Datensicherheit im Unternehmen: Schutzziele, Normen und audit-fester Aufbau

Datensicherheit ist kein einzelnes Produkt und kein einzelnes Tool, sondern der dokumentierte Zustand, in dem ein Unternehmen die drei klassischen Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit (CIA) für alle relevanten Daten belegbar wahrt. Die Grundlage liefern in Deutschland mehrere Regelwerke parallel: Art. 32 DSGVO für personenbezogene Daten, ISO/IEC 27001:2022 mit 93 Controls für das Informationssicherheits-Managementsystem, das BSI-Grundschutz-Kompendium für staatsnahe Strukturen, das IT-Sicherheitsgesetz 2.0 und seit Inkrafttreten der nationalen Umsetzung die NIS-2-Richtlinie für rund 29.500 Unternehmen in Deutschland. Wer Datensicherheit ernst meint, führt diese Quellen nicht parallel, sondern integriert sie in ein versioniertes System mit Berichtslinie an die Geschäftsführung, geprüft durch interne und externe Audits und dokumentiert mit Stand, Verantwortlichem und Belegen.

Dieser Leitfaden richtet sich an Geschäftsführung, IT-Leitung, Compliance- und Datenschutzverantwortliche im deutschen Mittelstand und in Konzerntöchtern. Er trennt Datenschutz und Datensicherheit sauber voneinander, beschreibt die drei klassischen und drei erweiterten Schutzziele, ordnet die wichtigsten Normen (DSGVO, ISO/IEC 27001:2022, NIS-2, BSI-Grundschutz) zu, behandelt TOMs, Berechtigungs- und Schlüsselmanagement, Backup- und Notfallplanung, Mitarbeiterschulung, Lieferketten-Sicherheit nach Art. 21 NIS-2 und schließt mit dem Aufbau in einer Plattform-Logik, in der jeder Nachweis abrufbar und versioniert vorliegt. Audit-fest, dokumentiert, § 32-fest.

Datenschutz ist ein Rechtsgebiet. Es schützt das Grundrecht auf informationelle Selbstbestimmung und gilt ausschließlich für personenbezogene Daten im Sinne der DSGVO. Datensicherheit ist eine technisch-organisatorische Disziplin. Sie schützt alle Daten unabhängig vom Personenbezug, also auch Konstruktionspläne, Lieferantenpreise, Algorithmen, Quellcode, Forschungsergebnisse und Betriebsgeheimnisse nach dem Geschäftsgeheimnisgesetz.

Beide Disziplinen überlappen, sind aber nicht deckungsgleich. Eine Datenpanne nach Art. 33 DSGVO ist immer auch ein Datensicherheitsvorfall. Ein Ransomware-Angriff auf produktionsnahe Steuerungssysteme ist ein Datensicherheitsvorfall, aber nicht zwangsläufig eine DSGVO-Meldepflicht, sofern keine personenbezogenen Daten betroffen sind. Wer beide Disziplinen trennt, kommt im Audit mit zwei verschiedenen Aktenständen an. Wer sie integriert, hat einen Stand. Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software.

In der Praxis sitzen die Verantwortlichkeiten getrennt: Der Datenschutzbeauftragte (DSB) verantwortet die DSGVO-Compliance, der Informationssicherheitsbeauftragte (ISB) verantwortet das ISMS. Beide arbeiten mit überlappenden Belegen: TOMs nach Art. 32 DSGVO sind faktisch eine Teilmenge der ISO-27001-Controls; das Verzeichnis der Verarbeitungstätigkeiten überlappt mit dem Asset-Inventar. Plattform-Logik heißt: Beleg einmal pflegen, in beiden Sichten abrufbar. Der Informationssicherheitsbeauftragte (ISB) ist dabei die zentrale Rolle für die Datensicherheits-Seite, während der DSB die Datenschutz-Seite trägt. Beide arbeiten typischerweise auf einer geteilten Berichtslinie an die Geschäftsführung. In der Aufsichtspraxis prüfen sowohl Datenschutz- als auch IT-Sicherheitsbehörden zunehmend genau diese Schnittstelle: Wer DSB und ISB ohne Abstimmung führt, produziert widersprüchliche Belege und verliert in der Prüfung. Wer sie auf einer gemeinsamen Berichtslinie führt, erzeugt aus zwei Pflichtenkreisen einen Stand. Die Wirtschaftsprüfer schauen genauer hin, weil ESG-Reporting nach CSRD seit 2024 auch Datenschutz- und Datensicherheits-Vorfälle als wesentlich einstufen kann und damit den Lagebericht betrifft.

