NIS2-Compliance-Checkliste: Ihr vollständiger Schritt-für-Schritt-Leitfaden

Zuletzt aktualisiert: Oktober 2026. Diese Checkliste beruht auf dem BSI-Gesetz (BSIG) in der Fassung des NIS2UmsuCG (BGBl. 2025 I Nr. 301), das die NIS2-Richtlinie (EU) 2022/2555 in Deutschland umsetzt und seit dem 6. Dezember 2025 gilt. Die Durchführungsverordnung (EU) 2024/2690 gilt unmittelbar nur für bestimmte digitale Einrichtungsarten (§ 30 Abs. 3 BSIG); für alle anderen Einrichtungen dient sie als Orientierung. Die Checkliste richtet sich an besonders wichtige und wichtige Einrichtungen.

Die Umsetzungsfrist der NIS2-Richtlinie ist im Oktober 2024 abgelaufen. In Deutschland gelten die Pflichten seit dem Inkrafttreten des NIS2UmsuCG am 6. Dezember 2025 ohne Übergangsfrist, und die Frist für die Registrierung beim BSI ist am 6. März 2026 abgelaufen. Ob Sie Ihr Umsetzungsprogramm gerade erst starten oder bereits umgesetzte Maßnahmen überprüfen – eine strukturierte NIS2-Compliance-Checkliste hilft, eine nachvollziehbare und dokumentierte Compliance-Position aufzubauen. Die Dokumentation ist dabei keine Kür: § 30 Abs. 1 Satz 3 BSIG verlangt ausdrücklich, dass Einrichtungen die Einhaltung ihrer Risikomanagementpflichten dokumentieren.

Dieser Leitfaden gliedert die NIS2-Umsetzung in sieben aufeinanderfolgende Phasen – von der Governance-Einrichtung über die Umsetzung der Maßnahmen bis hin zu fortlaufenden Tests und kontinuierlicher Verbesserung. Jeder Checklisten-Punkt verweist auf die zugrunde liegende Vorschrift: vor allem auf die zehn Mindestmaßnahmen nach § 30 Abs. 2 Nr. 1–10 BSIG (entspricht Art. 21 Abs. 2 Buchst. a–j der Richtlinie), daneben auf §§ 28, 32, 33, 35, 38 und 39 BSIG. Wo es hilft, nennen wir zusätzlich den passenden Abschnitt im Anhang der DVO (EU) 2024/2690 und die NIS2-Compliance-Dokumentvorlagen, die als Nachweise dienen können. Punkte, die keine ausdrückliche gesetzliche Vorgabe umsetzen, sondern bewährte Praxis sind, sind als Empfehlung gekennzeichnet.

Die Checkliste umfasst 69 Punkte. Am Ende dieses Leitfadens finden Sie Hinweise zur Nutzung im Team und zur kostenlosen NIS2-Selbsteinschätzung als PDF.

Für wen dieser Leitfaden bestimmt ist: Compliance-Beauftragte, CISOs und NIS2-Projektverantwortliche bei besonders wichtigen oder wichtigen Einrichtungen. Arbeiten Sie jede Phase der Reihe nach durch. Halten Sie für jeden abgeschlossenen Punkt das entsprechende Nachweisdokument in Ihrem Compliance-Register fest: den Richtliniennamen, den Systemnamen, das Testdatum oder die Referenz des Prüfberichts. Das BSI kann im Rahmen der Aufsicht Nachweise verlangen (§§ 61, 62 BSIG) – „das machen wir bereits“ ohne dokumentarischen Nachweis ist keine belastbare Position.

Vor dem Start: Gilt NIS2 für Ihre Organisation?

Bevor Sie ein Compliance-Programm aufbauen, prüfen Sie Ihren Status nach § 28 BSIG. Die nachfolgende Checkliste setzt voraus, dass Ihre Einrichtung erfasst ist – wenn Sie dies noch nicht formal geprüft haben, nutzen Sie zunächst die folgende Kurzübersicht. Eine falsche Einstufung (besonders wichtige vs. wichtige Einrichtung) kann Ressourcen in die falsche Richtung lenken.

Kurzcheck zur NIS2-Anwendbarkeit

1. Ist Ihre Organisation einer Einrichtungsart aus Anlage 1 oder Anlage 2 zum BSIG zuzuordnen?
   Anlage 1: Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser (Trinkwasser und Abwasser), digitale Infrastruktur (u. a. einschließlich Managed Service Provider und Managed Security Service Provider), Weltraum.
   Anlage 2: Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel (Großhandel sowie industrielle Produktion und Verarbeitung), verarbeitendes Gewerbe (u. a. Medizinprodukte, Datenverarbeitungsgeräte und elektronische Erzeugnisse, elektrische Ausrüstungen, Maschinenbau, Kraftwagen), Anbieter digitaler Dienste (Online-Marktplätze, Suchmaschinen, soziale Netzwerke), Forschung.
   Geschäftstätigkeiten, die im Verhältnis zur gesamten Geschäftstätigkeit vernachlässigbar sind, können unberücksichtigt bleiben (§ 28 Abs. 3 BSIG).
   → Wenn keine dieser Einrichtungsarten zutrifft: Das BSIG gilt in der Regel nicht unmittelbar. Als Lieferant erfasster Einrichtungen können sich jedoch vertragliche Anforderungen ergeben.
2. Hat Ihre Organisation mindestens 50 Beschäftigte ODER einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Mio. €?
   → Wenn das nicht zutrifft: in der Regel nicht erfasst, es sei denn, Sie sind Betreiber einer kritischen Anlage, Vertrauensdiensteanbieter, Top Level Domain Name Registry, DNS-Diensteanbieter oder Anbieter öffentlich zugänglicher Telekommunikationsdienste bzw. Betreiber öffentlicher Telekommunikationsnetze – diese sind unabhängig von ihrer Größe erfasst. Daten von Partner- und verbundenen Unternehmen werden grundsätzlich mitgerechnet (§ 28 Abs. 4 BSIG).
3. Wie lautet Ihre Einstufung?
   Einrichtung aus Anlage 1 mit mindestens 250 Beschäftigten oder mit über 50 Mio. € Jahresumsatz und über 43 Mio. € Jahresbilanzsumme → besonders wichtige Einrichtung (in der Richtlinie: „wesentliche Einrichtung“). Ebenfalls besonders wichtig: Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, TLD-Registries und DNS-Diensteanbieter.
   Einrichtung aus Anlage 1 oder 2 ab 50 Beschäftigten bzw. über 10 Mio. € Umsatz und Bilanzsumme, die nicht besonders wichtig ist → wichtige Einrichtung.
   Einrichtungen aus Anlage 2 sind auch bei großer Unternehmensgröße stets wichtige Einrichtungen.

Die Einstufung hat Folgen: Gegenüber besonders wichtigen Einrichtungen kann das BSI auch ohne konkreten Anlass Aufsichtsmaßnahmen wie Audits anordnen (§ 61 BSIG); bei wichtigen Einrichtungen wird es tätig, wenn Tatsachen die Annahme rechtfertigen, dass Pflichten nicht erfüllt werden (§ 62 BSIG). Bei Verstößen gegen die Risikomanagement-, Dokumentations- oder Meldepflichten sind Bußgelder von bis zu 10 Mio. € (besonders wichtige) bzw. bis zu 7 Mio. € (wichtige Einrichtungen) möglich; nur bei einem weltweiten Gesamtumsatz von über 500 Mio. € gilt stattdessen eine Obergrenze von bis zu 2 % bzw. 1,4 % dieses Umsatzes (§ 65 Abs. 5–7 BSIG). Den vollständigen NIS2-Anwendungsbereichsleitfaden mit sektorspezifischer Analyse finden Sie hier. Einzelheiten zur Durchsetzung entnehmen Sie dem NIS2-Leitfaden zu Sanktionen.

