⚠️

JavaScript erforderlich

CompliantDesk benötigt JavaScript um zu funktionieren. Bitte aktivieren Sie JavaScript in Ihrem Browser oder wenden Sie sich an Ihre IT-Abteilung um JavaScript für diese Seite freizuschalten.

Bei Fragen: support@compliantdesk.de

NIS2 / §30 BSIG

Alle 67 NIS2-Prüffragen erklärt

Der komplette NIS2-Prüfkatalog nach §30 BSIG - 12 Themenfelder von Governance bis OT-Sicherheit. Jede Frage mit Erläuterung, konkreter Prüfanleitung und Nachweis-Hinweis für den Mittelstand.

67

Prüffragen gesamt

12

Themenfelder

§30 BSIG

Rechtsgrundlage

Governance & Leitungsverantwortung(7)

§§ 30, 33, 38 BSIG

§§ 30, 33, 38 BSIG

Gibt es eine klar benannte Person für IT-Sicherheit im Unternehmen?

Prüfen & umsetzen

§§ 30, 33, 38 BSIG

Ist die Geschäftsleitung über ihre Pflichten nach § 38 BSIG unterrichtet (Umsetzung und Überwachung der Risikomanagementmaßnahmen, Schulung, Haftung gegenüber der Einrichtung)?

Prüfen & umsetzen

§§ 30, 33, 38 BSIG

Existiert eine dokumentierte IT-Sicherheitsrichtlinie (Information Security Policy)?

Prüfen & umsetzen

§§ 30, 33, 38 BSIG

Ist das Unternehmen beim BSI als NIS2-betroffene Einrichtung registriert?

Prüfen & umsetzen

§§ 30, 33, 38 BSIG

Wird das IT-Sicherheitsbudget regelmäßig überprüft und ist es angemessen?

Prüfen & umsetzen

§§ 30, 33, 38 BSIG

Gibt es ein regelmäßiges Reporting zum IT-Sicherheitsstatus an die Geschäftsleitung?

Prüfen & umsetzen

§§ 30, 33, 38 BSIG

Hat die Geschäftsleitung an einer Cybersicherheits-Schulung teilgenommen?

Prüfen & umsetzen

Zugangsmanagement & Authentifizierung(7)

§ 30 Abs. 2 Nr. 9 und 10 BSIG

§ 30 Abs. 2 Nr. 9 und 10 BSIG

Ist Multi-Faktor-Authentifizierung (MFA) für alle privilegierten Konten und Remote-Zugänge aktiviert?

Prüfen & umsetzen

§ 30 Abs. 2 Nr. 9 und 10 BSIG

Gibt es ein dokumentiertes Berechtigungskonzept nach Least-Privilege?

Prüfen & umsetzen

§ 30 Abs. 2 Nr. 9 und 10 BSIG

Werden Benutzerkonten bei Austritt von Mitarbeitern am selben Tag deaktiviert?

Prüfen & umsetzen

§ 30 Abs. 2 Nr. 9 und 10 BSIG

Gibt es eine Passwort-Richtlinie mit Mindestanforderungen?

Prüfen & umsetzen

§ 30 Abs. 2 Nr. 9 und 10 BSIG

Werden privilegierte Administratorzugänge separat von normalen Benutzerkonten geführt?

Prüfen & umsetzen

§ 30 Abs. 2 Nr. 9 und 10 BSIG

Ist der physische Zugang zu Serverräumen und IT-Infrastruktur gesichert und protokolliert?

Prüfen & umsetzen

§ 30 Abs. 2 Nr. 9 und 10 BSIG

Werden regelmäßige Zugriffsprüfungen (Access Reviews) durchgeführt?

Prüfen & umsetzen

Kryptographie & Datensicherheit(5)

§ 30 Abs. 2 Nr. 8 bis 10 BSIG

§ 30 Abs. 2 Nr. 8 bis 10 BSIG

Sind Notebooks und mobile Endgeräte vollständig verschlüsselt (BitLocker/FileVault)?

Prüfen & umsetzen

§ 30 Abs. 2 Nr. 8 bis 10 BSIG

Werden Daten auf dem Transportweg durchgängig verschlüsselt (TLS ≥ 1.2, VPN)?

Prüfen & umsetzen

§ 30 Abs. 2 Nr. 8 bis 10 BSIG

Gibt es ein Schlüsselmanagement-Konzept (Erstellung, Rotation, Vernichtung)?

Prüfen & umsetzen

§ 30 Abs. 2 Nr. 8 bis 10 BSIG

Gibt es ein Datenklassifizierungsschema (z.B. öffentlich/intern/vertraulich)?

Prüfen & umsetzen

§ 30 Abs. 2 Nr. 8 bis 10 BSIG

Werden Datenträger bei Entsorgung oder Rückgabe sicher gelöscht/vernichtet?

Prüfen & umsetzen

Backup & Business Continuity(6)

§ 30 Abs. 2 Nr. 3 BSIG

§ 30 Abs. 2 Nr. 3 BSIG

Werden regelmäßige Backups aller kritischen Systeme durchgeführt?

