Penetrationstest nach NIS2: § 30 BSIG nennt ihn nie — Ablauf, Anbieterwahl und Kosten richtig ableiten

Suchen Sie im Volltext des § 30 BSIG nach dem Wort „Penetrationstest“, finden Sie null Treffer. Auch „Sicherheitstest“, „Prüfung“, „Test“, „Audit“, „Nachweis“ und „jährlich“ kommen in der Norm, die Ihre Risikomanagementmaßnahmen regelt, kein einziges Mal vor. In der EU-Durchführungsverordnung 2024/2690 taucht „Penetrationstest“ genau einmal auf — in Erwägungsgrund 15, also im nicht bindenden Vorspann.

Das heißt nicht, dass Sie keinen Test brauchen. Es heißt, dass die Aufsicht etwas anderes prüft, als die meisten Einkaufsabteilungen einkaufen: nicht den Bericht, sondern die Begründung, warum genau dieser Umfang, diese Häufigkeit und diese Testart gewählt wurden — und was mit jeder einzelnen Feststellung geschehen ist. Wer das verstanden hat, kauft anders ein, verhandelt andere Vertragsklauseln und gibt in vielen Fällen weniger Geld aus.

Was das Gesetz wirklich verlangt — und was nicht

Kurzfassung für Eilige: Die Pflicht ist ein dokumentiertes Sicherheitsprüfprogramm, dessen Umfang aus Ihrer Risikobewertung folgt. Der Penetrationstest ist eine von neun anerkannten Methoden, dieses Programm zu füllen — nicht die Pflicht selbst.

Die bindende Norm ist Anhang 6.5 („Sicherheitsprüfung“) der Durchführungsverordnung (EU) 2024/2690, die Artikel 21 Absatz 2 Buchstabe e der NIS-2-Richtlinie konkretisiert. Nummer 6.5.2 verlangt vier Dinge: den Umfang aus der Risikobewertung nach Nummer 2.1 ableiten, nach einer dokumentierten Prüfmethode testen, „Art, Umfang, Zeitraum und Ergebnisse der Prüfungen, einschließlich der Bewertung der Kritikalität und der Risikominderungsmaßnahmen für jede Feststellung“ dokumentieren und bei kritischen Feststellungen Risikominderungsmaßnahmen anwenden. Anhang 6.5 nennt keine einzige Testart namentlich.

Häufig wird stattdessen Anhang 7 als Fundstelle genannt. Das ist eine andere Baustelle: Anhang 7 setzt Artikel 21 Absatz 2 Buchstabe f um (Wirksamkeitsbewertung), besteht aus den Nummern 7.1 bis 7.3 und verlangt in 7.2 sechs Bestimmungen — was gemessen wird, mit welchen Methoden, wann, durch wen, wann ausgewertet und durch wen ausgewertet. Auch Anhang 7 listet keine Testmethoden auf. Die bekannte Aufzählung „automatische oder manuelle Tests, Penetrationstests, eine Schwachstellensuche, statische und dynamische Prüfungen der Sicherheit von Anwendungen, Konfigurationstests oder Sicherheitsaudits“ steht in Erwägungsgrund 15 — und Erwägungsgründe begründen keine Pflichten, sie erläutern die Absicht des Gesetzgebers.

Ihre Einrichtung	Was unmittelbar gilt	Wo die Prüfpflicht steht
DNS, TLD-Register, Cloud, Rechenzentrum, CDN, MSP, MSSP, Online-Marktplatz, Suchmaschine, soziales Netzwerk, Vertrauensdienst (11 Arten nach Art. 1 CIR)	CIR 2024/2690 unmittelbar; nach § 30 Abs. 3 BSIG mit Vorrang vor Absatz 2	Anhang 6.5 (Prüfung) und Anhang 7 (Wirksamkeit)
Alle übrigen Sektoren nach Anhang I und II (Energie, Gesundheit, Wasser, Verkehr, Fertigung, Abfall …)	§ 30 BSIG — der CIR gilt für Sie nicht unmittelbar	§ 30 Abs. 2 Nr. 5 (Schwachstellen) und Nr. 6 (Wirksamkeit), ausgelegt anhand des CIR als Maßstab