Anwendung dieser NIS2-Compliance-Checkliste

Arbeiten Sie jede Phase der Reihe nach durch. Halten Sie für jeden abgeschlossenen Checklisten-Punkt das entsprechende Nachweisdokument in Ihrem Compliance-Register fest: den Richtliniennamen, den Systemnamen, das Testdatum oder die Referenz des Prüfberichts. Jeder Punkt verweist auf die relevante Maßnahme nach § 30 Abs. 2 Nr. 1–10 BSIG – in Phase 3 mit den Buchstaben (a)–(j) der Richtlinie gekennzeichnet, damit Sie die Zuordnung zu Art. 21 NIS2 und zur DVO (EU) 2024/2690 behalten – sowie auf die zugehörige Dokumentvorlage. Die Phasen sind darauf ausgelegt, in der vorgegebenen Reihenfolge abgeschlossen zu werden – die Ergebnisse aus Phase 2 (Risikobeurteilung) fließen unmittelbar in Phase 3 (Umsetzung) ein. Die genannten Zeitaufwände sind Erfahrungswerte zur Planung, keine gesetzlichen Fristen.

Phase 1: Governance und Projektaufbau

Compliance entsteht nicht ohne organisatorisches Engagement. Phase 1 schafft die Governance-Grundlage – Einbindung der Geschäftsleitung, definierte Zuständigkeiten, die Registrierung beim BSI, ein klar abgegrenztes Projekt und eine Governance-Struktur. Diese Punkte sind Voraussetzung für alles Weitere. Programme, die Phase 1 überspringen, geraten erfahrungsgemäß in Phase 3 ins Stocken, wenn das Budget aufgebraucht ist oder Verantwortlichkeiten unklar werden.

Rechtsgrundlage: § 38 Abs. 1 BSIG (Umsetzungs- und Überwachungspflicht der Geschäftsleitung), § 33 BSIG (Registrierung), § 28 BSIG (Einstufung). Geschätzter Zeitaufwand: 2–4 Wochen.

• Die Geschäftsleitung einbinden und ein dediziertes NIS2-Compliance-Budget sichern. Nach § 38 Abs. 1 BSIG sind Geschäftsleitungen verpflichtet, die Risikomanagementmaßnahmen nach § 30 umzusetzen und ihre Umsetzung zu überwachen. Eine förmliche Billigungspflicht, wie sie Art. 20 der Richtlinie vorsieht, enthält § 38 BSIG nicht; ein dokumentierter Beschluss der Geschäftsleitung zum NIS2-Programm ist aber ein naheliegender Nachweis dafür, dass sie ihre Pflichten wahrnimmt. Bei Pflichtverletzungen haften Geschäftsleitungen ihrer Einrichtung nach den gesellschaftsrechtlichen Regeln (§ 38 Abs. 2 BSIG). Ohne zweckgebundenes Budget lassen sich die folgenden Phasen kaum ausreichend ausstatten. Dokument: NIS2-Projektauftrag
• Einen NIS2-Beauftragten oder CISO mit definierten Aufgaben und Befugnissen benennen (Empfehlung – das BSIG schreibt für Unternehmen keine bestimmte Rolle vor). Jemand muss das Compliance-Programm mit klarer Verantwortlichkeit leiten. Legen Sie die Rolle schriftlich fest: Befugnisumfang, Eskalationsrechte, Berichtslinie zur Geschäftsleitung und Genehmigungsschwelle für Budgetentscheidungen. Die Verantwortung der Geschäftsleitung nach § 38 BSIG bleibt davon unberührt. Dokument: NIS2-RACI-Matrix
• Einstufung und Compliance-Umfang dokumentieren: juristische Personen, Einrichtungsart nach Anlage 1/2, abgedeckte Dienste und relevante Systeme. Halten Sie fest, warum Ihre Einrichtung nach § 28 BSIG als besonders wichtig oder wichtig gilt – einschließlich der Berechnung nach § 28 Abs. 4 (Partner- und verbundene Unternehmen) und etwaiger vernachlässigbarer Tätigkeiten nach § 28 Abs. 3. Legen Sie fest, welche Geschäftsbereiche, Dienste und informationstechnischen Systeme einbezogen sind, was nicht und warum. Unklarheiten über den Anwendungsbereich gehören zu den häufigsten Ursachen für Nacharbeit. Dokument: NIS2-Umfangsdefinitionsdokument
• Die Registrierung beim BSI prüfen und gegebenenfalls unverzüglich nachholen (§ 33 BSIG). Besonders wichtige und wichtige Einrichtungen müssen sich spätestens drei Monate, nachdem sie erstmals als solche gelten, über die gemeinsame Registrierungsmöglichkeit von BSI und BBK registrieren – das BSI-Portal (vorab ist eine Anmeldung bei „Mein Unternehmenskonto“ erforderlich). Für Einrichtungen, die bereits mit Inkrafttreten des Gesetzes erfasst waren, endete diese Frist am 6. März 2026; wer noch nicht registriert ist, sollte dies unverzüglich nachholen. Ändern sich die übermittelten Angaben, sind die Änderungen unverzüglich, spätestens binnen zwei Wochen zu melden (§ 33 Abs. 5). Eine unterlassene oder unrichtige Registrierung kann mit einem Bußgeld von bis zu 500.000 € geahndet werden (§ 65 Abs. 2 Nr. 6, Abs. 5 Nr. 5 BSIG). Für Betreiber kritischer Anlagen gelten Sonderregeln (§ 33 Abs. 2 BSIG). Dokument: Registrierungsnachweis, Stammdatenblatt
• Einen Projektplan mit Phasen, Meilensteinen, internen Terminen und zugewiesenen Verantwortlichen erstellen (Empfehlung). Ein Compliance-Programm ohne Plan ist bloße Hoffnung. Erstellen Sie einen meilensteinbasierten Plan, der alle sieben Phasen abdeckt. Setzen Sie realistische interne Termine, weisen Sie jeder Phase einen Verantwortlichen zu und etablieren Sie einen Governance-Rhythmus (zum Beispiel zweiwöchentliche Steuerungsmeetings). Beachten Sie: Gesetzlich gelten die Pflichten bereits – der Plan beschreibt, wie schnell Sie Lücken schließen, nicht eine verbleibende Frist. Dokument: NIS2-Projektplan
• Eine Security-Governance-Struktur mit Berichtslinien zur Geschäftsleitung etablieren. Damit die Geschäftsleitung ihrer Überwachungspflicht nach § 38 Abs. 1 BSIG nachkommen kann, braucht sie regelmäßige Informationen. Legen Sie fest, wer Cybersicherheitsberichte erhält, in welcher Häufigkeit und welche Entscheidungen eine Eskalation an die Geschäftsleitung erfordern. Richten Sie bei Bedarf einen Cybersicherheits-Lenkungsausschuss ein und etablieren Sie einen regelmäßigen Turnus für Management-Berichte zum Sicherheitsstatus und zum Programmfortschritt. Dokument: Security-Governance-Framework

Phase 2: Risikobeurteilung

§ 30 Abs. 1 BSIG verlangt „geeignete, verhältnismäßige und wirksame“ technische und organisatorische Maßnahmen. Bei der Verhältnismäßigkeit sind unter anderem das Ausmaß der Risikoexposition, die Größe der Einrichtung, die Umsetzungskosten sowie Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen zu berücksichtigen; die Maßnahmen müssen auf einem gefahrenübergreifenden Ansatz beruhen (§ 30 Abs. 2 Satz 1). Phase 2 etabliert das Risikomanagement-Framework und erstellt die Risikobeurteilung, die die Umsetzungsprioritäten für Phase 3 bestimmt. Ohne diese Grundlage implementieren Sie Kontrollen, ohne zu wissen, ob sie Ihre tatsächliche Risikoexposition adressieren.

Eine detaillierte Methodik finden Sie im NIS2-Leitfaden zur Risikobeurteilung.

Rechtsgrundlage: § 30 Abs. 1 und Abs. 2 Nr. 1 BSIG (Konzepte in Bezug auf die Risikoanalyse). DVO (EU) 2024/2690: Anhang Abschnitt 2. Geschätzter Zeitaufwand: 4–8 Wochen, abhängig von der organisatorischen Komplexität.

