ENISA NIS2 Technischer Implementierungsleitfaden: Eine praxisorientierte Zusammenfassung

Zuletzt geprüft: Oktober 2026. Grundlage: ENISA Technical Implementation Guidance, Version 1.0 (26. Juni 2025) mit Mapping-Tabelle Version 1.2 (21. August 2025), Durchführungsverordnung (EU) 2024/2690, Richtlinie (EU) 2022/2555 (NIS2) sowie das BSI-Gesetz (BSIG) in der Fassung des NIS2UmsuCG (BGBl. 2025 I Nr. 301, in Kraft seit 6. Dezember 2025).

Am 26. Juni 2025 veröffentlichte die Agentur der Europäischen Union für Cybersicherheit (ENISA) eines der bislang ausführlichsten praxisorientierten Dokumente zu den NIS2-Risikomanagementmaßnahmen: die Technical Implementation Guidance zur Commission Implementing Regulation (EU) 2024/2690 — auf der ENISA-Website als „NIS2 Technical Implementation Guidance“ geführt, ein 170-seitiges Begleitdokument zur Durchführungsverordnung (EU) 2024/2690 [1] [2].

Wer verstehen möchte, wie die abstrakten Maßnahmen aus Art. 21 NIS2 bzw. § 30 BSIG in der Praxis aussehen können, findet hier eine der detailliertesten offiziellen Hilfestellungen. Rechtlich zugeschnitten ist das Dokument allerdings auf elf Einrichtungsarten aus der digitalen Infrastruktur, dem IKT-Dienstmanagement und den digitalen Diensten. Dieser Artikel fasst alle 13 Abschnitte der ENISA-Leitlinien zusammen, hebt die wichtigsten Empfehlungen hervor und erläutert, wie sie sich zu den Pflichten nach der Durchführungsverordnung und dem BSIG verhalten — ohne dass Sie selbst 170 Seiten lesen müssen.

Was sind die ENISA Technical Implementation Guidance?

Die ENISA-Leitlinien sind ein unverbindliches Begleitdokument zur Durchführungsverordnung (EU) 2024/2690 der Kommission (im Folgenden: CIR). Während die CIR für die von ihr erfassten Einrichtungen rechtsverbindlich festlegt, welche technischen und methodischen Anforderungen gelten, erläutern die ENISA-Leitlinien, wie diese Anforderungen in der Praxis umgesetzt und nachgewiesen werden können [1] [3].

Die ENISA stützt sich dabei auf Erwägungsgrund 7 der CIR, wonach sie die betreffenden Einrichtungen mit Leitlinien unterstützen kann. Erarbeitet wurde das Dokument in Zusammenarbeit mit der Europäischen Kommission und der NIS-Kooperationsgruppe; ein Entwurf ging in eine öffentliche Konsultation (7. November 2024 bis 9. Januar 2025). Für die Einordnung wichtig: Nach seinem rechtlichen Hinweis gibt das Dokument die Auffassungen und Auslegungen der ENISA wieder. Es ist weder ein Rechtsakt der EU noch eine Norm [1].

Wesentliche Fakten zu den Leitlinien:

• Veröffentlicht: 26. Juni 2025 (Version 1.0)
• Herausgeber: ENISA, erarbeitet in Zusammenarbeit mit der Europäischen Kommission und der NIS-Kooperationsgruppe
• Titel laut Deckblatt: Technical Implementation Guidance on Commission Implementing Regulation (EU) 2024/2690 (Publikationsseite: „NIS2 Technical Implementation Guidance“)
• Umfang: 170 Seiten
• Rechtsstatus: Unverbindlich — laut Disclaimer „not legally binding and is only of an advisory character“
• Struktur: Folgt den 13 Abschnitten des CIR-Anhangs; zu jeder Anforderung Leitlinien, Nachweisbeispiele und teilweise Tipps
• Zugeordnete Standards und Rahmenwerke: ISO/IEC 27001:2022 und 27002:2022, NIST Cybersecurity Framework 2.0, ETSI EN 319 401 V3.1.1, CEN/TS 18026:2024 sowie nationale Rahmenwerke einzelner Mitgliedstaaten (z. B. CyFun in Belgien, Kybermittari in Finnland); in Fußnoten weitere Standards, etwa die BSI TR-02102-1 zur Kryptografie
• Begleitmaterial: Mapping-Tabelle (Excel; Version 1.0 vom 26.06.2025, aktuell Version 1.2 vom 21.08.2025). Am selben Tag veröffentlichte die ENISA außerdem das Dokument Cybersecurity Roles and Skills for NIS2 Essential and Important Entities

Die Leitlinien sollen ausdrücklich nicht die von den Mitgliedstaaten bereitgestellten Rahmenwerke, Leitlinien und Instrumente ersetzen. Die ENISA betont außerdem, dass die Mitgliedstaaten frei darin bleiben, wie sie die Anforderungen beaufsichtigen. Das Dokument legt deshalb nicht fest, ob eine Einrichtung alle oder nur einige der aufgeführten Nachweise vorhalten muss; alle Nachweise zu verlangen, wäre nach Einschätzung der ENISA ein „sehr strenger“ Aufsichtsansatz. Die Leitlinien können den zuständigen Behörden aber helfen, ihren Aufsichtsansatz zu entwickeln. Die ENISA bezeichnet das Dokument als „lebendes Dokument“, das in regelmäßigen Abständen überprüft werden soll. Für die betroffenen Einrichtungen ist es damit eine wichtige Orientierungshilfe, aber kein verbindlicher Compliance-Standard und keine Garantie für Konformität [1] [2].

Eine vollständige Übersicht der zugrunde liegenden Richtlinienpflichten finden Sie in unserem Leitfaden NIS2-Richtlinie erklärt. Die detaillierten rechtlichen Anforderungen finden Sie in der Übersicht der NIS2-Anforderungen.

Für wen sind diese Leitlinien bestimmt?

