NIS2-Checkliste in Deutschland: Betroffenheit klären, Maßnahmen umsetzen

Zuerst klären: Welche Pflichten treffen Ihre Einrichtung?

Das deutsche NIS2-Umsetzungsgesetz wurde am 5. Dezember 2025 verkündet und trat grundsätzlich am 6. Dezember 2025 in Kraft. Maßgeblich für die hier beschriebenen deutschen Unternehmenspflichten ist das geltende BSI-Gesetz. Die EU-Richtlinie bildet den europäischen Rahmen; ihr Umsetzungsdatum im Oktober 2024 ist kein deutsches Inkrafttretensdatum. BGBl. 2025 I Nr. 301, Art. 30, Richtlinie (EU) 2022/2555, Art. 41.

Prüfen Sie den Rechtsträger, seine tatsächlich erbrachten Leistungen und die passende Einrichtungsart in Anlage 1 oder 2. „IT“, „Lebensmittel“ oder „Gesundheit“ allein beantworten die Frage nicht. Anschließend kommen Größe, Unternehmensverbindungen, Zuständigkeit und Sonderregeln hinzu. § 28 BSIG.

Die Schwellen stehen in § 28 Abs. 1 und 2. Mitarbeiterzahl und Finanzwerte sind nach Abs. 4 unter Einbeziehung der dort genannten EU-KMU-Regeln zu bestimmen. Teilzeit, Bezugsjahre sowie Partner- und verbundene Unternehmen können das Ergebnis verändern. Eine eigene GmbH bedeutet nicht automatisch, dass Konzernwerte unbeachtlich sind; die gesetzliche Ausnahme für unabhängige IT-Systeme und Dienste verlangt eine konkrete Prüfung. Tätigkeiten, die im Verhältnis zur Gesamttätigkeit vernachlässigbar sind, können nach Abs. 3 außer Betracht bleiben. Daraus folgt kein frei wählbarer Bagatellprozentsatz.

Vier Gegenproben für Ihre Einordnung: Ein reines Restaurant wird nicht schon mit 50 Beschäftigten zum Lebensmittelunternehmen nach Anlage 2; dort geht es um Großhandel sowie industrielle Produktion und Verarbeitung. Ein Maschinenbauer der erfassten Einrichtungsart kann bei 60 Beschäftigten hingegen wichtig sein. 40 Beschäftigte, 20 Mio. Euro Umsatz und 9 Mio. Euro Bilanzsumme erfüllen für ein unabhängiges Unternehmen den allgemeinen Größenweg nicht. Ein kleiner DNS-Diensteanbieter für Dritte kann unabhängig von dieser Größenregel besonders wichtig sein; das bloße Betreiben einer eigenen Domain macht ihn noch nicht dazu. Anlage 2, Nr. 4 und 5.4, § 2 Nr. 8 BSIG.

Für bestimmte Energie-, Telekommunikations-, Finanz- und Telematikeinrichtungen enthält § 28 Abs. 5–7 Ausnahmen von benannten BSIG-Pflichten. Das ist keine pauschale Befreiung von Cybersicherheit oder sämtlichen Registrierungspflichten. Öffentliche und kommunale Einrichtungen benötigen ebenfalls eine gesonderte Zuordnung.

Bei grenzüberschreitenden digitalen Diensten ist außerdem die zuständige Aufsicht zu bestimmen. Für die in § 60 Abs. 1 genannten Anbieter knüpft die zentrale deutsche Zuständigkeit insbesondere an die EU-Hauptniederlassung in Deutschland an; ohne EU-Niederlassung gelten besondere Vertreterregeln. Ein deutscher Kunde allein begründet keine universelle BSI-Zuständigkeit. § 60 BSIG.

Fristen und Verantwortung parallel bearbeiten

Die Registrierung nach § 33 Abs. 1 ist spätestens drei Monate nach erstmaliger oder erneuter Erfüllung der Voraussetzungen fällig. Der 6. März 2026 war daher die erste Frist für bereits am 6. Dezember 2025 erfasste Einrichtungen. Wer später erfasst wird, rechnet ab diesem späteren Zeitpunkt. Für kritische Anlagen gelten zusätzliche Angaben und das Übergangsrecht des § 66; der Übergang zur neuen KRITIS-Verordnung beseitigt bestehende BSIG-Pflichten nicht. § 33, § 66 BSIG.