Dieser Unterschied wird selten sauber gezogen, ist aber praktisch folgenreich: Ein Maschinenbauer schuldet keine Erfüllung von Anhang 6.5.2 Buchstabe c. Er schuldet „geeignete, verhältnismäßige und wirksame“ Maßnahmen nach § 30 Absatz 1 Satz 1 — und tut gut daran, sich am CIR zu orientieren, weil das BSI ihn als Auslegungsmaßstab heranzieht. Welche zehn Maßnahmenfelder das im Einzelnen sind, ordnet unser Überblick zu den zehn Risikomanagementmaßnahmen ein; die übergeordnete Systematik von Prüfung und Wirksamkeitsbewertung behandelt der Leitfaden zu Sicherheitstests und Wirksamkeitsbewertung.

Wer wann wirklich nach Ihrem Bericht fragt

Kurzfassung: Routinemäßige Nachweisanordnungen kann das BSI frühestens ab dem 6. Dezember 2028 aussprechen. Anlassbezogen kann es Sie ab sofort erreichen — und dann verlangt es mehr als den Bericht.

Das BSIG unterscheidet zwei Aufsichtsregime. Gegenüber besonders wichtigen Einrichtungen kann das BSI nach § 61 Absatz 1 anordnen, „Audits, Prüfungen oder Zertifizierungen von unabhängigen Stellen“ durchführen zu lassen — ohne Anlass. Die breite Anordnung, Nachweise vorzulegen, ist gegenüber den übrigen besonders wichtigen Einrichtungen nach § 61 Absatz 3 Satz 1 dagegen erst „frühestens drei Jahre nach Inkrafttreten dieses Gesetzes“ zulässig. Das Gesetz ist am 6. Dezember 2025 in Kraft getreten; für zugelassene Krankenhäuser nach § 108 SGB V nennt Satz 5 sogar fünf Jahre. Für wichtige Einrichtungen gilt § 62: Das BSI wird nur tätig, wenn „Tatsachen die Annahme rechtfertigen“, dass § 30 nicht richtig umgesetzt wird — dann aber mit dem vollen Werkzeugkasten des § 61.

Kategorie	Anlasslose Prüfanordnung	Routinemäßige Nachweisanordnung	Realistischer Auslöser
Besonders wichtige Einrichtung	ab sofort (§ 61 Abs. 1 und Abs. 5)	frühestens 06.12.2028 (§ 61 Abs. 3 S. 1)	Risikoexposition, Größe, Schwere möglicher Vorfälle (§ 61 Abs. 4)
Zugelassenes Krankenhaus (§ 108 SGB V)	ab sofort	frühestens 06.12.2030 (§ 61 Abs. 3 S. 5)	wie oben
Wichtige Einrichtung	nur anlassbezogen (§ 62)	nur anlassbezogen	meist die eigene Vorfallmeldung nach § 32

Entscheidend ist, was das BSI dann verlangen darf. § 61 Absatz 3 Satz 2 erlaubt „die Übermittlung der Ergebnisse der durchgeführten Audits, Prüfungen oder Zertifizierungen einschließlich der dabei aufgedeckten Sicherheitsmängel sowie die Vorlage der Dokumentation, die der Überprüfung zugrunde gelegt wurde“. Dazu kommen ein Mängelbeseitigungsplan und ein Nachweis über die erfolgte Beseitigung. Nach § 61 Absatz 5 kann das BSI außerdem selbst prüfen, sich dabei eines qualifizierten unabhängigen Dritten bedienen und Ihre Geschäftsräume während der üblichen Betriebszeiten betreten. Was das für Ihre Aktenführung bedeutet, vertieft der Beitrag zu den NIS2-Dokumentationspflichten; die Befugnisse im Detail beschreibt unsere Übersicht zum BSI als Aufsichtsbehörde.