Die CIR gilt nach ihrem Art. 1 nur für eine abschließend aufgezählte Gruppe von Einrichtungsarten, und die ENISA-Leitlinien richten sich an genau diese „betreffenden Einrichtungen“. In Deutschland ordnet § 30 Abs. 3 BSIG an, dass die CIR für diese Einrichtungsarten Vorrang vor den allgemeinen Maßnahmen nach § 30 Abs. 2 BSIG hat [3] [5].

Einrichtungen, für die die CIR unmittelbar gilt (und für die die Leitlinien die wichtigste offizielle Auslegungshilfe sind):

• DNS-Diensteanbieter
• Registrierungsstellen für Domänennamen der obersten Stufe (TLD)
• Anbieter von Cloud-Computing-Diensten
• Anbieter von Rechenzentrumsdiensten
• Betreiber von Content Delivery Networks (CDN)
• Anbieter verwalteter Dienste (MSPs)
• Anbieter verwalteter Sicherheitsdienste (MSSPs)
• Anbieter von Online-Marktplätzen
• Anbieter von Online-Suchmaschinen
• Anbieter von Plattformen für Dienste sozialer Netzwerke
• Vertrauensdiensteanbieter

Einrichtungen, für die die CIR nicht unmittelbar gilt: Für sie ergeben sich die Maßnahmen in Deutschland aus § 30 Abs. 1 und 2 BSIG. Die ENISA hält es lediglich für möglich, dass die Leitlinien auch anderen öffentlichen oder privaten Stellen nützliche Hinweise zur Verbesserung ihrer Cybersicherheit geben [1]. Das betrifft etwa:

• Besonders wichtige und wichtige Einrichtungen aus den übrigen Sektoren — etwa Energie, Verkehr, Gesundheit, Wasser oder verarbeitendes Gewerbe — sowie die nicht von der CIR erfassten Teile der digitalen Infrastruktur
• KMU, die eine konkrete Vorstellung davon brauchen, wie die zehn Maßnahmenbereiche des § 30 Abs. 2 BSIG ausgestaltet werden können
• Organisationen, die sich auf Nachweisanforderungen des BSI oder auf Lieferantenbewertungen durch Kunden vorbereiten

Zu beachten sind Sonderregeln: Für Betreiber öffentlicher Telekommunikationsnetze und -dienste sowie bestimmte Energieversorgungsunternehmen gilt § 30 BSIG nach § 28 Abs. 5 BSIG nicht, weil das Telekommunikations- bzw. Energiewirtschaftsrecht eigene Sicherheitsanforderungen vorsieht; für Finanzunternehmen im Anwendungsbereich der DORA-Verordnung schließt § 28 Abs. 6 BSIG § 30 ebenfalls aus [5].

Gerade für KMU sind die ENISA-Leitlinien wertvoll, weil sie abstrakte Rechtssprache in konkrete Umsetzungsschritte übersetzen und auf etablierte Standards verweisen. Sie ersetzen aber weder die Prüfung des eigenen Pflichtenrahmens noch, wo nötig, fachkundige Beratung.

Die ENISA weist darauf hin, dass ihre Leitlinien den zuständigen Behörden helfen können, ihren Aufsichtsansatz zu entwickeln [1]. Eine Umsetzung, die sich erkennbar an den ENISA-Empfehlungen orientiert und die eigenen Abwägungen dokumentiert, erleichtert es, gegenüber dem BSI geeignete und verhältnismäßige Maßnahmen im Sinne von § 30 Abs. 1 BSIG (Art. 21 NIS2) darzulegen — eine Vermutung der Konformität begründet sie nicht. Prüfen Sie zunächst, ob Ihre Organisation in den NIS2-Anwendungsbereich fällt.

Zuordnung der Leitlinien zu CIR 2024/2690

Die ENISA-Leitlinien spiegeln den CIR-Anhang Abschnitt für Abschnitt wider; jede Anforderung wird im Wortlaut wiedergegeben. Darauf folgen in der Regel drei Elemente [1]:

• Leitlinien — indikative, umsetzbare Hinweise zu Parametern, die bei der Umsetzung einer Anforderung zu berücksichtigen sind, sowie Erläuterungen von Begriffen aus dem Rechtstext
• Nachweisbeispiele — Arten von Nachweisen, die zeigen können, dass eine Anforderung umgesetzt ist
• Tipps — bei einem Teil der Anforderungen zusätzliche allgemeine Hinweise

Alle drei Elemente sind ausdrücklich nicht abschließend. Ihre teilweise oder vollständige Umsetzung bedeutet laut ENISA nicht automatisch Konformität mit der CIR; Einrichtungen können alternative Wege wählen und andere Nachweise vorlegen [1].

Die nachstehende Tabelle zeigt die Zuordnung zwischen dem CIR-Anhang, den Maßnahmen nach Art. 21 Abs. 2 NIS2 und § 30 Abs. 2 BSIG sowie ausgewählte Inhalte aus CIR und ENISA-Leitlinien [1] [3] [4] [5]:

