NIS2 Sicherheitstests und Wirksamkeitsbewertung: Anforderungen nach CIR Nr. 6.5 und 7

Seit dem 6. Dezember 2025 gilt in Deutschland das neue BSIG ohne Übergangsfrist. Paragraf 30 Absatz 2 Satz 2 BSIG verlangt von wichtigen und besonders wichtigen Einrichtungen unter anderem Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung einschließlich Schwachstellenmanagement (Nummer 5) sowie „Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen“ (Nummer 6). Sicherheitstests sind in der Praxis ein zentrales Instrument, um diese Wirksamkeit zu belegen. Bestimmte Testmethoden oder feste Testintervalle schreibt das Gesetz allerdings nicht vor.

Dieser Leitfaden erklärt, was die EU-Durchführungsverordnung (EU) 2024/2690 (CIR) in ihrem Anhang unter Nummer 6.5 (Sicherheitsprüfung) und Nummer 7 (Bewertung der Wirksamkeit) verlangt, welche Testmethoden Erwägungsgrund 15 beispielhaft nennt, wann Tests sinnvoll sind, wie das BSI Wirksamkeit in drei Dimensionen beschreibt und welche fünf Dokumente sich als Nachweis bewährt haben.

Rechtlicher Rahmen: CIR 2024/2690 und BSIG §30

Die Anforderungen an Sicherheitstests ergeben sich aus zwei sich ergänzenden Rechtsquellen.

Auf EU-Ebene konkretisiert die Durchführungsverordnung (EU) 2024/2690 die Risikomanagementmaßnahmen aus Artikel 21 Absatz 2 der NIS-2-Richtlinie in detaillierten technischen und methodischen Anforderungen. Sie gilt nur für die elf in ihrem Artikel 1 genannten Einrichtungsarten (DNS-Diensteanbieter, TLD-Namenregister, Cloud-, Rechenzentrums- und CDN-Anbieter, MSP, MSSP, Online-Marktplätze, Online-Suchmaschinen, soziale Netzwerke und Vertrauensdiensteanbieter); § 30 Absatz 3 BSIG gibt ihr für diese Einrichtungsarten Vorrang. Die CIR hat einen einzigen Anhang mit 13 Nummern. Für Sicherheitstests sind vor allem Nummer 6.5 „Sicherheitsprüfung“ (zu Art. 21 Abs. 2 Buchst. e NIS-2-Richtlinie) und Nummer 7 „Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen“ (zu Art. 21 Abs. 2 Buchst. f) maßgeblich. Eine abschließende Liste zulässiger Testmethoden enthält die CIR nicht.

Auf nationaler Ebene gilt § 30 BSIG für alle besonders wichtigen und wichtigen Einrichtungen, vorbehaltlich der Ausnahmen in § 28 Absatz 5 und 6 BSIG (u. a. Telekommunikation, bestimmte Energieversorger, DORA-Finanzunternehmen). Die NIS2-Anforderungen nach §30 BSIG nennen in Nummer 5 und 6 dieselben Themen, formulieren sie aber deutlich allgemeiner als die CIR. Die CIR ist seit dem 7. November 2024 in Kraft; die Pflichten nach § 30 BSIG gelten in Deutschland seit dem 6. Dezember 2025.

Rechtsquelle	Geltungsbereich	Testnorm
CIR (EU) 2024/2690, Anhang Nr. 6.5 und Nr. 7	Die 11 Einrichtungsarten nach Art. 1 CIR (u. a. Cloud, DNS, RZ, CDN, MSP, MSSP, Vertrauensdienste)	Art. 2 i.V.m. Anhang Nr. 6.5 (Sicherheitsprüfung) und Nr. 7 (Wirksamkeitsbewertung)
BSIG §30 Abs. 2 Satz 2 Nr. 5 und 6	Besonders wichtige und wichtige Einrichtungen (Anlagen 1 und 2 BSIG), vorbehaltlich § 28 Abs. 5 und 6	Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung; Konzepte + Verfahren Wirksamkeitsbewertung
NIS-2-Richtlinie Art. 21 Abs. 2 lit. e und f	EU-weit, über das jeweilige nationale Umsetzungsrecht	Erwerb, Entwicklung, Wartung inkl. Schwachstellenmanagement; Konzepte zur Wirksamkeitsbewertung