Umfang und Häufigkeit ableiten — die Entscheidung, die Sie nicht delegieren können

Kurzfassung: „Einmal im Jahr“ steht nirgends im Normtext. Die Häufigkeit ist ein Ergebnis Ihrer Risikobewertung — und muss als solches begründet sein.

Anhang 6.5.2 Buchstabe a ist unmissverständlich: Die Einrichtungen „legen auf der Grundlage der gemäß Nummer 2.1 durchgeführten Risikobewertung die Notwendigkeit, den Umfang, die Häufigkeit und die Art der Sicherheitsprüfungen fest“. Häufigkeit ist damit eine abgeleitete Größe, kein Kalendereintrag. Wer jährlich testet, weil „man das so macht“, erfüllt Buchstabe a formal nicht besser als jemand, der alle drei Jahre testet — beide brauchen dieselbe Herleitung.

Die einzigen konkreten Intervalle stammen nicht aus dem Verordnungstext, sondern aus Empfehlungen, und sie widersprechen der Marktkonvention deutlich. Das BSI empfiehlt in seinem Praxis-Leitfaden, „alle zwei bis drei Jahre Wiederholungsprüfungen durchzuführen, da regelmäßig neue Schwachstellen und Angriffsmethoden bekannt werden“. Die ENISA-Leitlinie zur Durchführungsverordnung rät, die Testrichtlinie mindestens alle zwei Jahre zu überprüfen, und einrichtungsweite Tests „in geplanten Abständen oder bei erheblichen Vorfällen oder Änderungen“ durchzuführen. Beides sind Empfehlungen, keine Pflichten — aber beide sind belastbarer als die branchenübliche Jahresformel, für die sich in keinem der drei Dokumente eine Grundlage findet.

Wählen Sie die Testart nach dem Auslöser, nicht nach Gewohnheit. Die ENISA nennt zu Nummer 6.5.2 neun Verfahren — Schwachstellenbewertungen, Penetrationstests, Code-Review, Ethical Hacking, Bug-Bounty-Programme, Angriffssimulationen, Red Teaming, Protokollkonformitätstests und Cyber-Übungen — und stellt ausdrücklich frei, „das oder die am besten geeigneten auszuwählen“.

Auslöser	Geeignete Prüfart	Typische Prüftiefe
Erstinbetriebnahme eines internetexponierten Systems	Penetrationstest, vorher IS-Webcheck bei Webanwendungen	nicht invasiver Scan plus manuelle Prüfung
Wesentliche Architekturänderung, Cloud-Migration	Penetrationstest auf die geänderten Schnittstellen	moderat, Exploits nur bei erprobten Fällen
Laufender Betrieb ohne besonderen Anlass	Schwachstellenscan, technisches Sicherheitsaudit	gering, dafür häufig und automatisiert
Nach einem erheblichen Sicherheitsvorfall	Penetrationstest, nachdem die Beweissicherung abgeschlossen ist	hoch, eng auf den Angriffsweg fokussiert
Eigenentwickelte Software	Code-Review, SAST/DAST	Teil des Entwicklungsprozesses, nicht des Pentests

Der Ausgangspunkt dieser Ableitung ist die Risikobewertung nach Nummer 2.1 — wie sie methodisch aufgebaut wird, behandelt der Leitfaden zur NIS2-Risikobewertung. Für Systeme, deren Schwachstellen ohnehin laufend überwacht werden, ist der Test die Stichprobe, nicht der Regelprozess; die Trennlinie beschreibt der Beitrag zum Patch- und Schwachstellenmanagement.