Die drei klassischen Schutzziele der Datensicherheit sind Vertraulichkeit (Confidentiality), Integrität (Integrity) und Verfügbarkeit (Availability). Vertraulichkeit bedeutet, dass nur Berechtigte Zugriff erhalten. Integrität bedeutet, dass Daten nicht unbemerkt verändert oder beschädigt werden. Verfügbarkeit bedeutet, dass berechtigte Personen die Daten dann erreichen, wenn sie sie brauchen. Verletzungen lassen sich nach Schutzziel kategorisieren: Datenleck verletzt Vertraulichkeit, Manipulation verletzt Integrität, Ransomware verletzt typischerweise alle drei.

Das BSI ergänzt drei weitere Schutzziele: Authentizität (Identitätsnachweis von Daten und Sendern), Verbindlichkeit (Nicht-Abstreitbarkeit, Non-Repudiation) und Zurechenbarkeit. Diese Erweiterungen werden wichtig in Bereichen wie elektronischer Vertragsabschluss, qualifizierte elektronische Signatur nach eIDAS-Verordnung 910/2014, Audit-Logging und forensischer Beweissicherung. Wer Verträge digital schließt, braucht Authentizität und Verbindlichkeit als gleichrangige Schutzziele zu CIA.

In der Risikoanalyse wird für jedes Asset eine Schutzbedarfsfeststellung in drei oder vier Stufen vorgenommen: normal, hoch, sehr hoch. Diese Einstufung steuert die Höhe der erforderlichen Maßnahmen. Eine HR-Datenbank mit Gehaltsinformationen hat regelmäßig Schutzbedarf hoch in allen drei klassischen Zielen. Ein öffentlich verfügbares Marketing-PDF hat Schutzbedarf normal in Vertraulichkeit, aber möglicherweise hoch in Integrität, weil eine Manipulation Reputationsschäden verursachen würde. Die Schutzbedarfsfeststellung ist die Brücke zwischen abstrakter Norm und konkreter Investition und entscheidet darüber, wie tief Verschlüsselung, Zugriffskontrolle und Backup-Strategie pro Asset wirklich greifen müssen. Sie wird mindestens jährlich überprüft und bei wesentlichen Änderungen (neue Anwendung, neuer Prozess, neuer Subdienstleister) anlassbezogen aktualisiert, dokumentiert mit Datum, Verantwortlichem und Begründung der Einstufung. In Konzernen wird die Schutzbedarfsfeststellung ergänzt um eine Cluster-Logik: gleichartige Assets werden zu Schutzbedarfsklassen zusammengefasst, sodass nicht hunderte Einzelbewertungen, sondern wenige normierte Klassen die Steuerung übernehmen.

ISO/IEC 27001:2022 ist die international maßgebliche Norm für ein Informationssicherheits-Managementsystem (ISMS). Die Fassung von 2022 hat das Anhang-A-Kontrollset von 114 auf 93 Controls in vier Themenfeldern reduziert: organisatorisch (37), personell (8), physisch (14) und technologisch (34). Der Übergang von ISO/IEC 27001:2013 endete am 31. Oktober 2025; seitdem sind nur noch Zertifikate nach der 2022er-Fassung gültig. Wer die Übergangsfrist verpasst hat, verliert das Zertifikat und muss neu zertifizieren.

Der BSI-IT-Grundschutz ist die deutsche Schwester-Methode mit dem Grundschutz-Kompendium (Bausteine, Anforderungen, Umsetzungshinweise). Er ist kompatibel mit ISO/IEC 27001 (BSI-Grundschutz-Zertifizierung mit Audit nach ISO 27001), aber wesentlich präskriptiver. Für Behörden, kommunale Unternehmen und KRITIS-Betreiber ist BSI-Grundschutz häufig vertraglich oder regulatorisch vorgeschrieben. Für die meisten privaten Unternehmen ist ISO/IEC 27001:2022 die leichter handhabbare Wahl, mit internationaler Anerkennung im Vendor-Management.

