--- name: "NIS2-Compliance-Checkliste — Artikel 21(2)" version: "1.0" updated: "2026-07-16" source: "https://www.orbiqhq.com/de/eu-vorschriften/nis2-checkliste-artikel-21" license: "Kostenlose Nutzung und Anpassung innerhalb Ihrer Organisation. Namensnennung willkommen. Keine Rechtsberatung." legal_basis: - "https://eur-lex.europa.eu/eli/dir/2022/2555/oj" # NIS2 — Richtlinie (EU) 2022/2555 (Art. 20, 21, 23) --- # NIS2-Compliance-Checkliste — Artikel 21(2) (maschinenlesbare Vorlage) Zweck: Lückenbewertung einer Organisation gegen alle zehn Risikomanagementmaßnahmen aus Artikel 21(2) der Richtlinie (EU) 2022/2555 (NIS2), mit einem ISO-27001-ISMS als Basis. Je Maßnahme dokumentiert die Checkliste: was NIS2 verlangt, was ein typisches, gut implementiertes ISMS bereits liefert, die verbleibende Lücke, die empfohlene Maßnahme und eine Priorität. Ein Agent kann aus den folgenden Datensätzen eine vollständige Selbstbewertung durchführen; verfolgen Sie `status`, `owner`, `evidence_ref` und `target_date` je Maßnahme. Bewertungsskala für `isms_coverage`: - `covered` — ein gut implementiertes ISMS nach ISO 27001:2022 liefert die wesentlichen Prozesse und Kontrollen. - `foundation` — die Governance ist vorhanden, aber die operative Umsetzung unter NIS2 geht darüber hinaus; operative Ebene ergänzen. - `partial` — teilweise abgedeckt; spezifische NIS2-Erwartungen übersteigen typische Implementierungen. Kontext: Die nationalen Umsetzungen machen diese Maßnahmen zu verbindlichem Recht (in Deutschland das NIS2UmsuCG über § 30 BSIG). Artikel 20(1) macht die Geschäftsleitung für Billigung und Überwachung der Maßnahmen verantwortlich — mit persönlicher Haftung; Artikel 20(2) verpflichtet die Geschäftsleitung zu Schulungen. Aufsichtsbehörden (das BSI) können Wirksamkeitsnachweise jederzeit anfordern. --- ## Checklisten-Datensätze | # | Maßnahme | Was NIS2 verlangt | isms_coverage | Lücke | Empfohlene Aktion | Priorität | |---|---|---|---|---|---|---| | a | Konzepte für Risikoanalyse und Sicherheit von Informationssystemen | Konzepte für Risikoanalyse und Informationssystemsicherheit, mit regelmäßiger Überprüfung und Aktualisierung | `covered` | — | Sicherstellen, dass die Risikoanalyse die NIS2-spezifischen operativen Aspekte abdeckt: Vorfallsmeldung, Lieferkette, Wirksamkeitsnachweis | niedrig | | b | Bewältigung von Sicherheitsvorfällen | Prävention, Erkennung und Bewältigung von Vorfällen, verknüpft mit den Meldestufen nach Artikel 23 (24h-Frühwarnung, 72h-Meldung, Abschlussbericht nach 1 Monat) | `foundation` | Operative 24h/72h-Fähigkeit unter Zeitdruck — Koordination zwischen Security, Legal, Kommunikation und Geschäftsleitung | Incident-Management über den Plan hinaus aufbauen: Tabletop-Übungen gegen die 24-Stunden-Frist; Vorlagen für alle drei Meldestufen | **hoch** | | c | Aufrechterhaltung des Betriebs und Krisenmanagement | Business Continuity, Backup-Management, Disaster Recovery und Krisenmanagement | `covered` | — | Prüfen, ob die BCM-Pläne Cybervorfälle mit gleichzeitigen Meldepflichten nach Artikel 23 abdecken | niedrig | | d | Sicherheit der Lieferkette | Lieferkettensicherheit einschließlich anbieterspezifischer Schwachstellen und der Gesamtqualität der Cybersicherheitspraxis von Lieferanten und Dienstleistern | `foundation` | Kontinuierliche Überwachung statt Jahres-Momentaufnahmen; anlassbezogene Neubewertungen; abrufbare Lieferantennachweise | Monitoring-Fähigkeit aufbauen; von zyklischen zu anlassbezogenen Bewertungen wechseln; NIS2-Klauseln in Verträge aufnehmen; Nachweise abrufbar machen | **hoch** | | e | Sicherheit bei Erwerb, Entwicklung und Wartung | Sicherheit bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen, einschließlich Umgang mit und Offenlegung von Schwachstellen | `covered` | Vulnerability Disclosure gegen die ENISA-Umsetzungsleitlinien prüfen | Prüfen, ob die Offenlegungsprozesse den NIS2-/ENISA-Erwartungen entsprechen — diese gehen über typische ISMS-Implementierungen hinaus | mittel | | f | Bewertung der Wirksamkeit | Konzepte und Verfahren zur Bewertung der Wirksamkeit der Risikomanagementmaßnahmen; Behörden können Nachweise jederzeit anfordern | `foundation` | Kontinuierlich verfügbare Evidenz statt Audit-Zyklus-Dokumentation | Nachweismanagement auf kontinuierliche Verfügbarkeit umstellen: Versionierung, Gültigkeitszeiträume, Verantwortlichkeiten; Behördenanfragen binnen Tagen beantworten können | **hoch** | | g | Cyberhygiene und Schulungen | Grundlegende Cyberhygiene und Cybersicherheitsschulungen, einschließlich regelmäßiger Schulungen der Geschäftsleitung selbst (Art. 20(2)) | `covered` | Nachweisbare Schulungsteilnahme der Geschäftsleitung | Sicherstellen, dass die Geschäftsleitung nachweislich an Schulungen teilnimmt — unmittelbar haftungsrelevant | niedrig | | h | Kryptographie und Verschlüsselung | Konzepte und Verfahren für den Einsatz von Kryptographie und gegebenenfalls Verschlüsselung | `covered` | — | Kryptographie-Konzepte aktuell und am Stand der Technik ausgerichtet halten | niedrig | | i | Personalsicherheit, Zugriffskontrolle und Asset-Management | Sicherheit des Personals, Konzepte für die Zugriffskontrolle und Management von Anlagen | `covered` | — | MFA-Abdeckung dort bestätigen, wo NIS2 sie verlangt (siehe Maßnahme j) | niedrig | | j | MFA, gesicherte Kommunikation und Notfallkommunikation | Multi-Faktor- oder kontinuierliche Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gesicherte Notfallkommunikationssysteme, soweit angemessen | `partial` | Gesicherte Notfallkanäle, die unabhängig von der regulären (möglicherweise kompromittierten) Infrastruktur funktionieren | MFA-Abdeckung auditieren; von der regulären Infrastruktur unabhängige Notfallkanäle etablieren; verschlüsselte Kommunikation für die Vorfallskoordination sicherstellen | mittel | Tracking-Felder je Datensatz: `status` (Enum: `not_started` / `in_progress` / `done`), `owner` (Text), `evidence_ref` (Link oder Artefakt-ID), `target_date` (ISO 8601). ## Zugehörige Fristen und Pflichten | Pflicht | Frist / Regel | Rechtsgrundlage | |---|---|---| | Frühwarnung an das CSIRT bzw. die zuständige Behörde | Innerhalb von 24 Stunden nach Kenntnis eines erheblichen Vorfalls | Art. 23(4)(a) | | Meldung des Sicherheitsvorfalls | Innerhalb von 72 Stunden nach Kenntnis | Art. 23(4)(b) | | Abschlussbericht | Innerhalb eines Monats nach der Vorfallsmeldung | Art. 23(4)(d) | | Billigung und Überwachung der Maßnahmen durch die Geschäftsleitung | Laufend; persönliche Haftung | Art. 20(1) | | Cybersicherheitsschulung der Geschäftsleitung | Regelmäßig | Art. 20(2) | ## Interpretationsmuster Die Governance-Maßnahmen (a, c, e, g, h, i) sind durch ein gut implementiertes ISMS weitgehend abgedeckt. Die operativen Maßnahmen (b, d, f, j) erfordern Ergänzungen über die Dokumentationsebene hinaus. Die drei Hoch-Lücken — Vorfallsbewältigung (b), Lieferkettensicherheit (d) und Wirksamkeitsnachweis (f) — sollten zuerst geschlossen werden. --- Gepflegt von Orbiq (orbiqhq.com). Vollständige Erläuterungen je Maßnahme, ISO-27001-Annex-A- Referenzen und Quellen: https://www.orbiqhq.com/de/eu-vorschriften/nis2-checkliste-artikel-21