NIS2 Betroffenheits- & Maßnahmen-Check

Frage 1 von 10

Ist Ihr Unternehmen in einem der wesentlichen Sektoren tätig?

Energie (Strom, Gas, Öl, Wärme, Wasserstoff), Verkehr/Transport (Luft, Schiene, Schiff, Straße), Bankwesen, Finanzmarktinfrastruktur, Gesundheitswesen, Trinkwasserversorgung, Abwasserentsorgung

Ja Nein

Frage 2 von 10

Ist Ihr Unternehmen im Bereich Digitale Infrastruktur oder IKT-Dienste tätig?

Rechenzentren, Cloud-Computing-Dienste, DNS-Anbieter, TLD-Register, Internet-Knoten (IXPs), Telekommunikation, Trust-Service-Anbieter, Managed Security Services

Ja Nein

Frage 3 von 10

Ist Ihr Unternehmen in der öffentlichen Verwaltung oder im Raumfahrtsektor tätig?

Bundes- oder Landesbehörden, öffentliche Einrichtungen, Betreiber von Raumfahrtinfrastruktur oder Satellitendiensten

Ja Nein

Frage 4 von 10

Ist Ihr Unternehmen in einem der wichtigen Sektoren tätig?

Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittelproduktion/-verarbeitung, Herstellung kritischer Produkte (Medizin, Elektronik, Fahrzeuge, Maschinen), digitale Anbieter (Online-Marktplätze, Suchmaschinen, soziale Netzwerke)

Ja Nein

Frage 5 von 10

Beschäftigt Ihr Unternehmen mehr als 250 Mitarbeiter?

Vollzeitäquivalente (Headcount), konzernweit zu berücksichtigen

Ja Nein

Frage 6 von 10

Übersteigt Ihr Jahresumsatz 50 Mio. € oder Ihre Jahresbilanzsumme 43 Mio. €?

Maßgeblich für die Einstufung als große Einrichtung — unabhängig von Frage 5

Ja Nein

Frage 7 von 10

Beschäftigt Ihr Unternehmen 50 bis 249 Mitarbeiter?

Mittlere Unternehmen können als „wichtige Einrichtungen" eingestuft werden, sofern sie in einem geregelten Sektor tätig sind

Ja Nein

Frage 8 von 10

Liegt Ihr Jahresumsatz zwischen 10 und 50 Mio. €?

Zweiter Größenschwellenwert für mittlere Unternehmen

Ja Nein

Frage 9 von 10

Würde ein Ausfall Ihrer IT-Systeme oder Dienste erhebliche Auswirkungen auf Kunden, Partner oder die Öffentlichkeit haben?

Kritikalitätsindikator: Weitreichende Unterbrechungen wären nicht durch Alternativen kompensierbar

Ja Nein

Frage 10 von 10

Wurden Sie von einer Behörde, einem Branchenverband oder Ihrem IT-Berater bereits auf mögliche NIS2-Pflichten aufmerksam gemacht?

Auch inoffizielle Hinweise oder eigene Recherchen zählen hier als Indiz

Ja Nein

Bereich 1 von 10 · § 30 Abs. 2 Nr. 1 BSIG

Konzepte zur Risikoanalyse und zur Sicherheit in der Informationstechnik

Dokumentierte Risikoanalyse-Methodik, aktuelles Risikoregister, ISMS-Grundstruktur (z. B. angelehnt an ISO 27001)

Ja Teilweise Nein

Bereich 2 von 10 · § 30 Abs. 2 Nr. 2 BSIG

Bewältigung von Sicherheitsvorfällen (Incident Handling)

Definierter Incident-Response-Prozess, Meldewege, Eskalationsstufen, Erfahrung mit Übungen oder realen Vorfällen

Ja Teilweise Nein

Bereich 3 von 10 · § 30 Abs. 2 Nr. 3 BSIG

Aufrechterhaltung des Betriebs (Business Continuity) und Krisenmanagement

Backup-Management, Notfallwiederherstellung (Disaster Recovery), getesteter Krisenmanagement- bzw. BCM-Plan

Ja Teilweise Nein

Bereich 4 von 10 · § 30 Abs. 2 Nr. 4 BSIG

Sicherheit der Lieferkette

Sicherheitsanforderungen an unmittelbare Anbieter und Dienstleister, vertragliche Absicherung, Bewertung kritischer Lieferanten

Ja Teilweise Nein

Bereich 5 von 10 · § 30 Abs. 2 Nr. 5 BSIG

Sicherheit bei Erwerb, Entwicklung und Wartung von IT-Systemen

Sichere Beschaffungs- und Entwicklungsprozesse, Schwachstellenmanagement, geregelter Umgang mit Schwachstellen-Offenlegung (Vulnerability Disclosure)

Ja Teilweise Nein

Bereich 6 von 10 · § 30 Abs. 2 Nr. 6 BSIG

Bewertung der Wirksamkeit von Risikomanagementmaßnahmen

Regelmäßige Audits, KPI/Kennzahlen zur Cybersicherheit, Management-Review der getroffenen Maßnahmen

Ja Teilweise Nein

Bereich 7 von 10 · § 30 Abs. 2 Nr. 7 BSIG

Cyberhygiene und Schulungen im Bereich der Cybersicherheit

Regelmäßige Awareness-Schulungen, Phishing-Simulationen, grundlegende Hygienemaßnahmen (Patch-Management, Passwortrichtlinien)

Ja Teilweise Nein

Bereich 8 von 10 · § 30 Abs. 2 Nr. 8 BSIG

Konzepte für den Einsatz von Kryptografie und Verschlüsselung

Verschlüsselung sensibler Daten (ruhend und in Übertragung), dokumentierte Kryptografie-Richtlinie, Schlüsselmanagement

Ja Teilweise Nein

Bereich 9 von 10 · § 30 Abs. 2 Nr. 9 BSIG

Personalsicherheit, Zugriffskontrolle und Anlagenmanagement

Rollenbasierte Zugriffskonzepte, Onboarding-/Offboarding-Prozesse, Inventar kritischer Assets und Systeme

Ja Teilweise Nein

Bereich 10 von 10 · § 30 Abs. 2 Nr. 10 BSIG

Multi-Faktor-Authentifizierung und gesicherte Kommunikation

MFA bzw. kontinuierliche Authentifizierung für kritische Zugänge, abgesicherte Sprach-/Video-/Textkommunikation, ggf. gesicherte Notfallkommunikation

Ja Teilweise Nein

NIS2 Betroffenheits- & Maßnahmen-Check

Modul 1 · Betroffenheitsprüfung

Handlungsempfehlung

Modul 2 · Maßnahmenbereiche nach § 30 BSIG

Handlungsempfehlung