Seit dem 6. Dezember 2025 gilt in Deutschland das NIS2-Umsetzungsgesetz. Es verankert Cybersicherheit im BSI-Gesetz (BSIG) als Leitungspflicht. Nach § 38 Abs. 1 BSIG liegen Umsetzung und Überwachung der Risikomanagementmaßnahmen bei der Geschäftsleitung. Für Banken und Versicherer ist zusätzlich das Verhältnis der BSIG-Pflichten zur europäischen Verordnung über die digitale operationale Resilienz im Finanzsektor (DORA) zu klären. Praktische Reihenfolge: 1. IT-Risikoanalyse: Welche Systeme sind für den Betrieb unverzichtbar, welche Daten besonders schutzwürdig, welche Dienstleister kritisch? Daraus ergeben sich die Schutzprioritäten. 2. Berichtswesen: Regelmäßige, aussagekräftige Cyber-Risiko-Berichte an die Geschäftsleitung. Erkennbar ist die Umsetzung daran, dass der Bericht Entscheidungen auslöst und nicht nur abgelegt wird. 3. Dienstleister: Die Auswahl- und Überwachungsverantwortung bleibt bei der Geschäftsleitung, auch wenn Prozesse ausgelagert sind. Verträge sollten Sicherheitsstandards, Meldewege, Unterstützungsleistungen und Datensicherung regeln. 4. Vorfallplan: Ein Incident Response Plan legt technische Sofortmaßnahmen, Prioritäten, Kommunikation mit Behörden, Kunden und Geschäftspartnern fest. Für erhebliche Sicherheitsvorfälle sieht § 32 BSIG eine frühe Meldung binnen 24 Stunden und eine weitere binnen 72 Stunden nach Kenntniserlangung vor. Zuständigkeiten und Meldewege müssen daher vor dem Vorfall feststehen. 5. Nachweis und Schulung: Maßnahmen und ihre Wirksamkeitskontrolle werden dokumentiert. § 38 Abs. 3 BSIG verpflichtet Geschäftsleitungen erfasster Einrichtungen zu regelmäßigen Schulungen. Ein Teilnahmezertifikat belegt zunächst nur den Besuch. Aus unserer Erfahrung bei Kunden aus Versicherung und Bank hat sich bewährt, diese fünf Schritte in einem prüfungsfesten Prozessmodell zusammenzuführen. Qvestcon und Markus Junge unterstützen mit einem prüfungsfesten Prozessmodell für Konzerne aus Versicherungen und Banken: multimandantenfähig, mit VAG-konformer Spartentrennung, aus 25 Jahren praktischer Betriebserfahrung.