NIS2-Checkliste

NIS2-Checkliste

NIS2-Anforderungen prüfen. Handlungsbedarf erkennen. Maßnahmen planen.

Mit der HRC NIS2-Checkliste können Unternehmen ihren aktuellen Stand im Bereich Cybersicherheit und NIS2-Umsetzung strukturiert überprüfen. Die Checkliste dient als erste Orientierung und ersetzt keine individuelle rechtliche oder technische Prüfung.

1. NIS2-Betroffenheit

• Ist unser Unternehmen einer NIS2-relevanten Branche zuzuordnen?
• Erfüllen wir die relevanten Größen- und Tätigkeitskriterien?
• Sind wir als „wichtige“ oder „besonders wichtige“ Einrichtung einzuordnen?
• Sind unsere kritischen Dienstleistungen und Geschäftsprozesse identifiziert?
• Sind Zuständigkeiten für NIS2 im Unternehmen festgelegt?

2. IT-Sicherheitsorganisation

• Gibt es eine dokumentierte IT-Sicherheitsstrategie?
• Sind Verantwortlichkeiten für Informationssicherheit eindeutig geregelt?
• Gibt es verbindliche IT-Sicherheitsrichtlinien?
• Werden Sicherheitsmaßnahmen regelmäßig überprüft?
• Werden Sicherheitsrisiken dokumentiert und bewertet?

3. Risikoanalyse

• Wurde eine aktuelle IT-Sicherheits-Risikoanalyse durchgeführt?
• Sind kritische Systeme und Daten identifiziert?
• Sind mögliche Bedrohungen und Schwachstellen erfasst?
• Werden Risiken nach Eintrittswahrscheinlichkeit und Auswirkung bewertet?
• Gibt es einen priorisierten Maßnahmenplan?

4. Schutz der IT-Systeme

• Sind Firewalls und Netzwerkschutzmaßnahmen vorhanden?
• Werden Systeme regelmäßig aktualisiert und gepatcht?
• Gibt es ein strukturiertes Schwachstellenmanagement?
• Sind Zugriffsrechte nach dem Need-to-know-Prinzip vergeben?
• Wird Multi-Faktor-Authentifizierung eingesetzt, wo dies angemessen bzw. erforderlich ist?
• Werden wichtige Daten und Systeme verschlüsselt, soweit erforderlich?
• Sind mobile Endgeräte angemessen geschützt?

5. Backup & Wiederherstellung

• Gibt es ein dokumentiertes Backup-Konzept?
• Werden Backups regelmäßig durchgeführt?
• Sind Backups gegen Manipulation und Ransomware geschützt?
• Werden Wiederherstellungen regelmäßig getestet?
• Sind Wiederanlaufzeiten für kritische Systeme definiert?

6. Notfall- und Krisenmanagement

• Gibt es einen IT-Notfallplan?
• Sind Verantwortlichkeiten im Notfall festgelegt?
• Gibt es definierte Eskalationswege?
• Sind Kommunikationswege für Krisensituationen festgelegt?
• Werden Notfallprozesse regelmäßig getestet und aktualisiert?

7. Sicherheitsvorfälle

• Gibt es einen dokumentierten Prozess für IT-Sicherheitsvorfälle?
• Können Sicherheitsvorfälle schnell erkannt und bewertet werden?
• Sind Melde- und Eskalationswege definiert?
• Sind Ansprechpartner für Sicherheitsvorfälle benannt?
• Werden Vorfälle dokumentiert und nachbereitet?

Für bestimmte betroffene Einrichtungen sieht das BSIG abgestufte Meldepflichten vor, darunter grundsätzlich eine frühe Meldung innerhalb von 24 Stunden und eine weitere Meldung innerhalb von 72 Stunden bei erheblichen Sicherheitsvorfällen. BSIG – § 32 Meldung erheblicher Sicherheitsvorfälle

8. Lieferanten & Dienstleister

• Sind kritische IT-Dienstleister identifiziert?
• Werden Cybersecurity-Risiken von Lieferanten bewertet?
• Sind Sicherheitsanforderungen vertraglich geregelt?
• Werden externe Zugriffe kontrolliert?
• Werden Dienstleister regelmäßig überprüft?

9. Mitarbeitende

• Werden Mitarbeitende regelmäßig zu IT-Sicherheit geschult?
• Gibt es Sensibilisierungen zu Phishing und Social Engineering?
• Sind sichere Passwortrichtlinien vorhanden?
• Ist der Umgang mit Sicherheitsvorfällen bekannt?
• Werden Berechtigungen beim Ausscheiden von Mitarbeitenden zeitnah entzogen?

10. Dokumentation

• Ist die IT-Infrastruktur vollständig dokumentiert?
• Sind kritische Systeme und Abhängigkeiten dokumentiert?
• Sind Sicherheitsrichtlinien aktuell?
• Sind Risikoanalysen dokumentiert?
• Sind Sicherheitsmaßnahmen nachvollziehbar dokumentiert?
• Werden Änderungen und Prüfungen dokumentiert?

11. Geschäftsleitung

• Ist die Geschäftsleitung über die Cybersecurity-Risiken informiert?
• Werden Sicherheitsmaßnahmen durch die Geschäftsleitung überwacht?
• Sind ausreichende Ressourcen für IT-Sicherheit vorgesehen?
• Nimmt die Geschäftsleitung an erforderlichen Schulungen teil?
• Werden Cybersecurity-Risiken regelmäßig auf Managementebene bewertet?

Das BSIG sieht für Geschäftsleitungen betroffener Einrichtungen besondere Pflichten hinsichtlich der Billigung und Überwachung von Risikomanagementmaßnahmen sowie entsprechende Schulungen vor. BSIG – § 38 Pflichten der Geschäftsleitungen

HRC NIS2-Check

Je mehr Fragen Sie mit „Nein“ beantworten, desto größer kann Ihr Handlungsbedarf sein.

HRC unterstützt Sie bei der strukturierten Bewertung Ihres aktuellen Sicherheitsniveaus:

NIS2-Check → Risikoanalyse → Schwachstellen identifizieren → Maßnahmen priorisieren → Umsetzung begleiten → Dokumentation → regelmäßige Überprüfung

HRC – NIS2 professionell umsetzen

Sicherheit beginnt mit einem klaren Überblick.

Lassen Sie Ihren aktuellen Stand durch HRC überprüfen und erhalten Sie eine strukturierte Grundlage für die nächsten Schritte.