← Zurück zum Blog

NIS2-Compliance-Checkliste: 10 Schritte zur Vorbereitung vor der Frist

Eine praktische 10-Schritte-Checkliste zur Vorbereitung Ihrer Organisation auf die NIS2-Compliance — von Scoping und Risikobewertung bis zu Vorfallmeldung und kontinuierlicher Verbesserung.

---

NIS2-Compliance-Checkliste: 10 Schritte zur Vorbereitung vor der Frist

Die NIS2-Richtlinie gestaltet die Cybersicherheitspflichten in ganz Europa neu, und die Zeit läuft. Da die Mitgliedstaaten die Richtlinie in nationales Recht umsetzen und die Durchsetzung näher rückt, brauchen Organisationen eine klare, umsetzbare Roadmap, um Compliance zu erreichen.

Diese Checkliste gliedert die NIS2-Vorbereitung in 10 konkrete Schritte — jeder mit spezifischen Maßnahmen, die Sie heute ergreifen können. Ob Sie bei null anfangen oder auf einem bestehenden Sicherheitsprogramm aufbauen: Dieser Leitfaden hilft Ihnen, Lücken zu erkennen und Ihre Anstrengungen zu priorisieren.

Schritt 1: Klären Sie, ob Sie in den Anwendungsbereich fallen

Warum es zählt: NIS2 hat die Zahl der Organisationen mit Cybersicherheitspflichten drastisch erweitert. Wenn Sie annehmen, nicht erfasst zu sein, könnten Sie sich irren.

Maßnahmen:

• Prüfen Sie Ihren Sektor: NIS2 erfasst 18 Sektoren in zwei Anhängen. Anhang I (wesentliche Einrichtungen) umfasst Energie, Transport, Bankwesen, Gesundheit, digitale Infrastruktur und IKT-Dienste. Anhang II (wichtige Einrichtungen) umfasst Postdienste, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe und digitale Anbieter
• Prüfen Sie Ihre Größe: Die Richtlinie gilt für mittlere Organisationen (50+ Mitarbeitende ODER 10 Mio. €+ Umsatz) und große Organisationen (250+ Mitarbeitende ODER 50 Mio. €+ Umsatz) in erfassten Sektoren
• Prüfen Sie Ausnahmen: Manche Einrichtungstypen sind unabhängig von der Größe erfasst — DNS-Anbieter, TLD-Registries, öffentliche Kommunikationsnetze und Vertrauensdiensteanbieter
• Bewerten Sie die Lieferketten-Exposition: Selbst wenn Sie nicht direkt erfasst sind, könnten Ihre Kunden in erfassten Sektoren NIS2-konforme Sicherheit von ihren Zulieferern verlangen

Wie KENSAI hilft: Die KENSAI-Plattform ist für Organisationen im NIS2-Anwendungsbereich konzipiert und bietet das kontinuierliche Schwachstellenmanagement und Reporting, das die Richtlinie verlangt. Der Start mit einem kostenlosen Scan gibt Ihnen sofortige Sichtbarkeit auf Ihre aktuelle Sicherheitslage.

Schritt 2: Klassifizieren Sie Ihren Einrichtungstyp

Warum es zählt: Wesentliche Einrichtungen unterliegen strengerer Aufsicht und höheren Strafen als wichtige Einrichtungen. Ihre Klassifizierung bestimmt Ihre Pflichten.

Maßnahmen:

• Wesentliche Einrichtungen (Anhang-I-Sektoren, große Organisationen): unterliegen proaktiver regulatorischer Aufsicht, einschließlich Vor-Ort-Inspektionen und regelmäßiger Audits. Höchststrafen von 10 Millionen € oder 2 % des weltweiten Umsatzes
• Wichtige Einrichtungen (Anhang-II-Sektoren, mittlere Organisationen): unterliegen reaktiver Aufsicht (nach einem Vorfall oder Hinweisen auf Nichteinhaltung). Höchststrafen von 7 Millionen € oder 1,4 % des weltweiten Umsatzes
• Dokumentieren Sie Ihre Klassifizierung und die Begründung dahinter
• Prüfen Sie die nationale Umsetzung — manche Mitgliedstaaten wenden womöglich strengere Kriterien an. Das deutsche NIS2UmsuCG führt beispielsweise zusätzliche Kategorien ein

Wie KENSAI hilft: Das Compliance-Reporting von KENSAI ordnet Findings den spezifischen Anforderungen Ihrer Einrichtungsklassifizierung zu und stellt sicher, dass Ihre Sicherheitsnachweise zu Ihren Pflichten passen.