Der Ablauf: sechs Arbeitspakete, vier Prüfmodule

Kurzfassung: Ein Penetrationstest ist kein Testtag, sondern ein Projekt mit Vor- und Nachlauf. Die Vorbereitung entscheidet über Kosten und Aussagekraft.

Das BSI gliedert den Ablauf in Einarbeitung der Prüfer, Anfangsgespräch, Einrichten der Arbeitsumgebung, praktische Prüfung, Abschlussgespräch und Bericht. Die praktische Prüfung zerfällt in vier Module: konzeptionelle Schwächen, Umsetzung der Härtungsmaßnahmen (offene Ports, Schnittstellen, Patchstände, Authentisierung, Regelwerke), bekannte Schwachstellen und — optional — der Einsatz von Exploits.

Schritt	Wer	Aufwand	Was dabei entsteht
1. Prüfobjekt und Prüfumfang aus der Risikobewertung ableiten	ISB gemeinsam mit Fachverantwortlichen	Mittel	Begründung nach 6.5.2 (a) — das wichtigste Dokument
2. Unterlagen bereitstellen: Netzpläne, Prüfobjektbeschreibung, Systemliste mit Härtungsmaßnahmen, Kommunikationsverbindungen	IT-Betrieb	Hoch beim ersten Mal, danach gering	Whitebox-Grundlage, senkt den Testaufwand spürbar
3. Vertrag, NDA, Datenschutz- und Personalvertretungs-Beteiligung	Recht, Datenschutzbeauftragter	Mittel	Schriftlicher Auftrag mit Prüfzeitraum, Prüfobjekt, Prüftiefe
4. Einarbeitung und Anfangsgespräch	Prüfer plus Ansprechpartner	Gering	Abgleich des Prüfobjektverständnisses
5. Praktische Prüfung (Module 1–4)	Prüferteam	Hoch	Rohbefunde, laufende Testdokumentation
6. Abschlussgespräch und Bericht	Prüfer, ISB, Management	Mittel	Managementzusammenfassung plus technischer Teil

Zwei Vorgaben aus dem BSI-Leitfaden widersprechen dem üblichen Verkaufsargument und sparen zugleich Geld. Erstens die Informationsbasis: „Das BSI empfiehlt, grundsätzlich Whitebox-Tests durchzuführen.“ Begründet wird das damit, dass bei Blackbox-Tests Schwachstellen übersehen werden, das Szenario des informierten Innentäters unberücksichtigt bleibt, das Risiko unbeabsichtigten Schadens steigt — und „der Aufwand bei einem Blackbox-Test wesentlich größer“ ist. Der „realistischere“ Test ist also der teurere mit der geringeren Abdeckung. Zweitens die Angriffsstärke: Das BSI empfiehlt „grundsätzlich eine moderate Angriffsstärke“, bei der Schwachstellen nachgewiesen, aber nur bei erprobten Exploits aktiv ausgenutzt werden.

Die Prüftiefe steigt in drei Stufen: technisches Sicherheitsaudit (der Prüfer lässt sich Versionen und Konfigurationen zeigen), nicht invasiver Schwachstellenscan, invasiver Scan mit Exploits. Für einen Webauftritt empfiehlt das BSI, zuerst die Anwendung ohne vorgeschaltetes Sicherheitsgateway zu prüfen und das Gateway anschließend separat — getrennte Tests liefern präzisere und damit günstigere Ergebnisse. Und vor dem ersten Penetrationstest überhaupt rät das BSI zu einer IS-Kurzrevision, weil ein Test gegen ein System ohne Basisabsicherung teure Selbstverständlichkeiten zutage fördert.

Anbieterauswahl: sieben Punkte, die in den Vertrag gehören

Kurzfassung: Prüfen Sie Unabhängigkeit, Qualifikation und Berichtsformat — in dieser Reihenfolge. Und klären Sie vorab, ob Sie den Bericht an die Aufsicht weitergeben dürfen.

