Digitalisierung: BSI-Curriculum für NIS2-Schulung, Grundschutz++, EU gegen Online-Betrug

Diese Woche ging es um Verantwortung: Wer in der Geschäftsleitung für Cybersicherheit geradesteht, und wer auf Plattformen für Betrug und illegale Ware haftet. Das BSI liefert dem Mittelstand konkrete Arbeitsgrundlagen, Brüssel setzt auf Zusammenarbeit von Banken und Plattformen.

BSI: Curriculum für die NIS2-Geschäftsleitungsschulung

Am 28. Oktober hat das BSI auf der it-sa in Nürnberg ein Beispielcurriculum für NIS2-Geschäftsleitungsschulungen vorgestellt. Es richtet sich an die Leitungsebene besonders wichtiger und wichtiger Einrichtungen. § 38 BSIG sieht für diese Ebene Schulungen vor; das Curriculum ist eine mögliche Umsetzung dieser Anforderung.

Inhaltlich deckt es die rechtlichen, organisatorischen und technischen Zusammenhänge ab, die für die Geschäftsleitung am wichtigsten sind. Entwickelt wurde es mit Verbänden aus der Allianz für Cyber-Sicherheit. Verbindlich ist es nicht: Dr. Judith Nink, beim BSI zuständig für Cybersicherheit in Unternehmen, nennt es eine „Orientierungs- und Arbeitsgrundlage“ für Unternehmen und Schulungsanbieter. Das PDF steht auf der BSI-Website, die Gesellschaft für Informatik hat eine Checkliste zur Prüfung bestehender Schulungen veröffentlicht.

BSI: Grundschutz++ wird BSI-Standard 300-1

Am 26. Oktober hat das BSI die Methodik Grundschutz++ als BSI-Standard 300-1 veröffentlicht. Sie entwickelt den IT-Grundschutz weiter, mit drei Schwerpunkten:

• Absicherung der zentralen Geschäftsprozesse steht im Vordergrund;
• Methoden zur Risikoidentifikation, -bewertung und -behandlung sind frei wählbar, sofern Mindestkriterien erfüllt sind;
• alle Anforderungen liegen maschinenlesbar vor.

Die Methodik startet in eine Early-Adopter-Phase. Ein ISMS nach Grundschutz++ ist ab 2027 zertifizierbar und kompatibel zu ISO/IEC 27001.

EU: Banken und Plattformen gegen Online-Betrug

Die EU-Kommission prüft einen freiwilligen Verhaltenskodex gegen Online-Betrug nach Artikel 45 des Digital Services Act (DSA). Am 23. Oktober fand ein Runder Tisch mit Banken und Zahlungsdienstleistern statt, am 26. Oktober ein Workshop mit Trusted Flaggern, Zivilgesellschaft und Verbraucherorganisationen. Anfang November folgen sehr große Plattformen und Suchmaschinen.

Diskutiert werden der Austausch von Signalen zu Betrugsinhalten zwischen Banken und Plattformen, die Verifizierung von Werbetreibenden, vor allem bei Finanzdienstleistungen, und engere Zusammenarbeit mit Trusted Flaggern. Der Signalaustausch soll auf der künftigen Zahlungsdiensteverordnung (PSR) aufbauen, die noch formal angenommen werden muss.

EU: Aktionsplan von Temu akzeptiert

Am 26. Oktober hat die Kommission den Aktionsplan von Temu angenommen. Im Mai 2026 hatte sie festgestellt, dass Temu seine Pflichten zur Risikobewertung nach dem DSA verletzt hat, und eine Geldbuße von 200 Millionen Euro verhängt. Der Plan umfasst eine plattformspezifische Risikoanalyse, belastbare Kennzahlen zur Wirkung der Maßnahmen, eine Prüfung, ob Empfehlungssysteme illegale Waren verstärken, und die Untersuchung von Händlern, die Plattformfunktionen missbrauchen. Temu hat vier Monate Zeit für die Umsetzung.

Was das für Ihr Unternehmen bedeutet

1. Schulungspflicht der Geschäftsleitung ernst nehmen. Wenn Ihr Unternehmen unter NIS2 fällt, prüfen Sie vorhandene Schulungen mit der GI-Checkliste gegen das BSI-Curriculum.
2. Grundschutz++ früh bewerten. Wer ohnehin ein ISMS plant, kann prozessorientiert starten und die maschinenlesbaren Anforderungen in eigene Werkzeuge übernehmen. Die Zertifizierung ist ab 2027 möglich.
3. Marktplatz-Handel sauber dokumentieren. Die EU schaut genauer auf Händler und Werbetreibende. Vollständige Produkt- und Anbieterangaben senken das Risiko von Sperrungen.

Wenn Sie Prozesse, Informationssicherheit und Datenflüsse DSGVO- und NIS2-konform digitalisieren möchten, sehen Sie sich unsere Leistung Digitalisierung an oder schreiben Sie uns.