CIR-Anhang-Abschnitt	Thema	Art. 21 Abs. 2 NIS2 / § 30 Abs. 2 BSIG	Ausgewählte Inhalte (CIR / ENISA)
Section 1	Sicherheitskonzept und Rollen	lit. a / Nr. 1	Förmliche Genehmigung durch die Leitungsorgane; Überprüfung mindestens jährlich (CIR 1.1.2); zehn themenspezifische Richtlinien
Section 2	Risikomanagement	lit. a / Nr. 1	Risikokriterien und gefahrenübergreifender Ansatz; Überprüfung mindestens jährlich (CIR 2.1.4); Compliance-Überwachung und unabhängige Überprüfungen
Section 3	Incident-Handling	lit. b / Nr. 2	Monitoring und Protokollierung; SIEM/EDR/XDR als Option; Playbooks; vierteljährliche Prüfung auf wiederkehrende Vorfälle (CIR 3.4.2)
Section 4	Betriebskontinuität und Krisenmanagement	lit. c / Nr. 3	Business Impact Analysis (CIR 4.1.3); 3-2-1-Regel als Option; Tests mindestens jährlich (ENISA)
Section 5	Lieferkette	lit. d / Nr. 4	Vertragsanforderungen inkl. Prüfungsrecht (CIR 5.1.4); Lieferantenverzeichnis (CIR 5.2); Hinweise zu Open-Source-Software
Section 6	Erwerb, Entwicklung und Wartung	lit. e / Nr. 5	Sichere Entwicklung; Konfigurations-, Änderungs- und Patch-Management; Offenlegung von Schwachstellen
Section 7	Wirksamkeitsbewertung	lit. f / Nr. 6	KPIs; Messintervalle je nach Maßnahme (kontinuierlich bis jährlich); Überprüfung des Konzepts mindestens alle zwei Jahre (ENISA)
Section 8	Cyberhygiene und Schulung	lit. g / Nr. 7	Sensibilisierungsprogramm für alle Beschäftigten einschließlich der Leitungsorgane; rollenbezogene Schulungen; Wirksamkeitstests
Section 9	Kryptografie	lit. h / Nr. 8	Zugelassene Protokolle und Algorithmen; Krypto-Agilität, soweit angemessen; Schlüssellebenszyklus
Section 10	Personalsicherheit	lit. i / Nr. 9	Hintergrundüberprüfung, soweit erforderlich; Pflichten nach Beschäftigungsende; Disziplinarverfahren
Section 11	Zugriffskontrolle	lit. i (MFA: lit. j) / Nr. 9 und 10	Need-to-know, Least Privilege, Funktionstrennung; MFA soweit angemessen nach Klassifizierung (CIR 11.7); Identitätsprüfung mindestens vierteljährlich (ENISA)
Section 12	Asset-Management	lit. i / Nr. 9	Klassifizierungsstufen; Inventar mit Änderungshistorie; Richtlinie für Wechseldatenträger; automatisierte Erkennung als Tipp
Section 13	Umgebungsbezogene und physische Sicherheit	lit. c, e, i / Nr. 3, 5, 9	Versorgungseinrichtungen; Schwellenwerte für Umgebungsparameter; Sicherheitsperimeter und Zutrittskontrolle

Zusätzlich stellt die ENISA eine Mapping-Tabelle im Excel-Format bereit (Version 1.0 vom 26.06.2025, aktuell Version 1.2 vom 21.08.2025). Sie ordnet jede CIR-Anforderung den einschlägigen Stellen in ISO/IEC 27001:2022, dem NIST Cybersecurity Framework 2.0, ETSI EN 319 401 und CEN/TS 18026:2024 sowie nationalen Rahmenwerken einzelner Mitgliedstaaten zu; eine Spalte für ein deutsches Rahmenwerk enthält sie nicht. Für Deutschland verweist Anhang I der Leitlinien auf die BSI-Veröffentlichung „Konkretisierung der KRITIS-Anforderungen“ (noch zum alten § 8a BSIG) und auf den IT-Grundschutz. Die ENISA weist ausdrücklich darauf hin, dass das Mapping nicht als Maßstab für die Gleichwertigkeit verschiedener Standards zu verstehen ist — es zeigt relevante Anforderungen auf, ohne zu beurteilen, ob diese die CIR-Anforderungen vollständig abdecken [1].

Den vollständigen Text jeder CIR-Anforderung finden Sie in unserer Übersicht der NIS2-Anforderungen und im Beitrag zur Durchführungsverordnung (EU) 2024/2690.

Wesentliche Empfehlungen nach Abschnitt

Nachfolgend finden Sie für jeden der 13 Abschnitte, was die CIR verbindlich verlangt und was die ENISA zusätzlich empfiehlt. Intervalle wie „jährlich“ oder „vierteljährlich“ sind nur dann Pflicht, wenn sie im CIR-Text stehen; die übrigen sind Empfehlungen der ENISA.

Section 1 — Sicherheitskonzept

Die CIR verlangt ein Konzept für die Sicherheit von Netz- und Informationssystemen mit festgelegten Inhalten — unter anderem Sicherheitsziele, die Zusage der nötigen Ressourcen (Personal, Finanzmittel, Prozesse, Werkzeuge und Technologien), die Liste der themenspezifischen Richtlinien, Indikatoren zur Überwachung und das Datum der förmlichen Genehmigung durch die Leitungsorgane. Die Leitungsorgane überprüfen das Konzept mindestens jährlich sowie bei erheblichen Sicherheitsvorfällen oder wesentlichen Änderungen (CIR 1.1.1, 1.1.2) [3]. Die ENISA ergänzt: Das übergeordnete Konzept bildet die oberste Ebene; darunter stehen zehn themenspezifische Richtlinien, die die CIR verlangt (u. a. Risikomanagement, Incident-Handling, Lieferkette, Sicherheitstests, Kryptografie, Zugriffskontrolle, Wechseldatenträger) — ob als Einzeldokumente oder in einem Gesamtdokument, entscheidet die Einrichtung. Beschäftigte und relevante externe Parteien sollen das Konzept, gegebenenfalls als Auszug, zur Kenntnis nehmen und bestätigen, etwa per Unterschrift oder digitaler Bestätigung. Themenspezifische Richtlinien sollen von einer angemessenen Managementebene genehmigt werden, und das Konzept soll Regeln für Ausnahmen enthalten. Aktualisierungen sollen auf den spezifischen Risiken beruhen, die die Einrichtung in ihrer Risikobewertung ermittelt hat [1].

Section 2 — Risikomanagement

Die CIR verlangt einen Rahmen für das Risikomanagement mit Risikokriterien, einer Risikobewertung nach einem gefahrenübergreifenden Ansatz, die auch Erkenntnisse aus Cyber-Threat-Intelligence berücksichtigt, einem Risikobehandlungsplan und einer Überprüfung mindestens jährlich (CIR 2.1.2, 2.1.4). Hinzu kommen Compliance-Überwachung (2.2) und unabhängige Überprüfungen durch Personen mit angemessener Prüfungskompetenz (2.3) [3]. Die ENISA nennt als Behandlungsoptionen Vermeidung, Minderung, Transfer bzw. Teilung und Akzeptanz und gibt zahlreiche Beispiele für Risikoakzeptanzkriterien — etwa die Akzeptanz eines Risikos, wenn die Kosten der Minderung den möglichen Schaden übersteigen. Der gefahrenübergreifende Ansatz soll nicht nur Cyberrisiken abdecken, sondern auch natürliche oder menschengemachte, unbeabsichtigte oder vorsätzliche Gefahren. Compliance-Überwachung und unabhängige Überprüfungen sollen nach den ENISA-Leitlinien mindestens jährlich stattfinden, die Ergebnisse den Leitungsorganen berichtet werden. Lässt die Größe einer Einrichtung keine Trennung zwischen Prüfenden und geprüftem Bereich zu, verlangt die CIR alternative Maßnahmen, die die Unparteilichkeit sichern (2.3.2) [1] [3].

