Betrachten Sie die digitale Rückverfolgbarkeit als Ihren Führungsvorteil? Litauens NIS-2-Regime verlangt es
Was früher als reine IT-Pflege galt, ist heute ein digital nachvollziehbarer Wettlauf um Vertrauen auf Führungsebene. Litauen betrachtet NIS 2 nicht einfach als weitere Compliance-Aufgabe – digitale Prüfprotokolle, Echtzeit-Lieferkettenabbildung und Vorfallsprotokolle setzen den neuen Goldstandard für Marktglaubwürdigkeit, regulatorisches Überleben und Reputation. Wenn Ihr Unternehmen noch vierteljährlich Richtlinienordner prüft oder die Compliance an „jemanden in der IT“ auslagert, ist diese Ära bereits vorbei.
Wenn jeder Fehltritt in der Lieferkette, jede verspätete Meldung eines Verstoßes oder jede nicht unterzeichnete Kontrolle für Aufsichtsbehörden und Kunden sichtbar ist, bedeutet Führung Rückverfolgbarkeit – und zwar mit Vorstandsgeschwindigkeit.
Dieser Artikel analysiert detailliert die Umsetzung der NIS-2- Richtlinien in Litauen: Wer trägt die Verantwortung, welche rechtlichen Bestimmungen haben sich geändert und wie Unternehmen die Lücke zwischen den lokalen und den EU-Vorgaben schließen. Sie sehen die digitalen Instrumente – NCSC-Dashboards, CERT-LT-Bereitschaftskarten und Freigaben der Geschäftsleitung in ISMS.online –, die über Erfolg oder Misserfolg im Audit entscheiden.
Klarheit auf Carrier-Niveau und nicht nur eine weitere NIS 2-Erklärung: Jeder Abschnitt ist auf die Person abgestimmt, die ein ISMS aufbaut, das vor Gericht, bei einer Ausschreibung oder im Posteingang einer Aufsichtsbehörde nicht angefochten werden kann. Litauische Teams, die digitale Nachweise beherrschen, gewinnen Ausschreibungen, verdienen sich das Vertrauen des Vorstands und meistern Audits mehrerer Aufsichtsbehörden mit Bravour – diejenigen, die am Prozess des letzten Jahres festhalten, haben bereits das Nachsehen.
Wer hat in Litauen die tatsächliche Macht – und was hat sich hinsichtlich der Vorstandshaftung geändert?
Das NIS-2-Regime von 2024 in Litauen ist keine Theorie mehr. Die Durchsetzung erfolgt nun über das Nationale Zentrum für Cybersicherheit (NCSC) und nicht mehr in undurchsichtigen Ausschüssen – das Gesetz XIV-2902 verleiht dem NCSC weitreichende Befugnisse: Es legt Verantwortlichkeiten fest, verhängt Bußgelder und veröffentlicht offizielle Register der verantwortlichen Führungskräfte. Nachgeordnete Aufsichtsbehörden (Bank von Litauen, Ratingagenturen, Branchengremien) können zwar Routineprüfungen durchführen, doch das NCSC ist die zentrale Instanz der Regulierungsbehörde – es gibt keine Unklarheiten mehr darüber, wer über Verstöße, Bußgelder und Eskalationen entscheidet (digital-strategy.ec.europa.eu; baltictimes.com). Audits, Sitzungen des Aufsichtsrats und sogar die Untersuchung von Vorfällen lassen sich nun eindeutig auf eine einzige Stelle zurückführen.
Noch folgenreicher: NIS 2 verknüpft die Haftung von Führungskräften und Vorstandsmitgliedern direkt mit der Compliance-Funktion und deren Reaktion. Das NCSC veröffentlicht ein aktuelles Verzeichnis der Compliance-Verantwortlichen für jedes regulierte Unternehmen – ist Ihr Vorstand oder eine wichtige Führungskraft nicht aufgeführt, gelten Sie automatisch als nicht konform.
Visualisieren Sie Ihre Compliance-Landschaft: Führungskräfte öffnen jetzt ihre Governance-Dashboards und sehen oben eine Kachel „NCSC-Verbindungsperson“ – mit Kontaktdaten, Prüfprotokoll und Verantwortlichkeiten für jede wesentliche Entscheidung. Das ist keine lästige Arbeit; NIS-2-Audits prüfen nun aktiv, ob diese digitalen Aufzeichnungen echt, aktuell und nachvollziehbar sind. Bei der Umstellung in Litauen geht es darum, Verantwortung zu operationalisieren, nicht nur zu dokumentieren.
Ihre Compliance ist kein Ordner in Dropbox, sondern ein aktives, rechenschaftspflichtiges und prüfungsbereites Register, das für Ihre Branchenbehörde und das NCSC täglich sichtbar ist.
