Seit dem 6. Dezember 2025 gilt in Deutschland das NIS-2-Umsetzungsgesetz. Nach Schätzung des BSI gelten die neuen Pflichten für rund 29.500 Einrichtungen. Sie müssen sich beim BSI registrieren, Sicherheitsvorfälle melden und ein umfassendes Risikomanagement nachweisen. Viele wissen inzwischen, dass sie betroffen sind. Schwieriger ist die Frage: Was genau müssen wir jetzt tun, und was davon haben wir schon?
Diese Checkliste hilft Ihnen, den eigenen Stand systematisch zu prüfen. Sie folgt dem Aufbau des Gesetzes und nennt zu jedem Punkt die Frage, die Sie beantworten sollten, und den Nachweis, den Sie vorweisen können sollten.
So nutzen Sie diese NIS2-Checkliste
Gehen Sie die sechs Teile der Reihe nach durch und bewerten Sie jeden Punkt mit einer einfachen Ampel:
| Status | Bedeutung |
|---|---|
| Grün | umgesetzt, dokumentiert, Nachweis vorhanden |
| Gelb | teilweise umgesetzt oder nicht dokumentiert |
| Rot | nicht umgesetzt oder unklar |
Tragen Sie zu jedem gelben und roten Punkt eine verantwortliche Person und einen Termin ein. So wird aus der Checkliste ein Maßnahmenplan. Eine bewährte Regel lautet: Was nicht dokumentiert ist, gilt gegenüber der Aufsicht als nicht umgesetzt.
Diese Checkliste ersetzt keine Rechtsberatung. Die Grundlagen der Richtlinie erklären wir im Beitrag NIS2-Richtlinie einfach erklärt, die zehn Pflichtbereiche im Detail im Beitrag NIS2-Anforderungen.
Teil 1: Betroffenheit und Registrierung
Am Anfang steht die Frage, ob und in welcher Kategorie Ihr Unternehmen unter NIS2 fällt. Diese Prüfung müssen Unternehmen selbst vornehmen, eine Benachrichtigung durch das BSI gibt es nicht.
- Sektor geprüft: Ist Ihre Tätigkeit in Anlage 1 oder 2 des BSIG aufgeführt? Maßgeblich ist die Geschäftstätigkeit, nicht der Firmenname.
- Größe ermittelt: Mindestens 50 Beschäftigte oder mehr als 10 Millionen Euro Jahresumsatz und mehr als 10 Millionen Euro Bilanzsumme? Ab 250 Beschäftigten oder mehr als 50 Millionen Euro Umsatz und mehr als 43 Millionen Euro Bilanzsumme gelten Sie als besonders wichtige Einrichtung.
- Sonderfälle geprüft: Fallen Sie unabhängig von der Größe unter NIS2, etwa als Anbieter bestimmter digitaler Dienste oder als Betreiber kritischer Anlagen?
- Ergebnis dokumentiert: Ist die Prüfung mit Begründung schriftlich festgehalten, auch wenn das Ergebnis „nicht betroffen“ lautet?
- Registrierung erledigt: Sind Sie über „Mein Unternehmenskonto“ und das BSI-Portal registriert? Nach § 33 BSIG gilt dafür eine Frist von drei Monaten, nachdem ein Unternehmen erstmals betroffen ist. Diese Frist ist für die meisten bereits abgelaufen.
- Änderungen geregelt: Ist festgelegt, wer Änderungen der Angaben innerhalb von zwei Wochen im BSI-Portal nachträgt?
Wie Sie die Betroffenheit Schritt für Schritt prüfen, erklärt unser Beitrag Wer ist von NIS2 betroffen?.
Teil 2: Geschäftsleitung und Organisation
NIS2 macht IT-Sicherheit zur Chefsache. Nach § 38 BSIG muss die Geschäftsleitung die Risikomanagementmaßnahmen umsetzen und deren Umsetzung überwachen. Bei schuldhafter Pflichtverletzung haftet sie für entstandene Schäden.
- Verantwortung festgelegt: Ist schriftlich geregelt, wer in der Geschäftsleitung für Informationssicherheit verantwortlich ist?