• Eine Risikomanagement-Methodik auf Basis eines anerkannten Standards festlegen. Dokumentieren Sie die verwendete Methodik – etwa ISO/IEC 27005 oder BSI-Standard 200-3. Definieren Sie Risikobewertungskriterien (Eintrittswahrscheinlichkeit, Auswirkung, Akzeptanzschwellen). Lassen Sie die Methodik vor Beginn der Beurteilung von der Geschäftsleitung bestätigen (Empfehlung). Dokument: Risikomanagement-Framework
• Alle Informationswerte identifizieren und klassifizieren (IT, OT, Cloud-Dienste und Daten). Erstellen Sie ein vollständiges Inventar, das Hardware, Software, Cloud-Dienste, Daten-Repositories und – soweit zutreffend – OT-Systeme umfasst. Klassifizieren Sie die Werte nach Kritikalität und Schutzbedarf. Dieses Inventar ist zugleich die Grundlage für die Verwaltung von IKT-Systemen nach § 30 Abs. 2 Nr. 9 BSIG (siehe Maßnahme (i)). Dokument: Asset-Register
• Eine Risikobeurteilung für alle relevanten IT- und OT-Umgebungen durchführen. Identifizieren Sie Bedrohungen und Schwachstellen für jeden kritischen Wert, bewerten Sie Eintrittswahrscheinlichkeit und Auswirkung und leiten Sie Risikowerte ab. Berücksichtigen Sie Lieferkettenrisiken (§ 30 Abs. 2 Nr. 4), menschliche Faktoren, physische Gefahren (gefahrenübergreifender Ansatz) und die sektorspezifische Bedrohungslage. Dokument: Risikobeurteilungstabelle
• Einen Risikobehandlungsplan erstellen, der identifizierte Risiken den Maßnahmen nach § 30 Abs. 2 zuordnet. Legen Sie für jedes hohe und kritische Risiko die Behandlungsoption (mindern, akzeptieren, übertragen oder vermeiden) und die konkrete Maßnahme fest, die es adressiert. Dieser Plan bestimmt die Umsetzungsreihenfolge in Phase 3 – die Lücken mit dem höchsten Risiko werden zuerst geschlossen. Dokument: Risikobehandlungsplan
• Restrisiken dokumentiert akzeptieren lassen. Nach der Behandlung verbleibt ein gewisses Restrisiko. Für die von ihr erfassten Einrichtungsarten verlangt die DVO (EU) 2024/2690, dass die Ergebnisse der Risikobewertung und die Restrisiken von den Leitungsorganen oder von rechenschaftspflichtigen, befugten Personen akzeptiert werden (Anhang Nr. 2.1.1). Für alle anderen Einrichtungen ist eine dokumentierte Akzeptanz mit Unterschrift und Datum bewährte Praxis und ein wichtiger Nachweis dafür, dass die Geschäftsleitung ihre Überwachungspflicht nach § 38 Abs. 1 BSIG wahrnimmt. Dokument: Risikoakzeptanzregister

Phase 3: Umsetzung der Maßnahmen nach § 30 BSIG (Art. 21 NIS2)

Dies ist der Kern der NIS2-Compliance. § 30 Abs. 2 BSIG legt zehn Bereiche fest, die die Risikomanagementmaßnahmen aller besonders wichtigen und wichtigen Einrichtungen „zumindest“ umfassen müssen. Die Maßnahmen sollen den Stand der Technik einhalten und die einschlägigen europäischen und internationalen Normen berücksichtigen. Die nachfolgende Checkliste enthält konkrete Umsetzungsschritte für jeden Bereich, mit Verweisen auf Dokumentvorlagen und auf die Abschnitte im Anhang der DVO (EU) 2024/2690. Für DNS-Diensteanbieter, TLD-Registries, Cloud-Computing-Dienstleister, Rechenzentrumsdienste, CDN-Betreiber, Managed (Security) Service Provider, Online-Marktplätze, Suchmaschinen, soziale Netzwerke und Vertrauensdiensteanbieter hat die DVO Vorrang (§ 30 Abs. 3 BSIG); für alle anderen Einrichtungen ist sie eine Orientierungshilfe. Betreiber kritischer Anlagen müssen zusätzlich Systeme zur Angriffserkennung einsetzen (§ 31 Abs. 2 BSIG).

Nutzen Sie Ihren Risikobehandlungsplan aus Phase 2, um zu priorisieren, welche Maßnahmen zuerst angegangen werden sollen. Wenn Ihre Risikobeurteilung beispielsweise die Bewältigung von Sicherheitsvorfällen und die Lieferkette als die Bereiche mit dem höchsten Risiko identifiziert hat, beginnen Sie mit den Maßnahmen (b) und (d).

(a) Risikoanalyse und Informationssicherheitskonzepte – § 30 Abs. 2 Nr. 1 BSIG

DVO (EU) 2024/2690: Anhang Abschnitt 1 (Konzept für die Sicherheit von Netz- und Informationssystemen) + Abschnitt 2 (Risikomanagement)

• Eine dokumentierte Informationssicherheitsrichtlinie entwerfen und von der Geschäftsleitung verabschieden lassen, die NIS2-Umfang, Sicherheitsziele, Rollen und Verantwortlichkeiten abdeckt. Legen Sie eine regelmäßige Überprüfung fest. Für die von der DVO erfassten Einrichtungen ist die förmliche Genehmigung durch die Leitungsorgane und eine mindestens jährliche Überprüfung vorgeschrieben (Anhang Nr. 1.1.1 Buchst. k, 1.1.2); für andere Einrichtungen ist das ein guter Maßstab. Dokument: Informationssicherheitsrichtlinie
• Einen regelmäßigen Risikoanalyseprozess etablieren, der die Methodik aus Phase 2 verwendet – mindestens jährlich sowie nach erheblichen Sicherheitsvorfällen oder wesentlichen Änderungen (so die DVO, Anhang Nr. 2.1.4). Den Prozess dokumentieren – wer ihn durchführt, welche Eingaben er verwendet und wie die Ergebnisse in den Risikobehandlungsplan zurückfließen. Dokument: Risikomanagementverfahren
• Messbare Sicherheitsziele definieren, die auf Ihre Risikobereitschaft abgestimmt sind (Empfehlung). Ziele sollten spezifisch sein (z. B. „kritische Schwachstellen innerhalb von 72 Stunden beheben“ als interner Zielwert), namentlich benannten Verantwortlichen zugeordnet und regelmäßig – etwa vierteljährlich – auf Managementebene überprüft werden. Dokument: Sicherheitszielregister

(b) Bewältigung von Sicherheitsvorfällen – § 30 Abs. 2 Nr. 2 BSIG

DVO (EU) 2024/2690: Anhang Abschnitt 3. Siehe auch Phase 4 und den NIS2-Leitfaden zur Vorfallmeldung.