NIS 2 meistern ohne Tabellenchaos
Zentralisieren Sie Risiken, Vorfälle, Lieferanten und Beweise auf einer übersichtlichen Plattform.
Sind Sie sicher, dass Sie nicht betroffen sind? Litauens erweiterte Grenzen und die Falle der Selbstgefälligkeit
Der Mythos, dass „IT-Unternehmen, Bildungseinrichtungen oder Kommunalverwaltungen wahrscheinlich nicht betroffen sind“, ist widerlegt. Litauens Liste der betroffenen Unternehmen ist 2024 sprunghaft angestiegen – über 8,000 Organisationen erfüllen nun die Anforderungen von NIS 2 , von SaaS-Anbietern und Energieversorgern bis hin zu mittelständischen Zulieferern für kritische Branchen. Die Kriterien sind streng definiert:
- Wesentlich: ≥250 Mitarbeiter oder 50 Mio. € Umsatz
- Wichtig: ≥50 Mitarbeiter oder 10 Mio. € Umsatz
- Lieferant: Betreuung aller im Geltungsbereich befindlichen Unternehmen
Sie müssen nicht mehr raten. Monatliche Aktualisierungen des NCSC und der Branchenverbände veröffentlichen alle erfassten Einrichtungen mit Angaben zur Verantwortlichkeit auf Vorstandsebene , Kontaktinformationen und aktuellem Prüfungsstatus. Wichtige Compliance-Momente sind nicht länger in juristischen Fachbegriffen versteckt:
| Bereichsauslöser | Regulatorischer Kontakt | Vorstandsaktion |
|---|---|---|
| ≥250 Mitarbeiter/50 Mio. € | NCSC oder Sektorregulierungsbehörde | Ausführende zuweisen, registrieren, überwachen |
| ≥50 Mitarbeiter/10 Mio. € | NCSC oder Sektorregulierungsbehörde | Kontakte aktualisieren, vorbereiten Prüfungsnachweise |
| Lieferant für den Geltungsbereich | Fachkompetenz des Kunden | Auf Beweisanfragen antworten |
So überprüfen Sie Ihren wahren Status:
- Überprüfen Sie die Mitarbeiterzahl und den Umsatz- Wenn Sie diese Schwellenwerte erreichen, sind Sie sichtbar.
- Einträge im NCSC-Register überprüfen- ist Ihr Vorstandsbeauftragter oder CISO aufgeführt?
- Achten Sie auf direkte behördliche Hinweise- Jede Anfrage an einen Executive-Posteingang ist ein Compliance-Auslöser.
- Ignorieren Sie Ihre Lieferkette nicht-KMU können einfach durch die Bereitstellung von in den Geltungsbereich fallenden Einheiten in Audits einbezogen werden.
Die Botschaft Litauens ist unverblümt: Die Aufnahme in die Liste ist lediglich der erste Schritt; der Aufbau eines kontinuierlichen, dokumentierten und aktualisierbaren ISMS ist nun eine ständige Anforderung des Vorstands – kein Projekt.
Rechnen Sie nicht mit Schonfristen – die Prüfungen begannen im Juli 2024 und das Benachrichtigungsportal schließt im April 2025. Wenn Sie auch nur eine einzige Benachrichtigung erhalten haben oder einen betroffenen Kunden unterstützen, tickt Ihre Compliance-Uhr, sie ist nicht angehalten.
Warum Litauens CERT‑LT jetzt im Zentrum des Überlebens von NIS 2 steht (über die „Reaktion auf Vorfälle“ hinaus)
CERT-LT, Litauens nationales CSIRT (kritisches Krisenreaktionsteam), fungiert nun sowohl als digitale Feuerwehr als auch als Resilienzberater. Im Rahmen von NIS 2 gehen seine Befugnisse über die reine Reaktion auf Sicherheitsvorfälle hinaus – es koordiniert proaktiv die Einsatzbereitschaft, führt branchenspezifische Red-Team-Übungen durch und prüft, ob Ihre Notfallmeldungs- Strategie real oder hypothetisch ist (digital-strategy.ec.europa.eu; nis2certification.eu). Die vorgegebenen Fristen sind nicht verhandelbar.
- 24 Stunden: Erstmeldung eines Vorfalls, auch wenn Sie nur den Schweregrad vermuten
- 72 Stunden: Zwischenbewertung - muss forensische Daten und Eindämmungsmaßnahmen umfassen
- 30 Tage: Abschlussunterricht und Förderplan
Wenn Sie zu spät kommen, einen Takt versäumen oder unvollständige Unterlagen einreichen, droht Ihnen nicht nur eine Geldstrafe, sondern auch die Aufmerksamkeit der Aufsichtsbehörde, eine mögliche Offenlegung der Geschäftsleitung und eine öffentliche Benachrichtigung. Wiederholungstäter riskieren eine persönliche Prüfung durch Vorstände und Führungskräfte.