- Maßnahmen gebilligt: Hat die Geschäftsleitung die Sicherheitsstrategie und die wesentlichen Maßnahmen beschlossen, und ist das protokolliert?
- Überwachung geregelt: Erhält die Geschäftsleitung regelmäßig Berichte über Stand, Vorfälle und offene Risiken?
- Schulung absolviert: Haben alle Mitglieder der Geschäftsleitung an einer Schulung teilgenommen? § 38 Abs. 3 BSIG verlangt die regelmäßige Teilnahme. Gibt es Teilnahmenachweise?
- Rollen besetzt: Gibt es eine verantwortliche Person für Informationssicherheit mit ausreichend Zeit, Befugnissen und Budget?
- Budget eingeplant: Sind Mittel für Umsetzung und Betrieb für die nächsten Jahre vorgesehen?
Teil 3: Die zehn Risikomanagementmaßnahmen nach § 30 BSIG
Das Herzstück von NIS2 sind die Maßnahmen nach § 30 BSIG. Sie müssen geeignet, verhältnismäßig und wirksam sein und sich am Stand der Technik orientieren. Für jeden der zehn Bereiche sollten Sie diese Fragen beantworten können:
| Nr. | Bereich | Prüffrage | Typischer Nachweis |
|---|---|---|---|
| 1 | Risikoanalyse und Sicherheitskonzepte | Gibt es eine aktuelle Risikoanalyse und eine Sicherheitsleitlinie? | Risikoregister, Leitlinie mit Freigabe |
| 2 | Bewältigung von Sicherheitsvorfällen | Ist geregelt, wie Vorfälle erkannt, bewertet und behandelt werden? | Incident-Response-Plan, Kontaktliste, Übungsprotokoll |
| 3 | Betriebskontinuität und Krisenmanagement | Gibt es Backups, Notfallpläne und einen Krisenstab? | Backup-Konzept, Wiederherstellungstest, Notfallhandbuch |
| 4 | Sicherheit der Lieferkette | Sind kritische Dienstleister und Lieferanten bekannt und bewertet? | Lieferantenliste, Bewertungen, Vertragsklauseln |
| 5 | Sicherheit bei Erwerb, Entwicklung und Wartung | Werden Updates zeitnah eingespielt und Schwachstellen behandelt? | Patch-Richtlinie, Berichte zum Patchstand |
| 6 | Bewertung der Wirksamkeit | Wird regelmäßig geprüft, ob die Maßnahmen wirken? | Audit-Berichte, Penetrationstest, Kennzahlen |
| 7 | Schulung und Sensibilisierung | Werden alle Beschäftigten regelmäßig geschult? | Schulungsplan, Teilnahmequoten, Phishing-Simulationen |
| 8 | Kryptografie | Ist festgelegt, wo und wie verschlüsselt wird? | Kryptokonzept, Übersicht verschlüsselter Systeme |
| 9 | Personalsicherheit, Zugriffskontrolle, Management der Anlagen | Gibt es ein vollständiges Inventar und ein Berechtigungskonzept? | Asset-Inventar, Rollen- und Rechtekonzept, Prozess für Ein- und Austritte |
| 10 | Multi-Faktor-Authentifizierung und sichere Kommunikation | Ist MFA für alle kritischen Zugänge aktiv? Gibt es gesicherte Notfallkommunikation? | MFA-Abdeckung, Konzept für Notfallkommunikation |
Die häufigsten Lücken in Teil 3
In der Praxis sind die Bereiche 4, 6 und 9 am häufigsten rot. Viele Unternehmen haben keine vollständige Übersicht über ihre Systeme, kennen ihre kritischen Dienstleister nur ungefähr und prüfen nie, ob ihre Maßnahmen tatsächlich funktionieren. Auch Bereich 3 ist oft nur gelb: Backups existieren, aber eine Wiederherstellung wurde nie getestet. Hilfreich für Bereich 6 ist ein Penetrationstest, für Bereich 10 unser Beitrag zur Multi-Faktor-Authentifizierung.