1. Unabhängigkeit. Prüfer dürfen nicht an Konzeption, Aufbau oder Betrieb des geprüften Verbunds mitgewirkt haben. Das BSI ist eindeutig: „Dies schließt aus, dass IT-Sicherheitstests von eigenem Personal durchgeführt werden.“ Einzelne Testverfahren im eigenen Haus sind zulässig, der eigentliche Test nicht.

2. Qualifikation. Das BSI führt eine öffentliche Liste zertifizierter IT-Sicherheitsdienstleister für IS-Penetrationstests; zum Abrufzeitpunkt umfasste sie 23 Stellen mit Zertifizierungs-ID und Ablaufdatum. Eine Zertifizierung ist rechtlich nicht vorgeschrieben. Fehlt sie, nennt das BSI eine prüfbare Mindestlatte für die Projektleitung auf Prüfseite: mindestens fünf Jahre IT-Berufserfahrung in Vollzeit innerhalb der letzten acht Jahre, davon mindestens zwei Jahre Informationssicherheit, plus Teilnahme an mindestens sechs Penetrationstests in den letzten drei Jahren. Diese drei Zahlen gehören in Ihre Leistungsbeschreibung — sie sind konkreter als jede Zertifikatsliste.

3. Teamgröße. Das BSI empfiehlt mindestens zwei Prüfer, damit das Vier-Augen-Prinzip gewahrt bleibt. Bei kleinen Prüfobjekten ist das eine bewusste Kosten-Nutzen-Abwägung, keine Formalie.

4. Anbieterwechsel statt Anbietertreue. Ein Punkt, den kein Dienstleister von sich aus anspricht: „Da Prüfer keine Qualitätssicherung übernehmen können und Betriebsblindheit vermieden werden muss, sollten die gleichen Prüfobjekte nicht mehrfach von denselben Prüfern geprüft werden.“

5. Den Nachtest nicht mitkaufen. Nach dem BSI-Leitfaden verlieren Prüfer ihre Unabhängigkeit, wenn sie zyklisch nachsehen, ob ihre eigenen Befunde behoben wurden: Diese Überprüfungen „müssen unter Einbeziehung des IT-Sicherheitsmanagements durch die interne Qualitätssicherung oder das interne IT-Personal erfolgen“. Nach dieser Empfehlung ist der Nachtest eine interne Aufgabe. Wer ihn als Zusatzposition einkauft, zahlt für etwas, das der Leitfaden ausdrücklich nach innen verweist — und verschenkt zugleich den Aufbau eigener, wiederholbarer Testverfahren.

6. Das Berichtsformat vertraglich festlegen. Hier entscheidet sich, ob der Test Ihre Nachweispflicht erfüllt. Anhang 6.5.2 Buchstabe c verlangt Art, Umfang, Zeitraum und Ergebnisse — „einschließlich der Bewertung der Kritikalität und der Risikominderungsmaßnahmen für jede Feststellung“. Ein Bericht, der nur CVSS-Werte auflistet, liefert die Kritikalität, aber nicht die Risikominderung je Feststellung. Die BSI-Skala passt dagegen unmittelbar auf die Norm, weil sie jeder Stufe eine Reaktionsfrist zuordnet: hoch → sofort, mittel → kurzfristig, niedrig → mittelfristig, zur Information → langfristig. Verlangen Sie diese Zuordnung im Angebot, nicht nach Berichtsabgabe. Die ENISA formuliert die Qualitätslatte für die gesamte Akte so: Notwendigkeit, Umfang, Häufigkeit, Art und Ergebnisse müssen „für einen sachkundigen Dritten nachvollziehbar“ dokumentiert sein.