Jede Minute von der Erkennung bis zur Meldung wird aufgezeichnet – das Protokoll von CERT-LT ist die neue Beweiskette für den Ruf und das Vertrauen der Aufsichtsbehörden.
Intelligente Teams nehmen an den Bereitschaftsworkshops von CERT-LT teil – nicht nur zur Einhaltung von Vorschriften, sondern auch zur Echtzeit-Audit-Übung. Diese Sitzungen ermöglichen Ihnen, vor dem eigentlichen Audit „sicher zu scheitern“ und Playbooks basierend auf der aktuellen Bedrohungslandschaft zu optimieren.
Die CERT-LT-Pipeline in Litauen synchronisiert außerdem Ihre Vorfallsprotokolle mit ENISA und EU CyCLONe, sodass multinationale und grenzüberschreitende Vorfälle nicht untergehen – die Verbindungen zwischen Berichterstattung und Beweissicherung bleiben auch unter Druck erhalten.
Seien Sie vom ersten Tag an NIS 2-bereit
Starten Sie mit einem bewährten Arbeitsbereich und Vorlagen – einfach anpassen, zuweisen und loslegen.
Ist Ihre Lieferkette wirklich bereit für Audits? Warum die Rückverfolgbarkeit die neue Schwachstelle des Vorstands ist
In Litauen liegt das Risiko nicht im Fehlen einer Richtlinie, sondern in der Unfähigkeit nachzuweisen, dass die Lieferkette überwacht, vertraglich geregelt und auf Vorstandsebene umgesetzt wird. Die Audits von 2024 zeigen, dass die systemische Rückverfolgbarkeit den Unterschied zwischen einem Bestehen und einem Mangel ausmacht:
- Ordnen Sie jeden Lieferanten zu, einschließlich indirekter Lieferanten/Tier-2-Lieferanten.
- Fügen Sie jedem Lieferantendatensatz unterzeichnete Verträge und Risikoanalysen bei.
- Führen Sie eine jährliche Überprüfung durch und versehen Sie jede Überprüfung mit einem Zeitstempel, in dem der verantwortliche Vorstand oder die verantwortliche Führungskraft aufgeführt ist.
- Fehlende Beweise oder überfällige Maßnahmen werden innerhalb von 7 Tagen an die Prüfungskommission weitergeleitet.
Mängel in diesem Bereich werden bei Audits sofort sichtbar. Die Aufsichtsbehörde benachrichtigt Ihren Vorstand; chronische Probleme werden veröffentlicht. Anhaltende Nichtkonformität kann von einer Strafe bis hin zu einer öffentlichen Verwarnung eskalieren.
Musterhafte Risikozusicherungen zählen nicht. Was zählt, sind aktuelle, datierte Beweise, die durch die Genehmigung des Vorstands abgesichert sind und bei jeder Anfrage der Aufsichtsbehörde zur Verteidigung bereitstehen.
Für KMU und schlanke Teams gilt in Litauen „Verhältnismäßigkeit an erster Stelle“ – allerdings nur bei der Priorisierung. Ihre kritischen Lieferanten müssen über die gleiche Dokumentation verfügen wie die Großunternehmen. Die Ära des „Reparaturversprechens“ ist vorbei; dokumentieren Sie, sonst werden Sie entlarvt.
Wie die Koordination mehrerer Regulierungsbehörden die Prüfungspraxis verändert: Von fragmentierten Prüfungen zur doppelten Compliance
Das litauische Regelwerk erlaubt es nicht länger, Datenschutz-, Cyber- und Branchenprüfungen isoliert durchzuführen. Nahezu jede NIS-2-Prüfung wird nun gemeinsam vom NCSC und einer Branchenorganisation – der staatlichen Datenschutzinspektion, der litauischen Bank oder Branchenaufsichtsbehörden – durchgeführt. Diese Doppelprüfungen bringen neue Regeln mit sich:
- Kernberichte: Richten Sie sich an den CyCLONe-Vorlagen von ENISA und der EU aus, um EU-weite Konsistenz zu gewährleisten. Die Verwendung genehmigter Crosswalks ist der effizienteste Weg, Redundanz zu vermeiden.
- Abweichende Fristen: (Datenschutz, DORA, NIS 2): Sie müssen jedes in Echtzeit abbilden, verfolgen und pflegen – erwarten Sie, dass für jede Übermittlung Protokolle mit Zeitstempel angezeigt werden.