Schritt 3: Sichern Sie Management-Rückhalt und Verantwortlichkeit

Warum es zählt: NIS2-Artikel 20 macht Leitungsorgane persönlich verantwortlich für Cybersicherheit. Das ist keine Empfehlung — es ist eine gesetzliche Pflicht mit persönlichen Haftungsfolgen.

Maßnahmen:

• Informieren Sie Vorstand und Geschäftsleitung über NIS2-Anforderungen und ihre persönliche Haftung
• Benennen Sie eine verantwortliche Führungskraft für die Cybersicherheitsaufsicht (CISO, CTO oder gleichwertig)
• Etablieren Sie eine Governance-Struktur, in der die Leitung Cybersicherheitsrichtlinien formell genehmigt und Risikobewertungen prüft
• Planen Sie verpflichtende Cybersicherheitsschulungen für alle Mitglieder des Leitungsorgans — NIS2 verlangt dies ausdrücklich
• Dokumentieren Sie die Einbindung der Leitung in Cybersicherheitsentscheidungen zu Audit-Zwecken
• Nehmen Sie Cybersicherheit als festen Tagesordnungspunkt in Vorstandssitzungen auf

Wie KENSAI hilft: KENSAI bietet Executive-Dashboards und Trendberichte, die der Leitung die nötige Sichtbarkeit geben, um ihre Aufsichtspflichten ohne tiefes technisches Fachwissen zu erfüllen.

Schritt 4: Führen Sie eine umfassende Risikobewertung durch

Warum es zählt: NIS2-Artikel 21 verlangt „geeignete und verhältnismäßige" technische und organisatorische Maßnahmen auf Basis einer Risikobewertung. Ohne dokumentierte Risikobewertung können Sie nicht nachweisen, dass Ihre Maßnahmen verhältnismäßig sind.

Maßnahmen:

• Identifizieren Sie kritische Assets: Erfassen Sie alle Netz- und Informationssysteme, die Ihre wesentlichen Dienste stützen
• Bewerten Sie Bedrohungen: Dokumentieren Sie die für Ihren Sektor und Ihre Region relevante Bedrohungslage (Ransomware, staatlich gesteuerte Angriffe, Lieferketten-Kompromittierung, Insider-Bedrohungen)
• Bewerten Sie Schwachstellen: Führen Sie technische Schwachstellenbewertungen Ihrer Infrastruktur, Anwendungen und Prozesse durch
• Bestimmen Sie die Auswirkung: Bewerten Sie für jedes erkannte Risiko die potenzielle Auswirkung auf Dienstkontinuität, Datenintegrität und Betroffene
• Berechnen Sie Risikoniveaus: Nutzen Sie eine konsistente Methodik (Eintrittswahrscheinlichkeit × Auswirkung), um Risiken zu priorisieren
• Dokumentieren Sie alles: Die Risikobewertung muss schriftlich erfolgen, geprüft und regelmäßig aktualisiert werden

Wie KENSAI hilft: Das automatisierte Schwachstellen-Scanning von KENSAI liefert die technischen Schwachstellendaten, die Ihre Risikobewertung braucht. Statt sich auf punktuelle manuelle Bewertungen zu verlassen, liefert KENSAI kontinuierliche Schwachstellen-Intelligence, die Ihre Risikobewertung aktuell hält.

Schritt 5: Kartieren Sie Ihre Angriffsfläche

Warum es zählt: NIS2 verlangt Sicherheitsmaßnahmen für Ihre Netz- und Informationssysteme. Sie können nicht sichern, von dessen Existenz Sie nichts wissen.

Maßnahmen:

• Inventarisieren Sie alle nach außen gerichteten Assets: Webanwendungen, APIs, Mailserver, VPN-Endpunkte, Cloud-Dienste, Subdomains
• Identifizieren Sie Schatten-IT: Entdecken Sie unautorisierte Cloud-Dienste, vergessene Testumgebungen und Alt-Systeme
• Kartieren Sie Drittanbieter-Verbindungen: Dokumentieren Sie alle externen Integrationen, API-Verbindungen und Datenflüsse mit Zulieferern und Partnern
• Bewerten Sie die Cloud-Exposition: Prüfen Sie IaaS-, PaaS- und SaaS-Konfigurationen auf Fehlkonfigurationen und übermäßige Berechtigungen
• Dokumentieren Sie Ihre Ergebnisse: Pflegen Sie ein lebendes Inventar Ihrer Angriffsfläche

Wie KENSAI hilft: Die Angriffsflächen-Erkennung von KENSAI identifiziert automatisch Ihre nach außen gerichteten Assets, einschließlich vergessener Subdomains und exponierter Dienste, die interne Inventare übersehen. Führen Sie einen kostenlosen Scan durch, um Ihre Angriffsfläche aus Angreiferperspektive zu sehen.