Section 3 — Incident Handling

Die CIR verlangt eine Richtlinie zur Bewältigung von Sicherheitsvorfällen mit Kategorisierungssystem, Kommunikations- und Eskalationsplänen und Rollenverteilung, die mit dem Notfall- und Wiederherstellungsplan kohärent ist (3.1). Dazu kommen Monitoring und Protokollierung (3.2), Meldewege für Ereignisse (3.3), die Bewertung und Klassifizierung von Ereignissen — einschließlich einer vierteljährlichen Prüfung auf wiederkehrende Vorfälle (3.4.2) —, die Reaktion auf Vorfälle (3.5) und Nachbetrachtungen, die möglichst die Ursache ermitteln und in Risikobehandlung, Erkennung und Reaktion einfließen (3.6) [3]. Die ENISA empfiehlt, für Korrelation und Analyse den Einsatz von SIEM-, EDR-/XDR- oder ähnlichen Systemen zu erwägen, Playbooks oder Runbooks für häufige Vorfallarten (etwa Ransomware, Phishing, Daten- oder Geräteverlust, Brand) bereitzuhalten und die Reaktionsverfahren mindestens jährlich zu testen, etwa durch Tabletop-Übungen, Simulationen oder Red-/Blue-Team-Übungen [1]. In Deutschland müssen diese Abläufe zu den NIS2-Meldefristen nach § 32 BSIG passen: frühe Erstmeldung spätestens 24 Stunden und Meldung spätestens 72 Stunden nach Kenntniserlangung von einem erheblichen Sicherheitsvorfall, Abschlussmeldung spätestens einen Monat nach der Meldung, jeweils an die gemeinsame Meldestelle von BSI und BBK [5].

Section 4 — Betriebskontinuität

Die CIR verlangt einen Notfall- und Wiederherstellungsplan, eine Business Impact Analysis (BIA) als Grundlage der Kontinuitätsanforderungen (4.1.3), Backup- und Redundanzmanagement (4.2) sowie einen Prozess für das Krisenmanagement (4.3) [3]. Die ENISA empfiehlt, die 3-2-1-Regel zu erwägen: drei Kopien der Daten (Original plus zwei Backups) auf zwei verschiedenen Speichermedien, davon eine Kopie an einem externen Standort. Die Integrität der Backups soll innerhalb einer festgelegten Aufbewahrungsfrist vor Veränderung und Löschung — etwa durch Ransomware — geschützt werden, zum Beispiel durch Malware-Scans vor der Speicherung, unveränderliche (immutable) oder offline gelagerte Backups. Notfall- und Wiederherstellungspläne sollen mindestens jährlich getestet und überprüft werden, der Krisenmanagementprozess ebenfalls jährlich. Als Referenzen nennt die ENISA unter anderem ISO 22301, ISO 22313 und NIST SP 800-34 Rev. 1 [1].

Section 5 — Lieferkettensicherheit

Die CIR verlangt eine Richtlinie für die Sicherheit der Lieferkette, die die Beziehungen zu direkten Lieferanten und Diensteanbietern regelt (5.1.1). Verträge sollen — soweit angemessen — unter anderem Cybersicherheitsanforderungen, die unverzügliche Meldung von Sicherheitsvorfällen, ein Prüfungsrecht oder das Recht auf Erhalt von Prüfberichten, den Umgang mit Schwachstellen und Regeln für Unterauftragnehmer enthalten (5.1.4). Außerdem ist ein aktuelles Verzeichnis der direkten Lieferanten und Diensteanbieter zu führen (5.2) [3]. Die ENISA empfiehlt, Richtlinie und Verzeichnis mindestens jährlich zu überprüfen und Lieferanten zu klassifizieren, etwa als kritisch, strategisch oder routinemäßig. Bemerkenswert sind die Hinweise zu freier und Open-Source-Software (FOSS): Wer FOSS ohne Kauf- oder Dienstleistungsvertrag nutzt, kann den Entwicklergemeinschaften keine Pflichten über die Lizenzbedingungen hinaus auferlegen; solche Projekte gelten dann in der Regel nicht als direkte Lieferanten. Die ENISA regt an, entsprechende Communities zu unterstützen und Updates und Patches der genutzten Komponenten zu verfolgen [1]. Mehr zur deutschen Rechtslage im Beitrag zur Lieferkettensicherheit.

Section 6 — Sichere Entwicklung und Beschaffung

Dies ist mit rund 30 Seiten der umfangreichste Abschnitt der ENISA-Leitlinien. Er umfasst zehn Unterabschnitte: Sicherheit beim Erwerb von IKT-Diensten und -Produkten, sicherer Entwicklungslebenszyklus, Konfigurationsmanagement, Änderungsmanagement, Sicherheitstests, Patch-Management, Netzwerksicherheit, Netzwerksegmentierung, Schutz vor Schadsoftware sowie Umgang mit und Offenlegung von Schwachstellen [1]. Die CIR verlangt unter anderem Regeln für die sichere Entwicklung, die Prinzipien wie Cybersicherheit durch Technikgestaltung und Zero-Trust-Architekturen fördern (6.2), sichere Basiskonfigurationen (6.3), eine Richtlinie für Sicherheitstests (6.5) und ein Verfahren zur Offenlegung von Schwachstellen im Einklang mit der nationalen Richtlinie zur koordinierten Offenlegung (6.10.2). Auf Sicherheitspatches dürfen Einrichtungen nach CIR 6.6.2 nur verzichten, wenn die Nachteile den Sicherheitsgewinn überwiegen; die Gründe sind dann ordnungsgemäß zu dokumentieren und zu begründen [3]. Die ENISA empfiehlt etwa, Konfigurationen mindestens monatlich darauf zu prüfen, ob Patches eingespielt, Backups planmäßig gelaufen und Überwachungsmechanismen aktiv sind, und Abweichungen von der Basiskonfiguration nur als dokumentierte, genehmigte Ausnahmen mit Ersatzmaßnahmen zuzulassen [1].

