NIS2 beginnt vor dem Betrieb
§ 30 Abs. 2 Nr. 5 BSIG verlangt Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von IKT-Systemen, Komponenten und Prozessen. Security muss damit in Beschaffung, Architektur, Entwicklung, Änderung, Wartung und Außerbetriebnahme eingebaut werden – nicht erst nach Go-live.
Sicherheitsanforderungen vor Vertragsabschluss
Beschaffung sollte risikobasierte Sicherheitsanforderungen, Verantwortlichkeiten, Support- und Patchfähigkeit, Schwachstellenbehandlung, Incident-Unterstützung, Zugriff des Dienstleisters, Exit und erforderliche Nachweise berücksichtigen. Bei kritischen Lösungen ist die spätere Steuerbarkeit ein Auswahlkriterium.
Sichere Entwicklung
Eigene Entwicklung braucht definierte Anforderungen, sichere Entwicklungspraktiken, Review und Test, kontrollierte Abhängigkeiten, Secrets Management und nachvollziehbare Freigaben. Der Umfang richtet sich nach Kritikalität und Exposition der Anwendung.
Änderungen dürfen Sicherheit nicht unbeabsichtigt abbauen
Change- und Wartungsprozesse sollten Security Impact, Test, Rollback, Berechtigung und Dokumentation berücksichtigen. Für kritische Systeme sind Notfalländerungen besonders zu regeln.
End-of-Life ist ein Governance-Risiko
Fehlender Herstellersupport, nicht verfügbare Sicherheitsupdates oder nicht mehr wartbare Komponenten verändern das Risiko. EOL-Bestände sollten sichtbar, bewertet, mit Owner versehen und über Migrations- oder Kompensationsmaßnahmen gesteuert werden.
Schwachstellen schließen den Lifecycle
Nr. 5 nennt Management und Offenlegung von Schwachstellen ausdrücklich. Der Prozess muss deshalb Erkenntnisse aus Betrieb und Forschung zurück in Wartung, Lieferantensteuerung und Entwicklung führen. Vertiefung: NIS2 Schwachstellenmanagement.
Passende NIS2 Resources
Die Fachseite ordnet das Thema ein. Für Standortbestimmung und Umsetzung stehen die NIS2 Toolkits bereit.
NIS2 Self-Assessment Toolkit
Executive Capabilities bewerten, Gaps erkennen und Handlungsbedarf priorisieren.
NIS2 Governance Toolkit
Governance-Dokumente, Prozesse, Rollen, Register, Nachweise und Implementierungshilfen für die Umsetzung.
Verwandte NIS2-Themen
Quellen und Rechtsstand
Inhaltlicher Stand: 9. August 2026. Maßgeblich bleiben der jeweils geltende Gesetzes- und Behördenstand sowie die konkrete Situation der Einrichtung.
Hinweis: Fachliche Orientierung; keine Rechtsberatung.