Was die CIR konkret fordert: Nummer 6.5 und die Testmethoden aus Erwägungsgrund 15

Nummer 6.5 des CIR-Anhangs schreibt keine bestimmte Testmethode vor, sondern einen Rahmen: ein Konzept und Verfahren für Sicherheitsprüfungen (6.5.1); Notwendigkeit, Umfang, Häufigkeit und Art der Prüfungen auf Grundlage der Risikobewertung (6.5.2 a); eine dokumentierte Prüfmethode (b); Dokumentation der Ergebnisse mit Kritikalitätsbewertung je Feststellung (c); Risikominderung bei kritischen Feststellungen (d); Überprüfung des Konzepts in geplanten Zeitabständen (6.5.3).

Mögliche Methoden nennt Erwägungsgrund 15 der CIR beispielhaft und nicht abschließend: Sicherheitstests „können … automatische oder manuelle Tests, Penetrationstests, eine Schwachstellensuche, statische und dynamische Prüfungen der Sicherheit von Anwendungen, Konfigurationstests oder Sicherheitsaudits umfassen“, und zwar auf bestimmten Systemen oder in der gesamten Einrichtung.

Testmethode	Was wird geprüft?	Manuell / Automatisiert
Penetrationstest	Gezielte Simulation eines Angriffs auf Systeme, Netzwerke oder Anwendungen durch qualifizierte Tester	Manuell (mit Tool-Unterstützung)
Schwachstellensuche (Vulnerability Scanning)	Automatisiertes Erkennen bekannter Schwachstellen anhand von CVE-Datenbanken und Signaturen	Automatisiert
SAST (Statische Anwendungssicherheitsprüfung)	Quellcode- und Konfigurationsanalyse ohne Ausführung des Programms	Automatisiert + manuell
DAST (Dynamische Anwendungssicherheitsprüfung)	Laufzeitanalyse von Anwendungen auf Sicherheitslücken unter realistischen Bedingungen	Automatisiert + manuell
Konfigurationstest	Prüfung von System- und Netzwerkkonfigurationen gegen Sicherheitsbaselines (z. B. CIS Benchmarks)	Automatisiert + manuell
Sicherheitsaudit	Prozess- und Dokumentenprüfung; Verifikation, ob Richtlinien im Betrieb tatsächlich eingehalten werden	Manuell

Für Penetrationstests empfiehlt das BSI in seinem Praxis-Leitfaden Prüfer, die nicht an Konzeption, Aufbau oder Betrieb der untersuchten Systeme mitgewirkt haben, also nicht die hauseigenen IT-Fachkräfte. Eine gesetzliche Pflicht zu externen Testern enthalten BSIG und CIR jedoch nicht; das BSI-Infopaket zu § 30 Absatz 2 Satz 2 Nummer 5 BSIG nennt ausdrücklich „selbstdurchgeführte oder durch Dritte durchgeführte Sicherheitsprüfungen“.

Die in der Praxis am häufigsten beauftragte dieser Methoden ist der Penetrationstest. Wie Sie Prüfumfang und Häufigkeit aus der Risikobewertung ableiten, welche Anbieterkriterien das BSI nennt und welche Personentage- und Kostengrößen realistisch sind, behandelt der vertiefende Leitfaden Penetrationstest nach NIS2: Ablauf, Anbieterwahl und Kosten.

Wann sollten Sicherheitstests durchgeführt werden?

Feste gesetzliche Auslöser gibt es nicht. Nach Nummer 6.5.2 Buchstabe a des CIR-Anhangs legen die Einrichtungen Notwendigkeit, Umfang, Häufigkeit und Art der Prüfungen selbst auf Grundlage ihrer Risikobewertung fest. Erwägungsgrund 15 nennt typische Anlässe, bei denen Einrichtungen Sicherheitstests durchführen können:

• Bei Einrichtung neuer Systeme – bevor ein neues Netz- oder Informationssystem in Betrieb geht
• Nach Infrastruktur- oder Anwendungsaufrüstungen – nach Upgrades oder Migrationen
• Nach erheblichen Änderungen – wenn die Einrichtung selbst eine Änderung als erheblich einstuft
• Nach Wartungsarbeiten – etwa wenn die Wartung das Risikoprofil verändert haben könnte