7. Die Weitergabeklausel — der am häufigsten übersehene Punkt. Der BSI-Leitfaden empfiehlt, den Bericht nur einem ausgewählten Kreis zugänglich zu machen, und rät zu einem NDA über Sicherheitsmängel und Strukturen. § 61 Absatz 3 Satz 2 BSIG erlaubt der Aufsicht jedoch, genau diese Ergebnisse einschließlich der aufgedeckten Mängel und der zugrunde liegenden Dokumentation zu verlangen. Ein pauschal formuliertes NDA kann Sie in diesem Moment in eine unnötige Klärungsschleife zwingen. Nehmen Sie eine ausdrückliche Ausnahme für die Weitergabe an zuständige Aufsichtsbehörden auf.

Rolle	Verantwortung im Testprojekt
Geschäftsleitung	Billigung von Budget und Risikobewertung; Umsetzung und Überwachung der Maßnahmen nach § 38 Absatz 1 BSIG, Haftung gegenüber der eigenen Einrichtung nach Absatz 2
ISB / CISO	Prüfobjekt und Prüfumfang ableiten und begründen; Kritikalitätsbewertung abnehmen
IT-Betrieb	Unterlagen, Zugänge, Ansprechbarkeit während des Tests; interner Nachtest
Datenschutzbeauftragter	Beteiligung vor dem Test, wenn personenbezogene Daten berührt werden
Personalvertretung	Beteiligung, wenn Beschäftigtendaten betroffen sind
Einkauf / Recht	Schriftlicher Auftrag, NDA mit Aufsichtsausnahme, Löschfristen für Testdaten

Kosten: was Sie zahlen — und woraus es sich ergibt

Kurzfassung: Rechnen Sie in Personentagen, nicht in Paketpreisen. Und dokumentieren Sie, warum Sie so viel oder so wenig ausgeben.

Marktübliche Tagessätze im DACH-Raum liegen nach Anbieterangaben zwischen 900 und 1.800 Euro netto; ein deutscher Anbieter nennt 1.350 Euro netto als Festpreisbasis. Das sind Preislisten von Dienstleistern, keine amtlichen Erhebungen — behandeln Sie sie als Orientierung, nicht als Benchmark. Der Aufwand: Webanwendungen typischerweise zwei bis vier Testtage, Unternehmensnetze fünf bis zehn, jeweils zuzüglich Berichterstellung. Für einen prüffesten Bericht im NIS2- oder ISO-27001-Kontext rechnen Anbieter ein bis zwei zusätzliche Tage.

Die folgende Tabelle ist ein Rechenmodell aus Tagessatz mal Personentagen, keine Preisliste. Sie ersetzt kein Angebot — sie sagt Ihnen, ob ein Angebot plausibel ist.

Profil	Prüfobjekt	Personentage inkl. Bericht	Größenordnung netto
KMU, ein exponierter Webdienst	Webanwendung plus Sicherheitsgateway getrennt	4–6	rund 4.000–10.000 €
Mittelstand, gewachsenes Firmennetz	internes Netz bis 50 Hosts	7–12	rund 6.000–20.000 €
Besonders wichtige Einrichtung, mehrere Standorte	internes Netz, externe Perimeter, ein Fachverfahren	15–25	rund 15.000–45.000 €

Vier Hebel senken den Betrag, ohne die Aussagekraft zu beschädigen — alle vier stammen aus dem BSI-Leitfaden selbst. Whitebox statt Blackbox spart den Aufklärungsaufwand. Vollständige Unterlagen vor Tag eins verkürzen die Einarbeitung. Gleichartige Befunde werden einmal ausführlich beschrieben statt hundertmal wiederholt, und gleichartige Systemtypen stichprobenartig geprüft. Und der interne Nachtest kostet keinen externen Tagessatz.