Art. 32 DSGVO beschreibt nicht selbst, welche Maßnahmen zu treffen sind, sondern verlangt ein dem Risiko angemessenes Schutzniveau. In der Praxis bedeutet das: Wer die einschlägigen Controls aus ISO/IEC 27001:2022 oder BSI-Grundschutz umgesetzt hat, erfüllt Art. 32 DSGVO regelmäßig mit. CIVAC bildet die 93 Controls und die DSGVO-TOMs in einer einheitlichen Matrix ab, sodass der ISO-27001-Übergang nicht in einem separaten Projekt geführt wird, sondern als reguläre Pflege des Statement of Applicability. Für Unternehmen mit gleichzeitig DSGVO- und NIS-2-Pflichten lassen sich die Anforderungen aus Art. 32 DSGVO und Art. 21 NIS-2 als gemeinsame Anforderungsmatrix führen, die ISO/IEC 27001:2022 als Umsetzungs-Norm referenziert. So entsteht aus drei parallelen Pflichten ein integriertes Belegsystem. Für Konzernstrukturen ergänzt sich das um eine konzernweite Sicherheitsleitlinie nach ISO/IEC 27001:2022 Anhang A 5.1, die als Top-Level-Policy gelten und in den Tochtergesellschaften ohne Bruch lebbar sein muss. Bestellurkunde, unterschrieben, abgelegt, belegbar.

Technisch-organisatorische Maßnahmen (TOMs) sind keine Checkliste, sondern eine gelebte Sicherheitsarchitektur. Die Praxis lässt sich in sechs Säulen ordnen: Identitäts- und Zugriffsverwaltung, Netz- und Endpoint-Sicherheit, kryptografische Maßnahmen, Backup und Wiederherstellung, Logging und Monitoring sowie organisatorische Rahmenwerke wie Schulungen, Richtlinien und Prozesse. Jede dieser Säulen muss konkret beschrieben, mit verantwortlicher Rolle versehen und in einer regelmäßigen Wirksamkeitsprüfung kontrolliert werden.

Identitäts- und Zugriffsverwaltung beginnt mit Single Sign-On, Multi-Faktor-Authentifizierung für alle administrativen Zugänge und einem dokumentierten Joiner-Mover-Leaver-Prozess. Innerhalb von 24 Stunden nach Austritt müssen Berechtigungen entzogen sein; in regulierten Branchen wird das von Auditoren stichprobenartig gegen die Personalliste geprüft. Privileged-Access-Management mit Just-in-Time-Berechtigungen ist für Admins der Produktivsysteme heute Standard, nicht Bonus.

Kryptografie umfasst Verschlüsselung at rest und in transit, ein Schlüsselmanagement-Verfahren (oft mit HSM oder Cloud KMS), eine dokumentierte Kryptografie-Richtlinie nach BSI TR-02102 und die Behandlung quantenresistenter Algorithmen für langfristig sensible Daten. Backup folgt der 3-2-1-Regel (3 Kopien, 2 Medien, 1 offsite) und wird mindestens einmal jährlich auf Restorability getestet, nicht nur auf Existenz. Logging muss revisionsfest sein, also nicht von operativ tätigen Admins gelöscht werden können, und die Aufbewahrung muss mit den gesetzlichen Anforderungen (z. B. § 14 NIS2UmsuCG) übereinstimmen. CIVAC stellt für jede dieser sechs Säulen Vorlagen, eine Soll-Ist-Bewertung und einen Reife-Indikator bereit, der quartalsweise an die Geschäftsführung berichtet wird. Die Logik ist: ein TOM-Verzeichnis, das gleichzeitig die ISO-27001-Controls, die NIS-2-Mindestmaßnahmen und die DSGVO-TOMs bedient, statt drei parallele Excel-Listen mit konkurrierender Wahrheit. Auf Wunsch generiert der Workspace aus dem TOM-Verzeichnis automatisch den Anhang zum AVV nach Art. 28 DSGVO, das Statement of Applicability nach ISO/IEC 27001:2022 und den Risikomanagement-Bericht nach Art. 21 NIS-2.