Teil 4: Meldewesen
Erhebliche Sicherheitsvorfälle müssen nach § 32 BSIG in festen Fristen an das BSI gemeldet werden:
| Meldung | Frist | Inhalt |
|---|---|---|
| Frühe Erstmeldung | unverzüglich, spätestens 24 Stunden nach Kenntnis | Verdacht auf rechtswidrige Handlung, mögliche grenzüberschreitende Auswirkungen |
| Meldung | spätestens 72 Stunden nach Kenntnis | erste Bewertung von Schweregrad und Auswirkungen, Kompromittierungsindikatoren |
| Zwischenmeldung | auf Anforderung des BSI | aktueller Stand |
| Abschlussmeldung | spätestens einen Monat nach der Meldung | ausführliche Beschreibung, Ursache, Abhilfemaßnahmen |
Für die Checkliste bedeutet das:
- Erheblichkeit definiert: Gibt es Kriterien, wann ein Vorfall als erheblich gilt?
- Meldeweg festgelegt: Wer meldet, wer vertritt, wer gibt frei? Ist der Zugang zum BSI-Portal auch nachts und am Wochenende möglich?
- Vorlagen vorbereitet: Liegen Vorlagen für die drei Meldungen bereit?
- Erkennung sichergestellt: Würden Sie einen Angriff am Wochenende überhaupt innerhalb von 24 Stunden bemerken?
- Weitere Meldepflichten abgestimmt: Ist die Meldung an die Datenschutzaufsicht nach Art. 33 DSGVO, ebenfalls innerhalb von 72 Stunden, in denselben Ablauf eingebunden?
- Unterrichtung von Kunden vorbereitet: Nach § 35 BSIG kann das BSI anordnen, dass Sie Ihre Kunden über einen Vorfall informieren. Gibt es dafür Textbausteine?
- Geübt: Wurde der Meldeprozess mindestens einmal durchgespielt?
Weitere Hinweise gibt das BSI zur NIS-2-Meldepflicht. Wie Sie im Ernstfall Ihre Mitarbeitenden schnell erreichen, beschreiben wir im Beitrag Alarmierungssystem für den IT-Notfall.
Teil 5: Lieferkette und Dienstleister
Angriffe über Dienstleister und Softwarelieferanten gehören zu den gefährlichsten, weil sie vertrauenswürdige Zugänge nutzen. NIS2 verlangt deshalb ausdrücklich, die Sicherheit der Lieferkette zu berücksichtigen.
- Kritische Lieferanten erfasst: Welche Dienstleister haben Zugriff auf Ihre Systeme oder Daten, welche sind für den Betrieb unverzichtbar?
- Risiken bewertet: Gibt es eine Bewertung jedes kritischen Lieferanten, etwa über Fragebögen oder Zertifikate?
- Verträge angepasst: Enthalten Verträge Sicherheitsanforderungen, Meldepflichten bei Vorfällen und Prüfrechte?
- Zugänge kontrolliert: Haben Dienstleister nur die Zugänge, die sie brauchen, abgesichert mit Multi-Faktor-Authentifizierung und protokolliert?
- Ausstieg geplant: Was passiert, wenn ein kritischer Dienstleister ausfällt?
Beachten Sie auch die Gegenrichtung: Sind Sie selbst Zulieferer eines NIS2-pflichtigen Unternehmens, werden Ihre Kunden ähnliche Fragen an Sie stellen, auch wenn Sie selbst nicht unter NIS2 fallen.
Teil 6: Dokumentation und Nachweise
NIS2 verlangt, dass die Maßnahmen dokumentiert werden. Besonders wichtige Einrichtungen müssen damit rechnen, dass das BSI Nachweise anfordert oder Prüfungen anordnet. Bei wichtigen Einrichtungen greift die Aufsicht vor allem anlassbezogen, etwa nach einem Vorfall. Wie die Aufsicht abläuft, beschreiben wir im Beitrag Was ist NIS2-Compliance?.
- Dokumentenübersicht vorhanden: Gibt es eine zentrale Liste aller Richtlinien, Konzepte und Nachweise mit Version und Freigabedatum?