Section 7 — Wirksamkeitsbewertung

Die CIR verlangt Konzepte und Verfahren, mit denen die Wirksamkeit der Risikomanagementmaßnahmen bewertet wird. Festzulegen ist unter anderem, was mit welchen Methoden, wann und von wem gemessen und ausgewertet wird (7.1, 7.2) [3]. Die ENISA nennt als Methoden Selbstbewertung, Benchmarking gegen Checklisten oder Standards, Schwachstellenbewertungen, Penetrationstests, Code-Reviews, Audits und Leistungsmonitoring. Als Beispiele für KPIs führt sie unter anderem Implementierungs- und Betriebskosten, die Zahl geschulter Beschäftigter, die Zahl gefundener Schwachstellen und Vorfälle, die Zeit bis zur Behebung, Reaktionszeiten und die Zahl der Nichtkonformitäten an. Als unverbindliche Orientierung für die Intervalle schlägt sie vor: Maßnahmen gegen Echtzeitbedrohungen (z. B. Firewalls, IDS/IPS) kontinuierlich, bedrohungsbezogene Maßnahmen wie Schwachstellenmanagement und Incident-Response-Pläne halbjährlich (im Original „biannually“), die Gesamtwirksamkeit aller Maßnahmen jährlich sowie anlassbezogen nach Vorfällen oder wesentlichen Änderungen. Das Konzept zur Wirksamkeitsbewertung selbst soll mindestens alle zwei Jahre überprüft werden [1].

Section 8 — Schulung und Sensibilisierung

Die CIR verlangt ein Sensibilisierungsprogramm für alle Beschäftigten einschließlich der Mitglieder der Leitungsorgane und, soweit angemessen, für direkte Lieferanten und Diensteanbieter. Es ist zeitlich so anzulegen, dass die Aktivitäten wiederholt werden und neue Beschäftigte erfassen (8.1.2). Beschäftigte in sicherheitsrelevanten Rollen erhalten regelmäßige Schulungen, deren Wirksamkeit zu bewerten ist (8.2) [3]. Die ENISA nennt als Inhalte der Sensibilisierung unter anderem Clear-Desk- und Clear-Screen-Regeln, starke Authentifizierung, das Melden von Ereignissen, sicheren Umgang mit E-Mail und Web, Schutz vor Phishing und Social Engineering, Backups und sichere Telearbeit. Die Wirksamkeit soll etwa mit Quizzen oder realen Szenarien getestet und das Programm mindestens jährlich überprüft werden. Für Schulungen empfiehlt sie rollenspezifische Inhalte und verweist auf den European Cybersecurity Skills Framework (ECSF) [1]. Für die Geschäftsleitung besteht in Deutschland zusätzlich eine eigene Pflicht zur regelmäßigen Teilnahme an Schulungen nach § 38 Abs. 3 BSIG [5].

Section 9 — Kryptografie und Schlüsselmanagement

Die CIR verlangt eine Richtlinie und Verfahren zur Kryptografie, die — abgestimmt auf die Klassifizierung der Assets — Art, Stärke und Qualität der kryptografischen Maßnahmen für ruhende und übertragene Daten, die zugelassenen Protokolle und Algorithmen, gegebenenfalls einen Ansatz der Krypto-Agilität sowie das Schlüsselmanagement über den gesamten Lebenszyklus festlegen (9.2) [3]. Die ENISA empfiehlt, die Auswahl am Stand der Technik auszurichten, und nennt dafür beispielhaft NIST-Publikationen, ISO/IEC-Normen und die BSI TR-02102-1. Als Nachweis dienen etwa Listen akzeptierter Algorithmen, Schlüssellängen und Protokolle. Zur Krypto-Agilität gehört nach ENISA auch Zukunftssicherheit, indem Quantenkryptografie-Algorithmen berücksichtigt werden. Schlüsselmanagement-Aktivitäten — mindestens Erzeugung bzw. Erneuerung, Übertragung und Vernichtung bzw. Widerruf von Schlüsseln — sollen protokolliert und die Richtlinie mindestens jährlich überprüft werden [1].

Section 10 — Personalsicherheit

Die CIR verlangt, dass Beschäftigte und, soweit zutreffend, direkte Lieferanten und Diensteanbieter ihre Sicherheitsverantwortung verstehen und sich zu ihr verpflichten (10.1.1). Hinzu kommen eine Überprüfung des Hintergrunds, soweit durchführbar und für die Rolle erforderlich (10.2), vertraglich geregelte Pflichten, die nach Beendigung oder Wechsel der Beschäftigung fortgelten, etwa Vertraulichkeitsklauseln (10.3), sowie ein Disziplinarverfahren bei Verstößen gegen Sicherheitsrichtlinien (10.4). Die Zuweisung von Personal zu Sicherheitsrollen ist mindestens jährlich zu überprüfen (10.1.3) [3]. Die ENISA empfiehlt, die Rollen mit Überprüfungsbedarf anhand festgelegter Kriterien zu bestimmen, Zugänge bei Austritt oder Rollenwechsel zeitnah zu entziehen, zurückzugebende Assets zu dokumentieren und das Disziplinarverfahren gemeinsam mit der Personalabteilung im Einklang mit Arbeitsrecht und DSGVO auszugestalten. Stellenbeschreibungen sollen Rechte und Verantwortlichkeiten klar beschreiben [1]. Bei Hintergrundüberprüfungen sind in Deutschland die arbeits- und datenschutzrechtlichen Grenzen zu beachten.

