Projektphase 1: Vorbereitungen
Die erste Phase eines NISG 2026-Projekts dient dazu, die Voraussetzungen für eine erfolgreiche Umsetzung zu schaffen. Hier werden die grundlegenden Rahmenbedingungen definiert, Stakeholder eingebunden, die Einrichtung eingestuft und ein strukturierter Fahrplan erstellt.
Projektstart und Zieldefinition
Ein klar definierter Projektstart ist entscheidend für den späteren Erfolg. Dazu gehört die Festlegung der Projektziele, die NISG 2026-Compliance, eine generelle Verbesserung der Cybersicherheitsstandards, die Vorbereitung auf Registrierung und Selbstdeklaration sowie mögliche Synergien mit einer ISO 27001-Zertifizierung umfassen können. Ein detaillierter Projektauftrag wird erstellt, durch das Management freigegeben und mit den Leitungsorganpflichten nach § 31 NISG 2026 verzahnt.
Hinweis:
In Register 7 Kapitel 11.2.2 finden Sie eine Muster-Vorlage für präzise und erreichbare NISG 2026-Projektziele.
Stakeholder-Identifikation und -Engagement
Eine zentrale Aufgabe ist die Identifikation aller internen und externen Stakeholder, die an der Umsetzung der NIS-2-Richtlinie und des NISG 2026 beteiligt sind. Dazu gehören insbesondere:
- IT-Abteilung und Informationssicherheitsverantwortliche
- Geschäftsführung und sonstige Leitungsorgane
- Compliance-, Rechts- und Datenschutzfunktionen
- Einkauf, Lieferkettenmanagement und kritische Fachbereiche
- Business Continuity Management, Notfallmanagement sowie Kommunikation und Kundenbetreuung
In diesem Schritt werden zudem Rollen, Verantwortlichkeiten, Freigabewege und Eskalationsmechanismen innerhalb des Projekts klar definiert.
Hinweis:
In Register 7 Kapitel 11.2.3 finden Sie eine beispielhafte Darstellung von Rollen und Aufwand für ein NIS2/NISG 2026-Projekt.
Zusammenstellung des Projektteams
Zur erfolgreichen Umsetzung wird ein interdisziplinäres Projektteam gebildet. Dieses sollte Expertinnen und Experten aus den Bereichen IT, Cybersicherheit, Recht, Compliance, Einkauf, Fachbereichen und Business Continuity umfassen.
- Ernennung einer Projektleitung, die die gesamte Umsetzung koordiniert und die Nachweis- und Berichtspflichten in der Planung verankert
- Festlegung von Kommunikationswegen, Berichtspflichten, Freigaben des Leitungsorgans und Verantwortlichkeiten für Registrierung, Kontaktstelle und Meldekette.
Projektplanung
Auf Basis der Zieldefinition und der identifizierten Stakeholder wird ein detaillierter Projektplan erstellt. Dieser umfasst:
- Meilensteine, Zeitpläne und Ressourcenanforderungen einschließlich Registrierung, Selbstdeklaration und Nachweisführung
- Definition der wichtigsten Deliverables, insbesondere Einstufungsmemo, Registerdaten, Governance- und Schulungsplan, Maßnahmenplan und Nachweisdokumentation
- Identifikation möglicher Risiken und Entwicklung eines Risikomanagementansatzes einschließlich Lieferketten-, Melde- und Umsetzungsrisiken
- Budgetplanung und Genehmigung durch das Management einschließlich Ressourcen für Schulungen, Dokumentation, externe Prüfungen und technische Mindestmaßnahmen
Der Projektauftrag für die Umsetzung wird finalisiert, dokumentiert und mit den Governance-Anforderungen des NISG 2026 abgestimmt.
Hinweis:
In Register 7 Kapitel 11.2.4 finden Sie ein NISG 2026-Projektauftragsmuster. Das Beispiel-Projekt hat eine wahrscheinliche Laufzeit von 6–7 Monaten. Bei einer Einstufung als „wesentliche Einrichtung“ sollte ein Puffer für externe Audits eingerichtet werden.
