Das BSI-Gesetz (BSIG) verpflichtet betroffene Unternehmen zur sofortigen Umsetzung von zehn konkreten Risikomanagement-Maßnahmen (§ 30 BSIG) sowie zu strengen BSI-Registrierungs- (§ 33 BSIG) und Meldefristen (§ 32 BSIG).
Besonderer Handlungsdruck entsteht durch die persönliche Haftung von Geschäftsführung und Vorstand (§ 38 BSIG), für die ein reines Delegieren an die IT-Abteilung nicht mehr ausreicht. NEXGAP übersetzt diese rechtlichen Vorgaben in eine auditfeste Sicherheitsarchitektur: Von der präzisen Bestandsaufnahme und Klassifizierung (besonders wichtige vs. wichtige Einrichtungen) über die Gap-Analyse bis hin zur Etablierung funktionierender Incident-Response-Prozesse.
Auch Unternehmen, die selbst nicht direkt unter das BSI-Gesetz fallen, werden zunehmend mit den strengen Vorgaben konfrontiert. Der Grund liegt in § 30 Nr. 4 BSIG: Regulative Einrichtungen sind gesetzlich verpflichtet, die Sicherheit ihrer gesamten Lieferkette und ihrer Dienstleister zu bewerten.
In der Praxis reichen B2B-Kunden diese Anforderungen über komplexe Sicherheitsfragebögen, veränderte Vertragsbedingungen und Auditklauseln direkt an ihre Zulieferer weiter. Wer hier nicht zeitnah und fundiert Auskunft geben kann, riskiert langwierige Verhandlungen oder gar den Verlust bestehender Aufträge.
