ISMS-Aufbau · Schritt 04 von 11 · Plan / Check
Statement of ApplicabilityNIS2-Checkliste (Sie sind hier)AIMS-Handbuchalle 11 Schritte
Compliance-Tool
Prüfungskatalog für die Umsetzung der NIS2-Richtlinie (EU 2022/2555, NIS2UmsuCG) für besonders wichtige und wichtige Einrichtungen nach § 28 BSIG - 8 Bereiche von Governance bis Registrierung. Alle Daten bleiben lokal in deinem Browser.
Was verlangt NIS2?
Artikel 21 Absatz 2 der NIS2-Richtlinie listet zehn Bereiche auf, die betroffene Einrichtungen abdecken müssen - von Konzepten für die Risikoanalyse über Backup und Krisenmanagement bis zu Mehr-Faktor-Authentifizierung und der Sicherheit der Lieferkette. Diese Checkliste prüft den eigenen Stand gegen jeden dieser Punkte und macht Lücken sichtbar.
Die zehn Bereiche lassen sich weitgehend auf die Controls aus Anhang A der ISO/IEC 27001 abbilden. Wer bereits ein ISMS betreibt, deckt einen großen Teil der NIS2-Anforderungen ab; ergänzen muss er vor allem die Melde- und Registrierungspflichten sowie die ausdrücklichen Pflichten der Leitungsorgane nach Art. 20.
Alle Maßnahmen aus Art. 21 Abs. 2 als einzeln bewertbare Prüfpunkte mit Platz für Nachweise.
24-Stunden-Frühwarnung, 72-Stunden-Meldung und Abschlussbericht - mit Zuständigkeiten und Eskalationsweg.
Billigung der Maßnahmen, Überwachung und Schulungsnachweis nach Art. 20 werden mit erfasst.
Kritische Dienstleister identifizieren und über die Lieferantenbewertung steuern.
Für Einrichtungen in den 18 Sektoren aus Anlage 1 und 2 BSIG, die in der Regel mindestens 50 Beschäftigte oder Umsatz und Bilanzsumme über 10 Millionen Euro erreichen. Unterschieden wird zwischen besonders wichtigen Einrichtungen (höhere Schwellen, nur Anlage-1-Sektoren) und wichtigen Einrichtungen; unabhängig von der Größe können auch einzelne kritische Anbieter erfasst sein.
Eine Frühwarnung innerhalb von 24 Stunden nach Kenntnis eines erheblichen Vorfalls, eine detaillierte Meldung innerhalb von 72 Stunden und ein Abschlussbericht nach spätestens einem Monat. In Deutschland ist das BSI die zuständige Stelle.
Sie deckt einen großen Teil ab, ersetzt die Prüfung aber nicht. Nicht automatisch abgedeckt sind die spezifischen Melde- und Registrierungspflichten sowie die ausdrücklichen Pflichten der Leitungsorgane nach Art. 20 - diese müssen zusätzlich umgesetzt und nachgewiesen werden.
Ja. Artikel 20 verpflichtet Leitungsorgane, die Risikomanagementmaßnahmen zu billigen, ihre Umsetzung zu überwachen und an Schulungen teilzunehmen. Bei Verstößen ist eine persönliche Verantwortlichkeit vorgesehen, bis hin zu einem vorübergehenden Tätigkeitsverbot für Leitungspersonen besonders wichtiger Einrichtungen.
Mehr dazu: Glossar: NIS-2 · IT-Sicherheits-Audit