Wie funktioniert die NIS2 Risikobewertung mit KI?

Was macht der KI Assistent bei der Risikobewertung?

Ein KI Assistent verbindet sich über MCP (Model Context Protocol), einen offenen Standard, mit Ihrem Unternehmen in der App. Er füllt den NIS 2 Durchgang aus, als die Person, die ihn verbunden hat, mit deren Rechten.

In 2.1, „Festlegen, wie Sie Risiken einstufen“, kann er die fertige Methode aus dem Standard 200-3 des BSI übernehmen, so wie Sie es mit „Übernehmen“ täten. Sie hat vier Stufen für die Häufigkeit, vier für den Schaden und vier Risikostufen.

In 2.3, „Risiken bewerten“, setzt er für jeden Eintrag zwei Werte: wie oft der schlimmste realistische Fall eintritt und wie groß der Schaden wäre. Auf Wunsch schreibt er eine Notiz dazu, etwa was Sie schon dagegen tun.

Die Matrix macht daraus eine Stufe: gering, mittel, hoch oder sehr hoch. Bis Sie geprüft haben und die Geschäftsführung freigibt, sind das Vorschläge.

Art. 21 Abs. 2 Buchst. a NIS 2 · § 30 Abs. 2 Nr. 1 BSIG

Woher kennt der Assistent die Risiken Ihres Unternehmens?

Ein Assistent kennt, was in Ihren Unterlagen steht. Dass die Warenwirtschaft letzten Monat zweimal stand oder dass ein Lieferant kaum zu ersetzen ist, weiß er nur, wenn es irgendwo aufgeschrieben ist.

Diese Einschätzung bringen Sie mit. Denken Sie an Feuer, Wasser und Stromausfall, und daran, dass selten nicht klein heißt: In der Matrix des BSI ist ein existenzbedrohender Schaden nie gering.

Wie prüfen Sie die Vorschläge des Assistenten?

Prüfen Sie jede Zeile auf den drei Bildschirmen „Ihre Programme bewerten“, „Ihre Technik und Räume bewerten“ und „Ihre Lieferanten bewerten“. Jeder Bildschirm, den ein Assistent beschrieben hat, zeigt seinen Namen und den Tag.

Die Übersicht „Ihre Risiken auf einen Blick“ zeigt danach, wie viele Einträge in jedem Feld der Matrix liegen. Darunter stehen alle mit Namen, die höchste Stufe zuerst.

Dort ändern Sie eine Bewertung mit einem Tippen auf den Namen oder das Feld.

Was macht die Geschäftsführung in Punkt 7.3?

In 7.3, „Die Managementbewertung festhalten“, sieht die Geschäftsführung auf „Ihre Risiken für die Geschäftsführung“ die Risikokarte: wo Ihre Programme, Technik und Lieferanten heute stehen. Sie entscheidet, wo sie zuerst handelt, und hält in „Ihre Managementbewertung“ fest, was zu tun ist: was, wer, bis wann.

Unter „Was die Angaben noch offen lassen“ zeigt der Durchgang, was nach Ihren eigenen Angaben noch fehlt. Von selbst erscheinen dort nur feste Fälle, etwa ein Lieferant mit der Stufe hoch oder sehr hoch, dessen Vertrag weder Sicherheit noch Vorfälle regelt. Ein anderer ist eine Datensicherung ohne gelungene Wiederherstellung.

Für jeden offenen Punkt legen Sie in der App fest, wer sich kümmert und bis wann. Für ihre digitalen Dienste verlangt die Durchführungsverordnung, das bei den Maßnahmen zur Risikobehandlung festzulegen (Anhang Nr. 2.1.2 Buchst. i).

Diesen Teil füllt kein Assistent: Managementbewertung, offene Punkte und Freigabe macht eine Person in der App. Freigeben kann, wer in der App die Rolle Geschäftsführung hat, angemeldet mit dem eigenen Zugang. Warum das Gesetz diese Entscheidung bei der Leitung lässt, erklärt unser Artikel dazu, wer für KI Einträge haftet.

Art. 20 Abs. 1 NIS 2 · § 38 Abs. 1 BSIG

Was passiert, wenn sich nach der Freigabe etwas ändert?

Ändert eine Person nach der Freigabe eine Bewertung in der App, geht Punkt 2.3 zurück an die Geschäftsführung, denn die Freigabe galt den alten Werten. Bei einem Lieferanten gilt das auch für 5.1 und 5.2. Zurückgenommen werden nur Freigaben, die älter sind als die Änderung.

Solange ein Punkt freigegeben ist, der auf den Bewertungen oder der Lieferantenliste aufbaut, etwa 2.3, 5.1 oder 5.2, lehnen die Werkzeuge eine Bewertung des Assistenten ab. Die Absage nennt die Punkte.

Dasselbe gilt für die Methode in 2.1, denn sie zu übernehmen ersetzt die Skalen, auf denen die Bewertungen stehen. Eine Freigabe zurücknehmen ist der Schritt einer Person: Sie ändern in der App, und der Punkt geht noch einmal an die Geschäftsführung.