Klare Berechtigungen
Jede Vorschrift fragt, wer worauf zugreifen darf und wer das genehmigt hat. Identity & Access Management ist deshalb unser Kernthema, denn ohne Rollenmodell und dokumentierte Vergabe lässt sich keine Zugriffskontrolle belegen.
Wegweiser durch die Vorschriften
Welche Vorschrift betrifft Ihre IT?Die wichtigsten Regelwerke im Überblick
Viele Unternehmen hören gleichzeitig von NIS2, KRITIS, DORA oder GMP, Arztpraxen zusätzlich von der IT-Sicherheitsrichtlinie der KBV. Oft ist unklar, welche Regel gilt und was daraus für die IT folgt. Diese Seite ordnet die fünf Regelwerke ein und zeigt, wo sie sich überschneiden. Danach wissen Sie, welche Fragen Sie klären sollten und wo wir Ihnen die technische Arbeit abnehmen.
Fünf Regelwerke mit gemeinsamem Kern
NIS2, KRITIS, DORA und GMP stammen aus unterschiedlichen Richtungen. NIS2 und KRITIS regeln die Cybersicherheit wichtiger Unternehmen und Anlagen in Deutschland, DORA gilt speziell für den Finanzsektor, GMP sichert die Qualität bei der Herstellung von Arzneimitteln, und die IT-Sicherheitsrichtlinie nach § 390 SGB V gilt für Arzt-, Zahnarzt- und Psychotherapiepraxen. Entsprechend unterschiedlich sind Aufsicht, Meldewege und Prüfungen.
In der IT verlangen sie trotzdem vieles gemeinsam. Überall geht es darum, wer worauf zugreifen darf, ob sich Daten nach einem Ausfall wiederherstellen lassen, ob Änderungen nachvollziehbar sind und ob Sie das alles belegen können. Wer diese Grundlagen einmal sauber aufbaut, erfüllt einen großen Teil der Anforderungen mehrerer Regelwerke zugleich.
Die Vorschriften im Vergleich
Die Übersicht ersetzt keine rechtliche Prüfung im Einzelfall, zeigt aber, wo Sie anfangen sollten.
| NIS2 (BSI-Gesetz) | Betrifft Unternehmen aus den im Gesetz genannten Sektoren, in der Regel ab 50 Beschäftigten oder mehr als 10 Mio. € Jahresumsatz und Bilanzsumme. Kernpflichten für die IT: Risikomanagement mit Zugriffskontrolle, MFA, Backup, Protokollierung und Vorfallbehandlung, Registrierung beim BSI und Meldung erheblicher Sicherheitsvorfälle. |
| KRITIS (BSI-Gesetz und KRITIS-Dachgesetz) | Betrifft Betreiber von Anlagen, deren Versorgungsgrad die Schwellenwerte einer Rechtsverordnung erreicht, etwa in Energie, Wasser, Gesundheit oder Transport. Kernpflichten für die IT: strengere Maßnahmen als bei NIS2, Systeme zur Angriffserkennung, Nachweise gegenüber dem BSI alle drei Jahre. |
| DORA (EU-Verordnung 2022/2554) | Betrifft Finanzunternehmen wie Banken, Versicherer, Zahlungsinstitute und Kapitalverwaltungsgesellschaften, seit dem 17. Januar 2025. Kernpflichten für die IT: IKT-Risikomanagement, Meldung schwerwiegender IKT-Vorfälle an die BaFin, regelmäßige Tests und Steuerung der IT-Dienstleister. |
| GMP (EU-GMP-Leitfaden, Annex 11) | Betrifft Hersteller von Arzneimitteln und Wirkstoffen, für Medizinprodukte gelten vergleichbare Anforderungen aus dem Qualitätsmanagement. Kernpflichten für die IT: validierte Systeme, Audit Trail, kontrollierte Berechtigungen, geprüfte Datensicherung und Datenintegrität. |
| IT-Sicherheitsrichtlinie (§ 390 SGB V) | Betrifft Arzt-, Zahnarzt- und Psychotherapiepraxen mit Kassenzulassung sowie MVZ, unabhängig von der Größe. Kernpflichten für die IT: Mindestanforderungen an Geräte, Programme, Netzwerk und TI-Komponenten, gestaffelt nach der Zahl der Personen, die mit der Datenverarbeitung betraut sind. |
Ein Unternehmen kann unter mehrere Regelwerke fallen. Für Finanzunternehmen gehen die Vorgaben aus DORA den meisten NIS2-Pflichten des BSI-Gesetzes vor.
Was alle gemeinsam verlangen
Sichere Anmeldung
MFA für alle Konten, auch für Geschäftsführung und Außendienst, und getrennte Konten für Verwaltungsaufgaben. Ausnahmen fallen in jeder Prüfung zuerst auf.
Getestete Datensicherung
Ein Backup zählt erst, wenn die Wiederherstellung ausprobiert und das Ergebnis dokumentiert ist. Das verlangen NIS2, DORA und GMP gleichermaßen.
Nachvollziehbare Änderungen
Wer hat wann was geändert und mit wessen Freigabe? Protokolle und ein geordneter Änderungsprozess beantworten diese Frage, bevor ein Prüfer sie stellt.