Section 11 — Zugangskontrolle

Die CIR verlangt Zugriffskontrollrichtlinien, die Vergabe und den Entzug von Zugriffsrechten nach den Grundsätzen Need-to-know, Least Privilege und Funktionstrennung sowie ein Register der vergebenen Zugriffsrechte (11.2.2). Für die Systemadministration sind eigene Konten zu verwenden (11.3.2), inaktive Sitzungen nach einer festgelegten Zeit zu beenden (11.6.2), und gemeinsam genutzte Identitäten sind nur bei geschäftlicher oder betrieblicher Notwendigkeit mit ausdrücklichem Genehmigungsverfahren zulässig (11.5.3). Multi-Faktor-Authentifizierung oder kontinuierliche Authentifizierung ist nach CIR 11.7.1 „soweit angemessen“ und entsprechend der Klassifizierung der Assets einzusetzen; für privilegierte und Administrationskonten verlangt 11.3.2 starke Authentifizierung, etwa MFA [3]. Die ENISA empfiehlt, MFA insbesondere für Fernzugriffe, Administrationssysteme und sensible Informationen in Betracht zu ziehen, MFA auf aus dem Internet erreichbaren Systemen wie E-Mail, Remote Desktop und VPN durchzusetzen und wo möglich phishing-resistente Verfahren zu nutzen. Aktive Identitäten sollen mindestens vierteljährlich überprüft werden (bei Kleinstunternehmen jährlich), Zugriffsrechte mindestens jährlich. Zero-Trust-Konzepte nennt die ENISA als Option, soweit angemessen [1]. Mehr dazu im Beitrag zu den MFA-Anforderungen.

Section 12 — Asset-Management

Die CIR verlangt Klassifizierungsstufen für alle Assets einschließlich Informationen nach Vertraulichkeit, Integrität, Authentizität und Verfügbarkeit (12.1) und eine Richtlinie für den Umgang mit Assets über den gesamten Lebenszyklus — einschließlich unwiderruflicher Löschung und Vernichtung (12.2.2). Für Wechseldatenträger ist eine Richtlinie vorgeschrieben, die den Anschluss technisch unterbindet, sofern kein organisatorischer Grund besteht, die automatische Ausführung deaktiviert und eine Prüfung auf Schadcode vorsieht (12.3.2). Hinzu kommt ein vollständiges, genaues, aktuelles und konsistentes Asset-Inventar mit nachvollziehbarer Änderungshistorie (12.4) [3]. Die ENISA nennt als Beispiel ein dreistufiges Schema (öffentlich, intern, vertraulich), empfiehlt, die Klassifizierung mindestens jährlich zu überprüfen, und schlägt für das Inventar Angaben wie eindeutige Kennung, Asset-Typ, Eigentümer, Standort, Datum des letzten Updates bzw. Patches und Klassifizierung vor. Als Tipp empfiehlt sie Werkzeuge zur automatisierten Erkennung und Verfolgung von Assets — alternativ manuelle Aktualisierungsverfahren [1].

Section 13 — Umgebungsbezogene und physische Sicherheit

Die CIR verlangt Schutz vor dem Ausfall von Versorgungseinrichtungen wie Strom, Telekommunikation, Wasser, Gas, Lüftung und Klimatisierung — soweit angemessen mit Redundanz und Verträgen über die Notversorgung (13.1). Gegen physische und umweltbedingte Bedrohungen sind Schutzmaßnahmen mit festgelegten Mindest- und Höchstschwellenwerten und einer Überwachung der Umgebungsparameter vorgesehen (13.2), außerdem Sicherheitsperimeter, Zutrittskontrollen und eine kontinuierliche Überwachung der Räumlichkeiten auf unbefugten Zutritt (13.3) [3]. Die ENISA nennt als Beispiele unter anderem Ausweise, Zutrittsprotokolle, Besuchermanagement und Videoüberwachung, empfiehlt regelmäßige Tests wie vierteljährliche Brandschutzübungen und jährliche Bewertungen der physischen Sicherheit und rät, die physische mit der logischen Zugriffskontrolle zu verknüpfen. Für vollständig remote arbeitende Organisationen ohne eigene Räumlichkeiten verlagert sich der Schwerpunkt nach ENISA auf starke logische Zugriffskontrollen; bei Cloud- oder Colocation-Anbietern werden physische Kontrollen vertraglich und über Prüfberichte abgesichert [1].

Praktische Erkenntnisse für KMU

Die ENISA-Leitlinien enthalten kein eigenes KMU-Kapitel. Die CIR verlangt aber, Risikoexposition und Größe der Einrichtung bei der Umsetzung gebührend zu berücksichtigen (Art. 2 Abs. 2), und die Leitlinien sehen an einzelnen Stellen Erleichterungen für Kleinstunternehmen vor [1] [3]. Die folgende Priorisierung ist unsere redaktionelle Einschätzung, keine Vorgabe der ENISA oder des BSI.

Fünf erste Schritte (Phase 1)

1. Risikobewertungsmethodik dokumentieren und eine erste Bewertung durchführen. Darauf baut alles Weitere auf. Ohne dokumentierte Methodik lässt sich die Verhältnismäßigkeit der Maßnahmen nach § 30 Abs. 1 BSIG kaum darlegen, und die Einhaltung der Pflichten ist ohnehin zu dokumentieren (§ 30 Abs. 1 Satz 3 BSIG). Die ENISA nennt als mögliches Risikoakzeptanzkriterium ausdrücklich den Fall, dass die Kosten der Minderung den möglichen Schaden übersteigen — die Begründung gehört in die Dokumentation.
2. Erkennungs- und Meldeprozess für Sicherheitsvorfälle einrichten. Erhebliche Sicherheitsvorfälle sind nach § 32 BSIG spätestens 24 Stunden nach Kenntniserlangung mit einer frühen Erstmeldung zu melden. Legen Sie vorab fest, wer nach welchen Kriterien alarmiert wird und wie die Meldung aussieht.
3. MFA für Administrations- und Fernzugriffe einführen. Die CIR verlangt MFA nicht ausnahmslos, sondern soweit angemessen und entsprechend der Klassifizierung der Assets; die ENISA empfiehlt MFA aber gerade für Fernzugriffe, Administrationssysteme und aus dem Internet erreichbare Systeme. Für viele KMU gehört das zu den wirksamsten Maßnahmen mit vergleichsweise geringem Aufwand.
4. Backups anlegen und die Wiederherstellung testen. Die ENISA empfiehlt, Backups gegen Veränderung und Löschung — etwa durch Ransomware — zu schützen, zum Beispiel mit unveränderlichen oder offline gelagerten Kopien, und Notfall- und Wiederherstellungspläne mindestens jährlich zu testen. Ein nie getestetes Backup bietet keine verlässliche Sicherheit.
5. Lieferantenverzeichnis anlegen und die wichtigsten Lieferanten bewerten. Erfassen Sie, welche Lieferanten Zugang zu Ihren Systemen oder Daten haben, priorisieren Sie die kritischen und dokumentieren Sie die Bewertung. Schon ein schlanker Fragebogen ist ein Anfang.