- Aktualität gesichert: Werden Dokumente mindestens jährlich und nach größeren Änderungen überprüft?
- Nachweise abrufbar: Könnten Sie einem Prüfer innerhalb weniger Tage die wichtigsten Nachweise vorlegen?
- Bestehende Standards genutzt: Haben Sie eine ISO-27001-Zertifizierung oder arbeiten nach IT-Grundschutz? Dann ist ein großer Teil der Anforderungen abgedeckt. Prüfen Sie aber gezielt, ob Meldewesen, Lieferkette und Geschäftsleitungspflichten vollständig enthalten sind.
Technischer Schnellcheck für die IT
Die zehn Bereiche aus Teil 3 sind bewusst allgemein formuliert. Für die IT-Abteilung hilft eine konkrete Liste, die zeigt, ob die technischen Grundlagen stehen:
- Multi-Faktor-Authentifizierung für E-Mail, Cloud-Dienste, Fernzugänge und alle Administratorkonten.
- Getrennte Administratorkonten, keine Arbeit mit Adminrechten im Alltag, keine lokalen Adminrechte für Beschäftigte.
- Patchmanagement mit festen Fristen, kritische Lücken in Systemen mit Internetzugang innerhalb weniger Tage.
- Backups nach dem Prinzip mehrerer Kopien, davon mindestens eine offline oder unveränderbar, mit regelmäßig getesteter Wiederherstellung.
- Moderner Schutz der Endgeräte mit Verhaltenserkennung auf allen Arbeitsplätzen und Servern. Mehr dazu im Beitrag Was ist Endpoint Security?.
- Protokollierung und Auswertung sicherheitsrelevanter Ereignisse, mit klarer Zuständigkeit für Alarme, auch außerhalb der Arbeitszeit.
- Netzwerktrennung zwischen Büro, Servern, Produktion und Gästen.
- Verschlüsselung von Laptops, mobilen Geräten und Datenübertragungen.
- E-Mail-Schutz gegen Phishing und Schadsoftware, ergänzt durch Schulungen.
- Vollständiges Inventar aller Systeme, Anwendungen und Konten, regelmäßig abgeglichen.
Jeder dieser Punkte lässt sich einem der zehn Bereiche aus § 30 BSIG zuordnen. Wer hier überall grün hat, hat einen großen Teil der technischen Anforderungen erfüllt. Die organisatorischen Teile wie Lieferkette, Meldewesen und Geschäftsleitungspflichten ersetzt das aber nicht.
Die ersten 90 Tage: Wo Sie anfangen sollten
Wenn viele Punkte rot sind, hilft eine klare Reihenfolge:
| Zeitraum | Schwerpunkt |
|---|---|
| Woche 1 bis 2 | Betroffenheit dokumentieren, Registrierung nachholen, Verantwortliche benennen |
| Woche 3 bis 4 | Meldeprozess festlegen, Vorlagen erstellen, Notfallkontakte sichern |
| Monat 2 | Multi-Faktor-Authentifizierung für alle kritischen Zugänge, Backups prüfen und Wiederherstellung testen, Inventar vervollständigen |
| Monat 3 | Schulung der Geschäftsleitung, Risikoanalyse, Lieferantenliste, Maßnahmenplan für die übrigen Bereiche |
Danach folgen die größeren Vorhaben wie Netzwerksegmentierung, Überwachung rund um die Uhr oder ein vollständiges Managementsystem für Informationssicherheit. Wichtig ist, dass jeder Schritt dokumentiert wird. Ein schriftlicher Plan mit Prioritäten zeigt der Aufsicht, dass Sie das Thema ernst nehmen, auch wenn noch nicht alles fertig ist.
Typische Fehler bei der NIS2-Umsetzung
- Nur die IT beauftragen: NIS2 betrifft Geschäftsleitung, Einkauf, Personal und Recht ebenso.
- Technik ohne Dokumentation: Gute Maßnahmen, die nirgends beschrieben sind, zählen gegenüber der Aufsicht nicht.