- Intelligente Eskalation: Teams, die ihre Branchenregulierungsbehörden mindestens sieben Tage vor der Frist vorab befragen, erledigen Audits schneller und mit weniger Aufwand. Frühzeitige Sichtbarkeit ist jetzt Selbstschutz.
Der digitale Kalender Ihres Compliance-Teams ist wahrscheinlich das wertvollste Einzelgut – farbcodiert nach Typ (Datenschutz, Cyber, Dual) und mit vorgefertigten Exporten für jedes Szenario.
Alle Ihre NIS 2, alles an einem Ort
Von den Artikeln 20–23 bis hin zu Prüfplänen – führen Sie die Compliance durch und weisen Sie sie durchgängig nach.
Können Sie eine Harmonisierung der Vorschriften nachweisen – oder streben Sie immer noch drei separate Standards an?
In Litauen gilt nun der Grundsatz „eine Handlung, drei Beweise“. Von jeder etablierten Organisation wird erwartet, dass sie die Kontrollen gemäß NIS 2, DSGVO und DORA so aufeinander abstimmt, dass ein einziger Nachweis mehreren Behörden vorgelegt werden kann. Doch bloße Prüfungsunterlagen reichen nicht aus – die digitale Beweisdatenbank muss die tatsächliche Aktivität dokumentieren, nicht nur Protokolle als Referenz.
| Erwartung | Operationalisierung | ISO 27001 / Anhang A Referenz |
|---|---|---|
| Vorstand genehmigt Lieferkettenrisiko | Gefahrenregister Jährliche Aktualisierung, Protokollierung der Verträge, jährliche Genehmigung durch die Geschäftsleitung | A.5.19, A.6.1, A.8.1, A.5.36 |
| Dokumentierte Vorfallreaktion 24h / 72h | Vorfallplan, CERT-LT-Workflow, digitale Protokolle von ISMS.online oder gleichwertig | A.5.24, A.5.26, A.8.14 |
| Beweise einmal für DORA/DSGVO/NIS 2 abgebildet | Live-Digital-Beweisbank mit kartierten Fußgängerüberwegen, SoA-verknüpft | Kl.9.2, Kl.8.2, A.5.30, A.5.29 |
Wie sieht „ausgereift“ aus? In ISMS.online ermöglichen Live-Crosswalks, dass mit einer einzigen Aktion eine kartierte Spur erstellt wird – bereit für den Vorstand, jeden Prüfer und die Branchenaufsicht. Reine Referenztabellen reichen nicht mehr aus – Protokolle und Exporte müssen aktualisiert und bei Bedarf zugänglich sein.
Sind Ihre ISO 27001-Kontrollen und Nachweisbanken stark genug für Litauens modernes Audit?
ISO 27001 ist nicht nur bewährte Praxis – sie bildet die Grundlage für die NIS-2-Prüfungen in Litauen. Die Auditoren prüfen nicht nur die Anwendbarkeitserklärung (Statement of Applicability, SoA), sondern auch die Verbindung zwischen jedem einzelnen Punkt der SoA und den mit Zeitstempeln versehenen, nutzerbezogenen digitalen Datensätzen (sgs.com; advisora.com). Unvollständige Register, PDFs oder papierbasierte Protokolle bergen das Risiko eines sofortigen Scheiterns.
| Auslösen | Risiko-Update | Steuerung / SoA-Link | Beweise protokolliert |
|---|---|---|---|
| Vertragsverlängerung mit dem Lieferanten | Gefahrenregister, SvA aktualisiert | SoA A.5.19, A.5.21 | Aktualisierter Vertrag, SoA-Protokoll |
| Vorfall erkannt | Vorfallplan + CERT-LT-Kontakt | SoA A.5.24, A.5.26 | Vorfallsprotokoll, Hotline, Abmeldung |
| Vierteljährliche Überprüfung des Vorstands | Protokolle des Vorstands, SoA-geprüft | SoA A.5.36, Cl.9.3 | Protokoll der Vorstandsprüfung, Beweisbank |
Mit ISMS.online kann Ihr Compliance-Team jeden Workflow oder Trigger – Vorfälle, Lieferantenprüfungen, Vorstandsgenehmigungen – erfassen und digitale Protokolle für die SoA-Zuordnung sofort exportieren. Wenn jeder jederzeit Beweise anfordern kann, ist digitale Bereitschaft die einzige Strategie. Auditsichere Aufzeichnungen sind jetzt ein teamweites Attribut, nicht nur eine IT-Trophäe.