• Einen Incident-Response-Plan (IRP) entwickeln und verabschieden, der den vollständigen Lebenszyklus abdeckt: Erkennung, Analyse, Eindämmung, Beseitigung und Wiederherstellung. Legen Sie fest, wann ein Vorfall in Ihrer Organisation als „erheblicher Sicherheitsvorfall“ im Sinne von § 2 Nr. 11 BSIG gilt. Dokument: Incident-Response-Plan
• Kriterien zur Klassifizierung des Schweregrads von Vorfällen definieren, die der gesetzlichen Definition entsprechen: Ein Sicherheitsvorfall ist erheblich, wenn er schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann oder andere Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann (§ 2 Nr. 11 BSIG). Für die von der DVO erfassten Einrichtungsarten gelten zusätzlich deren konkrete Schwellenwerte (Art. 3–14 DVO). Diese Kriterien lösen den Meldeworkflow nach § 32 BSIG aus. Dokument: Schweregradklassifizierungsmatrix für Vorfälle
• Den Meldeworkflow nach § 32 BSIG (24 Stunden / 72 Stunden / ein Monat) einrichten, mit namentlich benannten Verantwortlichen und vorbereiteten Meldevorlagen. Siehe Phase 4 für die vollständige Einrichtung des Incident Managements. Dokument: Vorfall-Meldeformulare
• Den Incident-Response-Plan mit mindestens einer Tischübung (Tabletop Exercise) testen (Empfehlung). Datum, Szenario, Erkenntnisse und Korrekturmaßnahmen der Übung dokumentieren. Dokument: Tabletop-Exercise-Bericht

(c) Aufrechterhaltung des Betriebs und Krisenmanagement – § 30 Abs. 2 Nr. 3 BSIG

DVO (EU) 2024/2690: Anhang Abschnitt 4 (Betriebskontinuitäts- und Krisenmanagement). Vertiefung: Betriebskontinuität unter NIS2

• Einen dokumentierten Notfall- bzw. Business-Continuity-Plan (BCP) erstellen, gestützt auf eine Analyse der betrieblichen Auswirkungen (BIA) und mit festgelegten Wiederherstellungszielen für kritische Dienste (z. B. Recovery Time Objectives und Recovery Point Objectives). Dokument: Business-Continuity-Plan
• Backup-Management implementieren – § 30 Abs. 2 Nr. 3 BSIG nennt es ausdrücklich. Dazu gehören regelmäßige Sicherungen, getestete Wiederherstellungen und Kopien an sicheren Orten außerhalb des Produktivnetzes; offline oder unveränderlich gespeicherte Backups erhöhen die Widerstandsfähigkeit gegen Ransomware (Empfehlung). Backup-Zeitpläne und Aufbewahrungsfristen dokumentieren. Dokument: Backup-Richtlinie
• Einen Disaster-Recovery-Plan dokumentieren mit spezifischen technischen Wiederherstellungsverfahren und Wiederherstellungszielen für jedes kritische System. Manuelle Ausweichverfahren für längere Ausfälle einbeziehen. Dokument: Disaster-Recovery-Plan
• BCP und DR-Pläne regelmäßig testen durch Tischübungen, Simulationen oder Live-Failover-Tests – die DVO verlangt Tests in geplanten Zeitabständen sowie nach erheblichen Vorfällen oder wesentlichen Änderungen (Anhang Nr. 4.1.4); in der Praxis ist ein jährlicher Test verbreitet. Ergebnisse dokumentieren und Pläne auf Basis der Erkenntnisse aktualisieren. Dokument: BCP/DR-Testbericht

(d) Sicherheit der Lieferkette – § 30 Abs. 2 Nr. 4 BSIG

DVO (EU) 2024/2690: Anhang Abschnitt 5. Vollständige Lieferketten-Checkliste siehe Phase 5.

• Alle kritischen unmittelbaren Anbieter und Dienstleister erfassen und dokumentieren, die Ihre NIS2-relevanten Dienste beeinflussen könnten: Cloud-Anbieter, Managed-Service-Provider, Softwareanbieter und Logistikpartner. Dokument: Lieferantenregister
• Sicherheitsbewertungen kritischer Lieferanten durchführen mithilfe von Fragebögen oder durch Prüfung ihrer Sicherheitsnachweise (z. B. ISO/IEC-27001-Zertifikat, TISAX-Label, BSI-C5-Testat oder SOC-2-Bericht). Jedem Lieferanten eine Risikoeinstufung zuweisen. Dokument: Sicherheitsbewertungsfragebogen für Lieferanten
• Sicherheitsklauseln in Lieferantenverträge aufnehmen: Pflicht zur Vorfallmeldung an Sie, Prüfungsrecht, Sicherheitsanforderungen und Kündigungsrechte bei wesentlichen Sicherheitsverstößen. Sofort in neue Verträge aufnehmen, bei bestehenden Verträgen bei der nächsten Verlängerung verhandeln. Dokument: Sicherheits-Nachtrag zum Lieferantenvertrag

(e) Sicherheit bei Erwerb, Entwicklung und Wartung – § 30 Abs. 2 Nr. 5 BSIG

DVO (EU) 2024/2690: Anhang Abschnitt 6 (u. a. Nr. 6.5 Sicherheitsprüfung, 6.6 Sicherheitspatch-Management, 6.10 Behandlung und Offenlegung von Schwachstellen)

• Eine Richtlinie für sichere Beschaffung und Entwicklung festlegen, die Sicherheitsanforderungen beim Erwerb und bei der Entwicklung neuer Systeme abdeckt – einschließlich Sicherheitsprüfungen vor der Inbetriebnahme, Freigabekriterien sowie Konfigurations- und Änderungsmanagement. Dokument: Richtlinie für sichere Entwicklung
• Einen Prozess für das Management und die Offenlegung von Schwachstellen einführen – beides nennt § 30 Abs. 2 Nr. 5 BSIG ausdrücklich. Legen Sie fest, wie Sie Schwachstelleninformationen beziehen (z. B. BSI-Warnungen, Herstellerhinweise), wie Sie sie bewerten und innerhalb welcher internen Fristen Sie sie beheben (z. B. kritisch 72 Stunden, hoch 7 Tage, mittel 30 Tage – Beispielwerte, keine gesetzlichen Vorgaben), und wie Dritte Ihnen Schwachstellen melden können. Dokument: Richtlinie zum Schwachstellenmanagement
• Eine Patch-Management-Richtlinie und einen Patch-Prozess für alle einbezogenen Systeme etablieren. Die DVO verlangt, Sicherheitspatches innerhalb einer angemessenen Frist nach Verfügbarkeit einzuspielen und vorher zu testen (Anhang Nr. 6.6.1). Offene Patches mit Alter und Risikobewertung nachverfolgen und Kennzahlen regelmäßig an das Management berichten. Dokument: Patch-Management-Richtlinie

(f) Bewertung der Wirksamkeit – § 30 Abs. 2 Nr. 6 BSIG

DVO (EU) 2024/2690: Anhang Abschnitt 7 (Bewertung der Wirksamkeit) + Nr. 6.5 (Sicherheitsprüfung)

• Kennzahlen (KPIs) zur Wirksamkeit Ihrer Maßnahmen definieren. § 30 Abs. 2 Nr. 6 BSIG verlangt Konzepte und Verfahren zur Bewertung der Wirksamkeit der Risikomanagementmaßnahmen. Beispiele: mittlere Erkennungszeit (MTTD), mittlere Reaktionszeit (MTTR), Patch-Compliance-Rate, Schulungsabschlussrate, Anzahl offener kritischer Schwachstellen. Dokument: Security-KPI-Dashboard
• Sicherheitstests risikobasiert planen. Legen Sie Notwendigkeit, Umfang, Häufigkeit und Art der Sicherheitsprüfungen auf Grundlage Ihrer Risikobewertung fest (so DVO Anhang Nr. 6.5.2 Buchst. a). Regelmäßige Penetrationstests durch qualifizierte Dritte – etwa für Netzwerk, Anwendungen und Social Engineering – sind verbreitete Praxis; eine feste gesetzliche Jahrespflicht gibt es im BSIG nicht. Dokument: Richtlinie für Sicherheitstests
• Regelmäßige Schwachstellen-Scans einführen mit einem automatisierten Werkzeug über alle einbezogenen Systeme (die DVO verlangt sie „soweit angemessen“, Anhang Nr. 6.10.2 Buchst. b). Ergebnisse in den Schwachstellenprozess aus Maßnahme (e) einspeisen. Dokument: Verfahren für Schwachstellen-Scans

(g) Cyberhygiene, Schulungen und Sensibilisierung – § 30 Abs. 2 Nr. 7 BSIG

DVO (EU) 2024/2690: Anhang Abschnitt 8 (Cyberhygiene und Schulungen). Vollständige Schulungs-Checkliste siehe Phase 6.