Die Geschäftsleitung muss die Maßnahmen nach § 30 umsetzen und ihre Umsetzung überwachen. Sie muss außerdem regelmäßig selbst an Schulungen teilnehmen. Registrierung, Meldebereitschaft und technische Verbesserungen laufen deshalb parallel; ein längeres Sicherheitsprojekt verschiebt bestehende Pflichten nicht. § 38 BSIG.

So verwenden Sie die zehn Maßnahmenbereiche

§ 30 Abs. 1 verlangt geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen sowie deren Dokumentation. Risikoexposition, Größe, Kosten, Eintrittswahrscheinlichkeit und mögliche Folgen gehören zur Abwägung. Abs. 2 nennt die folgenden Mindestbereiche. Er formuliert die Orientierung am Stand der Technik und an einschlägigen Normen als Soll-Vorgabe; der gefahrenübergreifende Ansatz und die Abdeckung der Bereiche sind verpflichtend. Für bestimmte digitale Dienste und Vertrauensdienste geht die Durchführungsverordnung (EU) 2024/2690 vor. § 30 Abs. 1–3 BSIG, Verordnung, Art. 1–2 und Anhang.

Die Umsetzungsschritte unten sind praktische Beispiele. Nicht jedes Beispiel ist für jede Einrichtung gesetzlich vorgeschrieben. Halten Sie je Bereich fest: verantwortliche Person, betrachteter Dienst, Risiko, Maßnahme, Wirksamkeitsbeleg und nächster Prüf- oder Entscheidungstermin. „Offen“ ist ein Arbeitsstatus, keine rechtliche Freigabe zum Aufschub.

1. Risiken und Sicherheitskonzepte

Pflichtbereich: § 30 Abs. 2 Satz 2 Nr. 1. Ermitteln Sie, welche Dienste von welchen Systemen, Personen und Lieferanten abhängen. Bewerten Sie neben Angriffen auch Fehlbedienung, Ausfälle und physische Gefahren. Eine gesetzlich vorgeschriebene einzige Bewertungsmethode lässt sich daraus nicht ableiten.

Beginnen Sie mit einem Inventar der wesentlichen Dienste und ihrer Abhängigkeiten. Beschreiben Sie plausible Schadensszenarien, priorisieren Sie Risiken und entscheiden Sie über Maßnahmen, Verantwortliche und Mittel. Eine Risikoliste ohne Umsetzung bleibt unvollständig.

Brauchbarer Beleg: Ein nachvollziehbares Risikoregister mit Entscheidungen und überprüften Maßnahmen. Gegenfall: Eine gute Website-Note sagt nichts darüber aus, ob Produktionssteuerung, Identitätsdienst oder Wiederanlauf berücksichtigt wurden.

2. Sicherheitsvorfälle bewältigen

Pflichtbereich: Nr. 2. Legen Sie Erkennung, interne Eskalation, Eindämmung, Beweissicherung und Wiederherstellung fest. Benennen Sie Vertretungen und einen Kommunikationsweg, der beim Ausfall des normalen E-Mail-Systems funktioniert.

Üben Sie anhand eines synthetischen Falls, wer den Vorfall bewertet und wer eine Behördenmeldung absetzen kann. Frühwarnung und Folgemeldung nach § 32 haben grundsätzlich Höchstfristen von 24 und 72 Stunden, jeweils ab Kenntnis des erheblichen Vorfalls. Die vollständige Ursachenanalyse muss dafür nicht fertig sein. Für Vertrauensdiensteanbieter kommen eigenständige eIDAS-Mitteilungen binnen 24 Stunden hinzu; die allgemeine BSIG-Folgemeldung ersetzt sie nicht. Einzelheiten, Empfänger und Sonderfälle stehen im Ratgeber zur Meldepflicht.

Brauchbarer Beleg: Erreichbare Zuständige, einsatzfähige Meldezugänge und ein ausgewerteter Übungsverlauf. Gegenfall: Eine Kontaktliste ohne Vertretung und ohne nutzbaren Zugang stellt die Meldefähigkeit nicht sicher.

3. Betrieb, Backups und Wiederanlauf sichern

Pflichtbereich: Nr. 3. Bestimmen Sie, welche Ausfallzeiten und Datenverluste ein Dienst verkraftet. Daraus folgen Sicherungsstrategie, geschützte Wiederherstellungswege und Krisenorganisation.