Eine gesetzliche Pflicht zu jährlichen Penetrationstests oder ein festes Testintervall gibt es für NIS-2-Einrichtungen nicht. Feste Rhythmen bestehen nur in Sonderfällen: Betreiber kritischer Anlagen weisen die Umsetzung ihrer Maßnahmen nach § 39 BSIG alle drei Jahre durch Audits, Prüfungen oder Zertifizierungen nach; gegenüber besonders wichtigen Einrichtungen kann das BSI nach § 61 BSIG Audits durch unabhängige Stellen anordnen; bedrohungsorientierte Penetrationstests (TLPT) mindestens alle drei Jahre verlangt Art. 26 DORA nur von Finanzunternehmen, die die Aufsicht dafür bestimmt hat. Ein jährlicher Penetrationstest für kritische, aus dem Internet erreichbare Systeme kann ein sinnvoller Ausgangspunkt sein, ist aber eine Praxisempfehlung; das Intervall sollte im Testkonzept aus der Risikobewertung begründet werden.

Auslöser	Mögliche Testmethode (Praxisbeispiel)	Priorität
Neues System in Betrieb	Penetrationstest + Konfigurationstest	Hoch
Infrastrukturaufrüstung	Schwachstellenscan + Penetrationstest	Hoch
Erhebliche Konfigurationsänderung	Konfigurationstest + DAST	Mittel
Anwendungsentwicklung / Release	SAST + DAST	Hoch
Planmäßige Prüfung im festgelegten Intervall	Penetrationstest im risikobasiert festgelegten Umfang	Hoch
Nach Sicherheitsvorfall	Alle relevanten Methoden	Kritisch

Wirksamkeitsbewertung nach BSI: Die drei Dimensionen

Sicherheitstests allein reichen nicht aus. Nummer 7 des CIR-Anhangs verlangt von den CIR-Einrichtungsarten ein Konzept und Verfahren, um zu bewerten, ob die Maßnahmen wirksam umgesetzt und aufrechterhalten werden, einschließlich der Festlegung, was wann, wie und von wem gemessen und ausgewertet wird (7.2). Das BSI beschreibt in seinem Infopaket zu § 30 Absatz 2 Satz 2 Nummer 6 BSIG drei Dimensionen der Wirksamkeit:

1. Konzeptionelle Eignung
Ist die gewählte Maßnahme theoretisch geeignet, das identifizierte Risiko zu senken? Ein Penetrationstest, der nicht den tatsächlichen Angriffsvektor abdeckt, kann diese Dimension verfehlen.

2. Umsetzungstreue
Wird die Maßnahme wie geplant im Alltag angewendet? Beispiel: Das Schwachstellenscanning ist monatlich geplant, findet aber nur quartalsweise statt. Die Umsetzungstreue ist damit nicht erfüllt.

3. Ergebniswirksamkeit
Führt die Maßnahme zu den gewünschten messbaren Ergebnissen? Das BSI empfiehlt, Kennzahlen (KPIs) und Grenzwerte zu definieren, mit denen die Wirksamkeit von Prozessen kontinuierlich überwacht wird. Als Ziel nennt es einen Reifegrad, in dem Prozesse nicht nur „etabliert“ (Reifegrad 3), sondern „messbar“ (Reifegrad 4) sind.

BSI-Reifegrad	Bezeichnung	Was das in der Praxis bedeutet
Reifegrad 3	Etabliert	Prozesse sind definiert und werden angewendet; keine Messung
Reifegrad 4	Messbar	KPIs definiert, kontinuierliches Monitoring, Abweichungen lösen Korrekturmaßnahmen aus
Reifegrad 5	Kontinuierlich verbessert	Mess- und Auditdaten fließen systematisch in Verbesserungsprozesse ein

Die Reifegrade stammen aus der BSI-Methodik „Reife- und Umsetzungsgradbewertung im Rahmen der Nachweisprüfung“ (RUN). Nach dem BSI hinterlegt RUN die Reifegrade mit festgelegten Kriterien nur für die Prüfungen bei Betreibern kritischer Anlagen. Für andere Einrichtungen ist Reifegrad 4 eine Zielmarke und Orientierung, kein gesetzlich festgelegter Mindestwert.

