NIS2 · § 30 BSIG
Alle 67 NIS2-Prüffragen erklärt
Der komplette NIS2-Prüfkatalog nach § 30 BSIG: 12 Themenfelder von Governance bis OT-Sicherheit. Jede Frage mit Erläuterung, konkreter Prüfanleitung und Nachweis-Hinweis für den Mittelstand.
Governance & Leitungsverantwortung
§§ 30, 33, 38 BSIG
§§ 30, 33, 38 BSIGGibt es eine klar benannte Person für IT-Sicherheit im Unternehmen?§§ 30, 33, 38 BSIGIst die Geschäftsleitung über ihre Pflichten nach § 38 BSIG unterrichtet (Umsetzung und Überwachung der Risikomanagementmaßnahmen, Schulung, Haftung gegenüber der Einrichtung)?§§ 30, 33, 38 BSIGExistiert eine dokumentierte IT-Sicherheitsrichtlinie (Information Security Policy)?§§ 30, 33, 38 BSIGIst das Unternehmen beim BSI als NIS2-betroffene Einrichtung registriert?§§ 30, 33, 38 BSIGWird das IT-Sicherheitsbudget regelmäßig überprüft und ist es angemessen?§§ 30, 33, 38 BSIGGibt es ein regelmäßiges Reporting zum IT-Sicherheitsstatus an die Geschäftsleitung?§§ 30, 33, 38 BSIGHat die Geschäftsleitung an einer Cybersicherheits-Schulung teilgenommen?
Zugangsmanagement & Authentifizierung
§ 30 Abs. 2 Nr. 9 und 10 BSIG
§ 30 Abs. 2 Nr. 9 und 10 BSIGIst Multi-Faktor-Authentifizierung (MFA) für alle privilegierten Konten und Remote-Zugänge aktiviert?§ 30 Abs. 2 Nr. 9 und 10 BSIGGibt es ein dokumentiertes Berechtigungskonzept nach Least-Privilege?§ 30 Abs. 2 Nr. 9 und 10 BSIGWerden Benutzerkonten bei Austritt von Mitarbeitern am selben Tag deaktiviert?§ 30 Abs. 2 Nr. 9 und 10 BSIGGibt es eine Passwort-Richtlinie mit Mindestanforderungen?§ 30 Abs. 2 Nr. 9 und 10 BSIGWerden privilegierte Administratorzugänge separat von normalen Benutzerkonten geführt?§ 30 Abs. 2 Nr. 9 und 10 BSIGIst der physische Zugang zu Serverräumen und IT-Infrastruktur gesichert und protokolliert?§ 30 Abs. 2 Nr. 9 und 10 BSIGWerden regelmäßige Zugriffsprüfungen (Access Reviews) durchgeführt?
Kryptographie & Datensicherheit
§ 30 Abs. 2 Nr. 8 bis 10 BSIG
§ 30 Abs. 2 Nr. 8 bis 10 BSIGSind Notebooks und mobile Endgeräte vollständig verschlüsselt (BitLocker/FileVault)?§ 30 Abs. 2 Nr. 8 bis 10 BSIGWerden Daten auf dem Transportweg durchgängig verschlüsselt (TLS ≥ 1.2, VPN)?§ 30 Abs. 2 Nr. 8 bis 10 BSIGGibt es ein Schlüsselmanagement-Konzept (Erstellung, Rotation, Vernichtung)?§ 30 Abs. 2 Nr. 8 bis 10 BSIGGibt es ein Datenklassifizierungsschema (z.B. öffentlich/intern/vertraulich)?§ 30 Abs. 2 Nr. 8 bis 10 BSIGWerden Datenträger bei Entsorgung oder Rückgabe sicher gelöscht/vernichtet?
