftungslage verschärft sich.

Gegenmaßnahme: Die Geschäftsleitung genehmigt bis Ende Monat 3 das Sicherheitszielbild, das Risikoregister und das Budget; sie führt danach mindestens quartalsweise einen Management-Review zu Restrisiken, Fortschritt, Vorfällen und Ressourcen durch.
Mittel

Geringe Akzeptanz bei Beschäftigten und Betriebsrat

Wenn bis Monat 6 Kontrollmaßnahmen, Protokollierung, Schulungsinhalte und organisatorische Änderungen nicht mit dem Betriebsrat abgestimmt sind, können Einführung, Schulung und technische Umsetzung verzögert werden oder Beschäftigte Sicherheitsprozesse umgehen.

Gegenmaßnahme: Personalabteilung, Rechtsabteilung und Informationssicherheitsbeauftragter klären bis Ende Monat 5 die Mitbestimmungs- und Datenschutzbezüge, stimmen erforderliche Betriebsvereinbarungen bis Ende Monat 7 ab und führen bis Monat 9 rollenbasierte Schulungen für Produktion, IT und Administration durch.
Mittel

Fehlende Nachweis- und Auditfähigkeit

Wenn bis Ende Monat 10 keine einheitliche Nachweisablage für Risiken, Freigaben, Schulungen, Konfigurationen, Tests und Vorfälle besteht, können Wirksamkeit und Angemessenheit der Maßnahmen gegenüber Behörden, Kunden oder Auditoren nicht belegt werden.

Gegenmaßnahme: Der Informationssicherheitsbeauftragte etabliert bis Ende Monat 6 einen Kontroll- und Nachweiskatalog mit Verantwortlichen, Fristen und Aufbewahrungsregeln; die interne oder externe Prüfstelle führt bis Monat 11 eine unabhängige Stichprobenprüfung durch.
Mittel

Engpässe bei OT-Fachwissen, Budget oder Zeitplan

Wenn zwischen Monat 4 und Monat 9 interne OT-Verantwortliche, externe Spezialisten oder das vorgesehene Budget nicht verfügbar sind, verschieben sich Bestandsaufnahme, technische Absicherung und Lieferantenprüfung und der Zwölfmonatszeitraum wird gefährdet.

Gegenmaßnahme: Projektleitung und Geschäftsleitung sichern bis Ende Monat 2 verbindliche Kapazitäten und einen Budgetpuffer; ab Monat 3 wird monatlich ein Ressourcen- und Kostencontrolling durchgeführt und bei Abweichungen werden Maßnahmen priorisiert oder qualifizierte externe OT-Unterstützung beauftragt.
In der App öffnen: Risiken

Stakeholder

G

Geschäftsleitung

Trägt die Gesamtverantwortung, genehmigt Risikobehandlung, Budget und Sicherheitszielbild sowie die erforderlichen Ressourcen

Einbinden: ab Phase 1
IL

IT-Leitung beziehungsweise Informationssicherheitsbeauftragter

Verantwortet Sicherheitsarchitektur, Risikomanagement, Richtlinien und Nachweisführung

Einbinden: ab Phase 1
IB

IT-Betrieb und Netzwerkverantwortliche

Bewerten Infrastruktur, Identitätsmanagement, Protokollierung, Backup und technische Umsetzbarkeit

Einbinden: ab Phase 3
PU

Produktions- und OT-Leitung

Entscheidet über zulässige Eingriffe in Produktionsnetze, Anlagenverfügbarkeit und Priorisierung von OT-Maßnahmen

Einbinden: ab Phase 3
WI

Werks-, Instandhaltungs- und Anlagenverantwortliche

Liefern Informationen zu Maschinen, Steuerungen, Fernwartung und Wiederanlaufverfahren

Einbinden: ab Phase 3
DS

Datenschutzbeauftragter sowie Rechtsabteilung und Compliance

Prüfen Datenschutzbezüge, Haftungsfragen, Meldeinhalte und rechtssichere Vertragsanforderungen

Einbinden: ab Phase 2
EU

Einkauf und Lieferkettenmanagement

Steuern Lieferantenbewertungen, Sicherheitsanforderungen und Vertragsnachträge für kritische Partner