- Meldeprozess nur auf dem Papier: Wenn niemand weiß, wie man sich am Sonntagabend im BSI-Portal anmeldet, hilft der schönste Prozess nichts.
- Lieferkette vergessen: Der Dienstleister mit Fernwartungszugang ist oft das schwächste Glied.
- Einmalprojekt statt Daueraufgabe: NIS2 verlangt ein laufendes Risikomanagement, das regelmäßig überprüft und verbessert wird.
- Bußgelder unterschätzen: Nach § 65 BSIG drohen besonders wichtigen Einrichtungen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, wichtigen Einrichtungen bis zu 7 Millionen Euro oder 1,4 Prozent.
Praxisbeispiel: Ein Lebensmittelhersteller mit 180 Beschäftigten
Ein Hersteller von Backwaren stellt fest, dass er als industrieller Lebensmittelproduzent unter Anlage 2 fällt und damit eine wichtige Einrichtung ist. Die erste Prüfung mit der Checkliste ergibt: Teil 1 rot, weil die Registrierung fehlt; Teil 2 gelb, weil die Verantwortung zwar beim kaufmännischen Geschäftsführer liegt, aber nirgends festgehalten ist; in Teil 3 sind Backup und Virenschutz grün, Lieferkette, Wirksamkeitsprüfung und Inventar rot; Teil 4 komplett rot.
Innerhalb von zwei Wochen holt das Unternehmen die Registrierung nach und benennt Verantwortliche. Nach einem Monat steht der Meldeprozess mit Vorlagen und Vertretungsregel, ein externer Dienstleister übernimmt die Überwachung außerhalb der Arbeitszeit. Nach drei Monaten sind MFA, ein Inventar und eine Lieferantenliste vorhanden, die Geschäftsleitung ist geschult, und ein Maßnahmenplan für das restliche Jahr ist beschlossen. Aus vielen roten Punkten ist ein nachvollziehbarer Fahrplan geworden.
Unterstützung bei der NIS2-Umsetzung
Wenn Sie Ihren Stand nicht allein bewerten möchten, unterstützen wir Sie mit unserem NIS2-Check zum Festpreis: Wir prüfen alle Pflichten strukturiert, zeigen die Lücken und erstellen einen priorisierten Maßnahmenplan. Für die laufende Dokumentation und Nachweisführung setzen wir als Partner auf die GRC-Plattform von Commugen, mit der sich Maßnahmen, Verantwortlichkeiten und Nachweise zentral verwalten lassen. Mehr dazu im Beitrag Commugen GRC: Compliance automatisieren.
Fazit: Von der Checkliste zum Fahrplan
NIS2 verlangt kein perfektes Sicherheitsniveau von heute auf morgen, sondern ein nachvollziehbares, wirksames und dokumentiertes Risikomanagement. Mit dieser Checkliste sehen Sie, wo Sie stehen: Betroffenheit und Registrierung, Pflichten der Geschäftsleitung, die zehn Maßnahmen nach § 30 BSIG, Meldewesen, Lieferkette und Nachweise. Wer jeden roten Punkt mit einer verantwortlichen Person und einem Termin versieht, hat bereits den wichtigsten Schritt getan.
Sie möchten wissen, wo Ihr Unternehmen bei NIS2 steht? Wir prüfen Ihren Stand und zeigen die nächsten Schritte. Jetzt kostenlose Erstberatung buchen.
Quellen
- BSI: NIS-2-Umsetzungsgesetz in Kraft (Pressemitteilung)
- BSI: NIS-2-Pflichten
- BSI: NIS-2-Meldepflicht
- § 30 BSIG: Risikomanagementmaßnahmen
- § 32 BSIG: Meldepflichten
- § 33 BSIG: Registrierungspflicht
- § 35 BSIG: Unterrichtungspflichten
- § 38 BSIG: Billigungs-, Überwachungs- und Schulungspflicht
- § 65 BSIG: Bußgeldvorschriften
- Landesamt für Sicherheit in der Informationstechnik Bayern: Checkliste nach NIS-2-Kriterien
