Produkt: NIS2‑Dokument D0020 – NIS2 Schwachstellenmanagement‑Richtlinie

Die NIS2 Schwachstellenmanagement‑Richtlinie definiert alle technischen, organisatorischen und prozessualen Anforderungen zur Erkennung, Bewertung, Priorisierung und Behebung von Schwachstellen gemäß der NIS2‑Richtlinie. Sie bildet die zentrale Grundlage für ein kontinuierliches, auditfähiges und risikobasiertes Vulnerability‑Management in IT‑ und OT‑Umgebungen.

Das Dokument enthält eine vollständig ausgearbeitete Schwachstellen‑Governance inklusive:

– Zweck, Geltungsbereich und normative Grundlagen (NIS2, ISO/IEC 27001:2022, ISO 27002, BSI‑Grundschutz, CVSS v3.1, IT‑SiG, OWASP)
– Grundprinzipien des Schwachstellenmanagements (Kontinuierlichkeit, Risikopriorisierung, Transparenz, Schnelligkeit, Automatisierung, Zero‑Trust‑Integration)
– Vollständiger Schwachstellenmanagement‑Prozess mit 7 Schritten (Asset‑Erfassung, Scans, Analyse, CVSS‑Bewertung, Behebung, Verifizierung, Reporting)
– Ausgearbeitete Asset‑Inventarisierung mit realistischen Beispielen (ERP‑Server, AD‑Controller, Produktionssteuerung, Cloud‑Workloads, Clients)
– Scan‑Arten (Netzwerk, Host, Web‑Applikationen, Cloud, OT‑passiv, Container, Code‑Scans)
– Scan‑Frequenzen für alle Systemtypen (kritische Systeme wöchentlich, Server/Clients monatlich, OT vierteljährlich, Cloud kontinuierlich, Container bei jedem Build)
– Bewertungskriterien (CVSS‑Score, Exploit‑Verfügbarkeit, Kritikalität, Angriffsvektor, Auswirkungen, Abhängigkeiten)
– Realistische CVSS‑Bewertungstabellen (Log4Shell, SMBv1, SQL‑Injection, veraltetes Java, schwache Passwörter)
– Maßnahmenkatalog (Patch, Konfigurationsänderung, Workaround, Dienst‑Deaktivierung, Segmentierung, Zugriffsbeschränkung)
– Verifizierungsprozess (erneuter Scan, manuelle Prüfung, Dokumentation, Freigabe)
– Reporting‑Pflichten (monatlicher Schwachstellenreport, quartalsweiser NIS2‑Report, jährlicher Audit‑Report)
– KPI‑Set zur Bewertung der Vulnerability‑Management‑Wirksamkeit (kritische Schwachstellen < 24h, hochkritische < 7 Tage, Patch‑Compliance, Scan‑Abdeckung, OT‑Scan‑Abdeckung)
– Zero‑Day‑Management (Workarounds, Firewall‑Regeln, Monitoring, Hersteller‑Advisories)
– Lieferketten‑Schwachstellen (Meldepflichten, Patch‑Fristen, SBOM‑Anforderungen)
– Rollenmodell (CISO, IT‑Security, ITOps, DevOps, OT‑Leitung, Einkauf, Geschäftsführung)
– Risiken bei Nichteinhaltung (Ransomware, Datenverlust, Systemkompromittierung, Produktionsausfälle, NIS2‑Bußgelder, Haftungsrisiken)
– Vorgaben zur jährlichen Überprüfung und Aktualisierung

Die Richtlinie ist so strukturiert, dass Auditoren, Behörden und interne Prüfinstanzen die Schwachstellenmanagement‑Fähigkeit der Organisation ohne Interpretationsspielräume nachvollziehen können. Sie ist direkt in die ISMS‑, BCM‑, Risiko‑ und NIS2‑Prozesslandschaft integrierbar und bildet die Grundlage für Resilienz, Compliance und nachhaltige Sicherheitsentwicklung.

Zielgruppe:  
Unternehmen, KRITIS‑ähnliche Organisationen, NIS2‑betroffene Einrichtungen, interne ISMS‑Teams, IT‑Security‑Abteilungen, OT‑Verantwortliche.