Digitale Audit-Bereitschaft: Der litauische Standard, den niemand überspringen kann
Die litauischen NIS-2-Richtlinien und die EU-weiten Regelungen akzeptieren keine nachträglich erstellten Dokumente mehr. Erwartet werden digitale Nachweise in Echtzeit, die vom Vorstand unterzeichnet sind . Bei einer Anhörung oder einer Vertrauensprüfung durch einen Großkunden muss die Antwort unverzüglich erfolgen: Herunterladen, Einreichen oder Vorzeigen der Dokumente auf dem Bildschirm, verknüpft mit der Erklärung zum Geschäftsverlauf und mit der Genehmigung des Vorstands.
Unzulängliche, fragmentarische oder nicht unterzeichnete Richtlinien weisen auf eine direkte Kontrolllücke hin. Selbst KMU oder kleine Compliance-Teams riskieren, dass ihnen aufgrund fehlender, veralteter oder nicht zugeordneter Nachweise Aufmerksamkeit zuteilwird.
Die Kehrseite? Regulierungsbehörden und Großkunden schätzen mittlerweile Teams, die ihre digitalen Prüfprotokolle regelmäßig pflegen und testen. Vor dem Audit bereit zu sein, ist heute ein Garant für den guten Ruf und ein Wettbewerbsvorteil. Das hektische Suchen nach PDFs in letzter Minute ist ein Risiko; kontinuierliche, vorab getestete Prüfpakete sind die neue Führungsstärke.
Bereit, im NIS-2-Rennen in Litauen die Führung zu übernehmen? Der klügste Schachzug ist der Aufbau Ihrer Rückverfolgbarkeits-Muskeln
Sie möchten nicht nur ein Audit bestehen – Ihr ISMS soll als neuer litauischer Standard für Compliance und Vertrauen gelten. ISMS.online vereint alle Anforderungen in einer auditfähigen digitalen Kommandozentrale – jede abgebildete Kontrolle, jedes Beweisstück, jede Vorstandsabnahme ist auf Abruf in einer Ansicht sichtbar und für Anfragen mehrerer Aufsichtsbehörden übergreifend.
Stärken Sie Ihr Compliance-Team – ein Dashboard, jedes Artefakt, jede Kontrolle, auditbereit mit einem Klick.
Verknüpfen Sie Ihre Richtlinien stets mit SoA, verknüpfen Sie Risiken mit Beweisen und nutzen Sie die Freigaben der Geschäftsleitung zu einem operativen, regulatorischen und Reputationsvorteil. Wenn bei der nächsten Prüfung oder Ausschreibung Ihre Nachweise angefordert werden, müssen Sie nicht nach Dateien oder Unterschriften suchen. Sie sind bereit, denn Ihr ISMS ist täglich einsatzbereit.
Machen Sie den ersten Schritt: Zeigen Sie Ihrem Vorstand und Ihren Kunden, wie digitale Transparenz, kontinuierliche Rückverfolgbarkeit und lokal validierte Compliance zu Ihrem größten Geschäftswert werden und die Angst vor Audits in einen echten Führungsvorteil verwandeln können.
Häufig gestellte Fragen
Wer ist die litauische NIS 2-Behörde und was hat sich für regulierte Unternehmen im Jahr 2024 geändert?
Das Nationale Zentrum für Cybersicherheit (NCSC) Litauens , das dem Verteidigungsministerium untersteht, ist nun die einzige Regulierungsbehörde gemäß NIS 2 und beherbergt das nationale CSIRT (CERT-LT). Mit dem Inkrafttreten des Cybersicherheitsgesetzes von 2024 (Gesetz XIV-2902) übt diese Behörde direkte Befugnisse aus: Sie klassifiziert und prüft alle „wesentlichen“ und „wichtigen“ Einrichtungen, führt und veröffentlicht Register und setzt die Einhaltung der Vorschriften bis auf Vorstandsebene durch. Das neue Gesetz schreibt ein explizites und kontinuierliches Engagement des Vorstands vor: Benannte Compliance-Verantwortliche müssen registriert und auf dem neuesten Stand gehalten werden, ihre Verantwortlichkeit wird nachverfolgt und in einem nationalen Register einsehbar gemacht.
Anders als im vorherigen System erfolgt die Überwachung nicht mehr jährlich und statisch: Aktualisierungen Ihrer Kontrollmechanismen, Risikoprotokolle oder Vorfallsmeldungen werden nahezu in Echtzeit vorgenommen. Verstöße gegen Vorschriften oder Meldepflichten können nicht nur Geldstrafen für das Unternehmen, sondern auch persönliche Sanktionen für namentlich genannte Führungskräfte nach sich ziehen.
Sie sind kein stiller Beteiligter an der Einhaltung von Vorschriften mehr – Litauen bindet die Rechenschaftspflicht des Vorstands und die betrieblichen Nachweise nun auf nationaler Registerebene ein.
