Maßnahmenplan

Eine Gap-Analyse ohne Maßnahmenplan ist eine Mängelliste. Erst die Zuordnung von Aufgabe, Verantwortlichem und Termin macht daraus ein Projekt — und erst der dokumentierte Fortschritt macht daraus einen Nachweis.

Was in einen belastbaren Plan gehört

Je Maßnahme brauchen Sie vier Angaben: die konkrete Aufgabe, die verantwortliche Person, einen Termin und den aktuellen Status. Ergänzt um die Priorität und den Bezug zum Maßnahmenbereich nach § 30 BSIG entsteht daraus ein Plan, den sowohl die IT abarbeiten als auch die Geschäftsleitung lesen kann.

Priorisierung nach Risiko, nicht nach Aufwand

Die naheliegende Reihenfolge — erst das Einfache — ist selten die richtige. Zwei Kriterien sollten vorgehen:

• Was wird ohne Aufsichtsanlass sichtbar? BSI-Registrierung, erreichbare Kontaktstelle und funktionierender Meldeprozess sind die Punkte, an denen ein Versäumnis sofort auffällt.
• Was verhindert im Ernstfall den größten Schaden? Backup-Härtung, Multi-Faktor-Authentifizierung und ein geprobter Incident-Response-Prozess wirken unmittelbar, unabhängig von der Aufsicht.

Der Bezug zur Geschäftsleiterpflicht

§ 38 BSIG verpflichtet die Geschäftsleitung, die Umsetzung der Risikomanagementmaßnahmen zu billigen und zu überwachen — nicht delegierbar. Ohne ein Instrument, das den Stand regelmäßig sichtbar macht, lässt sich diese Überwachung im Haftungsfall schwer belegen. Ein gepflegter Maßnahmenplan mit nachvollziehbarer Historie ist genau dieser Nachweis. Mehr dazu unter Geschäftsführerhaftung.

Was NIS2coPilot dabei tut

Aus der Gap-Analyse entstehen die Maßnahmen automatisch mit dem Bezug zum jeweiligen Pflichtbereich. Sie weisen Verantwortliche zu, setzen Termine und verfolgen den Status; die Übersicht zeigt den Fortschritt je Bereich und insgesamt.

Was er nicht leistet

Der Plan setzt keine Maßnahmen um und ersetzt kein Projektmanagement für große IT-Vorhaben. Er sorgt dafür, dass nichts aus der Analyse verloren geht und dass der Stand jederzeit berichtsfähig ist.

Ein Plan, der einer Prüfung standhält

Drei Eigenschaften unterscheiden einen Nachweis von einer Aufgabenliste:

Nachvollziehbare Herkunft. Jede Maßnahme sollte auf die Lücke verweisen, aus der sie entstanden ist, und auf den Maßnahmenbereich nach § 30 BSIG, auf den sie einzahlt. So lässt sich später zeigen, dass die Bereiche systematisch bearbeitet wurden.

Historie statt Momentaufnahme. Ein Plan, der nur den aktuellen Stand zeigt, belegt keine kontinuierliche Überwachung. Wichtig ist, dass sichtbar bleibt, wann eine Maßnahme aufgenommen, wann sie verschoben und wann sie abgeschlossen wurde — und warum.

Dokumentierte Entscheidungen über Nichtumsetzung. Manche Maßnahmen werden bewusst nicht umgesetzt, weil sie unverhältnismäßig wären. Diese Entscheidung ist zulässig, aber sie gehört mit Begründung und Freigabe festgehalten. Eine stillschweigend fallengelassene Maßnahme wirkt in der Prüfung wie ein Versäumnis.

Der Berichtsweg zur Geschäftsleitung

§ 38 BSIG verlangt aktive Überwachung. Praktisch heißt das ein regelmäßiger, dokumentierter Bericht — quartalsweise ist ein etablierter Rhythmus. Der Bericht sollte drei Fragen beantworten: Was hat sich seit dem letzten Bericht verändert? Welche Maßnahmen sind überfällig und warum? Welche Entscheidungen braucht es von der Geschäftsleitung?

Der Protokolleintrag über diesen Bericht ist im Haftungsfall der Nachweis, dass die Überwachungspflicht wahrgenommen wurde. Ohne ihn steht Aussage gegen Aussage.

Was den Plan meistens scheitern lässt

Nicht fehlende Technik, sondern fehlendes Mandat. Wenn die verantwortliche Person Maßnahmen zwar planen, aber keine Ressourcen binden kann, verschieben sich Termine, bis der Plan seine Glaubwürdigkeit verliert. Klären Sie deshalb zu Beginn: Wer entscheidet über Budget, wer priorisiert bei Konflikten mit dem Tagesgeschäft, und wie wird eskaliert?

Häufige Fragen

Wie detailliert muss der Plan sein?

So detailliert, dass eine dritte Person die Maßnahme umsetzen und den Stand beurteilen kann. Eine Zeile "Netzwerk absichern" erfüllt das nicht, eine Seite Spezifikation je Maßnahme ist überzogen.

Was passiert, wenn wir Termine reißen?

Ein überfälliger Termin ist kein Verstoß, ein unbeachteter schon. Dokumentieren Sie Verschiebungen mit Begründung und neuem Termin. Ein Plan mit nachvollziehbaren Anpassungen wirkt in der Prüfung deutlich besser als einer, der auf dem Papier immer im Plan liegt.

Wer sollte Verantwortlicher einer Maßnahme sein?

Immer eine Person, nie eine Abteilung. Geteilte Verantwortung bedeutet in der Praxis keine Verantwortung.