Phase 2 — Was zurückgestellt werden kann (aber nicht vergessen werden sollte)

Bei knappen Ressourcen können die folgenden Punkte nach einer dokumentierten Risikoabwägung später folgen. Die ENISA formuliert sie selbst überwiegend als Optionen:

• Fortgeschrittene Monitoring-Infrastruktur (SIEM, SOAR)
• Werkzeuge zur automatisierten Asset-Erkennung (ein sorgfältig gepflegtes Inventar ist ein vertretbarer Anfang)
• Planung der Umstellung auf quantenresistente Kryptografie
• Eine vollständige Zero-Trust-Architektur

Die CIR lässt bewusst Spielraum: Lässt die Größe einer Einrichtung keine Trennung zwischen Prüfenden und geprüftem Bereich zu, sind alternative Maßnahmen zur Sicherung der Unparteilichkeit unabhängiger Überprüfungen zu ergreifen (Anhang 2.3.2). Wo der Anhang eine Anforderung nur „soweit angemessen“, „soweit anwendbar“ oder „soweit durchführbar“ verlangt, kann eine Einrichtung davon absehen, muss ihre Begründung aber in verständlicher Weise dokumentieren (Art. 2 Abs. 2 Unterabs. 2). Für Einrichtungen außerhalb der CIR gilt in Deutschland der Verhältnismäßigkeitsmaßstab des § 30 Abs. 1 BSIG. Entscheidend ist in beiden Fällen die Dokumentation: Sie zeigt, dass jeder Bereich betrachtet und verhältnismäßig entschieden wurde [1] [3] [5].

Eine strukturierte Checkliste für alle Maßnahmenbereiche finden Sie in unserer NIS2-Compliance-Checkliste.

Wie sich unsere Vorlagen an den ENISA-Leitlinien orientieren

Die Dokumentvorlagen auf dieser Website orientieren sich an den Maßnahmenbereichen des § 30 Abs. 2 BSIG bzw. Art. 21 Abs. 2 NIS2 und berücksichtigen die Dokumentations- und Nachweisanforderungen, die CIR und ENISA beschreiben. Die folgende Übersicht zeigt, welche Dokumente und Nachweise den einzelnen Abschnitten typischerweise zugeordnet sind:

ENISA-Abschnitt	Typische Dokumente und Nachweise (nach CIR / ENISA)
Section 1 — Sicherheitskonzept	Konzept für die Sicherheit von Netz- und Informationssystemen mit Genehmigungsdatum, themenspezifische Richtlinien, Rollen- und Verantwortlichkeitsmatrix
Section 2 — Risikomanagement	Risikomanagement-Methodik mit Akzeptanzkriterien, Risikoregister, Risikobehandlungsplan, Berichte zu Compliance-Überwachung und unabhängiger Überprüfung
Section 3 — Incident Handling	Richtlinie zur Vorfallbewältigung, Klassifizierungsschema, Playbooks, Eskalations- und Kontaktlisten, Nachbetrachtungsberichte
Section 4 — Betriebskontinuität	Business Impact Analysis, Notfall- und Wiederherstellungsplan, Backup-Konzept, Krisenmanagementplan, Testprotokolle
Section 5 — Lieferkette	Lieferkettenrichtlinie, Lieferantenverzeichnis, Vertragsklauseln, Bewertungsfragebogen
Section 6 — Sichere Entwicklung	Regeln für sichere Entwicklung, Basiskonfigurationen, Änderungs- und Patch-Verfahren, Richtlinie für Sicherheitstests, Verfahren zur Schwachstellenoffenlegung
Section 7 — Wirksamkeitsbewertung	Konzept zur Wirksamkeitsbewertung, KPI-Übersicht, Prüf- und Bewertungsplan
Section 8 — Schulung und Sensibilisierung	Sensibilisierungsprogramm, rollenbezogener Schulungsplan, Teilnahmenachweise
Section 9 — Kryptografie	Kryptografie-Richtlinie, Liste zugelassener Algorithmen und Protokolle, Schlüsselmanagement-Verfahren
Section 10 — Personalsicherheit	Verfahren für Eintritt, Rollenwechsel und Austritt, Verfahren zur Hintergrundüberprüfung, Disziplinarverfahren
Section 11 — Zugangskontrolle	Zugriffskontrollrichtlinie, Richtlinie für privilegierte Konten, Register der Zugriffsrechte, Protokolle der Rechteüberprüfung
Section 12 — Asset-Management	Klassifizierungsschema, Richtlinie für den Umgang mit Assets, Asset-Inventar, Richtlinie für Wechseldatenträger
Section 13 — Physische Sicherheit	Richtlinie zur physischen Sicherheit, Liste der Zutrittsberechtigten, Test- und Prüfberichte

Unsere Pakete enthalten Vorlagen für viele dieser Dokumentarten; welche Dokumente in welchem Paket enthalten sind, zeigt die Produktübersicht. Vorlagen ersetzen nicht die Anpassung an die eigene Risikolage — auch die ENISA betont, dass Aktualisierungen des Sicherheitskonzepts auf den spezifischen Risiken der Einrichtung beruhen sollen.