Prüfen & umsetzen

§ 30 Abs. 2 Nr. 3 BSIG

Werden Wiederherstellungen aus dem Backup regelmäßig getestet und dokumentiert?

Prüfen & umsetzen

§ 30 Abs. 2 Nr. 3 BSIG

Gibt es Offline- oder Air-Gapped-Backups als Ransomware-Schutz?

Prüfen & umsetzen

§ 30 Abs. 2 Nr. 3 BSIG

Sind Recovery Time Objective (RTO) und Recovery Point Objective (RPO) definiert?

Prüfen & umsetzen

§ 30 Abs. 2 Nr. 3 BSIG

Existiert ein dokumentierter Business-Continuity-Plan (BCP)?

Prüfen & umsetzen

§ 30 Abs. 2 Nr. 3 BSIG

Wurde eine Business Impact Analysis (BIA) für kritische Geschäftsprozesse durchgeführt?

Prüfen & umsetzen

Netzwerksicherheit & Infrastruktur(7)

§ 30 Abs. 1 BSIG

§ 30 Abs. 1 BSIG

Ist das Firewall-Regelwerk dokumentiert, minimal gehalten und wird es regelmäßig überprüft (Default-Deny)?

Prüfen & umsetzen

§ 30 Abs. 1 BSIG

Ist das Netzwerk segmentiert (VLANs, DMZ, IT/OT-Trennung)?

Prüfen & umsetzen

§ 30 Abs. 1 BSIG

Werden alle Remote-Zugriffe ausschließlich über VPN oder ZTNA abgesichert?

Prüfen & umsetzen

§ 30 Abs. 1 BSIG

Werden Netzwerk-Anomalien aktiv erkannt und die Alerts bearbeitet (IDS/IPS oder Monitoring mit definierter Alert-Bearbeitung)?

Prüfen & umsetzen

§ 30 Abs. 1 BSIG

Ist das WLAN sicher konfiguriert (WPA2/3-Enterprise, separate Gast-WLANs)?

Prüfen & umsetzen

§ 30 Abs. 1 BSIG

Wird DNS-Filtering gegen Malware-/Phishing-Domains eingesetzt?

Prüfen & umsetzen

§ 30 Abs. 1 BSIG

Wird die Netzwerkarchitektur regelmäßig überprüft und die Dokumentation gepflegt?

Prüfen & umsetzen

Incident Response & Meldewesen(8)

§ 30 Abs. 2 Nr. 2, § 32 BSIG

§ 30 Abs. 2 Nr. 2, § 32 BSIG

Existiert ein dokumentierter Incident-Response-Plan (IRP)?

Prüfen & umsetzen

§ 30 Abs. 2 Nr. 2, § 32 BSIG

Ist der Meldeprozess an das BSI eingerichtet (24h/72h/1 Monat)?

Prüfen & umsetzen

§ 30 Abs. 2 Nr. 2, § 32 BSIG

Werden Sicherheitsvorfälle zuverlässig erkannt (SIEM, EDR, Log-Analyse)?

Prüfen & umsetzen

§ 30 Abs. 2 Nr. 2, § 32 BSIG

Gibt es eine Notfallkontaktliste (intern + extern: BSI, Datenschutzbehörde, Forensik)?

Prüfen & umsetzen

§ 30 Abs. 2 Nr. 2, § 32 BSIG

Werden Incident-Response-Übungen (Tabletop-Exercises) durchgeführt?

Prüfen & umsetzen

§ 30 Abs. 2 Nr. 2, § 32 BSIG

Wird nach relevanten Sicherheitsvorfällen eine Ursachenanalyse (Root Cause) durchgeführt und dokumentiert?

Prüfen & umsetzen

§ 30 Abs. 2 Nr. 2, § 32 BSIG

Gibt es einen Kommunikationsplan für Sicherheitsvorfälle (intern + Öffentlichkeit)?

Prüfen & umsetzen

§ 30 Abs. 2 Nr. 2, § 32 BSIG

Gibt es einen gesicherten, vom Hauptnetz unabhängigen Kommunikationskanal für den Notfall (z.B. verschlüsselter Messenger, Out-of-Band-Kanal)?

Prüfen & umsetzen

Lieferkettensicherheit(5)

§ 30 Abs. 2 Nr. 4 BSIG

§ 30 Abs. 2 Nr. 4 BSIG

Sind Sicherheitsanforderungen an IT-Dienstleister vertraglich geregelt?

Prüfen & umsetzen

§ 30 Abs. 2 Nr. 4 BSIG

Wurde eine Risikobewertung kritischer Lieferanten durchgeführt?

Prüfen & umsetzen

§ 30 Abs. 2 Nr. 4 BSIG

Sind Auftragsverarbeitungsverträge (AVVs) mit allen relevanten Dienstleistern abgeschlossen?

Prüfen & umsetzen

§ 30 Abs. 2 Nr. 4 BSIG

Werden Sicherheitsmaßnahmen von Lieferanten regelmäßig überprüft?

Prüfen & umsetzen

§ 30 Abs. 2 Nr. 4 BSIG

Existiert eine Exit-Strategie für kritische Dienstleister?