Die wichtigsten Veränderungen im Jahr 2024
- Die Rechenschaftspflicht der Exekutive ist nun öffentlich: Compliance-Sponsoren müssen benannt werden, und eine unterlassene Aktualisierung birgt persönliche Risiken.
- Umfangserweiterung: Über 8,000 Organisationen, darunter auch Lieferkettenpartner, unterliegen der Regulierung (vorher waren es weniger als 1,000).
- Live-Regulierungsverfolgung: Alle wichtigen Hinweise, Vorfälle und Risikoänderungen werden protokolliert und sind in Echtzeit sichtbar.
Bin ich von Litauens NIS 2 betroffen und wie verändert dies die alltägliche Realität?
Der litauische NIS 2 erstreckt sich nun auf Regierung, kritische Infrastruktur, Gesundheit, SaaS, Bildung, Energie und die dazugehörigen Lieferketten – weit über den bisherigen Geltungsbereich hinaus.
Wesentliche Entitäten: ≥250 Mitarbeiter oder 50 Mio. € Umsatz.
Wichtige Entitäten: ≥ 50 Mitarbeiter oder 10 Mio. € Umsatz oder Materiallieferant für alle im Geltungsbereich.
Ihre Aufnahme bedeutet im Allgemeinen, dass Sie:
- Registrieren Sie einen Sponsor auf Vorstandsebene: mit dem NCSC, auf dem neuesten Stand gehalten.
- Sichern Sie Beweismittel: Risikoregister, Vorfallprotokolle, Verträge – jederzeit exportierbar.
- Seien Sie überall dort, wo Sie im Lieferkettenregister aufgeführt sind, bereit für Audits: Wenn Ihr Unternehmen als Lieferant, Betreiber oder Kunde einer betroffenen Einheit aufgeführt ist, sind Sie für die nachweisliche Einhaltung der Vorschriften verantwortlich.
Gehen Sie davon aus, dass Sie in den Geltungsbereich fallen, sofern Sie oder Ihre Lieferanten nicht offiziell vom NCSC ausgeschlossen sind, und stellen Sie sicher, dass dies durch entsprechende Dokumentation belegt wird.
Checkliste für die täglichen Auswirkungen
- Die Registrierung durch den Vorstand und die Genehmigung durch die Geschäftsleitung werden erzwungen und die Transparenz ist öffentlich.
- Die Einhaltung der Vorschriften ist die Grundlage – nicht jährliche Feuerübungen. Jede Änderung wird protokolliert, überprüft und überwacht.
- Nachweis der Lieferkette ist mittlerweile eine Standardanforderung für Audits und nicht nur ein IT-Problem.
Wie hat sich die Rolle von CERT-LT (Litauens CSIRT) unter NIS 2 geändert?
CERT-LT (das litauische CSIRT) wartet nicht länger auf Eskalationen – es ist nun die zentrale Anlaufstelle für Cybersicherheitsvorfälle und die Einhaltung von Vorschriften. Gemäß NIS 2 sind Sie verpflichtet, CERT-LT innerhalb von 24 Stunden nach Feststellung oder auch nur bei starkem Verdacht über jede bedeutende Cyberbedrohung oder jeden Vorfall zu informieren . Die nachfolgenden Meldepflichten sind streng zeitlich begrenzt und werden strikt durchgesetzt.
| Berichtsfenster | Benötigte Aktion |
|---|---|
| 0-24 Stunden | Erstmeldung an CERT-LT (Verdacht/Bestätigung) |
| 24-72 Stunden | Detaillierter Bericht: Nachweise, Auswirkungen, Freigabe durch den Vorstand |
| Innerhalb 30 Tage | Vollständige Obduktion, lessons learned, Board-Validierung |
Jede Maßnahme – von der ersten Eskalation bis hin zu den endgültigen Korrekturnachweisen – muss digital protokolliert und vom Vorstand genehmigt werden. Verzögerungen oder die Nichteinhaltung von Meldefristen führen fast zwangsläufig zu einer Prüfung durch das Audit und möglichen Sanktionen.
Digitale Prüfpfade und zeitnahe Berichterstattung sind keine Option – die Bereitstellung von Beweismitteln in Echtzeit bestimmt sowohl die Ergebnisse der Prüfung als auch die Ergebnisse nach einem Vorfall.
Worauf konzentrieren sich litauische Audits, insbesondere im Hinblick auf die Sicherheit der Lieferkette und die Aufsicht durch den Vorstand?