• Grundlegende Cyberhygiene-Maßnahmen umsetzen: starke Passwort- bzw. Passphrasen-Regeln, Endpunktschutz (AV/EDR), automatische Bildschirmsperren, verschlüsselte Datenträger auf Endgeräten und regelmäßiges Patchen. Dokumentieren Sie diese als Mindestsicherheitsstandards. Dokument: Cyberhygiene-Richtlinie
• Sensibilisierungsschulungen für alle Beschäftigten durchführen – § 30 Abs. 2 Nr. 7 BSIG nennt „grundlegende Schulungen und Sensibilisierungsmaßnahmen“. Wiederholen Sie diese regelmäßig (zum Beispiel jährlich, ergänzt um Phishing-Simulationen) und erfassen Sie die Teilnahme. Dokument: Vorlage für Schulungsnachweise
• Rollenspezifische technische Schulungen für sicherheitsrelevante Rollen konzipieren. Die vollständige Struktur des Schulungsprogramms finden Sie in Phase 6. Dokument: Plan für technische Schulungen

(h) Kryptographie und Verschlüsselung – § 30 Abs. 2 Nr. 8 BSIG

DVO (EU) 2024/2690: Anhang Abschnitt 9 (Kryptografie)

• Eine Kryptographie-Richtlinie festlegen, die zugelassene Verfahren, verbotene Verfahren (z. B. MD5, SHA-1, DES) und Mindestschlüssellängen bestimmt. Orientieren Sie sich an der Technischen Richtlinie BSI TR-02102 („Kryptographische Verfahren: Empfehlungen und Schlüssellängen“), die regelmäßig aktualisiert wird. Dokument: Kryptographie-Richtlinie
• Daten im Ruhezustand verschlüsseln in allen Systemen mit sensiblen oder personenbezogenen Daten, soweit risikoangemessen: Datenbanken, Fileserver, Endgeräte, Backups und Wechseldatenträger. Dokument: Standard für Datenklassifizierung und Verschlüsselung
• Daten bei der Übertragung verschlüsseln: aktuelle TLS-Versionen nach BSI TR-02102-2 für Webdienste, verschlüsselte E-Mail für sensible Kommunikation, VPN für Fernzugriffe. Klartextprotokolle (HTTP, FTP, Telnet) auf Produktivsystemen unterbinden. Dokument: Netzwerksicherheitsrichtlinie
• Verfahren für das Schlüsselmanagement festlegen: Erzeugung, Speicherung (HSM oder gleichwertig), Wechselintervalle und sichere Vernichtung von Schlüsseln. Schlüsselverantwortliche und Notfall-Wiederherstellungsverfahren dokumentieren. Dokument: Verfahren zum Schlüsselmanagement

(i) Personalsicherheit, Zugriffskontrolle und Anlagenverwaltung – § 30 Abs. 2 Nr. 9 BSIG

DVO (EU) 2024/2690: Anhang Abschnitt 10 (Sicherheit des Personals) + Abschnitt 11 (Zugriffskontrolle) + Abschnitt 12 (Anlagen- und Wertemanagement)

• Ein vollständiges Inventar der Anlagen und Werte erstellen und pflegen, das Hardware, Software, Cloud-Dienste und Datenbestände im NIS2-Umfang umfasst. Weisen Sie jedem Eintrag einen Verantwortlichen, eine Klassifizierung und eine Kritikalität zu, erfassen Sie Änderungen nachvollziehbar (DVO Anhang Nr. 12.4.1) und überprüfen Sie das Inventar regelmäßig. Dokument: Asset-Register
• Rollenbasierte Zugriffskontrolle (RBAC) nach dem Prinzip der minimalen Rechte („Need-to-know“) für alle kritischen Systeme umsetzen. Zugriffsrechte regelmäßig überprüfen und rezertifizieren. Bereitstellung und Entzug von Berechtigungen nach Möglichkeit über die Anbindung an HR-Prozesse automatisieren. Dokument: Zugriffskontrollrichtlinie
• Verfahren zur Personalsicherheit festlegen für Eintritt (Rechtevergabe, Sicherheitseinweisung), Rollenwechsel (Rechteüberprüfung) und Austritt (sofortiger Entzug aller Zugänge). Dokument: Richtlinie zur Personalsicherheit
• Zuverlässigkeitsüberprüfungen für Rollen mit Zugang zu kritischen Systemen oder sensiblen Daten festlegen, soweit durchführbar und arbeits- sowie datenschutzrechtlich zulässig (vgl. DVO Anhang Nr. 10.2.1). Mindestanforderungen je Rollenkategorie definieren und Ergebnisse dokumentieren. Dokument: Richtlinie zur Personalsicherheit

(j) Multi-Faktor-Authentifizierung und gesicherte Kommunikation – § 30 Abs. 2 Nr. 10 BSIG

DVO (EU) 2024/2690: Anhang Nr. 11.3 (privilegierte Konten) + Nr. 11.7 (Multifaktor-Authentifizierung). Vertiefung: MFA-Anforderungen unter NIS2

• MFA für alle privilegierten Konten, Fernzugriffe und Administrationsschnittstellen einführen. § 30 Abs. 2 Nr. 10 BSIG nennt Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung ausdrücklich; die DVO verlangt für privilegierte Konten starke Authentifizierungsverfahren (Anhang Nr. 11.3.2). Nutzen Sie TOTP-Apps, Hardware-Token oder FIDO2/Passkeys und vermeiden Sie SMS-basierte MFA für Zugänge mit hohem Risiko. Dokument: Zugriffskontrollrichtlinie
• MFA risikobasiert auf alle Benutzerkonten für geschäftskritische und Cloud-Systeme ausweiten (die DVO verlangt MFA „soweit angemessen“ entsprechend der Klassifizierung der Werte, Anhang Nr. 11.7.1). Einen Rollout-Plan mit Meilensteinen dokumentieren und den Fortschritt regelmäßig an den Lenkungsausschuss berichten. Dokument: MFA-Rollout-Plan
• Gesicherte Sprach-, Video- und Textkommunikation einführen und – soweit erforderlich – ein gesichertes Notfallkommunikationssystem innerhalb der Einrichtung vorsehen, wie es § 30 Abs. 2 Nr. 10 BSIG nennt (z. B. für die Krisenkommunikation, wenn E-Mail und Telefonie kompromittiert sind). Dokument: Richtlinie für sichere Kommunikation
• Zugelassene Kommunikationskanäle und Authentifizierungsanforderungen dokumentieren, gestaffelt nach System und Datenklassifizierung. Die Nutzung nicht freigegebener Kanäle für vertrauliche oder sensible Kommunikation untersagen. Dokument: Richtlinie für sichere Kommunikation

Phase 4: Incident Management und Meldewege einrichten

Die frühe Erstmeldung binnen 24 Stunden nach Kenntniserlangung eines erheblichen Sicherheitsvorfalls (§ 32 BSIG) gehört zu den operativ anspruchsvollsten Pflichten. Phase 4 konzentriert sich darauf, Ihren Meldeprozess einsatzbereit zu machen – nicht nur dokumentiert, sondern getestet, besetzt und auch außerhalb der Kernarbeitszeit unter Zeitdruck ausführbar.

Rechtsgrundlage: § 30 Abs. 2 Nr. 2 BSIG (Bewältigung von Sicherheitsvorfällen), § 32 BSIG (Meldepflichten), § 35 BSIG (Unterrichtungspflichten). DVO (EU) 2024/2690: Anhang Abschnitt 3. Geschätzter Zeitaufwand: 2–4 Wochen.