Einbinden: ab Phase 4
PU

Personalabteilung und interne Kommunikation

Organisieren Pflichtschulungen, Rollenanforderungen und die nachhaltige Verankerung des Sicherheitsbewusstseins

Einbinden: ab Phase 5
B

Betriebsrat

Bewertet mitbestimmungspflichtige Aspekte von Schulungen, Kontrollmaßnahmen, Protokollierung und organisatorischen Veränderungen

Einbinden: ab Phase 1
BB

BSI beziehungsweise zuständige Registrierungs- und Meldestelle

Ist für Registrierung, gesetzliche Meldungen und die behördliche Kommunikation relevant

Einbinden: ab Phase 1
KI

Kritische IT-/OT-Dienstleister und strategische Lieferanten

Liefern Sicherheitsnachweise, unterstützen technische Maßnahmen und müssen vertragliche Anforderungen erfüllen

Einbinden: ab Phase 3
In der App öffnen: Stakeholder

Compliance

Pflicht 7

Betroffenheitsprüfung nach NIS2 und dem einschlägigen deutschen Umsetzungsgesetz einschließlich Einordnung des Maschinenbauunternehmens, betroffener Organisationseinheiten und Standorte

Rechtsabteilung, Compliance und Informationssicherheitsbeauftragter Monat 1-2
Pflicht
Regel aus der Compliance-Bibliothek
NIS2-Richtlinie(EU 2022/2555)
  • Dokumentiertes IT-Risikomanagement mit jährlichem Review
  • Business Continuity Plan und Disaster Recovery getestet
  • Multi-Faktor-Authentifizierung (MFA) für kritische Systeme
  • Verschlüsselung aller sensiblen Daten (at rest + in transit)
  • Lieferanten-Sicherheits-Reviews (Supply-Chain-Security)
  • Cybersecurity-Schulung für alle Mitarbeiter jährlich

Bei Verstoß: Bußgelder bis 10 Mio. EUR oder 2% des weltweiten Jahresumsatzes. Persönliche Haftung der Geschäftsführung bei grober Fahrlässigkeit.

Nachweise

Noch keine Nachweise. In PathHub legst du je Pflicht Nachweise ab, z. B. ein Protokoll, eine Bescheinigung oder einen Link zum Dokument, und exportierst alles als PDF-Nachweisbericht.

Datei Link Notiz

Registrierung bei der zuständigen BSI-Registrierungs- und Meldestelle einschließlich Benennung und Aktualisierung von Unternehmens- und Sicherheitskontakten

Informationssicherheitsbeauftragter und Geschäftsleitung Monat 2-3, danach laufend
Pflicht
Regel aus der Compliance-Bibliothek

Für diese Pflicht gibt es keine passende Regel in der Bibliothek. In PathHub kannst du bei Bedarf eine Regel aus der Bibliothek verknüpfen.

Nachweise

Noch keine Nachweise. In PathHub legst du je Pflicht Nachweise ab, z. B. ein Protokoll, eine Bescheinigung oder einen Link zum Dokument, und exportierst alles als PDF-Nachweisbericht.

Datei Link Notiz

Einführung und dokumentierter Nachweis angemessener NIS2-Risikomanagementmaßnahmen für IT und OT, insbesondere Zugriffsschutz, MFA, Schwachstellenmanagement, Backup, Wiederanlauf, Protokollierung, Krisenmanagement und Netzsegmentierung

Informationssicherheitsbeauftragter, IT-Leitung und OT-Leitung Monat 3-9, danach laufend
Pflicht
Regel aus der Compliance-Bibliothek
NIS2-Richtlinie(EU 2022/2555)
  • Dokumentiertes IT-Risikomanagement mit jährlichem Review
  • Business Continuity Plan und Disaster Recovery getestet
  • Multi-Faktor-Authentifizierung (MFA) für kritische Systeme
  • Verschlüsselung aller sensiblen Daten (at rest + in transit)
  • Lieferanten-Sicherheits-Reviews (Supply-Chain-Security)
  • Cybersecurity-Schulung für alle Mitarbeiter jährlich

Bei Verstoß: Bußgelder bis 10 Mio. EUR oder 2% des weltweiten Jahresumsatzes. Persönliche Haftung der Geschäftsführung bei grober Fahrlässigkeit.