Geeignete KPIs auf dem Weg zu Reifegrad 4 sind unter anderem (die Zielwerte sind interne Beispiele, keine gesetzlichen Vorgaben):

• Patch-Quote: Anteil kritischer Schwachstellen, die innerhalb von 72 Stunden behoben wurden
• Mean Time to Remediate (MTTR): durchschnittliche Behebungszeit nach Testergebnis
• Pentest-Wiederholungsrate: Anteil nachgetesteter kritischer Findings innerhalb von 30 Tagen
• Schwachstellen-Rückstandsquote: offene High/Critical-Findings älter als 90 Tage (Zielwert: 0)

Dokumentationspflichten: Was bei einem Audit zählt

Ohne nachvollziehbare Dokumentation lässt sich ein Test im Prüfungskontext kaum als Nachweis verwenden. § 30 Absatz 1 Satz 3 BSIG verpflichtet die Einrichtungen, die Einhaltung ihrer Pflichten zu dokumentieren; für CIR-Einrichtungen konkretisiert Nummer 6.5.2 Buchstabe c des Anhangs, was zu jeder Prüfung festzuhalten ist. In der Praxis hat sich eine Nachweiskette aus fünf Dokumenten bewährt:

1. Scoping-Dokument
Definiert, welche Systeme und Prozesse getestet werden. Das Scope sollte mit dem Risikoregister und dem Asset-Inventar verknüpft sein. Systeme, die nicht im Scope auftauchen, bleiben ungeprüft.

2. Testbericht (unabhängiger Prüfer)
Enthält Methodik, Findings mit Schweregradbewertung (CVSS oder äquivalent) und reproduzierbare Beschreibungen der Schwachstellen. Eine gesetzliche Pflicht zu externen Prüfern besteht nicht; das BSI empfiehlt für Penetrationstests jedoch Prüfer, die vom Prüfobjekt unabhängig sind.

3. Remediation-Tracking
Weist Findings einem Verantwortlichen zu, enthält Fristen und dokumentiert den Behebungsstatus. Für kritische Feststellungen verlangt Nummer 6.5.2 Buchstabe d des CIR-Anhangs Risikominderungsmaßnahmen; kritische Findings, die über Monate ohne dokumentierte Begründung offen bleiben, sind in einem Audit schwer zu rechtfertigen.

4. Retest-Bericht
Bestätigt, dass die Behebung der Schwachstellen tatsächlich wirksam war. Dieser Schritt wird in der Praxis leicht ausgelassen. Ohne Retest-Nachweis bleibt offen, ob die Behebung gewirkt hat, also genau die Ergebniswirksamkeit, nach der das BSI fragt.

5. Management-Review-Dokumentation
Belegt, dass die Unternehmensleitung die Test-Ergebnisse zur Kenntnis genommen und über Folgemaßnahmen entschieden hat. Nach § 38 Absatz 1 BSIG muss die Geschäftsleitung die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen. Für CIR-Einrichtungen verlangt Nummer 2.3.3 des Anhangs, dass die Ergebnisse unabhängiger Überprüfungen und der Wirksamkeitsmessung nach Nummer 7 den Leitungsorganen gemeldet werden.

Schritt-für-Schritt-Umsetzung für Ihre Einrichtung

Die folgende Sequenz orientiert sich an der logischen Abhängigkeit der Schritte. Sie setzt voraus, dass eine Risikoanalyse bereits vorliegt, da das Testscoping ohne Risikoregister keine nachvollziehbare Priorisierung ermöglicht.

Schritt	Aufgabe	Aufwand	Verantwortlich
1	Asset-Inventar vervollständigen; alle kritischen Systeme identifizieren	Mittel	IT / CISO
2	Testprogramm definieren: Methoden, Häufigkeit, Scope je Systemklasse	Mittel	CISO
3	Unabhängigen Pentest-Anbieter beauftragen (oder interne Prüfer, die nicht am Betrieb der geprüften Systeme beteiligt sind)	Hoch	CISO / Beschaffung
4	Scoping-Dokument erstellen und mit Risikoregister verknüpfen	Niedrig	CISO / Compliance
5	Tests durchführen; Schwachstellenscans regelmäßig automatisieren (z. B. monatlich)	Mittel–Hoch	IT-Sicherheit / externer Anbieter
6	Findings priorisieren, Eigentümer zuweisen, Fristen setzen (interne Beispielwerte: Critical ≤30 Tage, High ≤90 Tage)	Niedrig	CISO
7	Behebung umsetzen und Retest beauftragen	Mittel	IT / externer Anbieter
8	KPIs messen, Ergebnisse an Geschäftsführung berichten (Ziel: Reifegrad 4)	Niedrig	CISO / Compliance
9	Alle fünf Dokumente archivieren (Empfehlung: mindestens einen vollständigen Prüfzyklus, z. B. 3 Jahre)	Niedrig	Compliance

Rollenverantwortung: Wer macht was?