• Dokumentierte Verfahren zur Bewältigung von Sicherheitsvorfällen festlegen, die den gesamten Lebenszyklus abdecken: Erkennung, Triage, Eskalation, Eindämmung, Untersuchung, Wiederherstellung und Nachbereitung. Weisen Sie jeder Stufe benannte Rollen mit Vertretungen zu. Dokument: Incident-Response-Plan
• Den Meldeworkflow nach § 32 Abs. 1 BSIG einrichten, mit benannten Verantwortlichen für jede Stufe: (1) frühe Erstmeldung unverzüglich, spätestens 24 Stunden nach Kenntniserlangung, mit Angabe, ob ein Verdacht auf rechtswidrige oder böswillige Handlungen oder grenzüberschreitende Auswirkungen besteht; (2) Meldung unverzüglich, spätestens nach 72 Stunden, mit einer ersten Bewertung von Schweregrad und Auswirkungen sowie gegebenenfalls Kompromittierungsindikatoren; (3) Zwischenmeldung auf Ersuchen des BSI; (4) Abschlussmeldung spätestens einen Monat nach der Meldung aus Stufe 2 – dauert der Vorfall noch an, zunächst eine Fortschrittsmeldung (§ 32 Abs. 2). Betreiber kritischer Anlagen übermitteln zusätzliche Angaben zur betroffenen Anlage (§ 32 Abs. 3). Prüfen Sie parallel, ob personenbezogene Daten betroffen sind und eine Meldung an die Datenschutzaufsicht nach Art. 33 DSGVO erforderlich ist. Dokument: Vorfall-Meldeformulare
• Den Meldeweg zum BSI vorbereiten. Meldungen gehen an die gemeinsame Meldestelle von BSI und BBK; das BSI nutzt dafür das BSI-Portal (Betreiber kritischer Anlagen und Bundesbehörden nutzen nach Angaben des BSI vorübergehend ihre bisherigen Meldewege). Richten Sie die Zugänge (Mein Unternehmenskonto, Rollen im BSI-Portal) vorab ein, hinterlegen Sie Vertretungen und nehmen Sie die Anleitung des BSI zur Meldung als Anhang in Ihren Incident-Response-Plan auf. Mehr dazu im Beitrag zur BSI-Meldung. Dokument: Incident-Response-Plan (Anhang: Meldewege und Kontakte)
• Vorformulierte Meldevorlagen für jede Meldestufe vorbereiten. Frühe Erstmeldung, Meldung und Abschlussmeldung haben unterschiedliche Inhalte (§ 32 Abs. 1 Nr. 1–4 BSIG). Bereiten Sie Entwürfe vor, damit Ihr Team während eines laufenden Vorfalls nicht bei null beginnt. Dokument: Vorfall-Meldeformulare
• Den gesamten Meldeprozess in einer Tischübung testen (Empfehlung). Simulieren Sie einen erheblichen Sicherheitsvorfall und spielen Sie den Workflow von Anfang bis Ende durch, einschließlich eines Entwurfs der frühen Erstmeldung. Messen Sie die Gesamtdauer und schließen Sie Lücken, bevor ein echter Vorfall sie aufdeckt. Dokument: Tabletop-Exercise-Bericht
• Organisationsspezifische Schwellenwerte für „erhebliche Sicherheitsvorfälle“ festlegen. Übersetzen Sie die Kriterien aus § 2 Nr. 11 BSIG (schwerwiegende Betriebsstörung, finanzielle Verluste, erhebliche Schäden für Dritte) in konkrete, möglichst quantifizierte Schwellenwerte für Ihr Geschäft. Beispiel: „mehr als 30 % der Nutzer können länger als 4 Stunden nicht auf [kritischer Dienst] zugreifen“. Einrichtungen, die unter die DVO fallen, müssen deren Schwellenwerte (Art. 3–14 DVO) zugrunde legen. Klare Schwellenwerte verhindern sowohl Untermeldung als auch unnötige Meldungen. Dokument: Schweregradklassifizierungsmatrix für Vorfälle
• Einen Prozess zur Unterrichtung der Empfänger Ihrer Dienste festlegen (§ 35 BSIG). Das BSI kann bei einem erheblichen Sicherheitsvorfall anordnen, dass Sie die Empfänger Ihrer Dienste unverzüglich unterrichten (§ 35 Abs. 1). Einrichtungen aus den Sektoren Finanzwesen, Leistungen der Sozialversicherung sowie Grundsicherung für Arbeitsuchende, digitale Infrastruktur, Verwaltung von IKT-Diensten und Digitale Dienste müssen potenziell von einer erheblichen Cyberbedrohung betroffene Empfänger und das BSI zudem unverzüglich über mögliche Abhilfemaßnahmen und die Bedrohung selbst informieren, wenn die Interessen der Empfänger überwiegen (§ 35 Abs. 2). Legen Sie Zuständigkeiten, Kanäle und Textbausteine vorab fest. Dokument: Kommunikationsplan für Sicherheitsvorfälle

Phase 5: Sicherheit der Lieferkette

§ 30 Abs. 2 Nr. 4 BSIG nennt die Sicherheit der Lieferkette „einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern“ ausdrücklich als Mindestmaßnahme. Phase 5 baut die schnelle Lieferantenerfassung aus Phase 3 zu einem vollständigen, dokumentierten Programm für die Lieferkettensicherheit aus. Der Aufwand wird hier häufig unterschätzt – beginnen Sie früh. Vertiefung: Lieferkettensicherheit unter NIS2.

Rechtsgrundlage: § 30 Abs. 2 Nr. 4 BSIG. DVO (EU) 2024/2690: Anhang Abschnitt 5. Geschätzter Zeitaufwand: 4–8 Wochen für die Ersteinrichtung, danach fortlaufend.

• Alle kritischen Lieferanten und Dienstleister in einem dokumentierten Lieferkettenregister erfassen. Berücksichtigen Sie Cloud-Anbieter, Managed-Service-Provider, Software- und Hardwarehersteller sowie alle Dritten mit Zugang zu Ihren Systemen oder Daten. Stufen Sie jeden nach seiner Kritikalität für Ihre NIS2-relevanten Dienste ein (kritisch / bedeutend / gering). Dokument: Lieferantenregister
• Das Sicherheitsniveau jedes kritischen Lieferanten bewerten – mit einem strukturierten Fragebogen oder anhand seiner Sicherheitsnachweise (z. B. ISO/IEC-27001-Zertifikat, TISAX-Label, BSI-C5-Testat). Vergeben Sie eine Risikoeinstufung und kennzeichnen Sie Lieferanten mit unzureichenden Kontrollen für Nachbesserung oder einen Wechsel. Dokument: Sicherheitsbewertungsfragebogen für Lieferanten
• Sicherheitsklauseln in die Verträge mit allen kritischen Lieferanten aufnehmen: Pflicht des Lieferanten, Sie innerhalb einer vereinbarten Frist über Vorfälle zu informieren, die Ihre Daten oder Dienste betreffen (wichtig, damit Sie Ihre eigenen Fristen nach § 32 BSIG einhalten können), Prüfungsrecht, Mindestsicherheitsanforderungen und Kündigungsrechte bei wesentlichen Sicherheitsmängeln. Bei neuen Verträgen sofort, bei bestehenden Verträgen bei der Verlängerung. Dokument: Sicherheits-Nachtrag zum Lieferantenvertrag
• Eine laufende Lieferantenüberwachung und einen Überprüfungsturnus festlegen (Empfehlung: jährlich für kritische Lieferanten). Beobachten Sie Sicherheitsvorfälle bei Lieferanten über öffentliche Meldungen und Warnhinweise und verfolgen Sie Vertragsverlängerungstermine, um Klauseln nachzuverhandeln. Dokument: Lieferanten-Risikoregister
• Durchgeführte Bewertungen und Risikoeinstufungen im Compliance-Register dokumentieren. Das BSI kann im Rahmen der Aufsicht Unterlagen anfordern (§ 61 BSIG; bei wichtigen Einrichtungen anlassbezogen nach § 62). Halten Sie Datum und Antworten der Fragebögen, vergebene Risikoeinstufungen und mit Lieferanten vereinbarte Abhilfemaßnahmen fest. Dokument: Richtlinie zur Lieferkettensicherheit

Phase 6: Schulung und Sensibilisierung

§ 30 Abs. 2 Nr. 7 BSIG verlangt grundlegende Schulungen und Sensibilisierungsmaßnahmen für die Beschäftigten. § 38 Abs. 3 BSIG geht für die Führungsebene weiter: Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen müssen regelmäßig an Schulungen teilnehmen, um Risiken und Risikomanagementpraktiken erkennen und bewerten sowie deren Auswirkungen auf die Dienste der Einrichtung beurteilen zu können. Das BSI kann die Einhaltung dieser Schulungspflicht prüfen (§§ 61 Abs. 1, 62 BSIG). Phase 6 baut das Schulungsprogramm auf, das beide Anforderungen abdeckt. Vertiefung: Schulungspflicht der Geschäftsführung.