Seit 2024 haben sich die Prüfungen des NCSC von reinen Verfahrensprüfungen hin zur Überprüfung digitaler Echtzeitdaten, der Transparenz der Lieferkette und der tatsächlichen Einbindung des Vorstands verlagert . Der alte Ansatz – jährliche Lieferantenprüfungen, Standardvorlagen oder isolierte Richtlinien – genügt nicht mehr.
Aktuelle Prüfungsschwerpunkte:
- Digitale Risikoregister für alle kritischen Lieferanten: Nicht nur Listen, sondern aktuelle Risikostufen, Vertragsdateien und Überprüfungsverläufe.
- Eskalationsprotokolle für Vorfälle von Drittanbietern: Führen Sie für jeden wichtigen Lieferanten Protokolle über die Kommunikation, Aktionen und Vorstandsbesprechungsnotizen.
- Vom Vorstand genehmigte Dokumentation: Routinelieferant Risikoüberprüfungen, nicht nur eine technische Abnahme.
- Verhältnismäßigkeit für KMU: Beginnen Sie mit den Hauptlieferanten, aber stellen Sie sicher, dass alle nachverfolgt werden – auch bei minimalem Risiko.
Um diese Anforderungen zu erfüllen, werden ISMS-Lösungen wie ISMS.online schnell eingeführt, wodurch versionierte Protokolle und Board-Vermerke zu einem auditfähigen Standard werden.
Richtlinien mit nur einer Vorlage oder seltene Lieferantenprüfungen überstehen die vom Prüfungsausschuss unterzeichneten, in Echtzeit aktualisierten Nachweise nicht. Das neue Minimum ist.
Wie bewältigt Litauen EU-weite und regulatorenübergreifende NIS 2-Audits – und wie sollten Sie sich vorbereiten?
Das NCSC koordiniert nun die gemeinsamen Prüfungen zwischen Datenschutz (DSGVO), Finanzstabilität (DORA) und Branchenregulierungsbehörden. Das bedeutet, dass ein einzelner Vorfall oder eine einzelne Prüfung von mehreren Behörden geprüft werden kann und sich die erforderlichen Nachweise überschneiden können.
Vorbereitungstaktik:
- Kartenübergreifende Steuerung: Richten Sie die Anforderungen von NIS 2, DSGVO und DORA direkt in Ihrem ISMS aus (idealerweise in Ihrer Anwendbarkeitserklärung), damit die Nachweise für alle relevanten Audits wiederverwendet werden können.
- Exportfähige Protokolle: Stellen Sie sicher, dass jedes Ereignis, jede Vorstandsprüfung oder jeder Lieferantenwechsel auf Anfrage digital und mit Zeitstempel verpackt und geliefert werden kann.
- Zusammenarbeit mit sektoralen CSIRTs: Warten Sie nicht auf eine Prüfung, um Grauzonen oder Zuständigkeiten in mehreren Rechtsräumen vor einem Vorfall zu klären.
| Regime | Zeitplan für die Berichterstattung | Erforderliche Nachweise | Gemeinsame Prüfung |
|---|---|---|---|
| Datenschutz | ≤ 72 Stunden | Verstoßprotokoll, DPA-Aufzeichnungen | Manchmal |
| NIS 2 | 24h/72h/30d | Vorfälle, SoA, CERT-LT-Protokoll | Ja (häufig) |
| DORA | 24–48 Stunden | Resilienz-Dashboard, Risikoaufzeichnungen | Manchmal |
Ein digitales ISMS macht diese Vereinheitlichung praktisch – sich auf fragmentierte oder Offline-Dokumentation zu verlassen, ist an sich schon ein Risiko.
Wie lassen sich die NIS 2-Regeln Litauens direkt auf die Kontrollen und Nachweise der ISO 27001 übertragen?
Die Einführung von NIS 2 in Litauen basiert auf ISO 27001:2022 und den Kontrollen in Anhang A. Audits beginnen häufig mit Ihrer Anwendbarkeitserklärung (Statement of Appropriation, SoA). Daher muss jede Kontrolle, jede Lieferantenaktualisierung und jeder Vorfall von Ihrem benannten Compliance-Beauftragten erfasst und digital protokolliert werden.
Tastenauslöser und Steuerungszuordnung
| Ereignis/Auslöser | Erforderliche Nachweise | ISO 27001-Mapping |
|---|---|---|
| Lieferanten-Update | Aktualisierter Vertrag, SoA-Eintrag, Risikoprotokoll | A.5.19, A.5.21 |
| Vorfallmeldung | CERT-LT-Protokoll, Ereignisaufzeichnung, Board-Abmeldung | A.5.24, A.5.26, Cl.9 |
| Überprüfung durch den Vorstand | Signiertes SoA, Snapshot-Export | A.5.36, Cl.9.3 |
Ein digitales ISMS verknüpft all dies: Beweise werden abgebildet, abgezeichnet und sind problemlos exportierbar.