Wenn Ihre Organisation bereits nach ISO 27001 zertifiziert ist, zeigt unser Vergleich NIS2 vs. ISO 27001, wo typische Lücken liegen.

Häufig gestellte Fragen

Ist der ENISA-Leitfaden zu NIS2 verbindlich?

Nein. Die ENISA bezeichnet ihre Technical Implementation Guidance ausdrücklich als nicht rechtsverbindlich und rein beratend [1]. Verbindlich ist für die elf erfassten Einrichtungsarten die Durchführungsverordnung (EU) 2024/2690; in Deutschland hat sie für diese Einrichtungsarten nach § 30 Abs. 3 BSIG Vorrang [3] [5]. Für alle anderen besonders wichtigen und wichtigen Einrichtungen gilt § 30 BSIG. Die Mitgliedstaaten bleiben frei darin, wie sie die Anforderungen beaufsichtigen; die Leitlinien können den Behörden aber helfen, ihren Aufsichtsansatz zu entwickeln [1].

Garantiert die Befolgung der ENISA-Leitlinien NIS2-Konformität?

Nein. Die ENISA stellt selbst klar, dass die teilweise oder vollständige Umsetzung ihrer Leitlinien, Nachweisbeispiele und Tipps keine Konformität mit der Durchführungsverordnung bedeutet; Einrichtungen können auch andere Wege und Nachweise wählen [1]. Ob die Maßnahmen geeignet und verhältnismäßig sind, beurteilt in Deutschland das BSI im Rahmen seiner Aufsicht nach dem BSIG [5]. Eine erkennbar an den Leitlinien orientierte und gut dokumentierte Umsetzung ist aber eine solide Grundlage, um die eigenen Entscheidungen zu begründen.

Wo kann ich den ENISA-Leitfaden zu NIS2 herunterladen?

Die Leitlinien stehen kostenlos auf der ENISA-Publikationsseite zum Download bereit. Dort findet sich auch die Mapping-Tabelle im Excel-Format. Das am selben Tag veröffentlichte Dokument Cybersecurity Roles and Skills for NIS2 Essential and Important Entities ist separat auf der ENISA-Website abrufbar. Die Leitlinien liegen nur in englischer Sprache vor [1] [2].

Wie oft aktualisiert die ENISA den Leitfaden?

Die ENISA bezeichnet die Leitlinien als „lebendes Dokument“, das in regelmäßigen Abständen gemeinsam mit der Europäischen Kommission und der NIS-Kooperationsgruppe überprüft werden soll; einen festen Revisionsplan hat sie nicht veröffentlicht. Die Leitlinien selbst liegen weiterhin in Version 1.0 vom Juni 2025 vor. Die Mapping-Tabelle wurde bereits zweimal aktualisiert (Version 1.1 vom 10.07.2025, Version 1.2 vom 21.08.2025). Prüfen Sie vor wichtigen Entscheidungen auf der Publikationsseite, ob Sie mit der aktuellen Fassung arbeiten [1].

Was unterscheidet den ENISA-Leitfaden von der Durchführungsverordnung (EU) 2024/2690?

Die Durchführungsverordnung (EU) 2024/2690 ist ein Durchführungsrechtsakt der Kommission vom 17. Oktober 2024. Sie legt für elf Einrichtungsarten verbindlich fest, welche technischen und methodischen Anforderungen an die Risikomanagementmaßnahmen nach Art. 21 Abs. 2 NIS2 gelten [3]. Die ENISA-Leitlinien sind ein separates, unverbindliches Dokument, das erläutert, wie diese Anforderungen umgesetzt und nachgewiesen werden können [1]. Die Verordnung definiert die Pflicht; die Leitlinien zeigen mögliche Wege zu ihrer Erfüllung.

Für welche Einrichtungen gilt die Durchführungsverordnung (EU) 2024/2690?

Nach Art. 1 gilt sie für DNS-Diensteanbieter, TLD-Namenregister, Anbieter von Cloud-Computing-Diensten, Anbieter von Rechenzentrumsdiensten, Betreiber von Content Delivery Networks, Managed Service Provider, Managed Security Service Provider, Anbieter von Online-Marktplätzen, Online-Suchmaschinen und Plattformen für Dienste sozialer Netzwerke sowie Vertrauensdiensteanbieter [3]. In Deutschland hat sie für diese Einrichtungsarten nach § 30 Abs. 3 BSIG Vorrang vor § 30 Abs. 2 BSIG [5]. Für alle übrigen Einrichtungen gilt § 30 BSIG; die ENISA-Leitlinien können ihnen allenfalls als unverbindliche Orientierung dienen. Ob Ihre Organisation betroffen ist, klärt unser Leitfaden zum NIS2-Anwendungsbereich.

Dieser Beitrag dient der allgemeinen Information und stellt keine Rechtsberatung dar. Die Anforderungen können je nach Einrichtungsart und Sektor abweichen. Bitte lassen Sie sich für Ihre konkrete Situation von einer qualifizierten Rechts- oder Compliance-Beratung unterstützen.

Quellen

1. ENISA, Technical Implementation Guidance on Commission Implementing Regulation (EU) 2024/2690, Version 1.0, Juni 2025 (veröffentlicht am 26.06.2025), mit Mapping-Tabelle Version 1.2 (21.08.2025) — ENISA-Publikationsseite
2. ENISA, „Supporting NIS2 implementation through actionable guidance“, Pressemitteilung vom 26.06.2025 — enisa.europa.eu
3. Durchführungsverordnung (EU) 2024/2690 der Kommission vom 17. Oktober 2024 (ABl. L, 18.10.2024), insbesondere Art. 1, 2 und Anhang — Volltext (ELI/EUR-Lex)
4. Richtlinie (EU) 2022/2555 (NIS2-Richtlinie), insbesondere Art. 21 — Volltext (ELI/EUR-Lex)
5. BSI-Gesetz (BSIG) in der Fassung des NIS2UmsuCG (BGBl. 2025 I Nr. 301), insbesondere §§ 28, 30, 32 und 38 — gesetze-im-internet.de