Der wichtigste Kostensatz steht allerdings im Gesetz. § 30 Absatz 1 Satz 2 BSIG nennt bei der Verhältnismäßigkeitsprüfung ausdrücklich „die Umsetzungskosten“ neben Risikoexposition, Größe der Einrichtung sowie Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen. Kosten dürfen also in die Abwägung einfließen — ein kleineres Budget ist für sich genommen kein Regelverstoß. Entscheidend ist, dass die Abwägung dokumentiert wird. Satz 3 verlangt, die Einhaltung der Pflicht zu dokumentieren; die Durchführungsverordnung verschärft das für die 11 CIR-Einrichtungsarten in Artikel 2 Absatz 2 — wer eine Anforderung für nicht angemessen, anwendbar oder durchführbar hält, „muss … seine diesbezügliche Begründung in verständlicher Weise dokumentieren“. Sparen ist eine Compliance-Entscheidung, keine Einkaufsentscheidung. Wie sich das für kleinere Häuser praktisch auflöst, zeigt unser Beitrag für den Mittelstand.

Eine Erwartung sollten Sie streichen: Das BSI testet Ihr Unternehmen nicht. Es bietet IS-Penetrationstests und IS-Webchecks „vorrangig für Bundesbehörden“ an, für die sie grundsätzlich kostenfrei sind; für andere Stellen nur ausnahmsweise bei Systemen von öffentlichem Interesse.

Die Nachweisakte: sechs Dokumente, die zusammengehören

Prüfen Sie nach dem Test nicht, ob der Bericht gut aussieht, sondern ob die Akte vollständig ist. Die ENISA-Leitlinie nennt als Nachweisbeispiele zu Nummer 6.5.2 unter anderem die dokumentierte Testrichtlinie samt Verfahren, die Festlegung der Rollen und Verantwortlichkeiten, Pläne und Zeitpläne für anstehende und erledigte Tests, eine Liste der Berichte vergangener Sicherheitsprüfungen über verschiedene Testarten hinweg sowie interne oder externe Auditberichte.

1. Sicherheitsprüfrichtlinie mit Verfahren (Anhang 6.5.1) — inklusive Prüfrhythmus für die Richtlinie selbst
2. Begründung von Notwendigkeit, Umfang, Häufigkeit und Art mit Verweis auf die Risikobewertung nach Nummer 2.1 (Anhang 6.5.2 a)
3. Dokumentierte Prüfmethode des Anbieters, vertraglich vereinbart (Anhang 6.5.2 b)
4. Prüfbericht mit Art, Umfang, Zeitraum, Ergebnissen sowie Kritikalität und Risikominderung je Feststellung (Anhang 6.5.2 c)
5. Nachweis der Umsetzung bei kritischen Feststellungen, inklusive Ergebnis des internen Nachtests (Anhang 6.5.2 d)
6. Restrisiko-Entscheidung für alles, was bewusst offen bleibt — mit Begründung und Freigabe durch die Geschäftsleitung

Der Maßstab für alle sechs ist derselbe: nachvollziehbar für einen sachkundigen Dritten. Wie diese Akte in einer konkreten Prüfungssituation abgefragt wird, beschreibt der Leitfaden zur NIS2-Audit-Vorbereitung.

Häufig gestellte Fragen

Ist ein Penetrationstest nach NIS2 Pflicht?
Nein — nicht als benannte Einzelpflicht. Pflicht ist ein dokumentiertes Sicherheitsprüfprogramm nach Anhang 6.5 der Durchführungsverordnung beziehungsweise nach § 30 Absatz 2 Nummer 5 und 6 BSIG. Der Penetrationstest ist eine von neun anerkannten Methoden, dieses Programm zu erfüllen. Für internetexponierte Systeme ist er in der Praxis meist die naheliegende Wahl.

Wie oft müssen wir testen?
So oft, wie Ihre Risikobewertung es hergibt — das ist die einzige normative Antwort (Anhang 6.5.2 a). Als Orientierung: Das BSI empfiehlt Wiederholungsprüfungen alle zwei bis drei Jahre, die ENISA eine Überprüfung der Testrichtlinie mindestens alle zwei Jahre. Eine jährliche Pflicht gibt es in keinem der maßgeblichen Texte.