Nachweise

Noch keine Nachweise. In PathHub legst du je Pflicht Nachweise ab, z. B. ein Protokoll, eine Bescheinigung oder einen Link zum Dokument, und exportierst alles als PDF-Nachweisbericht.

Datei Link Notiz

Einrichtung eines Vorfallmanagements mit Erkennung, Bewertung, Eskalation, Rufbereitschaft und Meldungen innerhalb der geltenden 24-Stunden-, 72-Stunden- und Abschlussbericht-Fristen

Informationssicherheitsbeauftragter, IT-Betrieb und Geschäftsleitung Monat 4-7, danach laufend
Pflicht
Regel aus der Compliance-Bibliothek

Für diese Pflicht gibt es keine passende Regel in der Bibliothek. In PathHub kannst du bei Bedarf eine Regel aus der Bibliothek verknüpfen.

Nachweise

Noch keine Nachweise. In PathHub legst du je Pflicht Nachweise ab, z. B. ein Protokoll, eine Bescheinigung oder einen Link zum Dokument, und exportierst alles als PDF-Nachweisbericht.

Datei Link Notiz

Schulung und nachweisbare Einbindung der Geschäftsleitung in Genehmigung, Überwachung und regelmäßige Überprüfung der Cybersicherheitsmaßnahmen

Geschäftsleitung und Informationssicherheitsbeauftragter Monat 1-6, danach mindestens jährlich
Pflicht
Regel aus der Compliance-Bibliothek

Für diese Pflicht gibt es keine passende Regel in der Bibliothek. In PathHub kannst du bei Bedarf eine Regel aus der Bibliothek verknüpfen.

Nachweise

Noch keine Nachweise. In PathHub legst du je Pflicht Nachweise ab, z. B. ein Protokoll, eine Bescheinigung oder einen Link zum Dokument, und exportierst alles als PDF-Nachweisbericht.

Datei Link Notiz

Prüfung und Meldung datenschutzrechtlicher Sicherheitsverletzungen mit personenbezogenen Daten nach DSGVO sowie Abstimmung mit dem Datenschutzbeauftragten

Datenschutzbeauftragter, Rechtsabteilung und Informationssicherheitsbeauftragter Monat 4-7, danach laufend
Pflicht
Regel aus der Compliance-Bibliothek
DSGVO / GDPR(EU 2016/679)
  • Rechtsgrundlage für jede Verarbeitung personenbezogener Daten (Einwilligung, Vertrag, gesetzliche Pflicht, berechtigtes Interesse)
  • Vollständiges Verarbeitungsverzeichnis (Art. 30) für alle Prozesse
  • Auftragsverarbeitungsverträge (AVV / DPA) mit allen Dienstleistern
  • Datenschutz-Folgenabschätzung (DSFA) bei Hochrisiko-Verarbeitungen
  • Technische und organisatorische Maßnahmen (TOM) dokumentiert

Bei Verstoß: Bußgelder bis 20 Mio. EUR oder 4% des weltweiten Konzernjahresumsatzes, je nachdem, welcher Betrag höher ist. Plus zivilrechtliche Schadenersatzansprüche Betroffener.

Nachweise

Noch keine Nachweise. In PathHub legst du je Pflicht Nachweise ab, z. B. ein Protokoll, eine Bescheinigung oder einen Link zum Dokument, und exportierst alles als PDF-Nachweisbericht.

Datei Link Notiz

Abstimmung von Protokollierung, Überwachungsmaßnahmen, Schulungen und organisatorischen Änderungen mit dem Betriebsrat nach den einschlägigen Mitbestimmungsregeln

Personalabteilung, Rechtsabteilung und Betriebsrat Monat 2-8
Pflicht
Regel aus der Compliance-Bibliothek

Für diese Pflicht gibt es keine passende Regel in der Bibliothek. In PathHub kannst du bei Bedarf eine Regel aus der Bibliothek verknüpfen.

Nachweise

Noch keine Nachweise. In PathHub legst du je Pflicht Nachweise ab, z. B. ein Protokoll, eine Bescheinigung oder einen Link zum Dokument, und exportierst alles als PDF-Nachweisbericht.