Prüfen Sie, ob Sicherungen auch dann verfügbar bleiben, wenn produktive Administrationskonten kompromittiert sind. Testen Sie die Wiederherstellung eines repräsentativen Dienstes einschließlich Identitäten, Konfiguration und Abhängigkeiten. Ein verbreitetes Backup-Schema kann helfen; das Gesetz schreibt hier kein universelles „3-2-1“-Rezept vor.

Brauchbarer Beleg: Ein Restore-Protokoll mit benötigter Zeit, wiederhergestellten Daten und behobenen Abweichungen. Gegenfall: Eine erfolgreiche Sicherungsmeldung beweist noch keinen erfolgreichen Wiederanlauf.

4. Unmittelbare Lieferanten einbeziehen

Pflichtbereich: Nr. 4. Erfassen Sie unmittelbare Anbieter und Dienstleister, von denen Ihre Dienste abhängen. Ordnen Sie Zugriffe, Sicherheitszusagen, Vorfallinformationen und Ausstiegsmöglichkeiten nach dem tatsächlichen Risiko.

Für einen ausgelagerten Maildienst sind beispielsweise Administrationsrechte, Wiederherstellung, Ansprechpartner und schnelle Vorfallinformationen relevant. Klären Sie, welche Nachweise der Anbieter liefert und was Sie selbst prüfen müssen. Das Zertifikat eines Dienstleisters übernimmt nicht die Verantwortung für Ihre eigene Einrichtung.

Brauchbarer Beleg: Begründete Lieferantenbewertung samt vereinbarten und überprüften Anforderungen. Gegenfall: Ein Anbieterlogo oder ein externer Scan deckt keine Vertrags-, Personal- oder Wiederanlaufbedingungen ab.

5. Beschaffung, Entwicklung und Wartung absichern

Pflichtbereich: Nr. 5. Sicherheit gehört in Auswahl, Entwicklung, Änderungen und laufende Pflege von Systemen. Dazu zählen der Umgang mit Schwachstellen und deren Offenlegung.

Führen Sie unterstützte Versionen und verantwortliche Teams zusammen. Priorisieren Sie Behebungen nach Ausnutzbarkeit und Folgen, testen Sie Änderungen und planen Sie Rückfallwege. Wählen Sie Prüfverfahren passend zum System: Konfigurationsprüfung, Codeprüfung oder ein gezielter Penetrationstest beantworten unterschiedliche Fragen.

Brauchbarer Beleg: Ein behobener Befund mit Risikoentscheidung, Änderung und anschließender Kontrolle. Gegenfall: Ein gepatchter Webserver gleicht unsichere Objektberechtigungen in der Anwendung nicht aus.

6. Wirksamkeit nachweisen

Pflichtbereich: Nr. 6. Prüfen Sie, ob Maßnahmen ihr Schutzziel im tatsächlichen Betrieb erreichen. Legen Sie Umfang und Wiederholung risikogerecht fest und berücksichtigen Sie Änderungen und Vorfälle.

Kombinieren Sie technische Beobachtungen mit Funktionsprüfungen: Greift eine Sperre? Funktioniert der Restore? Erreicht eine Alarmierung die zuständige Person? Ein gesetzlich festgelegter jährlicher Vollaudit für jede wichtige Einrichtung folgt aus dieser Vorschrift nicht. Für Betreiber kritischer Anlagen und behördlich angeordnete Nachweise gelten zusätzliche Regeln, insbesondere §§ 39, 61 und 62.

Brauchbarer Beleg: Prüfziel, Methode, Ergebnis, Abweichung und Nachverfolgung. Gegenfall: Ein unveränderter Scanner-Score kann auch unveränderte Prüflücken bedeuten.

7. Beschäftigte schulen und sensibilisieren

Pflichtbereich: Nr. 7. Vermitteln Sie grundlegendes Sicherheitswissen passend zu Aufgaben und Risiken. Beschäftigte sollten verdächtige Vorgänge erkennen und einen einfachen internen Meldeweg kennen.

Ergänzen Sie allgemeine Inhalte für Rollen mit besonderen Rechten oder Schadensmöglichkeiten: Administration, Einkauf, Buchhaltung und Personalbereich benötigen unterschiedliche Beispiele. Prüfen Sie Verständnis und Nutzbarkeit des Meldewegs. Vermeiden Sie Übungen, die Beschäftigte bloßstellen oder produktive Daten gefährden.

Brauchbarer Beleg: Inhalte, Teilnahmen und nachvollziehbare Verbesserungen. Die eigene Schulung der Geschäftsleitung nach § 38 Abs. 3 ist ein zusätzlicher Pflichtbereich und wird nicht durch eine Mitarbeiterschulung erledigt.

