Wie erstelle ich ISMS Richtlinien für NIS2 mit KI?

Was schreibt der Assistent an einer Richtlinie?

Ein KI Assistent verbindet sich über MCP (Model Context Protocol), einen offenen Standard, mit Ihrem Unternehmen in der App. Er arbeitet mit den Rechten der Person, die ihn verbunden hat.

Jedes Dokument entsteht aus einer Vorlage. Feste Abschnitte, in der Leitlinie etwa Geltungsbereich, Ziele und Verantwortung, stehen schon darin. Darunter fragt der Durchgang „Was davon gibt es in Ihrem Unternehmen?“ und bietet Abschnitte zum Wählen an; zuletzt kommt, was sonst noch bei Ihnen gilt.

Der Assistent liest die ganze Vorlage. Dann schickt er zwei Dinge: welche Abschnitte zu Ihrem Unternehmen passen, und Ihren eigenen Text für den letzten Abschnitt, bis zu 2.000 Zeichen.

Den Rest setzt der Durchgang zusammen, mit Ihrem Firmennamen und den Antworten aus früheren Bildschirmen desselben Punkts, etwa den Kontakten für den Ernstfall in 3.1. Die festen Abschnitte kann der Assistent nicht umschreiben.

Woran erkennt der Assistent, welche Abschnitte passen?

An Ihren Unterlagen. Gibt es bei Ihnen getrennte Administratorkonten, zeigt das Ihre Verwaltung der Konten oder eine Unterlage Ihres Systemhauses.

Was er wählt, sollte so belegt sein. Ein Abschnitt, der etwas verspricht, was Ihr Unternehmen nicht tut, gehört nicht ins Dokument.

Welche Richtlinien verlangt NIS 2?

Sechs Punkte des Durchgangs enden mit einem Dokument. 2.4 ist die Leitlinie zur Informationssicherheit, 3.1 der Notfallplan für Sicherheitsvorfälle, 4.2 der Notfallplan für den Betrieb. 6.3 enthält die Regeln für Kauf, Updates und Schwachstellen, 9.1 das Kryptokonzept und 10.1 das Konzept für Personal, Zugänge und IT.

Die Richtlinie verlangt Konzepte in Bezug auf die Risikoanalyse und Sicherheit für Informationssysteme. Das BSIG verlangt Konzepte zur Risikoanalyse und zur Sicherheit in der Informationstechnik.

Kryptografie und das Konzept für Personal, Zugänge und IT haben in beiden Texten eigene Stellen: Art. 21 Abs. 2 Buchst. h und i NIS 2, § 30 Abs. 2 Nr. 8 und 9 BSIG.

Art. 21 Abs. 2 Buchst. a NIS 2 · § 30 Abs. 2 Nr. 1 BSIG

Wie führt der Assistent die Kryptoliste in 9.1?

Vor dem Kryptokonzept steht in 9.1 die Liste Ihrer zugelassenen Verfahren für Verschlüsselung, Hashfunktionen, Signaturen und Schlüssel, Schlüsselaustausch und TLS. Solange Sie keine eigene Liste führen, ist es die Empfehlung des BSI aus der Technischen Richtlinie TR-02102, Version 2026-01. Das Kryptokonzept druckt sie ab.

Der Assistent kann diese Liste übernehmen und jeden Eintrag einstufen: „Zugelassen“, „Nur noch für Bestehendes, nicht für Neues“ oder „Nicht verwenden“.

Er schickt dabei die ganze Liste, wie sie stehen soll; ein Eintrag, den er weglässt, fällt von der Liste. Prüfen Sie die Liste deshalb Zeile für Zeile. Führt Ihr Unternehmen schon eine eigene Liste, überschreibt die Vorgabe des BSI sie nicht.

Art. 21 Abs. 2 Buchst. h NIS 2 · § 30 Abs. 2 Nr. 8 BSIG

Was prüfen Sie, bevor die Geschäftsführung freigibt?

Unter jedem Dokument steht ein Häkchen: „Ich habe das Dokument gelesen, und es passt zu unserem Unternehmen“. Das setzt eine Person in der App. Ohne das Häkchen geht der Bildschirm nicht weiter, und ein Assistent kann es nicht setzen.

Die Marke mit dem Namen des Assistenten und dem Tag zeigt, welche Vorlagen er bearbeitet hat. Lesen Sie diese Dokumente ganz, besonders die gewählten Abschnitte und Ihren eigenen Text am Ende.

Im Durchgang gibt die Geschäftsführung alle Dokumente in Punkt 7.3 frei, angemeldet mit ihrem eigenen Zugang. Ihr Name und das Datum werden bei jedem Dokument festgehalten, und ab diesem Tag gilt es.

Art. 20 Abs. 1 NIS 2 · § 38 Abs. 1 BSIG

Wie ändern Sie eine freigegebene Richtlinie?

In der App. Ist ein Dokument freigegeben, lehnt der Server jede Änderung des Assistenten daran ab und schickt den Link zum Punkt. Ein geänderter Text verliert seine Freigabe, denn freigegeben wurde die frühere Fassung.

Ändern Sie ein Dokument in der App, wird es wieder ein Entwurf, und die Geschäftsführung gibt die geänderte Fassung noch einmal frei.

Für ihre digitalen Dienste verlangt die Durchführungsverordnung (EU) 2024/2690 zweierlei: Die Leitlinie nennt das Datum ihrer Freigabe, und die Leitung überprüft sie mindestens jährlich (Anhang Nr. 1.1.1 Buchst. k und 1.1.2). Für andere Unternehmen nennt das BSIG keinen Abstand; wählen Sie in der Leitlinie die jährliche Überprüfung, gilt ein Jahr.