Die NIS-2-Richtlinie (EU) 2022/2555 verpflichtet rund 29.500 deutsche Unternehmen aus 18 Sektoren zu einem neuen Maßnahmenrahmen für Cybersicherheit. Das deutsche Umsetzungsgesetz NIS2UmsuCG ist in der parlamentarischen Schlussphase und tritt mit Wirkung ab 2026 in Kraft. Erfasst sind wesentliche und wichtige Einrichtungen ab 50 Mitarbeitern oder 10 Mio. Euro Umsatz in den definierten Sektoren, plus alle DNS-, TLD- und Telekommunikationsanbieter unabhängig von der Größe.

Die Meldepflicht ist dreistufig: Frühwarnung an das BSI binnen 24 Stunden nach Kenntnis (kurze Erstmeldung), Folgemeldung binnen 72 Stunden (Lagebild mit Indikatoren), Abschlussbericht binnen eines Monats (Ursachenanalyse, Wirksamkeit der Maßnahmen, Lessons Learned). Die Frist läuft ab Kenntnis, nicht ab abgeschlossener Untersuchung. Verstöße sind bei wesentlichen Einrichtungen mit bis zu 10 Mio. Euro oder 2 % des weltweiten Konzernumsatzes bewehrt, bei wichtigen Einrichtungen mit bis zu 7 Mio. Euro oder 1,4 %. Die Geschäftsleitung haftet persönlich für Versäumnisse beim Risikomanagement.

Operativ verlangt NIS-2 zehn Mindestmaßnahmen in Art. 21 NIS-2, darunter Risikomanagement, Incident Handling, Business Continuity, Lieferketten-Sicherheit, Schwachstellenmanagement, Kryptografie, Personalsicherheit und Multi-Faktor-Authentifizierung. CIVAC bildet diese zehn Maßnahmen-Felder im Workspace ab und führt den 24/72-Meldepfad parallel zum DSGVO-Pfad nach Art. 33 DSGVO. Eine ausführliche Behandlung der nationalen Umsetzung finden Sie in unserem Beitrag zur NIS-2-Umsetzung in Deutschland. Die Geschäftsleitung haftet persönlich für Versäumnisse im Risikomanagement und kann diese Verantwortung nicht delegieren; die Schulung der Leitungsebene ist nach § 38 NIS2UmsuCG verpflichtend, dokumentiert mit Teilnahmeliste und Termin. Frist läuft ab Kenntnis. Die Registrierung beim BSI ist innerhalb von drei Monaten nach Inkrafttreten zu erbringen, mit Erstmeldung der Kontaktdaten der verantwortlichen Person. Zusätzlich verlangt § 30 NIS2UmsuCG den jährlichen Nachweis der Wirksamkeit der zehn Maßnahmen, dokumentiert in einem Bericht, der vom BSI in Stichproben angefordert werden kann.

Über 70 % aller dokumentierten Sicherheitsvorfälle in Deutschland (BSI-Lagebericht 2024) lassen sich auf menschliches Verhalten zurückführen: Phishing, schwache Passwörter, gedankenloses Klicken auf Anhänge, Veröffentlichung sensibler Daten in falschen Channels, Weitergabe von Zugangsdaten an angebliche Kollegen. Technische Maßnahmen allein lösen das nicht. Datensicherheit ist zur Hälfte ein Verhaltens-Problem, zur Hälfte ein technisches.

Wirksame Schulungen folgen drei Regeln. Erstens: kurz und häufig statt einmal jährlich. 10 bis 15 Minuten Microlearning pro Monat erzeugen messbar bessere Ergebnisse als ein 4-Stunden-Block einmal pro Jahr. Zweitens: zielgruppenspezifisch. Buchhaltung braucht Awareness für Rechnungsbetrug und CEO-Fraud, Entwicklung braucht Secure Coding, Vertrieb braucht Daten-Klassifikation im CRM. Drittens: messbar. Phishing-Simulationen mit Klickrate, Awareness-Quiz mit Score, Eskalationen bei wiederholtem Versagen.