Rechtsgrundlage: § 30 Abs. 2 Nr. 7 BSIG, § 38 Abs. 3 BSIG. DVO (EU) 2024/2690: Anhang Abschnitt 8. Geschätzter Zeitaufwand: 2–4 Wochen für die Einrichtung, danach fortlaufend.

• Die Geschäftsleitung schulen (§ 38 Abs. 3 BSIG). Inhalte: Erkennung und Bewertung von Cybersicherheitsrisiken und Risikomanagementpraktiken, deren Auswirkungen auf die Dienste der Einrichtung, die Einstufung Ihrer Einrichtung (besonders wichtig oder wichtig), die umgesetzten Maßnahmen nach § 30 BSIG, die aktuelle Risikolage sowie die Umsetzungs- und Überwachungspflicht nach § 38 Abs. 1 und die Haftung gegenüber der Einrichtung nach § 38 Abs. 2. Dokumentieren Sie Teilnahme und Inhalte – das ist Ihr Nachweis für die Schulungspflicht. Dokument: Schulungsunterlage Geschäftsleitung, Teilnahmenachweis
• Sensibilisierungsschulungen für alle Beschäftigten durchführen. Wiederholen Sie diese regelmäßig (Empfehlung: mindestens jährlich) und erreichen Sie neue Beschäftigte zeitnah. Inhalte: Erkennen von Phishing, Passwort- und MFA-Praxis, interner Meldeweg für Verdachtsfälle und Umgang mit Daten. Ergänzen Sie mindestens eine Phishing-Simulation pro Jahr (Empfehlung). Dokument: Schulungsplan Security Awareness, Schulungsnachweise
• Rollenspezifische technische Schulungen für sicherheitsrelevante Rollen durchführen. IT-Administration, Security Operations, Incident Response und Entwicklung brauchen Schulungen über allgemeine Sensibilisierung hinaus (vgl. DVO Anhang Nr. 8.2.1). Ordnen Sie die Inhalte den für die jeweilige Rolle relevanten Maßnahmen nach § 30 Abs. 2 BSIG zu (z. B. IRP-Schulung für Incident Responder, Secure Coding für Entwickler). Dokument: Plan für technische Schulungen
• Schulungsnachweise und Abschlussquoten erfassen. Dokumentieren Sie, wer welche Schulung wann abgeschlossen hat, werten Sie Abschlussquoten nach Abteilungen aus und fassen Sie bei fehlenden Teilnahmen zeitnah nach (Empfehlung: innerhalb von 30 Tagen). Die Nachweise sind Teil Ihrer Dokumentation nach § 30 Abs. 1 Satz 3 BSIG. Dokument: Vorlage für Schulungsnachweise
• Regelmäßige Auffrischungsschulungen für Beschäftigte und Geschäftsleitung planen. NIS2 ist eine Daueraufgabe, und § 38 Abs. 3 BSIG verlangt ausdrücklich „regelmäßige“ Schulungen der Geschäftsleitung. Aktualisieren Sie die Inhalte jährlich um neue Bedrohungen, Änderungen Ihres Risikoprofils und Erkenntnisse aus Vorfällen oder Übungen. Dokument: Jährlicher Schulungsplan

Phase 7: Testen und kontinuierliche Verbesserung

NIS2-Konformität ist kein einmaliges Projekt — sie ist ein fortlaufendes Managementsystem. Phase 7 etabliert die Prozesse, die Ihre Compliance-Position aktuell halten, wenn sich Bedrohungen weiterentwickeln, Systeme sich ändern und das regulatorische Umfeld sich weiterentwickelt. Diese Phase ist es auch, die eine Compliance-Übung in eine echte Sicherheitsverbesserung verwandelt: die Rückkopplungsschleifen, die Ihr Programm messbar verbessern.

Rechtsgrundlage: § 30 Abs. 2 Nr. 6 BSIG (Bewertung der Wirksamkeit); für Betreiber kritischer Anlagen zusätzlich § 39 BSIG. DVO (EU) 2024/2690: Anhang Abschnitt 7 sowie Nr. 2.1.4 und 4.1.4. Geschätzter Zeitaufwand: Fortlaufend; initiale Einrichtung 2–4 Wochen.

• Regelmäßige Risikoüberprüfungen planen — mindestens jährlich und nach auslösenden Ereignissen. Die Risikobewertung aus Phase 2 ist nicht statisch. Für die von der DVO erfassten Einrichtungen ist eine Überprüfung mindestens jährlich sowie nach erheblichen Sicherheitsvorfällen oder wesentlichen Änderungen vorgeschrieben (Anhang Nr. 2.1.4); für alle anderen ist das ein sinnvoller Maßstab. Definieren Sie auslösende Ereignisse für Ad-hoc-Überprüfungen: bedeutende Vorfälle, wesentliche Systemänderungen, neue Bedrohungsinformationen, materielle Änderungen Ihres Geschäftsbetriebs oder regulatorische Aktualisierungen. Dokumentieren Sie jeden Überprüfungszyklus. Dokument: Risikoüberprüfungsplan, aktualisierte Risikobewertungstabelle
• BC/DR-Tabletop- und Live-Übungen regelmäßig planen und durchführen (Empfehlung: mindestens jährlich). Testen Sie Ihre Business-Continuity- und Disaster-Recovery-Fähigkeiten in der Praxis, nicht nur auf dem Papier. Eskalieren Sie von Tabletop-Übungen (diskussionsbasiert, geringere Kosten) zu Simulations- oder Live-Failover-Übungen, wenn der Reifegrad steigt. Halten Sie alle Übungen, Erkenntnisse und Planaktualisierungen fest. Dokument: BCP/DR-Testbericht, Tabletop-Übungsbericht
• Ein KPI-Mess- und Management-Berichtsprogramm einrichten. Berichten Sie der Geschäftsleitung regelmäßig – etwa vierteljährlich – über Cybersicherheitskennzahlen; das unterstützt ihre Überwachungspflicht nach § 38 Abs. 1 BSIG. Berücksichtigen Sie die in Phase 3 (f) definierten KPIs: Patch-Compliance-Rate, mittlere Erkennungszeit, mittlere Reaktionszeit, Schulungsabschlussrate, offene kritische Schwachstellen und Abschlussrate von Audit-Feststellungen. Nutzen Sie Kennzahlen, um die Wirksamkeit nachzuweisen und frühzeitige Verschlechterungen zu erkennen. Dokument: Security-KPI-Dashboard
• Ein internes Auditprogramm für die NIS2-Konformität einrichten (Empfehlung). Führen Sie regelmäßig – etwa jährlich – interne Audits gegen alle Maßnahmen nach § 30 Abs. 2 BSIG durch. Nutzen Sie Audit-Feststellungen, um Lücken zu identifizieren, Abhilfemaßnahmen zu verfolgen und gegenüber dem BSI Ihr kontinuierliches Verbesserungsprogramm zu belegen. Externe Audits durch qualifizierte Dritte verleihen zusätzliche Glaubwürdigkeit; bei besonders wichtigen Einrichtungen kann das BSI Audits durch unabhängige Stellen auch anordnen (§ 61 Abs. 1 BSIG). Vertiefung: Audit-Vorbereitung. Dokument: Internes Auditprogramm, Audit-Checkliste
• Lessons Learned und Korrekturmaßnahmen aus Vorfällen, Übungen und Audits dokumentieren. Jeder Vorfall, jede Tabletop-Übung und jede Audit-Feststellung ist eine Verbesserungsmöglichkeit. Weisen Sie Korrekturmaßnahmen namentlich benannten Verantwortlichen mit Fertigstellungsterminen zu. Verfolgen Sie offene Maßnahmen als Einträge im Risikoregister. Schließen Sie den Regelkreis — viele offene Korrekturmaßnahmen ohne Fertigstellungstermine deuten auf systematische Defizite hin. Dokument: Korrekturmaßnahmenregister
• Nur Betreiber kritischer Anlagen: den Nachweis nach § 39 BSIG vorbereiten. Betreiber kritischer Anlagen müssen die Umsetzung ihrer Maßnahmen dem BSI alle drei Jahre durch Sicherheitsaudits, Prüfungen oder Zertifizierungen nachweisen. Den ersten Zeitpunkt legt das BSI fest – frühestens drei Jahre, nachdem die Einrichtung erstmals als Betreiber einer kritischen Anlage gilt; für bisherige KRITIS-Betreiber knüpft er an den letzten Nachweis nach altem Recht an (§ 39 Abs. 3). Für alle anderen besonders wichtigen und wichtigen Einrichtungen sieht das BSIG keinen turnusmäßigen Nachweis vor. Dokument: Nachweisplanung § 39 BSIG, Mängelbeseitigungsplan