Rolle	Kernaufgabe	Worauf achten?
CISO / IT-Sicherheitsmanager	Testprogramm, Scoping, Provideransteuerung, KPI-Monitoring	Unabhängigkeit des Testers sicherstellen; Retest nicht auslassen
Compliance-Beauftragter	Dokumentationsarchivierung, Audit-Vorbereitung, Fristenkontrolle	Alle fünf Dokumente vollständig; Management-Sign-off belegen
Geschäftsführung / Vorstand	Management-Review, Ressourcenfreigabe, Überwachung der Umsetzung	BSIG §38: Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen; Haftung gegenüber der Einrichtung nach Gesellschaftsrecht
IT-Betrieb	Schwachstellenbehebung, automatisiertes Scanning, Konfigurationstests	Fristen einhalten; Retest-Ergebnisse dokumentieren

Häufige Fehler und wie Sie sie vermeiden

• Kein Scoping-Dokument: Ein Penetrationstest ohne definierten Scope ist weder reproduzierbar noch auditierbar. Prüfer erkennen fehlende Scoping-Dokumente schnell als Lücke.
• Pentest durch das eigene Betriebsteam: Das BSI empfiehlt, IS-Penetrationstests nicht durch die hauseigenen IT-Fachkräfte durchführen zu lassen, die die Systeme aufgebaut haben oder betreiben. Gesetzlich vorgeschrieben ist ein externer Tester nicht, die Unabhängigkeit der Prüfer erhöht aber die Aussagekraft des Nachweises.
• Fehlender Retest: Ein häufiger Mangel. Behobene Schwachstellen sollten durch einen Retest bestätigt werden. Andernfalls ist die Behebungswirksamkeit nicht dokumentiert.
• Kein Management-Sign-off: Der Abschlussbericht allein genügt nicht. Da die Geschäftsleitung nach § 38 Absatz 1 BSIG die Umsetzung der Maßnahmen überwachen muss, sollte ihre Befassung mit den Ergebnissen dokumentiert werden.
• Statische Tests ohne Häufigkeitsplan: Ein einmaliger Pentest ohne geplante Wiederholung wird der Erwartung regelmäßiger Sicherheitsprüfungen nicht gerecht. CIR-Einrichtungen müssen Häufigkeit und Art der Prüfungen nach Nummer 6.5.2 Buchstabe a risikobasiert festlegen; auch für andere Einrichtungen empfiehlt sich ein schriftliches Testprogramm mit Frequenzen und Auslösern.
• KPIs ohne Grenzwerte: Metriken ohne definierte Schwellenwerte und Korrekturmechanismen erreichen in der Regel nicht die Stufe „messbar“ (Reifegrad 4). Dafür sollten Grenzwertverletzungen eine dokumentierte Reaktion auslösen.

Häufig gestellte Fragen

Gilt die CIR 2024/2690 (Nummer 6.5 und 7 ihres Anhangs) für alle deutschen Unternehmen?
Nein. Die CIR gilt unmittelbar nur für die elf in ihrem Artikel 1 genannten Einrichtungsarten (u. a. Cloud-, Rechenzentrums- und DNS-Anbieter, MSP, MSSP und Vertrauensdiensteanbieter); § 30 Absatz 3 BSIG gibt ihr nur für diese Vorrang. Für alle anderen Einrichtungen gilt § 30 BSIG, der die Maßnahmen deutlich allgemeiner formuliert. Die CIR kann ihnen als Orientierung dienen, ist für sie aber nicht verbindlich.

Wie oft muss ein Penetrationstest durchgeführt werden?
BSIG und CIR schreiben für NIS-2-Einrichtungen weder ein festes Intervall noch eine jährliche Pentest-Pflicht vor. Häufigkeit und Umfang werden risikobasiert festgelegt (für CIR-Einrichtungen nach Nummer 6.5.2 Buchstabe a des Anhangs) und im Testprogramm festgehalten, ergänzt um Anlässe wie neue Systeme, Upgrades, erhebliche Änderungen und Wartungen. Feste Rhythmen gibt es nur in Sonderfällen (§ 39 BSIG für Betreiber kritischer Anlagen, Art. 26 DORA für bestimmte Finanzunternehmen). Ein jährlicher Pentest für kritische Systeme kann eine sinnvolle Orientierung sein.