ISO 27001 / NIS 2 Brückentabelle
| Erwartung | In der Praxis operationalisiert | ISO 27001 / Anhang A Referenz |
|---|---|---|
| Registrierter Compliance-Sponsor (Vorstand) | Im NCSC-Register genannt; umgehend aktualisiert | Cl.5.3, A.5.4 |
| Digital, in Echtzeit VorfallsberichtIng. | CERT-LT-Protokoll, Board-Abmeldung, ≤24 h/72 h | A.5.24, A.5.26, Cl.9 |
| Kontinuierliche Überprüfung der Lieferkette | Digitale Register, Vertragsprotokolle | A.5.19, A.5.21, Cl.8.2 |
| Audit/SoA digitaler Nachweis | Exportfähiges, signiertes Repository | A.5.36, Cl.9.3 |
Rückverfolgbarkeitstabelle – Vom Auslöser bis zum protokollierten Beweis
| Auslösen | Erforderliches Update | Steuerung / SoA-Link | Erforderliche Nachweise |
|---|---|---|---|
| Lieferantenverletzung | Neubewertung des Lieferantenrisikos | A.5.19, A.5.21 | Vertrag, Protokoll, Lieferantenaudit |
| Neuer Vorfall | CERT-LT benachrichtigen, abmelden | A.5.24, Cl.9 | Protokoll, vom Vorstand bestätigte Aktion |
| Regulatorische Anfrage | SoA/digitaler Log-Export | A.5.36, Cl.9.3 | Signiertes SoA, Schnappschuss |
Wie erreichen Sie die digitale Audit-Bereitschaft und das Engagement des Vorstands?
In Litauen sind die digitale Auditbereitschaft und die Echtzeit-Einbindung des Vorstands mittlerweile das absolute Minimum an Compliance-Anforderungen . Nachträglich ausgefüllte Papierprotokolle oder Nachweise nach bestem Wissen und Gewissen werden einer behördlichen Prüfung oder Kontrolle der Lieferkette kaum standhalten.
- Registrieren Sie Ihre NCSC-Sponsordaten: Bestätigen und auf dem Laufenden bleiben.
- Alle Beweise online stellen: Risiko-, Lieferanten- und Vorfallprotokolle müssen digitalisiert, versioniert und vom Vorstand anerkannt werden.
- Einberufen eines vom Vorstand geleiteten Compliance-Forums vor der Prüfung: Beziehen Sie die Rechtsabteilung, die IT-Abteilung und die Lieferkette ein und protokollieren Sie jede Aktion und Aktualisierung zentral.
- Einführung eines einheitlichen ISMS (z. B. ISMS.online): Zentralisieren Sie Beweise, stellen Sie einen sofortigen Export und eine einfache Zuordnung über ISO, NIS 2, DSGVO und DORA sicher.
Ihr digitaler Prüfpfad ist Ihr Wettbewerbsschutzschild – vom Vorstand anerkannt, von der Aufsichtsbehörde genehmigt und im NIS-2-Zeitalter Litauens stets einsatzbereit.
Welche konkreten Schritte sollten Sie unternehmen, um sich auf die Durchsetzung von NIS 2 in Litauen vorzubereiten?
1. Überprüfen Sie Ihren Registrierungsstatus:
Überprüfen Sie beim NCSC, ob Ihr Compliance-Sponsor auf Vorstandsebene korrekt und auf dem neuesten Stand ist.
2. Upgrade auf digitale Beweise in Echtzeit:
Stellen Sie sicher, dass alle Kontrollen, Vorfälle, Lieferanteneinsätze und Audits in ein Live-Digitalsystem mit Versionsverwaltung einfließen.
3. Planen Sie eine Sitzung zur Abstimmung der Compliance-Vorgaben des Vorstands:
Bringen Sie Datenschutz, Recht, IT und Lieferkette für eine Lückenprüfung zusammen, protokollieren Sie die Ergebnisse und reagieren Sie umgehend auf erforderliche Aktualisierungen.
4. Einführung oder Konfiguration eines integrierten ISMS:
Zentralisieren Sie Ihre Compliance-Arbeit. Tools wie ISMS.online unterstützen alles von Verträgen bis hin zu Vorstandsprotokollen und verknüpfen Nachweise direkt mit Kontrollen und Auditanforderungen.
Litauens Führungsrolle bei NIS 2 wird durch digitale, vom Vorstand gesteuerte und vertretbare Prüfpfade definiert – machen Sie dies zu Ihrer Basis, nicht zu Ihrem Anspruch.