Schritt 6: Setzen Sie die 10 Mindest-Sicherheitsmaßnahmen um

Warum es zählt: NIS2-Artikel 21(2) listet zehn spezifische Kategorien von Sicherheitsmaßnahmen auf, die alle erfassten Einrichtungen umsetzen müssen. Diese sind nicht optional.

Maßnahmen je Kategorie:

a) Risikoanalyse und Informationssicherheitsrichtlinien

• Entwickeln und dokumentieren Sie eine Informationssicherheitsrichtlinie
• Etablieren Sie ein Risikomanagement-Framework mit regelmäßigen Überprüfungszyklen

b) Vorfallbehandlung

• Erstellen Sie einen Incident-Response-Plan mit klaren Rollen, Verantwortlichkeiten und Eskalationsverfahren
• Implementieren Sie Fähigkeiten zur Vorfallerkennung und -überwachung
• Führen Sie regelmäßige Incident-Response-Übungen durch

c) Geschäftskontinuität und Krisenmanagement

• Entwickeln Sie Geschäftskontinuitätspläne für kritische Dienste
• Implementieren und testen Sie Backup- und Disaster-Recovery-Verfahren
• Stellen Sie sicher, dass Offline-/unveränderliche Backups existieren (entscheidend für Ransomware-Resilienz)

d) Lieferkettensicherheit

• Bewerten Sie die Cybersicherheitspraktiken kritischer Zulieferer
• Nehmen Sie Sicherheitsanforderungen in Beschaffung und Verträge auf
• Überwachen Sie die Zuliefersicherheit fortlaufend

e) Sicherheit bei Beschaffung, Entwicklung und Wartung

• Implementieren Sie sichere Entwicklungspraktiken (SDLC)
• Führen Sie Schwachstellenbehandlung und regelmäßige Sicherheitstests durch
• Etablieren Sie Patch-Management-Verfahren

f) Wirksamkeitsbewertung

• Planen Sie regelmäßige Sicherheitsaudits und -bewertungen
• Implementieren Sie Sicherheitsmetriken und KPIs
• Prüfen und aktualisieren Sie Maßnahmen anhand der Bewertungsergebnisse

g) Cyberhygiene und Schulung

• Führen Sie Security-Awareness-Schulungen für alle Mitarbeitenden ein
• Implementieren Sie Phishing-Simulationsprogramme
• Etablieren Sie grundlegende Cyberhygiene-Standards (Passwortrichtlinien, Clean Desk usw.)

h) Kryptografie und Verschlüsselung

• Verschlüsseln Sie Daten bei der Übertragung (TLS 1.2+ für alle Dienste)
• Verschlüsseln Sie ruhende Daten bei sensiblen Informationen
• Verwalten Sie kryptografische Schlüssel nach Best Practices

i) Personalsicherheit und Zugriffskontrolle

• Implementieren Sie Multi-Faktor-Authentifizierung für alle kritischen Systeme
• Wenden Sie das Prinzip der minimalen Rechtevergabe an
• Etablieren Sie Prozesse zur Zugriffsüberprüfung

j) Sichere Kommunikation

• Setzen Sie verschlüsselte Kommunikationskanäle für sensible Gespräche ein
• Etablieren Sie Notfall-Kommunikationsverfahren, die funktionieren, wenn Primärsysteme kompromittiert sind

Wie KENSAI hilft: KENSAI unterstützt direkt die Maßnahmen (e), (f) sowie die Schwachstellenbehandlungs-Aspekte von (a) und (d). Kontinuierliches automatisiertes Scanning stellt sicher, dass Sie die Anforderungen an „regelmäßige Tests" und „Schwachstellenbehandlung" mit überprüfbaren Nachweisen erfüllen.

Schritt 7: Schaffen Sie Fähigkeiten zur Vorfallmeldung

Warum es zählt: NIS2 führt strikte Anforderungen an eine mehrstufige Vorfallmeldung ein. Das Verpassen der 24-Stunden-Frühwarnfrist kann zu Strafen unabhängig vom Vorfall selbst führen.

