Ist Ihr Unternehmen NIS2-pflichtig? Jetzt in 5 Minuten prüfen.

NIS2 verpflichtet die Geschäftsleitung, Cybersicherheitsmaßnahmen persönlich zu billigen und zu überwachen (§38 BSIG). Die operative Verantwortung kann an einen IT-Leiter, CISO oder externen Beauftragten delegiert werden – die persönliche Haftung der Geschäftsführung bleibt jedoch immer bestehen und lässt sich nicht wegdelegieren.

Eine Risikoanalyse identifiziert systematisch, welche IT-Systeme vorhanden sind, welche Bedrohungen relevant sind und wie hoch der potenzielle Schaden wäre. Sie ist die Grundlage für alle weiteren Sicherheitsmaßnahmen – ohne sie weiß man nicht, was man eigentlich schützen muss.

Ein Incident-Response-Plan legt fest, was Schritt für Schritt zu tun ist, wenn ein Cyberangriff stattfindet: Wer wird zuerst informiert? Wer entscheidet über eine Systemabschaltung? Wer kommuniziert mit Kunden und Behörden? Ohne diesen Plan verliert man im Ernstfall wertvolle Stunden.

NIS2-Betroffene müssen erhebliche Vorfälle innerhalb von 24 Stunden beim BSI melden (Erstmeldung) und innerhalb von 72 Stunden einen vollständigen Bericht nachliefern. Wer diese Fristen überschreitet, riskiert Bußgelder – unabhängig davon, ob der Angriff selbst abgewehrt wurde.

Ein Asset-Inventar ist eine vollständige, gepflegte Liste aller IT-Systeme Ihres Unternehmens: Hardware (PCs, Server, Drucker, Mobilgeräte, Netzwerkgeräte), Software (Lizenzen, installierte Anwendungen), Cloud-Dienste und externe Zugänge. Nur wer weiß, was er hat, kann es schützen.

Multi-Faktor-Authentifizierung bedeutet: Login nicht nur mit Passwort, sondern zusätzlich mit einem zweiten Faktor – z.B. einem Code aus einer Authenticator-App oder einer SMS. Selbst wenn ein Passwort gestohlen wird, kann ein Angreifer sich damit nicht einloggen.

Ein BCM-Plan beschreibt, wie das Unternehmen bei einem IT-Totalausfall funktionsfähig bleibt: Welche Prozesse laufen weiter? Welche Notfallsysteme gibt es? Wie lange dauert die Wiederherstellung? Dazu gehören Backups – aber nur solche, die auch tatsächlich funktionieren.

Patch-Management bedeutet: Sicherheitsupdates für Betriebssysteme, Software und Geräte werden nicht „wenn Zeit ist" oder per Zufall eingespielt, sondern nach einem festen, dokumentierten Prozess. Kritische Updates innerhalb festgelegter Fristen, mit Protokoll.

IT-Dienstleister mit Zugang zu Ihren Systemen – Managed Service Provider, Softwareanbieter, Cloud-Dienstleister, Wartungsunternehmen – sind ein unterschätztes Risiko. NIS2 verpflichtet Sie, Sicherheitsanforderungen auch vertraglich in die Lieferkette weiterzugeben.

Phishing ist die häufigste Angriffsmethode – und trifft fast immer Mitarbeitende, die nicht ausreichend sensibilisiert sind. Schulungen müssen regelmäßig stattfinden, alle Mitarbeitenden erreichen und dokumentiert sein, damit sie als Nachweis gegenüber BSI und Versicherungen dienen.

Logging und Monitoring bedeutet: Alle sicherheitsrelevanten Ereignisse – fehlgeschlagene Logins, ungewöhnliche Systemzugriffe, Alarme der Firewall – werden zentral gespeichert und automatisch auf verdächtige Muster geprüft. Das BSI nennt das „Angriffserkennung" und macht es zur Pflichtmaßnahme.

Verschlüsselung stellt sicher, dass sensible Daten auch dann nicht lesbar sind, wenn sie in falsche Hände geraten – ob durch Diebstahl, Datenpanne oder Hackerangriff. Art. 21.2.h NIS2 nennt Kryptographie explizit als Pflichtmaßnahme.

Sicherheitsmaßnahmen auf dem Papier sind nicht dasselbe wie Maßnahmen, die tatsächlich funktionieren. Art. 21.2.f NIS2 fordert explizit eine regelmäßige Überprüfung der Wirksamkeit – durch interne Audits, externe Prüfungen oder simulierte Angriffe (Pentests).

Die Bedrohungslage ändert sich täglich. Wer nur auf interne Systeme schaut und keine externen Warnmeldungen verfolgt, reagiert auf neue Angriffswellen immer zu spät. §30.2.1 BSIG verlangt explizit eine risikobasierte Bedrohungsanalyse – aktives Monitoring ist deren Grundlage.

Zugänge ehemaliger Mitarbeitender sind eines der häufigsten und am leichtesten vermeidbaren Sicherheitsrisiken. Art. 21.2.j NIS2 fordert explizit geregelte Personalsicherheitsmaßnahmen, die auch das Offboarding umfassen.