Backup & Business Continuity
§ 30 Abs. 2 Nr. 3 BSIG
§ 30 Abs. 2 Nr. 3 BSIGWerden regelmäßige Backups aller kritischen Systeme durchgeführt?§ 30 Abs. 2 Nr. 3 BSIGWerden Wiederherstellungen aus dem Backup regelmäßig getestet und dokumentiert?§ 30 Abs. 2 Nr. 3 BSIGGibt es Offline- oder Air-Gapped-Backups als Ransomware-Schutz?§ 30 Abs. 2 Nr. 3 BSIGSind Recovery Time Objective (RTO) und Recovery Point Objective (RPO) definiert?§ 30 Abs. 2 Nr. 3 BSIGExistiert ein dokumentierter Business-Continuity-Plan (BCP)?§ 30 Abs. 2 Nr. 3 BSIGWurde eine Business Impact Analysis (BIA) für kritische Geschäftsprozesse durchgeführt?
Netzwerksicherheit & Infrastruktur
§ 30 Abs. 1 BSIG
§ 30 Abs. 1 BSIGIst das Firewall-Regelwerk dokumentiert, minimal gehalten und wird es regelmäßig überprüft (Default-Deny)?§ 30 Abs. 1 BSIGIst das Netzwerk segmentiert (VLANs, DMZ, IT/OT-Trennung)?§ 30 Abs. 1 BSIGWerden alle Remote-Zugriffe ausschließlich über VPN oder ZTNA abgesichert?§ 30 Abs. 1 BSIGWerden Netzwerk-Anomalien aktiv erkannt und die Alerts bearbeitet (IDS/IPS oder Monitoring mit definierter Alert-Bearbeitung)?§ 30 Abs. 1 BSIGIst das WLAN sicher konfiguriert (WPA2/3-Enterprise, separate Gast-WLANs)?§ 30 Abs. 1 BSIGWird DNS-Filtering gegen Malware-/Phishing-Domains eingesetzt?§ 30 Abs. 1 BSIGWird die Netzwerkarchitektur regelmäßig überprüft und die Dokumentation gepflegt?
Incident Response & Meldewesen
§ 30 Abs. 2 Nr. 2, § 32 BSIG
§ 30 Abs. 2 Nr. 2, § 32 BSIGExistiert ein dokumentierter Incident-Response-Plan (IRP)?§ 30 Abs. 2 Nr. 2, § 32 BSIGIst der Meldeprozess an das BSI eingerichtet (24h/72h/1 Monat)?§ 30 Abs. 2 Nr. 2, § 32 BSIGWerden Sicherheitsvorfälle zuverlässig erkannt (SIEM, EDR, Log-Analyse)?§ 30 Abs. 2 Nr. 2, § 32 BSIGGibt es eine Notfallkontaktliste (intern + extern: BSI, Datenschutzbehörde, Forensik)?§ 30 Abs. 2 Nr. 2, § 32 BSIGWerden Incident-Response-Übungen (Tabletop-Exercises) durchgeführt?§ 30 Abs. 2 Nr. 2, § 32 BSIGWird nach relevanten Sicherheitsvorfällen eine Ursachenanalyse (Root Cause) durchgeführt und dokumentiert?§ 30 Abs. 2 Nr. 2, § 32 BSIGGibt es einen Kommunikationsplan für Sicherheitsvorfälle (intern + Öffentlichkeit)?§ 30 Abs. 2 Nr. 2, § 32 BSIGGibt es einen gesicherten, vom Hauptnetz unabhängigen Kommunikationskanal für den Notfall (z.B. verschlüsselter Messenger, Out-of-Band-Kanal)?
Lieferkettensicherheit
§ 30 Abs. 2 Nr. 4 BSIG
§ 30 Abs. 2 Nr. 4 BSIGSind Sicherheitsanforderungen an IT-Dienstleister vertraglich geregelt?§ 30 Abs. 2 Nr. 4 BSIGWurde eine Risikobewertung kritischer Lieferanten durchgeführt?§ 30 Abs. 2 Nr. 4 BSIGSind Auftragsverarbeitungsverträge (AVVs) mit allen relevanten Dienstleistern abgeschlossen?§ 30 Abs. 2 Nr. 4 BSIGWerden Sicherheitsmaßnahmen von Lieferanten regelmäßig überprüft?§ 30 Abs. 2 Nr. 4 BSIGExistiert eine Exit-Strategie für kritische Dienstleister?