Maßnahmen:

• Definieren Sie Kriterien für einen „erheblichen Vorfall" für Ihre Organisation, ausgerichtet an der NIS2-Definition (schwere Betriebsstörung, finanzieller Verlust oder erheblicher Schaden für Dritte)
• Implementieren Sie 24/7-Überwachung, die erhebliche Vorfälle in Echtzeit erkennt — Sie können nicht melden, was Sie nicht erkannt haben
• Identifizieren Sie Ihr nationales CSIRT und die zuständige Behörde — wissen Sie genau, wo und wie zu melden ist
• Bereiten Sie Meldevorlagen für jede Stufe vor:
• 24-Stunden-Frühwarnung: grundlegende Vorfallfakten, ob Rechtswidrigkeit oder Böswilligkeit vermutet wird, mögliche grenzüberschreitende Auswirkung
• 72-Stunden-Meldung: Erstbewertung, Schweregrad, Auswirkung, Kompromittierungsindikatoren
• Abschlussbericht nach 1 Monat: detaillierte Beschreibung, Ursachenanalyse, Minderungsmaßnahmen, grenzüberschreitende Auswirkung
• Benennen und schulen Sie Vorfallmelder — stellen Sie sicher, dass mehrere Teammitglieder Meldungen einreichen können
• Üben Sie den Meldeprozess — führen Sie Tabletop-Übungen durch, die den Meldezeitplan einschließen

Wie KENSAI hilft: Die kontinuierliche Überwachung von KENSAI bedeutet, dass Schwachstellen erkannt und gemeldet werden, bevor sie zu Vorfällen werden. Werden Probleme gefunden, liefern die detaillierten technischen Berichte von KENSAI die Kompromittierungsindikatoren und technischen Details, die für eine schnelle Vorfallmeldung nötig sind.

Schritt 8: Adressieren Sie die Lieferkettensicherheit

Warum es zählt: NIS2 verlangt ausdrücklich, dass Organisationen Cybersicherheitsrisiken in ihrer Lieferkette steuern. Die Richtlinie erkennt an, dass viele große Sicherheitsvorfälle über vertrauenswürdige Zulieferer entstehen.

Maßnahmen:

• Identifizieren Sie kritische Zulieferer: Erfassen Sie Zulieferer mit Zugang zu Ihren Systemen, Daten oder Ihrem Netz
• Bewerten Sie die Sicherheitslage der Zulieferer: Fordern Sie Sicherheitszertifizierungen an (ISO 27001, SOC 2), führen Sie Fragebögen durch oder verlangen Sie Drittbewertungen
• Nehmen Sie Sicherheitsanforderungen in Verträge auf: Definieren Sie Mindeststandards, Vorfallmeldepflichten, Auditrechte und Kündigungsklauseln bei Sicherheitsversagen
• Überwachen Sie die laufende Zuliefersicherheit: Bewerten Sie nicht nur beim Onboarding — führen Sie regelmäßige Überprüfungen durch
• Entwickeln Sie Incident-Response-Verfahren für Zulieferer: Wissen Sie, was passiert, wenn ein Zulieferer kompromittiert wird
• Diversifizieren Sie kritische Abhängigkeiten: Vermeiden Sie einzelne Ausfallpunkte in Ihrer Lieferkette

Wie KENSAI hilft: KENSAI kann die nach außen gerichtete Infrastruktur Ihrer Zulieferer scannen (mit deren Erlaubnis), um einen objektiven Blick auf deren Sicherheitslage zu geben. Das liefert Ihnen überprüfbare Daten, statt sich allein auf selbst gemeldete Fragebögen zu verlassen.

Schritt 9: Dokumentieren Sie alles für die Audit-Bereitschaft

Warum es zählt: Die NIS2-Aufsicht umfasst die Befugnis zu Audits, Inspektionen und Nachweisanforderungen. Wenn Sie Compliance nicht durch Dokumentation nachweisen können, sind Sie nicht compliant.

Maßnahmen:

• Pflegen Sie ein Compliance-Nachweis-Repository mit allen Richtlinien, Verfahren, Risikobewertungen und Testergebnissen
• Führen Sie Aufzeichnungen aller Sicherheitsvorfälle und Ihrer Reaktionsmaßnahmen, unabhängig davon, ob sie die Schwelle „erheblich" erreichten
• Dokumentieren Sie Management-Freigaben — jede Richtliniengenehmigung, Risikoakzeptanz und Budgetentscheidung
• Archivieren Sie Sicherheitstestergebnisse mit Zeitstempeln — kontinuierliches Scanning liefert stärkere Nachweise als Jahresberichte
• Verfolgen Sie den Schulungsabschluss aller Mitarbeitenden, mit besonderem Augenmerk auf die Managementschulung
• Erfassen Sie Lieferketten-Bewertungen und vertragliche Sicherheitsklauseln
• Pflegen Sie Änderungsprotokolle für alle sicherheitsrelevanten Richtlinien und Verfahren

Wie KENSAI hilft: KENSAI generiert automatisch zeitgestempelte Scan-Berichte, Schwachstellen-Verlaufshistorien und Behebungszeitpläne. Das schafft einen kontinuierlichen Audit-Trail, der laufende Sicherheitstests belegt — für Regulierungsbehörden weit überzeugender als ein einzelner jährlicher Pentest-Bericht.