8. Kryptografie mit ihrem gesamten Lebenszyklus betrachten

Pflichtbereich: Nr. 8. Legen Sie fest, welche Daten und Verbindungen kryptografischen Schutz benötigen, wie Schlüssel verwaltet werden und wie Erneuerung, Widerruf und Wiederherstellung funktionieren.

Transportverschlüsselung schützt einen Übertragungsabschnitt. Sie beantwortet nicht automatisch, wer am Endpunkt lesen darf, wie gespeicherte Daten geschützt sind oder ob besonders vertrauliche Inhalte einen weitergehenden Schutz benötigen. Wählen Sie Verfahren und Betriebsprozesse gemeinsam.

Brauchbarer Beleg: Schutzbedarf, eingesetzte Verfahren, Schlüsselverantwortung und durchgeführte Prüfungen. Gegenfall: Ein gültiges TLS-Zertifikat der Website beweist keine sichere Kommunikation im gesamten Unternehmen.

9. Personal, Zugriffe und IKT-Bestand verwalten

Pflichtbereich: Nr. 9. Verbinden Sie Eintritt, Rollenwechsel und Austritt von Beschäftigten mit Zugriffskonzepten und einem gepflegten Bestand an Systemen, Produkten und Prozessen.

Prüfen Sie besonders privilegierte und gemeinsam genutzte Konten, Dienstkonten und Zugänge externer Personen. Rechte sollten begründet sein, nach Änderungen angepasst und in einem geeigneten Rhythmus überprüft werden. Ein Inventar braucht einen verantwortlichen Pflegeprozess.

Brauchbarer Beleg: Stichproben zu Rechtefreigaben, Rollenwechseln und Entzug nicht mehr benötigter Zugriffe. Gegenfall: Eine veröffentlichte Richtlinie beweist nicht, dass das Konto eines ausgeschiedenen Administrators deaktiviert wurde.

10. Authentifizierung und Kommunikation schützen

Pflichtbereich: Nr. 10. Der gesetzliche Bereich umfasst Mehrfaktor- oder kontinuierliche Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikation. Wie dies wirksam und verhältnismäßig umgesetzt wird, folgt aus dem konkreten Risiko und gegebenenfalls den genaueren sektoralen Anforderungen.

Priorisieren Sie besonders schadensträchtige Zugriffe, berücksichtigen Sie Wiederherstellungs- und Notfallkonten und prüfen Sie Umgehungswege. Für die Krisenkommunikation ist wichtig, ob sie auch bei Ausfall oder Kompromittierung der normalen Systeme noch funktioniert.

Brauchbarer Beleg: Kontrollierte Anmeldewege, getestete Wiederherstellung und ein nutzbarer Krisenkanal. Gegenfall: MFA für eine einzelne Anwendung beweist weder vollständige Zugriffssicherheit noch sichere E-Mail-Übertragung.

Was ein Außencheck beitragen kann

Ein Außencheck kann ausgewählte öffentlich erreichbare Konfigurationen einer Website, Domain oder API sichtbar machen. Das unterstützt insbesondere die Bearbeitung technischer Befunde und deren Nachkontrolle. Entscheidend sind Ziel, Zeitpunkt, tatsächlich erhobene Merkmale und die Grenzen der Messung.

Auch ein vollständiges technisches Einzelergebnis ist keine vollständige Prüfung der gesetzlichen Pflicht. Ein nicht erhobener Wert ist weder bestanden noch automatisch ein schwerer Mangel.

Ihr nächster sinnvoller Arbeitsschritt

Halten Sie zunächst die begründete Einordnung Ihrer Einrichtung und die aktuell laufenden Fristen fest. Wählen Sie dann für jeden der zehn Bereiche eine verantwortliche Person und einen belastbaren nächsten Nachweis. Behandeln Sie akute Vorfälle und fällige Meldungen sofort; ordnen Sie Verbesserungen nach Risiko und Abhängigkeiten.

Vertiefung: NIS2-Meldepflicht, Geschäftsleitungsverantwortung und Haftung, NIS2 und ISO 27001. Für einen begrenzten technischen Ausgangsbefund stehen der Web-Security-Check und der E-Mail-Security-Check bereit. Deren Ergebnisse gehören als einzelne Belege in Ihre Bewertung, nicht als Freigabe über die gesamte Checkliste.