Ablauf für den Ernstfall
Bei einem Sicherheitsvorfall laufen Meldefristen von wenigen Stunden. Deshalb muss vorher feststehen, wer entscheidet, wer meldet und welche technischen Informationen dafür nötig sind.
Belegbare Nachweise
Sicher zu sein reicht nicht, Sie müssen es auch zeigen können. Wir dokumentieren schon während der Umsetzung, damit am Ende Unterlagen vorliegen, die Sie einem Prüfer oder Kunden vorlegen können.
So klären Sie, was für Sie gilt
- 01
NIS2-Check
Mit wenigen Fragen sehen Sie, ob Ihr Unternehmen voraussichtlich unter NIS2 fällt. Der Check ist kostenlos und dauert wenige Minuten.
- 02
Erstgespräch
In 20 Minuten per Teams oder Telefon besprechen wir Ihre Lage. Fabian Schmid berät dabei selbst zu NIS2, KRITIS, DORA und GMP.
- 03
Lückenanalyse
Im Security-Assessment vergleichen wir Ihre IT mit den Anforderungen, die für Sie gelten. Sie erhalten einen schriftlichen Bericht mit Maßnahmen, geordnet nach Risiko und Aufwand.
- 04
Umsetzung und Nachweis
Wir setzen die Maßnahmen im laufenden Betrieb um und übergeben Ihnen eine Dokumentation, die Ihnen gehört.
Unsere Rolle und die Ihrer Rechtsberatung
Wir übernehmen die technische Umsetzung und die Nachweise. Ob Sie rechtlich betroffen sind, bewertet verbindlich Ihre Rechtsberatung, und Meldungen an Behörden gibt Ihr Unternehmen selbst ab. Wir arbeiten mit Anwälten, Auditoren und Validierungsdienstleistern zusammen und liefern ihnen die technischen Informationen, die sie brauchen.
Aus unseren Projekten
Industriezulieferer, international · 2.000 Anwender
Einführung einer IAM-Lösung bei einem international tätigen Industriezulieferer, einem Familienunternehmen. Dazu gehörten die Neuordnung der Dateiablagen und eine Passwortrücksetzung, die Anwender selbst durchführen können.
Ergebnis: Der Support ist entlastet: Anwender setzen ihr Passwort selbst zurück, und die Passwort-Tickets sind von knapp 300 auf 10 pro Woche gesunken.
Stand:
FAQ
Häufige Fragen
Welche Vorschrift gilt für mein Unternehmen?
Das hängt von Ihrer Branche, Ihrer Größe und Ihren Anlagen ab. Banken und Versicherer fallen unter DORA, Arzneimittelhersteller unter GMP, Arztpraxen unter die IT-Sicherheitsrichtlinie nach § 390 SGB V und viele andere Unternehmen ab 50 Beschäftigten unter NIS2. Ob Sie zusätzlich eine kritische Anlage betreiben, entscheiden Schwellenwerte aus einer Rechtsverordnung.
Kann ein Unternehmen unter mehrere Vorschriften fallen?
Ja, das kommt häufig vor. Ein Pharmahersteller kann zum Beispiel GMP und NIS2 erfüllen müssen. Weil sich die technischen Anforderungen stark überschneiden, planen wir die Maßnahmen so, dass ein Nachweis für mehrere Regelwerke taugt.
Wie hängen NIS2 und KRITIS zusammen?
Betreiber kritischer Anlagen sind nach dem BSI-Gesetz eine Teilmenge der besonders wichtigen Einrichtungen unter NIS2. Für sie gelten zusätzliche Pflichten, etwa Systeme zur Angriffserkennung und regelmäßige Nachweise gegenüber dem BSI.
Gilt NIS2 auch für Banken?
Für Finanzunternehmen, die DORA anwenden, sind die meisten NIS2-Pflichten des BSI-Gesetzes ausgenommen, weil DORA als speziellere Regel vorgeht. Maßgeblich sind dann die Vorgaben aus DORA und der BaFin.
Wir sind selbst nicht betroffen. Müssen wir trotzdem etwas tun?
Oft ja, weil betroffene Kunden ihre Anforderungen an Lieferanten und Dienstleister weitergeben. Unter DORA müssen Finanzunternehmen ihre IT-Dienstleister sogar vertraglich auf bestimmte Pflichten festlegen.
Übernehmen Sie die rechtliche Bewertung?
Nein, verbindlich bewertet das Ihre Rechtsberatung. Wir ordnen die technischen Anforderungen ein, setzen sie um und liefern die Unterlagen, die Anwälte und Prüfer brauchen.
Womit fangen wir am besten an?
Mit einer Lückenanalyse, die zeigt, wo Ihre IT heute steht. Sie ist Teil des Security-Assessments ab 6.900 €, dessen Kosten wir auf ein Folgeprojekt anrechnen.
Compliance & Regulierung
Klären wir, was für Sie gilt
Schildern Sie uns in 20 Minuten Ihre Lage. Danach wissen Sie, welche Vorschriften Sie im Blick haben sollten und was das für Ihre IT bedeutet.