Datei Link Notiz
Wichtig 1

Nutzung von ISO/IEC 27001 als Governance- und Nachweisrahmen sowie IEC 62443 als wichtige Orientierung für die Absicherung industrieller Automatisierungs- und Steuerungssysteme

Informationssicherheitsbeauftragter, IT-Leitung und OT-Leitung Monat 3-12
Wichtig
Regel aus der Compliance-Bibliothek
ISO 27001 (Informationssicherheit)(ISO 27001:2022)
  • Informationssicherheits-Managementsystem (ISMS) definiert
  • Risikobewertung und -behandlung dokumentiert
  • Statement of Applicability (SoA) mit Controls aus Anhang A
  • Internes Audit und Management-Review jährlich

Bei Verstoß: Freiwillige Norm, aber de-facto Pflicht für Enterprise-/Behörden-Kunden. Verlust beendet Geschäftsbeziehungen.

Nachweise

Noch keine Nachweise. In PathHub legst du je Pflicht Nachweise ab, z. B. ein Protokoll, eine Bescheinigung oder einen Link zum Dokument, und exportierst alles als PDF-Nachweisbericht.

Datei Link Notiz
In der App öffnen: Compliance

Meilensteine

  1. Woche 4

    Von der Geschäftsleitung genehmigter Projektauftrag sowie freigegebene Scope-, Standort- und Verantwortlichkeitsmatrix liegen vor.

    Voraussetzung: Projektinitialisierung und Anwendungsbereich
  2. Woche 8

    Registrierungsunterlagen sind eingereicht und der regulatorische Verpflichtungskatalog mit dokumentierter Betroffenheitsentscheidung ist durch die Geschäftsleitung freigegeben.

    Voraussetzung: BSI-Registrierung und regulatorische Einordnung
  3. Woche 11

    Abgenommenes IT-/OT-Assetregister mit Abhängigkeitskarten, Fernwartungsübersicht und dokumentierter Schutzbedarfsbewertung liegt vor.

    Voraussetzung: IT-/OT-Bestandsaufnahme und Schutzbedarfsanalyse
  4. Woche 15

    Genehmigtes Risikoregister und freigegebenes Sicherheitszielbild mit priorisiertem Maßnahmenplan liegen vor.

    Voraussetzung: Risikoanalyse und Zielbild
  5. Woche 21

    Freigegebenes Governance- und Richtlinienpaket einschließlich Kontrollkatalog und Nachweisablage ist veröffentlicht.

    Voraussetzung: Governance, Richtlinien und Nachweisführung
  6. Woche 21

    Freigegebener Melde- und Notfallprozess mit Vorlagen, Rufbereitschaft, Playbooks und nachgewiesenem Prozessdurchlauf liegt vor.

    Voraussetzung: Melde- und Notfallmanagement
  7. Woche 23

    Kritische Lieferanten sind klassifiziert, priorisierte Sicherheitsnachweise bewertet und Vertrags- sowie Maßnahmenanforderungen verbindlich dokumentiert.

    Voraussetzung: Lieferkettensicherheit und Dienstleistersteuerung
  8. Woche 26

    Priorisierte technische Maßnahmen sind umgesetzt, für Produktionsbereiche abgenommen und durch Konfigurations-, Protokollierungs- sowie Wiederherstellungsnachweise belegt.

    Voraussetzung: Technische Absicherung von IT und OT
  9. Woche 26

    Geschäftsleitung und definierte Pflichtgruppen sind geschult, Teilnahme ist nachgewiesen und die Vorfallübung mit dokumentiertem Maßnahmenprotokoll ist abgeschlossen.

    Voraussetzung: Schulung, Übungen und Betriebsratsbeteiligung
  10. Woche 29

    Abgenommener Wirksamkeitsprüfungsbericht, genehmigte Restrisikobehandlung und dokumentierte Übergabe in den Regelbetrieb liegen vor.

    Voraussetzung: Wirksamkeitsprüfung, Nachbesserung und Übergabe
In der App öffnen: Meilensteine

So ist dieser Plan entstanden

Dieser Plan wurde von PathHub AI aus einer einzigen Beschreibung erstellt: „Umsetzung der NIS2-Anforderungen in einem mittelständischen Maschinenbauunternehmen mit 350 Mitarbeitenden: Registrierung beim BSI, Risikomanagement, Meldeprozesse für Sicherheitsvorfälle, Lieferkettensicherheit und Schulung der Geschäftsleitung innerhalb von 12 Monaten.“ Ohne Unternehmenskontext. Mit deinen Abteilungen, Freigabeprozessen und Compliance-Vorgaben wird er deutlich genauer.