Awareness & Schulung
§ 30 Abs. 2 Nr. 7 BSIG
§ 30 Abs. 2 Nr. 7 BSIGErhalten alle Mitarbeiter regelmäßige IT-Sicherheitsschulungen?§ 30 Abs. 2 Nr. 7 BSIGWird das Erkennen von Phishing regelmäßig geübt, z. B. durch Simulationen?§ 30 Abs. 2 Nr. 7 BSIGWerden neue Mitarbeiter beim Onboarding zur IT-Sicherheit geschult?§ 30 Abs. 2 Nr. 7 BSIGGibt es spezifische Schulungen für IT-Admins und Entwickler (z.B. Secure Coding)?§ 30 Abs. 2 Nr. 7 BSIGWird die Wirksamkeit der Awareness-Maßnahmen gemessen und dokumentiert?
Schwachstellenmanagement
§ 30 Abs. 2 Nr. 5 BSIG
§ 30 Abs. 2 Nr. 5 BSIGGibt es ein Patch-Management mit festgelegten Fristen je Kritikalität?§ 30 Abs. 2 Nr. 5 BSIGWerden regelmäßige Vulnerability Scans (mind. quartalsweise) durchgeführt?§ 30 Abs. 2 Nr. 5 BSIGIst ein Asset-Inventar aller IT-Systeme aktuell und vollständig?§ 30 Abs. 2 Nr. 5 BSIGGibt es einen Prozess für den Umgang mit Zero-Day-Schwachstellen?§ 30 Abs. 2 Nr. 5 BSIGWerden Systeme nach Best Practices gehärtet (CIS Benchmarks / BSI-Grundschutz)?§ 30 Abs. 2 Nr. 5 BSIGGibt es einen dokumentierten Change-Management-Prozess für IT-Systemänderungen (inkl. Test, Freigabe, Rollback)?§ 30 Abs. 2 Nr. 5 BSIGWerden bei der Beschaffung oder Entwicklung von Software Sicherheitsanforderungen explizit definiert und geprüft?
Risikomanagement & Bewertung
§ 30 Abs. 1 und Abs. 2 Nr. 1 BSIG
§ 30 Abs. 1 und Abs. 2 Nr. 1 BSIGGibt es einen formalen Risikomanagement-Prozess (dokumentiert)?§ 30 Abs. 1 und Abs. 2 Nr. 1 BSIGWerden regelmäßige Risikobewertungen durchgeführt (mind. jährlich)?§ 30 Abs. 1 und Abs. 2 Nr. 1 BSIGGibt es einen Risikobehandlungsplan mit Maßnahmen und Verantwortlichen?§ 30 Abs. 1 und Abs. 2 Nr. 1 BSIGWerden akzeptierte Risiken dokumentiert und von der Geschäftsleitung genehmigt?§ 30 Abs. 1 und Abs. 2 Nr. 1 BSIGUmfasst das Risikomanagement auch physische und personelle Risiken (nicht nur IT)?
Wirksamkeitsbewertung
§ 30 Abs. 2 Nr. 6 BSIG
§ 30 Abs. 2 Nr. 6 BSIGWerden implementierte Sicherheitsmaßnahmen regelmäßig durch interne Audits oder Penetrationstests auf ihre Wirksamkeit geprüft?§ 30 Abs. 2 Nr. 6 BSIGWird die Wirksamkeit der Maßnahmen regelmäßig bewertet und das Ergebnis dokumentiert?§ 30 Abs. 2 Nr. 6 BSIGWerden Testergebnisse (Pentest, Audit) systematisch in Maßnahmen überführt und nachverfolgt?
NIS2-Betroffenheit in fünf Minuten prüfen.
NIS2-Check kostenlos startenKostenloser NIS2-Check: ohne Registrierung, Ergebnis sofort auf der Seite, auf Wunsch mit PDF-Dokumentation.