NIS2-Rollen besetzen: Pflichten in Suchprofile übersetzen

KI Dieser Artikel wurde mit Hilfe von KI erstellt.

Welche Schutzaufgaben sind bereits zugeordnet?

Bevor ein neuer Jobtitel entsteht, braucht es eine nüchterne Bestandsaufnahme: Welche der gesetzlichen Schutzaufgaben erfüllt deine Einrichtung heute schon, und wer trägt sie konkret? § 30 BSIG verpflichtet besonders wichtige und wichtige Einrichtungen zu geeigneten, verhältnismäßigen und wirksamen Maßnahmen, deren Einhaltung dokumentiert werden muss. Das Gesetz konkretisiert zehn Maßnahmenbereiche, vom Risikomanagement bis zur Multi-Faktor-Authentifizierung. Genau diese Liste ist dein Ausgangspunkt, nicht die Stellenbörse.

• Risikoanalyse und IT-Sicherheitskonzepte

• Bewältigung von Sicherheitsvorfällen (Incident Response)

• Betriebskontinuität: Backup-Management, Notfallwiederherstellung, Krisenmanagement

• Sicherheit der Lieferkette inklusive Anbieterbeziehungen

• Sicherheit bei Erwerb, Entwicklung und Wartung von IKT-Systemen inklusive Schwachstellenmanagement

• Bewertung der Wirksamkeit der Risikomanagementmaßnahmen

• Schulungen und Sensibilisierungsmaßnahmen

• Konzepte und Prozesse für kryptographische Verfahren

• Personalsicherheit, Zugriffskontrolle und Asset Management

• Multi-Faktor-Authentifizierung, gesicherte Kommunikation und Notfallkommunikation

Die zehn Punkte stammen wörtlich aus § 30 Absatz 2 BSIG und werden auch vom BSI als Mindestumfang des Risikomanagements beschrieben. Für jede Aufgabe hältst du in einer einfachen Zuordnungstabelle fest: Wer trägt sie heute, in welcher Rolle oder Organisationseinheit, und wo ist sie dokumentiert? Viele Bereiche erweisen sich bei dieser Prüfung als bereits abgedeckt, etwa Backup-Management beim IT-Betrieb oder Zugriffskonzepte im Identity-Team. Diese Erkenntnisse sind wertvoller als jede Stellenanzeige, denn sie zeigen dir, welche Kompetenz tatsächlich fehlt.

Zwei Einordnungen helfen, die Erwartungshaltung zu zähmen. Erstens: Die Betroffenheit leitest du nie allein aus der Branche ab. Bis zum 30. Juni 2026 haben sich im BSI-Portal insgesamt 17.729 Einrichtungen registriert, davon 11.501 wichtige und 6.215 besonders wichtige, und die Betroffenheit prüft jede Einrichtung für sich, etwa über die Betroffenheitsprüfung des BSI. Zweitens: Kein Jobtitel erzeugt automatisch Compliance. Eine Stelle mit NIS2 im Titel erfüllt keine einzige der zehn Maßnahmen, wenn die Aufgaben, Nachweise und Zuständigkeiten nicht klar zugeordnet sind. Das Suchprofil entsteht aus der Aufgabenliste, nicht umgekehrt.

Welche Kompetenzlücke begründet eine neue Rolle?

Aus den offenen Aufgaben leitest du das benötigte Kompetenzniveau ab, nicht umgekehrt. Die Frage lautet nicht: Welchen Titel schreiben wir aus? Sondern: Welche der zehn Maßnahmenbereiche sind unbesetzt, und welches Profil kann sie nachweisbar abdecken? Für diese Übersetzung gibt es eine europäische Referenz: ENISA hat die NIS2-Pflichten den Rollenprofilen des European Cybersecurity Skills Framework (ECSF) zugeordnet, dem EU-Referenzrahmen für Cybersecurity-Kompetenzen.

1. Offene Aufgaben aus deiner Zuordnungstabelle den 12 ECSF-Rollenprofilen gegenüberstellen und je Aufgabe das passende Profil notieren.

2. Profile kombinieren statt Titel erfinden: Der ENISA-Leitfaden ordnet die NIS2-Pflichten den ECSF-Profilen zu und enthält praktische Anwendungsszenarien für den Einsatz der Profile.

3. Interne Weiterqualifizierung prüfen, bevor die Stelle ausgeschrieben wird: Wer im Team trägt bereits Teile der Aufgabe und kann mit gezielter Qualifizierung das Profil vollständig abdecken?

Der Markt macht diese Abwägung dringend. Laut ENISA NIS Investments 2024 erwarten 89 Prozent der befragten Organisationen, dass sie zusätzliches Cybersecurity-Personal brauchen, um NIS2 zu erfüllen, während 32 Prozent der Organisationen und 59 Prozent der KMU offene Security-Rollen gar nicht besetzen können. Wer in diesem Markt generische Titel ausschreibt, konkurriert mit allen anderen um dieselben Profile. Wer dagegen ein präzise abgegrenztes Aufgabenbündel anbietet, spricht genau die Kandidat:innen an, die ihre Wirkung an Nachweisen statt an Titeln festmachen. Und manchmal ist die Antwort gar keine Neueinstellung, sondern ein internes Profil, das gezielt auf die offenen Aufgaben qualifiziert wird.

