NIS2-Checkliste: 10 Maßnahmen nach §30 BSIG
Das NIS2UmsuCG verpflichtet rund 30.000 Einrichtungen zu zehn konkreten Sicherheitsmaßnahmen. Diese Checkliste zeigt, was jede Maßnahme fordert — und wie Sie sie umsetzen.
Zehn Pflichtmaßnahmen — seit dem 6. Dezember 2025 in Kraft
Seit dem 6. Dezember 2025 gilt das NIS2UmsuCG. Rund 30.000 Einrichtungen in Deutschland sind betroffen — nach der Gesetzesbegründung rund 8.250 besonders wichtige und rund 21.600 wichtige Einrichtungen mit mindestens 50 Mitarbeitenden oder einem Jahresumsatz und einer Jahresbilanzsumme von jeweils über 10 Mio. EUR. Das Gesetz ist ohne Vacatio legis in Kraft getreten; für Registrierung und Nachweise gelten gestaffelte Fristen (u. a. drei Monate für die Registrierung nach §33 Abs. 1 BSIG).
Die Geschäftsleitung trägt nach §38 BSIG die Umsetzungs- und Überwachungspflicht und haftet bei schuldhafter Verletzung der eigenen Einrichtung auf Schadensersatz; zudem muss sie regelmäßig an Cybersicherheitsschulungen teilnehmen (§38 Abs. 3 BSIG). Bei Sicherheitsvorfällen greift die 24h-Meldepflicht. Bußgelder nach §65 BSIG richten sich gegen die Einrichtung: bis 10 Mio. EUR bei besonders wichtigen, bis 7 Mio. EUR bei wichtigen Einrichtungen. Die Umsatzvarianten (2 % bzw. 1,4 %) greifen erst ab einem Gesamtumsatz von mehr als 500 Mio. EUR.
Konzepte in Bezug auf die Risikoanalyse und auf die Sicherheit in der Informationstechnik
Unternehmen müssen ein dokumentiertes Risiko-Framework etablieren, das alle IT-Systeme, Prozesse und Komponenten systematisch erfasst, Bedrohungen identifiziert und bewertet. Die Risikoanalyse muss den gefahrenübergreifenden Ansatz berücksichtigen und jährlich überprüft werden.
Umsetzungsschritte
- Risiko-Framework nach ISO 27005 oder BSI 200-3 einführen und dokumentieren
- Alle kritischen Assets (IT-Systeme, Daten, Prozesse) inventarisieren und klassifizieren
- Bedrohungs- und Schwachstellenanalyse durchführen, Risikobehandlungspläne erstellen
- Jährliche Überprüfung und Management-Freigabe der Risikoakzeptanz sicherstellen
Bewältigung von Sicherheitsvorfällen
Es muss ein vollständiger Incident-Response-Zyklus etabliert sein: Erkennung, Analyse, Eindämmung, Beseitigung, Wiederherstellung und Nachbereitung. Dazu gehören Meldeketten zum BSI: frühe Erstmeldung binnen 24 Stunden, Meldung über den Sicherheitsvorfall binnen 72 Stunden, Abschlussmeldung einen Monat nach der 72-Stunden-Meldung (§32 BSIG). Hinzu kommen Zwischenmeldungen auf Ersuchen des BSI und eine Fortschrittsmeldung bei andauerndem Vorfall.
Umsetzungsschritte
- Incident-Response-Plan mit definierten Rollen, Eskalationswegen und Kontaktlisten erstellen
- Meldeprozess nach §32 BSIG implementieren: frühe Erstmeldung binnen 24 Stunden an das BSI sicherstellen
- Technische Erkennung aufbauen (SIEM, Logging, Monitoring)
- Regelmäßige IR-Übungen (Tabletop-Exercises) durchführen und dokumentieren
Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement
Unternehmen müssen Business-Continuity- und Disaster-Recovery-Pläne vorhalten, die regelmäßig getestet werden. Backup-Konzepte müssen die Wiederherstellung kritischer Systeme in definierten Zeitfenstern sicherstellen.