Personalsicherheit umfasst weitere Felder: Vertraulichkeitsvereinbarungen vor Aufnahme der Tätigkeit, Hintergrundprüfungen für sicherheitsrelevante Rollen (in den gesetzlichen Grenzen), klare Rückgabe von Assets bei Austritt, dokumentierte Sanktionen bei Verstößen. Für regulierte Branchen kommen Anforderungen aus § 27 KRITIS-Verordnung, BAIT, VAIT, KAIT und MaRisk hinzu. CIVAC stellt einen Schulungs-Workspace mit zielgruppenspezifischen Modulen, automatischer Nachverfolgung der Teilnahme und Belegen für den Auditor bereit. Damit wird Awareness vom Compliance-Theater zur belastbaren Wirksamkeitsmessung. Der Prüfer ruft an, der Nachweis liegt bereit. Ergänzend gehört in regulierten Branchen ein dokumentierter Reaktionsprozess auf Awareness-Befunde: Wer zweimal eine Phishing-Simulation klickt, erhält ein Coaching; wer dreimal klickt, eine personalisierte Schulung mit Vorgesetzten-Information. Diese gestufte Reaktion ist in der DSK-Orientierungshilfe und in BSI-Empfehlungen als wirksamer beschrieben als reine Sanktionsmechanik. Wirksamkeit messen, nicht nur Teilnahme. Pro Jahr werden im Schulungs-Workspace die Awareness-Kennzahlen aggregiert, an die Geschäftsführung berichtet und mit dem ISMS-Maßnahmenplan verzahnt, sodass Schwächen pro Standort, pro Funktion und pro Sprache sichtbar werden.

Über 60 % der produktiv eingesetzten Anwendungen in Mittelstand und Konzern laufen heute außerhalb der eigenen Rechenzentren: Hyperscaler, SaaS, Managed Service Provider, Outsourcing-Partner. Damit verlagert sich die Datensicherheit zum Lieferanten, ohne dass die Verantwortung übertragen würde. Das Modell der geteilten Verantwortung (Shared Responsibility) bei AWS, Azure und Google Cloud ist Industriestandard, wird in Audits aber häufig fehlinterpretiert.

Die Praxis verlangt drei Bausteine. Erstens: ein Lieferanten-Audit-Programm. Vor Vertragsschluss eine Bewertung gegen einen festen Fragebogen (etwa 100 Fragen entlang ISO/IEC 27001:2022, NIS-2 Art. 21 und DSGVO Art. 28). Während der Laufzeit jährliche Re-Bewertung mit Belegen. Zweitens: vertragliche Sicherung. Datenschutz-Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, Sicherheitsanhang mit konkreten Anforderungen, Audit-Rechte, Meldepflichten bei Vorfällen mit Frist, Standardvertragsklauseln 2021/914 bei Drittlandbezug. Drittens: technische Integration. SSO, Logging-Zugriff, klare Architektur-Diagramme, dokumentierte Datenflüsse.

NIS-2 verschärft die Lieferketten-Pflicht in Art. 21 Abs. 2 lit. d. Wesentliche und wichtige Einrichtungen müssen die Sicherheit ihrer Lieferkette aktiv steuern und können sich nicht mehr darauf zurückziehen, dass der Lieferant verantwortlich sei. Für SaaS-, Cloud- und IT-Service-Provider bedeutet das, dass sie regelmäßig Belege wie Pen-Test-Berichte, SOC-2-Reports, ISO-27001-Zertifikate und EU-Datenresidenz-Bestätigungen liefern müssen. Mit dem CIVAC-Lieferanten-Auditor wird dieser Prozess als wiederholbarer Workflow geführt, statt als jährliches Excel-Theater. So lässt sich die Belegtiefe pro Risikoklasse skalieren. Lieferanten in Klasse A (kritisch, Zugriff auf produktive Personendaten) erhalten jährliche Vor-Ort- oder Remote-Audits, Klasse B (mittlere Kritikalität) eine jährliche Fragebogen-Bewertung, Klasse C ein vereinfachtes Self-Assessment alle zwei Jahre. Die Klassifikation orientiert sich am Schutzbedarf des betroffenen Datenbestands und an der Tiefe des Zugriffs (lesend, schreibend, administrativ).

Datensicherheit zeigt sich nicht im Normalbetrieb, sondern im Ernstfall. Eine belastbare Architektur trennt drei Themen: Incident Response (Reaktion auf den Vorfall), Disaster Recovery (Wiederherstellung der Technik) und Business Continuity (Aufrechterhaltung der kritischen Geschäftsprozesse). Alle drei Themen brauchen eigene Pläne, eigene Verantwortliche und eigene Übungen, sind aber in Krisensituationen eng verzahnt.

