Schwachstellenmanagement ist ausdrücklich Teil von NIS2
§ 30 Abs. 2 Nr. 5 BSIG verlangt Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von IKT-Systemen, Komponenten und Prozessen – ausdrücklich einschließlich Management und Offenlegung von Schwachstellen. Managementrelevant ist daher der vollständige Lebenszyklus von Erkennung über Priorisierung und Behandlung bis zur dokumentierten Risikoentscheidung.
Ohne belastbaren Scope kein belastbares Vulnerability Management
Die Organisation muss wissen, welche IKT-Systeme, Komponenten und Dienste relevant sind, wer sie verantwortet und welche Geschäftsservices davon abhängen. Scannerabdeckung allein beantwortet diese Frage nicht.
CVSS allein reicht nicht
Priorisierung sollte technische Kritikalität mit Exposition, Ausnutzbarkeit, Asset-Kritikalität, vorhandenen Kompensationsmaßnahmen und möglicher Geschäftsfolge verbinden. Eine niedrigere technische Bewertung kann auf einem exponierten kritischen System dringlicher sein als ein hoher Score auf einem isolierten Testsystem.
Behandlungsfristen und Eskalation
Risikobasierte Zielzeiten schaffen Verbindlichkeit. Überschreitungen brauchen Owner, Begründung, kompensierende Maßnahmen und Eskalation. Nicht behebbare Schwachstellen werden damit zu bewusst gesteuerten Restrisiken statt zu stillen Altlasten.
Schwachstellen offenlegen und Meldungen verarbeiten
Nr. 5 nennt neben Management auch die Offenlegung von Schwachstellen. Einrichtungen sollten deshalb einen definierten Umgang mit intern oder extern gemeldeten Schwachstellen haben: Annahme, Validierung, Koordination, Abhilfe und gegebenenfalls Kommunikation.
Welche Kennzahlen sind entscheidungsrelevant?
- Abdeckung kritischer Assets
- offene kritische Schwachstellen nach Alter und Exposition
- SLA-Überschreitungen
- Assets ohne unterstützten Patch-/Wartungspfad
- Ausnahmen und akzeptierte Restrisiken
- Trend der tatsächlichen Risikoreduktion
Typische Fehler
- Vulnerability Management wird mit monatlichem Scanning gleichgesetzt.
- Assets ohne Scannerabdeckung verschwinden aus dem Lagebild.
- Priorisierung folgt nur CVSS.
- Ausnahmen laufen unbegrenzt.
- Findings werden geschlossen, ohne Wirksamkeit zu verifizieren.
Passende NIS2 Resources
Die Fachseite ordnet das Thema ein. Für Standortbestimmung und Umsetzung stehen die NIS2 Toolkits bereit.
NIS2 Self-Assessment Toolkit
Executive Capabilities bewerten, Gaps erkennen und Handlungsbedarf priorisieren.
NIS2 Governance Toolkit
Governance-Dokumente, Prozesse, Rollen, Register, Nachweise und Implementierungshilfen für die Umsetzung.
Verwandte NIS2-Themen
Quellen und Rechtsstand
Inhaltlicher Stand: 9. August 2026. Maßgeblich bleiben der jeweils geltende Gesetzes- und Behördenstand sowie die konkrete Situation der Einrichtung.
Hinweis: Fachliche Orientierung; keine Rechtsberatung.