Umsetzungsschritte
- Business-Impact-Analyse (BIA) durchführen: kritische Geschäftsprozesse und deren RTO/RPO definieren
- Backup-Konzept mit 3-2-1-Regel implementieren, Wiederherstellungstests dokumentieren
- Notfallplan (DR-Plan) und Krisenmanagement-Handbuch erstellen
- Mindestens jährlich Notfallübungen durchführen und Ergebnisse auswerten
Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern
Sicherheitsanforderungen müssen vertraglich mit allen Anbietern und Dienstleistern vereinbart werden. Lieferanten sind hinsichtlich ihrer Cybersicherheitspraktiken zu bewerten und fortlaufend zu überwachen.
Umsetzungsschritte
- Verzeichnis aller IT-Lieferanten und Dienstleister mit Kontaktpunkten pflegen
- Vertragliche Sicherheitsanforderungen und SLAs mit Lieferanten vereinbaren
- Regelmäßige Bewertung der Cybersicherheitspraktiken von Anbietern durchführen
- Prozess für den Umgang mit Sicherheitsvorfällen in der Lieferkette definieren
Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von informationstechnischen Systemen, Komponenten und Prozessen, einschließlich Management und Offenlegung von Schwachstellen
IT-Systeme müssen über ihren gesamten Lebenszyklus sicher konfiguriert, gewartet und auf Schwachstellen geprüft werden. Dazu gehören Patch-Management, sichere Entwicklungsstandards und ein Verfahren zur verantwortungsvollen Offenlegung von Schwachstellen.
Umsetzungsschritte
- Patch-Management-Prozess mit definierten Fristen für kritische Updates einführen
- Sichere Entwicklungsrichtlinien (Secure SDLC) und Code-Reviews etablieren
- Regelmäßige Schwachstellen-Scans und Penetrationstests durchführen
- security.txt nach RFC 9116 veröffentlichen und Offenlegungsprozess definieren
Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Sicherheit in der Informationstechnik
Die Wirksamkeit aller umgesetzten Sicherheitsmaßnahmen muss regelmäßig überprüft und dokumentiert werden. Interne Audits, unabhängige Reviews und Management-Reporting sind dafür erforderlich.
Umsetzungsschritte
- Internes Audit-Programm etablieren, das alle Sicherheitsmaßnahmen periodisch überprüft
- KPIs und Metriken für die IT-Sicherheit definieren und regelmäßig an die Geschäftsleitung berichten
- Unabhängige Bewertungen (z.B. externe Audits, Penetrationstests) beauftragen
- Ergebnisse dokumentieren und Verbesserungsmaßnahmen nachverfolgen
Grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik
Alle Mitarbeitenden, einschließlich der Geschäftsleitung, müssen regelmäßig in IT-Sicherheit geschult werden. Die Überwachungspflicht liegt nach §38 Abs. 1 BSIG bei der Geschäftsleitung; sie muss zudem selbst regelmäßig an Schulungen teilnehmen (§38 Abs. 3 BSIG).
Umsetzungsschritte
- Awareness-Programm mit regelmäßigen Schulungen für alle Mitarbeitenden einführen
- Geschäftsleitung muss regelmäßig an Cybersicherheitsschulungen teilnehmen (§38 Abs. 3 BSIG)
- Phishing-Simulationen und praxisnahe Übungen durchführen
- Schulungsteilnahme dokumentieren und Wirksamkeit evaluieren
Konzepte und Prozesse für den Einsatz von kryptographischen Verfahren
Es muss eine Kryptografie-Richtlinie existieren, die festlegt, welche Protokolle, Algorithmen und Schlüssellängen eingesetzt werden. Die Maßnahmen sollen dabei den Stand der Technik einhalten (§30 Abs. 2 BSIG formuliert dies als Soll-Vorschrift); als fachliche Orientierung dient z. B. BSI TR-02102.