Reicht ein automatisierter Schwachstellenscan?
Für manche Prüfobjekte ja, für andere nein. Anhang 6.5.2 stellt die Testart frei, verlangt aber eine risikobasierte Begründung. Ein Scan liefert Breite und Wiederholbarkeit, findet aber keine konzeptionellen Schwächen und keine Logikfehler — genau die Module, die das BSI an den Anfang der praktischen Prüfung stellt.

Muss der Anbieter BSI-zertifiziert sein?
Nein. Die Zertifizierung ist keine gesetzliche Voraussetzung. Sie ist aber der schnellste Nachweis von Qualifikation und Unabhängigkeit; ohne sie sollten Sie die Erfahrungsanforderungen des BSI-Personenzertifikats in die Leistungsbeschreibung übernehmen.

Gilt die dreijährige TLPT-Pflicht auch für uns?
Nur, wenn Sie unter DORA fallen. Threat-Led Penetration Testing ist in Artikel 26 der Verordnung (EU) 2022/2554 für bestimmte Finanzunternehmen geregelt. Weder die NIS-2-Richtlinie noch das BSIG noch die Durchführungsverordnung kennen eine entsprechende Pflicht. Die Begriffe werden regelmäßig vermischt.

Darf das BSI unseren Prüfbericht verlangen?
Ja, unter den Voraussetzungen des § 61 — einschließlich der aufgedeckten Sicherheitsmängel und der zugrunde liegenden Dokumentation, dazu Mängelbeseitigungsplan und Nachweis der Beseitigung. Prüfen Sie Ihr NDA daraufhin, bevor Sie unterschreiben.

Dieser Beitrag bietet allgemeine Informationen und stellt keine Rechts- oder Compliance-Beratung dar. Anforderungen können je nach Rechtsraum, Sektor und Einrichtungsart abweichen. Für eine auf Ihre Situation zugeschnittene Bewertung ziehen Sie bitte eine qualifizierte Rechtsanwältin, einen qualifizierten Rechtsanwalt oder eine Compliance-Fachkraft hinzu.

Quellen

1. Durchführungsverordnung (EU) 2024/2690 der Kommission vom 17. Oktober 2024, Erwägungsgrund 15, Artikel 1, Artikel 2 sowie Anhang Nummern 6.5 und 7 — Amtsblatt der Europäischen Union, L-Reihe, 2024/2690 (EUR-Lex, deutsche Sprachfassung).
2. § 30 BSIG — Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen, gesetze-im-internet.de (Bundesamt für Justiz).
3. § 61 BSIG — Aufsichts- und Durchsetzungsmaßnahmen für besonders wichtige Einrichtungen, gesetze-im-internet.de.
4. § 62 BSIG — Aufsichts- und Durchsetzungsmaßnahmen für wichtige Einrichtungen, gesetze-im-internet.de.
5. BSI, Ein Praxis-Leitfaden für IS-Penetrationstests, Version 1.2 (November 2016).
6. BSI, IS-Penetrationstest und IS-Webcheck.
7. BSI, Liste zertifizierter IT-Sicherheitsdienstleister im Geltungsbereich IS-Penetrationstests (Stand des Abrufs: 8. September 2026).
8. ENISA, Technical Implementation Guidance on Cybersecurity Risk-Management Measures, Version 1.0 (Juni 2025), Abschnitt 6.5.
9. OpenKRITIS, NIS2-Umsetzungsgesetz in Deutschland — Verkündung BGBl. 2025 Nr. 301 am 5. Dezember 2025, Inkrafttreten am 6. Dezember 2025.
10. AWARE7 GmbH, Penetrationstest Kosten 2026 — Anbieter-Preisliste, keine amtliche Erhebung.
11. Shared Business Service UG, Was kostet ein Pentest für KMU wirklich? Preise & Kostenfaktoren 2026 — Anbieterangaben.