Schwachstellenmanagement

Schwachstellenmanagement ist der fortlaufende Prozess, mit dem ein Unternehmen Schwachstellen in Systemen und Software erkennt, nach Risiko bewertet, behebt und die Behebung nachprüft. Es ist kein Werkzeug, sondern eine Routine mit festen Zuständigkeiten und Fristen — im BSIG als Teil von § 30 Abs. 2 Nr. 5 verankert.

Aktualisiert am: 19.08.2026

Die vier Schritte

Erkennen: Scans, Herstellermeldungen, Hinweise von außen
Bewerten: Schwere im eigenen Kontext, nicht nur nach Punktwert
Beheben: Patch, Umgehungslösung oder dokumentierte Risikoübernahme
Nachprüfen: erneuter Scan und Abschluss im Register

Fristen, die tragen

Ohne vereinbarte Fristen je Schwereklasse bleibt der Prozess unverbindlich. Üblich sind wenige Tage für kritische Befunde auf von außen erreichbaren Systemen und einige Wochen für den Rest. Wichtiger als die genauen Zahlen ist, dass sie schriftlich vereinbart und messbar sind. Ausführlich im Beitrag Patch-Management nach NIS2.

Wo das im Mandat vorkommt

Turnus, Zuständigkeiten und Nachweisführung lege ich in der NIS2-Beratung fest; die Nachverfolgung im Register läuft im NIS2 Manager.

Häufige Frage

Wie oft sollte gescannt werden?

Von außen erreichbare Systeme mindestens monatlich, interne Netze mindestens quartalsweise und zusätzlich nach größeren Änderungen. Entscheidend ist nicht die Frequenz allein, sondern dass jeder Befund einen Abschluss im Register erhält.