Incident Response folgt einem standardisierten Ablauf: Identifikation, Eindämmung, Beseitigung, Wiederherstellung, Lessons Learned. NIST SP 800-61 und ISO/IEC 27035 liefern die methodische Basis. In der Praxis braucht es ein Computer Security Incident Response Team (CSIRT) mit definierter Erreichbarkeit, ein Playbook für die zehn häufigsten Vorfallklassen (Ransomware, Datenleck, DoS, Insider-Threat, kompromittierte Zugangsdaten, Phishing-Welle, Supply-Chain-Vorfall, Cloud-Misconfiguration, Hardware-Diebstahl, physischer Einbruch) und einen geübten Eskalationspfad zur Geschäftsführung und gegebenenfalls zur Aufsichtsbehörde.

Disaster Recovery wird in zwei Kennzahlen gemessen: Recovery Time Objective (RTO, wie schnell ist das System wieder verfügbar) und Recovery Point Objective (RPO, wie viel Datenverlust ist akzeptabel). Für kritische Anwendungen liegen RTO und RPO typischerweise unter 4 Stunden bzw. unter 1 Stunde; für unterstützende Systeme bei 24 bis 72 Stunden. Business Continuity geht darüber hinaus und definiert, wie Aufträge, Zahlungen, Kommunikation und Lieferung auch bei Totalausfall der IT für mindestens 72 Stunden weiterlaufen, gegebenenfalls auf Papier oder per Mobilgerät. Die Übungen (Tabletop, Live-Simulation) gehören mindestens einmal jährlich in den Kalender der Geschäftsführung, dokumentiert mit Protokoll, Befund und Maßnahmenliste. Für KRITIS-Betreiber und NIS-2-wesentliche Einrichtungen wird die Übungspflicht durch § 8a BSIG bzw. die nationale NIS-2-Umsetzung verschärft, mit Pflicht zur Wirksamkeitsdokumentation. Audit-fest, dokumentiert, § 8a-fest.

Datensicherheit lässt sich auf zwei Wegen aufbauen. Klassisch: Sie stellen einen internen Informationssicherheitsbeauftragten (ISB) ein, lassen ihn Zertifikate erwerben, beauftragen externe Beratung für ISO 27001, kaufen ein GRC-Tool, kaufen ein Incident-Management-Tool und führen die Themen in zwei oder drei Systemen parallel. Der Aufbau dauert typischerweise 12 bis 18 Monate, die laufenden Kosten liegen für mittelständische Unternehmen zwischen 180.000 und 420.000 Euro pro Jahr.

CIVAC ist als Compliance-Plattform und Officer-as-a-Service genau auf die Verkürzung dieses Wegs gebaut. Lizenzieren Sie den Workspace für Ihre internen Beauftragten, dann arbeitet Ihr ISB mit 490 Audit-Vorlagen, 93 vorgepflegten Controls nach ISO/IEC 27001:2022, einem integrierten 24/72-NIS-2-Meldepfad, dem Verzeichnis der Verarbeitungstätigkeiten und einer dokumentierten Berichtslinie an die Geschäftsführung. Oder lassen Sie unsere Beauftragten bestellen, dann übernimmt CIVAC die ISB-Rolle nach BSI-Empfehlung inklusive Bestellurkunde und SLA von 2 Werktagen.

Beide Modelle laufen im selben Workspace mit EU-Datenresidenz. Der DSB- und der ISB-Strang werden gemeinsam geführt, sodass TOMs nach Art. 32 DSGVO und Controls nach ISO/IEC 27001:2022 als eine Belegquelle existieren und nicht in zwei Tools gepflegt werden. Das verkürzt Sicherheitsfragebögen, beschleunigt Vendor-Risk-Bewertungen und macht den Stand zu jedem Zeitpunkt belegbar. Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software. Aus dem Lesen einen Auftrag machen: info@civac.de oder das Kontaktformular auf civac.de. Eine erste Einschätzung erhalten Sie in der Regel innerhalb von 2 Werktagen, gemeinsam mit einem Vorschlag für Workspace-Lizenz oder bestellten ISB. Für regulierte Branchen wie KRITIS oder Finanzdienstleister erfolgt die Erst-Bewertung mit Bezug auf BAIT, VAIT bzw. KAIT, damit die Aufsichts-relevanten Schnittstellen von Anfang an mitlaufen.