Häufig gestellte Fragen

Wie lange dauert die NIS2-Konformität?

Vorab: Eine Übergangsfrist gibt es in Deutschland nicht – die Pflichten aus § 30 BSIG gelten seit dem 6. Dezember 2025. Ein Zeitplan beschreibt also, wie schnell Sie Lücken schließen, nicht eine Frist, die Ihnen noch bleibt. Als grober Erfahrungswert sollte eine mittelgroße Organisation, die von Grund auf beginnt, mit etwa 6–12 Monaten für ein vollständiges Programm rechnen. Phase 1–2 (Governance und Risikobewertung) dauern in der Regel 6–12 Wochen. Phase 3 (Umsetzung der zehn Maßnahmen nach § 30 Abs. 2 BSIG) ist die längste Phase, abhängig vom vorhandenen Sicherheitsreifegrad. Organisationen mit einem bestehenden ISMS nach ISO/IEC 27001 kommen meist deutlich schneller voran, weil viele Prozesse bereits vorhanden sind. Vorgefertigte NIS2-Compliance-Vorlagen können den Dokumentationsaufwand verringern.

Muss sich eine betroffene Einrichtung beim BSI registrieren?

Ja. Nach § 33 BSIG müssen sich besonders wichtige und wichtige Einrichtungen spätestens drei Monate, nachdem sie erstmals als solche gelten, beim BSI registrieren – über das BSI-Portal, nach vorheriger Anmeldung bei „Mein Unternehmenskonto“. Für Einrichtungen, die bereits seit dem Inkrafttreten am 6. Dezember 2025 erfasst sind, endete diese Frist am 6. März 2026; eine noch fehlende Registrierung sollte unverzüglich nachgeholt werden. Änderungen der Angaben sind binnen zwei Wochen zu übermitteln. Eine unterlassene Registrierung kann mit einem Bußgeld von bis zu 500.000 € geahndet werden (§ 65 BSIG); zudem kann das BSI die Registrierung selbst vornehmen (§ 33 Abs. 3).

Welche Dokumentation verlangt NIS2?

§ 30 Abs. 1 Satz 3 BSIG verpflichtet Einrichtungen, die Einhaltung ihrer Risikomanagementpflichten zu dokumentieren; eine feste Dokumentenliste gibt das Gesetz jedoch nicht vor. In der Praxis sollten Nachweise für jede der zehn Maßnahmen nach § 30 Abs. 2 vorliegen, etwa: Informationssicherheitsrichtlinie, Risikobewertung und Behandlungsplan, Incident-Response-Plan, Business-Continuity-Plan, Disaster-Recovery-Plan, Backup-Richtlinie, Richtlinie zur Lieferkettensicherheit, Asset-Register, Zugriffskontrollrichtlinie, Kryptographie-Richtlinie, Richtlinie zur Personalsicherheit, Schulungsnachweise und Nachweise über die Einbindung der Geschäftsleitung. Unsere NIS2-Dokumentvorlagen orientieren sich an diesen Bereichen.

Was ist der erste Schritt zur NIS2-Konformität?

Prüfen Sie, ob § 28 BSIG auf Ihre Einrichtung anwendbar ist und ob sie als besonders wichtige oder wichtige Einrichtung gilt. Viele Organisationen gehen von Annahmen aus, statt die Einstufung anhand der Einrichtungsarten in Anlage 1 und 2 und der Größenschwellen – einschließlich Partner- und verbundener Unternehmen – zu verifizieren. Ist die Einrichtung erfasst, prüfen Sie die Registrierung beim BSI (§ 33 BSIG) und binden Sie die Geschäftsleitung ein, die die Maßnahmen nach § 38 BSIG umsetzen und überwachen muss (Phase 1 dieser Checkliste). Für eine vollständige Anwendbarkeitsprüfung nutzen Sie den NIS2-Anwendungsbereichsleitfaden.

Kann eine ISO 27001-Zertifizierung zur NIS2-Konformität beitragen?

Ja, deutlich. ISO/IEC 27001 überschneidet sich stark mit § 30 BSIG, und der technische Implementierungsleitfaden der ENISA ordnet die Anforderungen der DVO (EU) 2024/2690 unter anderem ISO/IEC 27001:2022 zu – mit dem ausdrücklichen Hinweis, dass diese Zuordnung keine Gleichwertigkeit bedeutet. Ein Zertifikat allein deckt die BSIG-Pflichten aber nicht vollständig ab. Gesondert zu regeln sind insbesondere die Meldepflichten nach § 32 BSIG (24 Stunden / 72 Stunden / ein Monat), die Registrierung nach § 33 BSIG und die Pflichten der Geschäftsleitung nach § 38 BSIG (Umsetzung, Überwachung, regelmäßige Schulung). Nutzen Sie ISO/IEC 27001 als solide Ausgangsbasis und führen Sie anschließend eine Lückenanalyse gegenüber dem BSIG durch. Mehr dazu im Vergleich NIS2 und ISO 27001.

Diese Checkliste dient ausschließlich der allgemeinen Orientierung und stellt keine Rechts- oder Regulierungsberatung dar. Die Anforderungen unterscheiden sich je nach Einstufung und Sektor; für einzelne Sektoren gelten Sonderregeln (z. B. § 28 Abs. 5 und 6 BSIG für Telekommunikation, bestimmte Energieanlagen und DORA-Finanzunternehmen). Konsultieren Sie einen qualifizierten Rechtsanwalt oder Compliance-Spezialisten für eine auf Ihre Organisation zugeschnittene Beratung.

Quellen

1. „Gesetz über das Bundesamt für Sicherheit in der Informationstechnik und über die Sicherheit in der Informationstechnik von Einrichtungen (BSIG)“ – §§ 2, 28, 30–35, 38, 39, 61, 62, 65 – gesetze-im-internet.de, Volltext
2. „Richtlinie (EU) 2022/2555 (NIS2)“ – EUR-Lex, Amtlicher Text
3. „Durchführungsverordnung (EU) 2024/2690 der Kommission“ – EUR-Lex, Amtlicher Text
4. „NIS-2-Meldepflicht“ – Bundesamt für Sicherheit in der Informationstechnik, Infoseite
5. „Zweiter Schritt zur NIS-2-Registrierung: BSI-Portal ab sofort freigeschaltet“ – BSI, Pressemitteilung vom 06.01.2026, Pressemitteilung
6. „NIS2 Technical Implementation Guidance“ – ENISA, Juni 2025, Publikationsseite
7. „BSI TR-02102 Kryptographische Verfahren: Empfehlungen und Schlüssellängen“ – BSI, Technische Richtlinie