1 Bin ich von NIS2 betroffen?
Prüfen Sie jeden Punkt. Trifft einer zu, sind Sie sehr wahrscheinlich betroffen.
- ≥ 50 Mitarbeiter ODER ≥ 10 Mio. € Jahresumsatz
- Tätigkeit in einem der 18 NIS2-Sektoren (Energie, Transport, Gesundheit, Digitale Infrastruktur, Verarbeitendes Gewerbe, Post, Lebensmittel, Abfall, Chemie, Forschung u. a.)
- Kritischer Zulieferer für eine wesentliche/wichtige Einrichtung (auch wenn das eigene Unternehmen kleiner ist)
- BSI-Registrierung: Wesentliche und wichtige Einrichtungen müssen sich im BSI-Portal registrieren (mit Inkrafttreten des NIS2UmsuCG, seit Dezember 2025)
2 Risikoanalyse & Sicherheitskonzept
- Dokumentierte Risikoanalyse aller kritischen IT-Systeme und Prozesse
- Schriftliches Informationssicherheitskonzept erstellt und freigegeben
- Regelmäßige Überprüfung (mindestens jährlich) und Aktualisierung
3 Zugangskontrolle & Verschlüsselung
- Multi-Faktor-Authentifizierung (MFA) für alle privilegierten Zugänge (Admin, VPN, Cloud)
- Least-Privilege-Prinzip: Nutzer erhalten nur die für ihre Tätigkeit notwendigen Rechte
- Verschlüsselung sensibler Daten bei Übertragung (TLS 1.2+) und Speicherung
- Passwortrichtlinie definiert und technisch durchgesetzt
4 Backup & Business Continuity
- Backup-Strategie nach 3-2-1-Prinzip: 3 Kopien, 2 Medien, 1 offline
- Wiederherstellungstest mindestens einmal jährlich durchgeführt
- RTO (Recovery Time Objective) und RPO (Recovery Point Objective) definiert
- Business-Continuity-Plan (BCP) schriftlich dokumentiert und getestet
5 Incident Response & Meldepflicht
NIS2 schreibt konkrete Meldefristen vor — versäumte Meldungen sind eigenständig bußgeldbewehrt.
| Frist | Inhalt | An wen |
|---|
| 24 Stunden | Erstmeldung: erheblicher Sicherheitsvorfall | BSI-Portal |
| 72 Stunden | Detailmeldung: Umfang, Ursache, Auswirkung | BSI-Portal |
| 1 Monat | Abschlussbericht mit Maßnahmen | BSI-Portal |
- Incident-Response-Plan schriftlich dokumentiert (Kontakte, Eskalation, Rollen)
- BSI-Portal-Zugangsdaten registriert und gesichert
- Internes Meldeverfahren: Mitarbeiter wissen, wen sie bei Verdacht kontaktieren
6 Schulungen & Awareness
- Regelmäßige Mitarbeiterschulungen zu Phishing, Passwortsicherheit, Social Engineering
- Geschäftsführung/Vorstand hat NIS2-Pflichtschulung nachweislich absolviert
- Schulungsnachweise archiviert (Datum, Teilnehmer, Inhalt)
7 Lieferkettensicherheit
- Alle IT-Dienstleister und Software-Lieferanten auf Sicherheitsstandards geprüft
- Vertragliche Sicherheitsanforderungen (mindestens AVV nach DSGVO, idealerweise Sicherheitsanforderungen)
- Kritische Abhängigkeiten von Einzellieferanten dokumentiert und bewertet