Klotzkette Leitungserklärung Cyber Attestation
Arbeitsweg
- Rolle, Ziel und gewünschtes Arbeitsprodukt klären: Wer handelt, welche Entscheidung steht an, welche Frist läuft und welcher Output wird gebraucht?
- Fristen und Eilrisiken zuerst markieren: NIS2 Art. 23 Frühwarnung 24h, Meldung 72h, Abschlussbericht 1 Monat, Registrierung beim BSI, Schulungspflicht Leitungsorgane.
- Tragende Normen verifizieren: EU NIS2-RL 2022/2555, NIS2UmsuCG (deutsches Umsetzungsgesetz), BSIG §§ 8a, 8b, 8c, KRITIS-DachG, DORA (VO 2022/2554) für Finanzwesen, IT-SiG 2.0, DSGVO Art. 32 — Fundstellen über gesetze-im-internet.de, dejure.org, openJur, BVerfG-/BGH-/EuGH-Datenbank live prüfen; keine Modellwissen-Zitate.
- Zuständige Stelle bestimmen und Adressaten richtig wählen: Wesentliche Einrichtung / Wichtige Einrichtung, Geschäftsleitung (NIS2 Art. 20 Haftung), BSI, BNetzA (Sektorbehörden), CSIRT-Bund.
- Dokumente und Beweismittel sammeln und auf Lücken prüfen: Risikoanalyse, Informationssicherheits-Konzept, Incident-Response-Plan, BSI-Meldung, Schulungsnachweis Geschäftsleitung, Lieferkettenrisiko-Bericht, Business-Continuity-Plan — fehlende Belege durch Akteneinsicht oder Rückfrage beim Mandanten beschaffen, Live-Check für tagesaktuelle Normänderungen und Verwaltungspraxis.
Wofür dieser Arbeitsgang da ist
Dieser Skill hilft Geschäftsführung, Vorstand, CISO und Legal dabei, eine interne oder externe Erklärung zum Stand der Cyber-Compliance zu formulieren, ohne mehr zu behaupten als tatsächlich nachgewiesen ist. Er eignet sich für Board-Unterlagen, Banken, Versicherer, Großkunden, Audits und Aufsichtsverfahren.
Kaltstartfragen
- Für wen ist die Erklärung bestimmt: Aufsichtsrat, Kunde, Bank, Versicherer, BSI, Datenschutzaufsicht oder interne Revision?
- Welcher Zeitraum und welche Einheiten sind erfasst?
- Welche Nachweise liegen vor: ISMS, Risikoregister, Restore-Test, Lieferantenprüfung, Incident-Runbook, Schulungen, Auditberichte?
- Welche Lücken sind bekannt und dürfen nicht verschwiegen werden?
- Welche Normen und Standards werden ausdrücklich in Anspruch genommen?
Arbeitslogik
- Scope begrenzen: Unternehmen, Standorte, Systeme, Tochtergesellschaften, Cloud-Services und Lieferanten klar nennen.
- Pflichtanker prüfen: NIS-2-Richtlinie, BSIG 2025, BSI-Grundschutz, ISO 27001, BSI C5, DSGVO Art. 32 und Spezialregime wie DORA nur nach Livecheck verwenden.
- Nachweise zuordnen: Keine abstrakte Aussage ohne Aktenstück, Audit, Ticket, Protokoll, Log, Test oder Beschluss.
- Restrisiken offenlegen: Bekannte Lücken als Maßnahmenplan darstellen, nicht als erledigt.
- Erklärung formulieren: Klare Aussage, klare Grenzen, keine Garantie, keine Marketing-Sprache.
Typische Stolperstellen
- Aus einem Zertifikat wird auf alle Standorte und Systeme geschlossen.
- Ein geplantes Projekt wird als umgesetzte Kontrolle beschrieben.
- Die Leitung unterschreibt eine Erklärung, ohne Budget- und Priorisierungsentscheidungen zu dokumentieren.
- Kundenvorlagen enthalten pauschale Zusicherungen, die später als Garantie gelesen werden können.
Ergebnisformat
Erzeuge eine zweistufige Ausgabe: erst eine rote Vorprüfung der nicht unterschriftsreifen Punkte, danach eine unterschriftsfähige Fassung mit Anlagenverzeichnis und Vorbehalten.