NIS2 / §30 BSIG

Alle 67 NIS2-Prüffragen erklärt

Der komplette NIS2-Prüfkatalog nach §30 BSIG - 12 Themenfelder von Governance bis OT-Sicherheit. Jede Frage mit Erläuterung, konkreter Prüfanleitung und Nachweis-Hinweis für den Mittelstand.

Prüffragen gesamt

Themenfelder

§30 BSIG

Rechtsgrundlage

Governance & Leitungsverantwortung(7)

NIS2 Art. 20

Gibt es eine klar benannte Person für IT-Sicherheit im Unternehmen?

Prüfen & umsetzen

NIS2 Art. 20

Ist die Geschäftsführung über ihre persönliche Haftung für IT-Sicherheit nach NIS2 informiert?

Prüfen & umsetzen

NIS2 Art. 20

Existiert eine dokumentierte IT-Sicherheitsrichtlinie (Information Security Policy)?

Prüfen & umsetzen

NIS2 Art. 20

Ist das Unternehmen beim BSI als NIS2-betroffene Einrichtung registriert?

Prüfen & umsetzen

NIS2 Art. 20

Wird das IT-Sicherheitsbudget regelmäßig überprüft und ist es angemessen?

Prüfen & umsetzen

NIS2 Art. 20

Gibt es ein regelmäßiges Reporting zum IT-Sicherheitsstatus an die Geschäftsleitung?

Prüfen & umsetzen

NIS2 Art. 20

Hat die Geschäftsleitung an einer Cybersicherheits-Schulung teilgenommen?

Prüfen & umsetzen

Zugangsmanagement & Authentifizierung(7)

NIS2 Art. 21(2)(i)

Ist Multi-Faktor-Authentifizierung (MFA) für alle privilegierten Konten und Remote-Zugänge aktiviert?

Prüfen & umsetzen

NIS2 Art. 21(2)(i)

Gibt es ein dokumentiertes Berechtigungskonzept nach Least-Privilege?

Prüfen & umsetzen

NIS2 Art. 21(2)(i)

Werden Benutzerkonten bei Austritt von Mitarbeitern am selben Tag deaktiviert?

Prüfen & umsetzen

NIS2 Art. 21(2)(i)

Gibt es eine Passwort-Richtlinie mit Mindestanforderungen?

Prüfen & umsetzen

NIS2 Art. 21(2)(i)

Werden privilegierte Administratorzugänge separat von normalen Benutzerkonten geführt?

Prüfen & umsetzen

NIS2 Art. 21(2)(i)

Ist der physische Zugang zu Serverräumen und IT-Infrastruktur gesichert und protokolliert?

Prüfen & umsetzen

NIS2 Art. 21(2)(i)

Werden regelmäßige Zugriffsprüfungen (Access Reviews) durchgeführt?

Prüfen & umsetzen

Kryptographie & Datensicherheit(5)

NIS2 Art. 21(2)(h)

Sind Notebooks und mobile Endgeräte vollständig verschlüsselt (BitLocker/FileVault)?

Prüfen & umsetzen

NIS2 Art. 21(2)(h)

Werden Daten auf dem Transportweg durchgängig verschlüsselt (TLS ≥ 1.2, VPN)?

Prüfen & umsetzen

NIS2 Art. 21(2)(h)

Gibt es ein Schlüsselmanagement-Konzept (Erstellung, Rotation, Vernichtung)?

Prüfen & umsetzen

NIS2 Art. 21(2)(h)

Gibt es ein Datenklassifizierungsschema (z.B. öffentlich/intern/vertraulich)?

Prüfen & umsetzen

NIS2 Art. 21(2)(h)

Werden Datenträger bei Entsorgung oder Rückgabe sicher gelöscht/vernichtet?

Prüfen & umsetzen

Backup & Business Continuity(6)

NIS2 Art. 21(2)(c)

Werden regelmäßige Backups aller kritischen Systeme durchgeführt?

Prüfen & umsetzen

NIS2 Art. 21(2)(c)

Werden Backup-Wiederherstellungen regelmäßig getestet (mindestens quartalsweise)?

Prüfen & umsetzen

NIS2 Art. 21(2)(c)

Gibt es Offline- oder Air-Gapped-Backups als Ransomware-Schutz?