Nach dem Projekt

Pflichten, die nach der Umsetzung bleiben

Mit dem Abschluss des Projekts beginnt der Betrieb. Diese Punkte laufen in PathHub danach weiter, mit Nachweis und Erinnerung. Keine Rechtsberatung.

Billigung durch die Geschäftsleitung

Das BSI-Gesetz verlangt, dass die Geschäftsleitung die Maßnahmen billigt. Du forderst die Freigabe direkt bei der Pflicht an, die Entscheidung steht mit Name und Datum im Verlauf und im Nachweisbericht.

Jährliche Überprüfung und Schulung

Risikomanagement überprüfen, Notfallplan testen, Geschäftsleitung schulen: Im Pflichtenkalender mit Rhythmus, Zuständigkeit und Erinnerung 30 und 7 Tage vorher.

Stand für die Geschäftsleitung

Die Compliance-Übersicht zeigt alle Vorhaben mit Ampel und erzeugt den PDF-Bericht „Stand der Pflichten“, zum Beispiel für die Geschäftsführung oder ein Audit.

So funktionieren Freigaben, Pflichtenkalender und Übersicht →

Häufig gestellte Fragen

Wie lange dauert eine NIS2-Umsetzung?
Im Beispielplan dauert eine NIS2-Umsetzung 29 Wochen in 10 Phasen, davon laufen 7 Phasen teilweise parallel. Die tatsächliche Dauer hängt von Unternehmensgröße, Ausgangslage und verfügbaren Ressourcen ab. Mit deinem Unternehmenskontext passt PathHub den Zeitplan entsprechend an.
Was kostet eine NIS2-Umsetzung?
Der Beispielplan kalkuliert rund 405.000 €, aufgeteilt auf 22 Budgetpositionen mit Menge und Einzelpreis. Die größten Posten sind Externe Dienstleister, Personal (intern). Es handelt sich um eine KI-Schätzung als Ausgangspunkt, nicht um ein Angebot.
Welche Risiken gibt es bei eine NIS2-Umsetzung?
Der Plan nennt 9 Risiken mit Gegenmaßnahmen. Am höchsten bewertet sind: Unklare NIS2-Betroffenheit und fehlerhafte BSI-Registrierung; Unvollständiges IT-/OT-Asset- und Abhängigkeitsinventar; Produktionsunterbrechung durch ungeprüfte technische Sicherheitsmaßnahmen.
Wer muss bei eine NIS2-Umsetzung beteiligt werden?
Der Plan sieht unter anderem diese Beteiligten vor: Geschäftsleitung, IT-Leitung beziehungsweise Informationssicherheitsbeauftragter, IT-Betrieb und Netzwerkverantwortliche, Produktions- und OT-Leitung, Werks-, Instandhaltungs- und Anlagenverantwortliche, Datenschutzbeauftragter sowie Rechtsabteilung und Compliance. Für jede Rolle ist angegeben, warum und ab wann sie einzubeziehen ist.
Kann ich den Plan an mein Unternehmen anpassen?
Ja. Öffne den Plan ohne Anmeldung in PathHub, passe Phasen und Aufgaben an oder beschreibe dein eigenes Vorhaben. Mit Unternehmenskontext (Abteilungen, Freigabeprozesse, Betriebsrat, Compliance-Vorgaben) wird jeder weitere Plan genauer.

Weitere Projektplan-Beispiele

Projektplan: CRM-Einführung

15 Wochen · 6 Phasen · 33 Aufgaben

Projektplan: Büroumzug

11 Wochen · 6 Phasen · 38 Aufgaben

Projektplan: ISO-27001-Zertifizierung

29 Wochen · 10 Phasen · 65 Aufgaben

Projektplan: Einführung einer Zeiterfassung

13 Wochen · 6 Phasen · 39 Aufgaben

Diesen Plan für dein Unternehmen anpassen

Öffne den Plan in PathHub, ohne Anmeldung. Oder beschreib dein eigenes Vorhaben und erhalte in wenigen Minuten einen vollständigen Plan.

Plan öffnen →