Prüfen & umsetzen

Awareness & Schulung(5)

§ 30 Abs. 2 Nr. 7 BSIG

§ 30 Abs. 2 Nr. 7 BSIG

Erhalten alle Mitarbeiter regelmäßige IT-Sicherheitsschulungen?

Prüfen & umsetzen

§ 30 Abs. 2 Nr. 7 BSIG

Wird das Erkennen von Phishing regelmäßig geübt, z. B. durch Simulationen?

Prüfen & umsetzen

§ 30 Abs. 2 Nr. 7 BSIG

Werden neue Mitarbeiter beim Onboarding zur IT-Sicherheit geschult?

Prüfen & umsetzen

§ 30 Abs. 2 Nr. 7 BSIG

Gibt es spezifische Schulungen für IT-Admins und Entwickler (z.B. Secure Coding)?

Prüfen & umsetzen

§ 30 Abs. 2 Nr. 7 BSIG

Wird die Wirksamkeit der Awareness-Maßnahmen gemessen und dokumentiert?

Prüfen & umsetzen

Schwachstellenmanagement(7)

§ 30 Abs. 2 Nr. 5 BSIG

§ 30 Abs. 2 Nr. 5 BSIG

Gibt es ein Patch-Management mit festgelegten Fristen je Kritikalität?

Prüfen & umsetzen

§ 30 Abs. 2 Nr. 5 BSIG

Werden regelmäßige Vulnerability Scans (mind. quartalsweise) durchgeführt?

Prüfen & umsetzen

§ 30 Abs. 2 Nr. 5 BSIG

Ist ein Asset-Inventar aller IT-Systeme aktuell und vollständig?

Prüfen & umsetzen

§ 30 Abs. 2 Nr. 5 BSIG

Gibt es einen Prozess für den Umgang mit Zero-Day-Schwachstellen?

Prüfen & umsetzen

§ 30 Abs. 2 Nr. 5 BSIG

Werden Systeme nach Best Practices gehärtet (CIS Benchmarks / BSI-Grundschutz)?

Prüfen & umsetzen

§ 30 Abs. 2 Nr. 5 BSIG

Gibt es einen dokumentierten Change-Management-Prozess für IT-Systemänderungen (inkl. Test, Freigabe, Rollback)?

Prüfen & umsetzen

§ 30 Abs. 2 Nr. 5 BSIG

Werden bei der Beschaffung oder Entwicklung von Software Sicherheitsanforderungen explizit definiert und geprüft?

Prüfen & umsetzen

Risikomanagement & Bewertung(5)

§ 30 Abs. 1 und Abs. 2 Nr. 1 BSIG

§ 30 Abs. 1 und Abs. 2 Nr. 1 BSIG

Gibt es einen formalen Risikomanagement-Prozess (dokumentiert)?

Prüfen & umsetzen

§ 30 Abs. 1 und Abs. 2 Nr. 1 BSIG

Werden regelmäßige Risikobewertungen durchgeführt (mind. jährlich)?

Prüfen & umsetzen

§ 30 Abs. 1 und Abs. 2 Nr. 1 BSIG

Gibt es einen Risikobehandlungsplan mit Maßnahmen und Verantwortlichen?

Prüfen & umsetzen

§ 30 Abs. 1 und Abs. 2 Nr. 1 BSIG

Werden akzeptierte Risiken dokumentiert und von der Geschäftsleitung genehmigt?

Prüfen & umsetzen

§ 30 Abs. 1 und Abs. 2 Nr. 1 BSIG

Umfasst das Risikomanagement auch physische und personelle Risiken (nicht nur IT)?

Prüfen & umsetzen

Wirksamkeitsbewertung(3)

§ 30 Abs. 2 Nr. 6 BSIG

§ 30 Abs. 2 Nr. 6 BSIG

Werden implementierte Sicherheitsmaßnahmen regelmäßig durch interne Audits oder Penetrationstests auf ihre Wirksamkeit geprüft?

Prüfen & umsetzen

§ 30 Abs. 2 Nr. 6 BSIG

Wird die Wirksamkeit der Maßnahmen regelmäßig bewertet und das Ergebnis dokumentiert?

Prüfen & umsetzen

§ 30 Abs. 2 Nr. 6 BSIG

Werden Testergebnisse (Pentest, Audit) systematisch in Maßnahmen überführt und nachverfolgt?

Prüfen & umsetzen

OT- & Produktionssicherheit(2)

§ 30 Abs. 1 BSIG

§ 30 Abs. 1 BSIG

Sind OT/ICS-Systeme (Produktionsanlagen, SCADA, SPS) vom IT-Netzwerk segmentiert?

Prüfen & umsetzen

§ 30 Abs. 1 BSIG

Werden Fernwartungszugänge zu OT-Systemen durch MFA, Zeitbeschränkung und Protokollierung abgesichert?

Prüfen & umsetzen

NIS2-Betroffenheit in 10 Minuten prüfen

Der kostenlose NIS2-Check führt Sie durch alle Themenfelder und zeigt Ihren Reifegrad plus konkrete Maßnahmen - ohne Anmeldung.

NIS2-Check kostenlos starten