Umsetzungsschritte
- Kryptografie-Richtlinie erstellen: erlaubte Protokolle, Algorithmen und Mindest-Schlüssellängen definieren
- TLS 1.2+ auf allen externen und internen Schnittstellen erzwingen
- Verschlüsselung ruhender Daten (Data at Rest) in Datenbanken und Backups sicherstellen
- Key-Management-Prozess etablieren: Schlüsselgenerierung, -rotation und -vernichtung dokumentieren
Erstellung von Konzepten für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT-Systemen, -Produkten und -Prozessen
Zugriffsberechtigungen müssen nach dem Least-Privilege-Prinzip vergeben und regelmäßig überprüft werden. Dazu gehören Identitätsmanagement, privilegierte Konten-Verwaltung und ein vollständiges Asset-Management aller IKT-Systeme.
Umsetzungsschritte
- Zugriffskontrollrichtlinie nach Least-Privilege-Prinzip implementieren
- Identitäts- und Berechtigungsmanagement (IAM) einführen: Vergabe, Änderung, Entzug dokumentieren
- Privilegierte Konten gesondert verwalten, MFA für alle Administratoren erzwingen
- Vollständiges Verzeichnis aller IKT-Systeme, -Produkte und -Prozesse führen (Asset-Management)
Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung
Für den Zugang zu kritischen Systemen muss MFA eingesetzt werden. Die interne und externe Kommunikation muss über gesicherte Kanäle erfolgen — inklusive Notfallkommunikation, wenn reguläre Kanäle ausfallen.
Umsetzungsschritte
- MFA für alle Remote-Zugänge, VPNs und administrativen Schnittstellen aktivieren
- Ende-zu-Ende-verschlüsselte Kommunikationskanäle für sensible Informationen einsetzen
- E-Mail-Sicherheit durch SPF, DKIM, DMARC und MTA-STS absichern
- Gesicherte Notfallkommunikationssysteme definieren und testen (Out-of-Band-Kanäle)
Was Wolf-Agents abdeckt — und was nicht
Kein einzelnes Tool deckt alle zehn NIS2-Maßnahmen ab. Wir kommunizieren transparent, wo unsere Scanner einen echten Beitrag leisten.
Technisch geprüft
- (e) Sicherheit bei Erwerb, Entwicklung und Wartung — Security Headers, TLS, DNS, API-Härtung
- (h) Kryptografie — TLS-Versionen, Cipher Suites, Zertifikatsketten, HSTS, DANE
- (j) Gesicherte Kommunikation — geprüft über SPF, DKIM, DMARC, MTA-STS, DANE und TLS-RPT als etablierte technische Maßnahmen
Datenbeitrag
- (f) Wirksamkeitsbewertung — Score-Historien und Trend-Analysen als Datenpunkt für interne Audits
Nicht abgedeckt
- (a) Risikoanalyse — erfordert dokumentiertes Risiko-Framework
- (b) Sicherheitsvorfälle — erfordert IR-Pläne, Meldeketten
- (c) Betriebskontinuität — erfordert Backup/DR-Pläne
- (d) Lieferkettensicherheit — erfordert Lieferantenbewertung
- (g) Schulungen — erfordert Awareness-Programme
- (i) Zugriffskontrolle — erfordert IAM, Berechtigungsprüfung
Für die vollständige Umsetzung der NIS2-Anforderungen benötigen Sie ein Informationssicherheits-Managementsystem (ISMS), regelmäßige Audits und organisatorische Prozesse. Wolf-Agents deckt die technisch von außen prüfbaren Aspekte ab und liefert dokumentierte Momentaufnahmen, die Sie Ihrer eigenen Nachweisführung beilegen können.
Wie steht Ihr Unternehmen bei den 10 Maßnahmen?
Prüfen Sie mit dem NIS2-Readiness-Check Ihren Reifegrad in allen zehn Maßnahmen-Bereichen — oder klären Sie zuerst, ob Ihr Unternehmen überhaupt betroffen ist.