Prüfen & umsetzen

NIS2 Art. 21(2)(c)

Sind Recovery Time Objective (RTO) und Recovery Point Objective (RPO) definiert?

Prüfen & umsetzen

NIS2 Art. 21(2)(c)

Existiert ein dokumentierter Business-Continuity-Plan (BCP)?

Prüfen & umsetzen

NIS2 Art. 21(2)(c)

Wurde eine Business Impact Analysis (BIA) für kritische Geschäftsprozesse durchgeführt?

Prüfen & umsetzen

Netzwerksicherheit & Infrastruktur(7)

NIS2 Art. 21(2)(e)

Existiert eine Firewall mit aktiven, dokumentierten Regelwerken?

Prüfen & umsetzen

NIS2 Art. 21(2)(e)

Ist das Netzwerk segmentiert (VLANs, DMZ, IT/OT-Trennung)?

Prüfen & umsetzen

NIS2 Art. 21(2)(e)

Werden alle Remote-Zugriffe ausschließlich über VPN oder ZTNA abgesichert?

Prüfen & umsetzen

NIS2 Art. 21(2)(e)

Gibt es Intrusion Detection/Prevention (IDS/IPS) oder Netzwerk-Monitoring auf Anomalien?

Prüfen & umsetzen

NIS2 Art. 21(2)(e)

Ist das WLAN sicher konfiguriert (WPA2/3-Enterprise, separate Gast-WLANs)?

Prüfen & umsetzen

NIS2 Art. 21(2)(e)

Wird DNS-Filtering gegen Malware-/Phishing-Domains eingesetzt?

Prüfen & umsetzen

NIS2 Art. 21(2)(e)

Wird die Netzwerkarchitektur regelmäßig überprüft und die Dokumentation gepflegt?

Prüfen & umsetzen

Incident Response & Meldewesen(8)

NIS2 Art. 21(2)(b), Art. 23

Existiert ein dokumentierter Incident-Response-Plan (IRP)?

Prüfen & umsetzen

NIS2 Art. 21(2)(b), Art. 23

Ist der Meldeprozess an das BSI eingerichtet (24h/72h/1 Monat)?

Prüfen & umsetzen

NIS2 Art. 21(2)(b), Art. 23

Werden Sicherheitsvorfälle zuverlässig erkannt (SIEM, EDR, Log-Analyse)?

Prüfen & umsetzen

NIS2 Art. 21(2)(b), Art. 23

Gibt es eine Notfallkontaktliste (intern + extern: BSI, Datenschutzbehörde, Forensik)?

Prüfen & umsetzen

NIS2 Art. 21(2)(b), Art. 23

Werden Incident-Response-Übungen (Tabletop-Exercises) durchgeführt?

Prüfen & umsetzen

NIS2 Art. 21(2)(b), Art. 23

Wird nach jedem Vorfall eine Root-Cause-Analyse durchgeführt?

Prüfen & umsetzen

NIS2 Art. 21(2)(b), Art. 23

Gibt es einen Kommunikationsplan für Sicherheitsvorfälle (intern + Öffentlichkeit)?

Prüfen & umsetzen

NIS2 Art. 21(2)(b), Art. 23

Gibt es einen gesicherten, vom Hauptnetz unabhängigen Kommunikationskanal für den Notfall (z.B. verschlüsselter Messenger, Out-of-Band-Kanal)?

Prüfen & umsetzen

Lieferkettensicherheit(5)

NIS2 Art. 21(2)(d)

Sind Sicherheitsanforderungen an IT-Dienstleister vertraglich geregelt?

Prüfen & umsetzen

NIS2 Art. 21(2)(d)

Wurde eine Risikobewertung kritischer Lieferanten durchgeführt?

Prüfen & umsetzen

NIS2 Art. 21(2)(d)

Sind Auftragsverarbeitungsverträge (AVVs) mit allen relevanten Dienstleistern abgeschlossen?

Prüfen & umsetzen

NIS2 Art. 21(2)(d)

Werden Sicherheitsmaßnahmen von Lieferanten regelmäßig überprüft?

Prüfen & umsetzen

NIS2 Art. 21(2)(d)

Existiert eine Exit-Strategie für kritische Dienstleister?

Prüfen & umsetzen

Awareness & Schulung(5)

NIS2 Art. 20(2), Art. 21(2)(g)

Erhalten alle Mitarbeiter regelmäßige IT-Sicherheitsschulungen?

