Die 10 NIS-2-Mindestmaßnahmen (Art. 21) als Checkliste

Wer unter NIS-2 fällt, schuldet kein abstraktes „mehr Sicherheit”, sondern einen konkreten Katalog: Art. 21 der Richtlinie nennt zehn Maßnahmenbereiche, die jede betroffene Einrichtung mindestens abdecken muss — verhältnismäßig zu Risiko, Größe und Kosten. Hier ist der Katalog als Checkliste, je Punkt mit der Frage, die Sie sich intern stellen sollten.

Die zehn Pflichtbereiche

1. Risikoanalyse und Sicherheitskonzepte. Gibt es eine dokumentierte Risikoanalyse für Ihre IT-Systeme und ein daraus abgeleitetes Sicherheitskonzept — oder nur gewachsene Einzelmaßnahmen?

2. Bewältigung von Sicherheitsvorfällen. Existiert ein Incident-Response-Plan mit Rollen, Eskalationswegen und Meldeprozess (Stichwort 24-Stunden-Frist)? Wurde er geübt?

3. Business Continuity: Backups, Wiederanlauf, Krisenmanagement. Werden Backups regelmäßig erstellt, getrennt aufbewahrt und Wiederherstellungen getestet? Gibt es einen Notbetriebs- und Krisenplan?

4. Sicherheit der Lieferkette. Wissen Sie, welche Dienstleister kritisch für Ihren Betrieb sind, und stellen Sie Sicherheitsanforderungen an sie — vertraglich und überprüfbar?

5. Sicherheit bei Erwerb, Entwicklung und Wartung. Fließt Sicherheit in Beschaffung und Entwicklung ein (sichere Konfiguration, Patch-Management, Umgang mit Schwachstellen)?

6. Wirksamkeitsbewertung. Prüfen Sie regelmäßig, ob Ihre Maßnahmen wirken — durch Audits, Tests oder Kennzahlen? „Eingeführt” ist nicht „wirksam”.

7. Cyberhygiene und Schulungen. Gibt es Grundregeln (Updates, Passwörter, Phishing-Verhalten) und werden alle Mitarbeitenden regelmäßig geschult — einschließlich der Geschäftsleitung, für die NIS-2 Schulungen ausdrücklich vorsieht?

8. Kryptografie und Verschlüsselung. Existieren Konzepte, wann und wie verschlüsselt wird — Daten im Transit, im Ruhezustand, Schlüsselverwaltung?

9. Personalsicherheit, Zugriffskontrolle, Asset-Management. Sind Zugriffsrechte rollenbasiert und werden sie bei Wechseln entzogen? Gibt es ein gepflegtes Inventar Ihrer Systeme und Daten?

10. Multi-Faktor-Authentifizierung und gesicherte Kommunikation. Ist MFA für Fernzugriffe, Administratoren und kritische Systeme durchgesetzt? Gibt es gesicherte Kommunikationswege für den Krisenfall — auch wenn die eigene IT steht?

Wie Sie die Liste praktisch nutzen

Bewerten Sie jeden Punkt ehrlich mit vorhanden / teilweise / fehlt und hinterlegen Sie je Lücke eine Maßnahme mit Verantwortlichem und Termin. Damit haben Sie das Grundgerüst des Maßnahmenplans, den NIS-2 faktisch verlangt — und den die Geschäftsleitung billigen und überwachen muss.

Zwei Einordnungen helfen gegen Überforderung: Erstens verlangt NIS-2 Verhältnismäßigkeit — ein 60-Personen-Betrieb muss nicht das Sicherheitsniveau eines Konzerns nachweisen, aber er muss alle zehn Bereiche adressieren. Zweitens ist vieles davon klassisches IT-Grundschutz-Handwerk: Wer bereits nach ISO 27001 oder BSI-Grundschutz arbeitet, deckt große Teile ab und muss vor allem Lücken und Nachweise schließen.

Ob diese Pflichten für Ihr Unternehmen überhaupt gelten, klären Sie in zwei Minuten: zum kostenlosen Betroffenheits-Check.

Dieser Beitrag bietet eine erste Orientierung und ersetzt keine Rechtsberatung.