Welche Aufgaben gehören in dasselbe Suchprofil?

Nicht jede Lücke wird zur eigenen Stelle. GRC, technische Umsetzung und operative Reaktion sind drei unterschiedliche Arbeitstypen, und sie nicht ungeprüft in einer Person zu bündeln, ist der häufigste Fehler bei NIS2-Besetzungen. Eine bewährte erste Rollengrenze für mittlere Unternehmen: Die Rolle des Cybersecurity Managers wird intern besetzt, Incident Response, Threat Intelligence und Forensik werden an spezialisierte Anbieter ausgelagert, Audits und Pentests werden extern eingekauft. Diese Trennung ist eine gute erste Orientierung für deine eigene Rollengrenze.

• Rollengrenze entlang der Meldefristen ziehen: Erhebliche Sicherheitsvorfälle müssen nach Kenntniserlangung innerhalb von 24 Stunden als frühe Erstmeldung, innerhalb von 72 Stunden als Folgemeldung und nach einem Monat als Abschlussmeldung beim BSI vorliegen. Diese Kaskade braucht eine besetzte Meldekette mit Vertretung, nicht nur eine Stelle im Organigramm.

• Nicht delegierbare Verantwortung bei der Einrichtung belassen: Auch wenn eine Dienstleisterin die Meldung stellvertretend abgibt, bleibt die Verantwortung für den Vorfall und den Inhalt der Meldung bei der Einrichtung.

• Schnittstellen ins Profil schreiben: Zu Leitung, IT-Betrieb und externen Dienstleistern braucht die Rolle definierte Übergaben, sonst entsteht eine zweite isolierte Security-Insellösung.

Praktisch heißt das: Du entscheidest zuerst, welche Aufgaben intern besetzt werden und welche eingekauft werden, und schreibst erst dann das Suchprofil. Eine interne Rolle, die Incident Response führen soll, braucht nachweisbare Erfahrung in Vorfallbewältigung und Meldeprozessen. Eine Rolle, die Audits und Pentests nur einkaufen und wirksam bewerten soll, braucht dagegen Kompetenz in Ausschreibung, Steuerung und Wirksamkeitsbewertung. Beides ist legitim, aber es sind zwei verschiedene Profile, und die Stellenanzeige muss unterscheiden können.

Welche Nachweise prüft das Fachinterview?

Im Fachinterview entscheidet der Arbeitsbeleg, nicht das Buzzword-Bingo. Statt nach dem dritten Zertifikat zu fragen, prüfst du drei Dinge: umgesetzte Kontrollen, erstellte Nachweise und dokumentierte Zusammenarbeit. Wer behauptet, Risikomanagement aufgebaut zu haben, sollte beschreiben können, welche Maßnahme aus § 30 BSIG das war, wie die Einhaltung dokumentiert wurde und wer die Wirksamkeit bewertet hat. Genau diese Nachweise verlangt das Gesetz, und genau an ihnen misst du, ob Kompetenz behauptet oder gelebt wurde.

• Umgesetzte Kontrollen: Welche der zehn Maßnahmenbereiche hat die Person konkret aufgebaut oder weiterentwickelt, und in welcher Rolle?

• Erstellte Nachweise: Welche Dokumentationen, Wirksamkeitsbewertungen oder Meldungen hat die Person selbst erstellt oder fachlich verantwortet?

• Zusammenarbeit: Wie hat die Person mit Geschäftsleitung, IT-Betrieb und externen Dienstleistern zusammengearbeitet, und wie sind Entscheidungen dokumentiert worden?

Ein Punkt verdient besondere Klarheit: § 38 BSIG weist Geschäftsleitungen die Umsetzung und Überwachung der Risikomanagementmaßnahmen zu, bei Pflichtverletzung haften sie der Einrichtung nach gesellschaftsrechtlichen Regeln, und sie müssen regelmäßig an Schulungen teilnehmen. Diese Verantwortung ist nicht delegierbar, auch nicht auf eine:n CISO oder Security-Manager:in. Im Fachinterview klärst du deshalb die Verantwortungsgrenze zur Leitung: Wo endet die fachliche Umsetzung der Rolle, wo beginnt die Überwachungspflicht der Geschäftsleitung, und wie werden Entscheidungen zwischen beiden dokumentiert? Kandidat:innen, die diese Grenze selbst sauber beschreiben können, sind ein starkes Qualitätssignal.

Wie wird ein NIS2-bezogenes Suchmandat konkret?

Damit steht dein Suchmandat: ein abgegrenztes Aufgabenpaket aus den offenen Maßnahmenbereichen, die benannten Schnittstellen zu Leitung, Betrieb und Dienstleistern und die erwarteten Nachweise für das Fachinterview. Genau dieses Paket übergibst du der Personalberatung, statt eine Stellenanzeige mit NIS2 im Titel freizugeben. Bei Festanstellung (Permanent Recruitment) von Nova Search besprichst du das abgegrenzte NIS2-Suchprofil direkt im Briefing: Erste qualifizierte Profile landen in 5 Werktagen auf deinem Tisch, geprüft über ein zweistufiges Screening aus technischer Tiefenprüfung und Culture-Interview, mit 90-Tage-Garantie, wenn eine vermittelte Person das Unternehmen wieder verlässt. 5 Tage statt 5 Monate, und kein Lebenslauf-Rauschen.