Prüfen & umsetzen

NIS2 Art. 20(2), Art. 21(2)(g)

Werden regelmäßige Phishing-Simulationen durchgeführt?

Prüfen & umsetzen

NIS2 Art. 20(2), Art. 21(2)(g)

Werden neue Mitarbeiter beim Onboarding zur IT-Sicherheit geschult?

Prüfen & umsetzen

NIS2 Art. 20(2), Art. 21(2)(g)

Gibt es spezifische Schulungen für IT-Admins und Entwickler (z.B. Secure Coding)?

Prüfen & umsetzen

NIS2 Art. 20(2), Art. 21(2)(g)

Wird die Wirksamkeit der Awareness-Maßnahmen gemessen und dokumentiert?

Prüfen & umsetzen

Schwachstellenmanagement(7)

NIS2 Art. 21(2)(e)

Gibt es einen Patch-Management-Prozess mit definierten Fristen (kritisch ≤ 72h)?

Prüfen & umsetzen

NIS2 Art. 21(2)(e)

Werden regelmäßige Vulnerability Scans (mind. quartalsweise) durchgeführt?

Prüfen & umsetzen

NIS2 Art. 21(2)(e)

Ist ein Asset-Inventar aller IT-Systeme aktuell und vollständig?

Prüfen & umsetzen

NIS2 Art. 21(2)(e)

Gibt es einen Prozess für den Umgang mit Zero-Day-Schwachstellen?

Prüfen & umsetzen

NIS2 Art. 21(2)(e)

Werden Systeme nach Best Practices gehärtet (CIS Benchmarks / BSI-Grundschutz)?

Prüfen & umsetzen

NIS2 Art. 21(2)(e)

Gibt es einen dokumentierten Change-Management-Prozess für IT-Systemänderungen (inkl. Test, Freigabe, Rollback)?

Prüfen & umsetzen

NIS2 Art. 21(2)(e)

Werden bei der Beschaffung oder Entwicklung von Software Sicherheitsanforderungen explizit definiert und geprüft?

Prüfen & umsetzen

Risikomanagement & Bewertung(5)

NIS2 Art. 21(1)

Gibt es einen formalen Risikomanagement-Prozess (dokumentiert)?

Prüfen & umsetzen

NIS2 Art. 21(1)

Werden regelmäßige Risikobewertungen durchgeführt (mind. jährlich)?

Prüfen & umsetzen

NIS2 Art. 21(1)

Gibt es einen Risikobehandlungsplan mit Maßnahmen und Verantwortlichen?

Prüfen & umsetzen

NIS2 Art. 21(1)

Werden akzeptierte Risiken dokumentiert und von der Geschäftsleitung genehmigt?

Prüfen & umsetzen

NIS2 Art. 21(1)

Umfasst das Risikomanagement auch physische und personelle Risiken (nicht nur IT)?

Prüfen & umsetzen

Wirksamkeitsbewertung(3)

NIS2 Art. 21(2)(f)

Werden implementierte Sicherheitsmaßnahmen regelmäßig auf ihre Wirksamkeit geprüft (z.B. durch interne Audits, Penetrationstests oder KPI-Messung)?

Prüfen & umsetzen

NIS2 Art. 21(2)(f)

Gibt es dokumentierte Ergebnisse aus Wirksamkeitsprüfungen der letzten 12 Monate?

Prüfen & umsetzen

NIS2 Art. 21(2)(f)

Werden Testergebnisse (Pentest, Audit) systematisch in Maßnahmen überführt und nachverfolgt?

Prüfen & umsetzen

OT- & Produktionssicherheit(2)

NIS2 Art. 21(2)(e), Art. 21(2)(j)

Sind OT/ICS-Systeme (Produktionsanlagen, SCADA, SPS) vom IT-Netzwerk segmentiert?

Prüfen & umsetzen

NIS2 Art. 21(2)(e), Art. 21(2)(j)

Werden Fernwartungszugänge zu OT-Systemen durch MFA, Zeitbeschränkung und Protokollierung abgesichert?

Prüfen & umsetzen

NIS2-Betroffenheit in 10 Minuten prüfen

Der kostenlose NIS2-Check führt Sie durch alle Themenfelder und zeigt Ihren Reifegrad plus konkrete Maßnahmen - ohne Anmeldung.

NIS2-Check kostenlos starten