Kann ich einen Schwachstellenscan als Ersatz für einen Penetrationstest nutzen?
In der Regel nicht. Erwägungsgrund 15 der CIR nennt Schwachstellensuche und Penetrationstests als unterschiedliche Testarten mit unterschiedlichem Prüfungsumfang. Scans erkennen bekannte CVEs; Penetrationstests simulieren gezielte Angriffe und decken Angriffsketten auf. Welche Kombination angemessen ist, ergibt sich aus der Risikobewertung.

Welche Qualifikation müssen Pentest-Anbieter nachweisen?
Für NIS-2-Einrichtungen schreibt das BSIG keine bestimmte Qualifikation von Pentest-Anbietern vor. Der BSI-Praxis-Leitfaden für IS-Penetrationstests empfiehlt Anbieter, die möglichst als Prüfstelle zertifiziert sind, und nennt als Nachweise unter anderem die Personenzertifizierung des BSI, CREST und den Certified Ethical Hacker (CEH). Für Nachweisprüfungen bei Betreibern kritischer Anlagen kann das BSI nach § 39 Absatz 2 BSIG Anforderungen an die prüfenden Stellen festlegen.

Wie lange müssen Testberichte aufbewahrt werden?
Die NIS-2-Richtlinie und § 30 BSIG nennen keine spezifische Aufbewahrungsfrist für Testberichte. Empfehlenswert ist eine Aufbewahrung über mindestens einen vollständigen Prüfzyklus, bei Betreibern kritischer Anlagen also mindestens bis zum nächsten Nachweis nach § 39 BSIG, um Entwicklungen über mehrere Prüfzyklen belegen zu können.

Was droht, wenn Sicherheitstests fehlen oder unvollständig sind?
Fehlende oder unvollständige Maßnahmen nach § 30 Absatz 1 BSIG und eine fehlende Dokumentation sind Ordnungswidrigkeiten (§ 65 Absatz 2 Nr. 2 und 3 BSIG). Das BSI kann Bußgelder von bis zu 10 Millionen Euro bei besonders wichtigen und bis zu 7 Millionen Euro bei wichtigen Einrichtungen verhängen; nur bei mehr als 500 Millionen Euro Gesamtumsatz kann der Rahmen stattdessen bis zu 2 % bzw. 1,4 % des weltweiten Gesamtumsatzes betragen. Geschäftsleitungen, die ihre Pflichten nach § 38 Absatz 1 BSIG verletzen, haften der Einrichtung für schuldhaft verursachte Schäden nach dem Gesellschaftsrecht ihrer Rechtsform (§ 38 Absatz 2 BSIG).

Dieser Artikel stellt allgemeine Informationen bereit und ist kein rechtlicher oder regulatorischer Rat. Die Anforderungen können je nach Jurisdiktion und Organisationstyp variieren. Konsultieren Sie für Ihre spezifische Situation einen qualifizierten Rechtsanwalt oder Compliance-Spezialisten.

Quellen

• Durchführungsverordnung (EU) 2024/2690 der Kommission vom 17. Oktober 2024 — EUR-Lex, Amtsblatt der Europäischen Union (Erwägungsgrund 15, Anhang Nr. 2.3, 6.2, 6.5 und 7)
• § 30 BSIG – Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen — gesetze-im-internet.de (siehe auch § 39, § 61 und § 65 BSIG)
• BSI – Bewertung der Wirksamkeit von Maßnahmen — Bundesamt für Sicherheit in der Informationstechnik
• BSI – Sicherheitsmaßnahmen und Schwachstellenmanagement — Bundesamt für Sicherheit in der Informationstechnik
• BSI – Ein Praxis-Leitfaden für IS-Penetrationstests — Bundesamt für Sicherheit in der Informationstechnik
• Verordnung (EU) 2022/2554 (DORA), Art. 24 und 26 — EUR-Lex, Amtsblatt der Europäischen Union
• NIS2 Implementing Act (EU) 2024/2690: ISO 27001 und C5 Mapping — OpenKRITIS