Schritt 10: Etablieren Sie kontinuierliche Verbesserung

Warum es zählt: NIS2 ist keine einmalige Häkchen-Übung. Die Richtlinie verlangt laufendes Risikomanagement und regelmäßige Bewertung der Maßnahmenwirksamkeit. Regulierungsbehörden suchen nach Nachweisen für kontinuierliche Verbesserung, nicht nach statischer Compliance.

Maßnahmen:

• Planen Sie vierteljährliche Sicherheitsüberprüfungen, um die Wirksamkeit umgesetzter Maßnahmen zu bewerten
• Verfolgen Sie Sicherheitsmetriken über die Zeit: Schwachstellenzahlen, mittlere Behebungszeit, Vorfallhäufigkeit, Schulungsabschlussquoten
• Aktualisieren Sie Risikobewertungen, wenn sich die Bedrohungslage ändert, nach erheblichen Vorfällen oder mindestens jährlich
• Vergleichen Sie mit Frameworks: Nutzen Sie ISO 27001, NIST CSF oder CIS Controls als Reifegrad-Benchmarks
• Beteiligen Sie sich am Informationsaustausch: Treten Sie sektorspezifischen ISACs (Information Sharing and Analysis Centers) bei und arbeiten Sie mit Ihrem nationalen CSIRT zusammen
• Prüfen und aktualisieren Sie diese Checkliste — überprüfen Sie Ihren NIS2-Compliance-Status jedes Quartal
• Planen Sie für regulatorische Weiterentwicklung: NIS2 wird überprüft und möglicherweise aktualisiert; bauen Sie Flexibilität in Ihr Sicherheitsprogramm ein

Wie KENSAI hilft: Das kontinuierliche Scan-Modell von KENSAI ist naturgemäß auf kontinuierliche Verbesserung ausgerichtet. Jeder Scan baut auf früheren Ergebnissen auf und verfolgt, welche Schwachstellen behoben wurden, welche neu sind und wie sich Ihre Gesamtsicherheitslage über die Zeit entwickelt. Die Plattform liefert die Metriken und Trenddaten, die Auditoren und Regulierungsbehörden die Verbesserung belegen.

Ihr NIS2-Compliance-Zeitplan

Hier ist ein realistischer Zeitplan zur Umsetzung dieser Checkliste:

Monat 1-2: Bewertungsphase - Schritte 1-2: Anwendungsbereich bestimmen und klassifizieren - Schritt 3: Management-Briefing und Rückhalt - Schritt 4: Risikobewertung beginnen - Schritt 5: Angriffsfläche kartieren (mit KENSAI-Gratisscan starten)

Monat 3-4: Fundamentphase - Schritt 4: Risikobewertung abschließen - Schritt 6: Umsetzung der 10 Mindestmaßnahmen beginnen (Lücken priorisieren) - Schritt 7: Fähigkeiten zur Vorfallmeldung schaffen

Monat 5-6: Umsetzungsphase - Schritt 6: Umsetzung der Mindestmaßnahmen fortsetzen - Schritt 8: Lieferkettensicherheit adressieren - Schritt 9: Dokumentations- und Nachweismanagement einrichten

Ab Monat 7: Kontinuierliche Phase - Schritt 10: laufende Verbesserung, Überwachung und Bewertung - regelmäßige Überprüfungen und Aktualisierungen über alle Schritte hinweg

Häufige Fehler, die es zu vermeiden gilt

• NIS2 als reines IT-Projekt behandeln: Es erfordert die Einbindung der Leitung und funktionsübergreifende Zusammenarbeit
• Auf die nationale Umsetzung warten: Die Anforderungen sind klar; fangen Sie jetzt an
• Sich zu sehr auf Zertifizierungen verlassen: ISO 27001 ist ein starkes Fundament, bedeutet aber nicht automatisch NIS2-Compliance
• Lieferkettenpflichten vernachlässigen: Hier werden viele Organisationen unvorbereitet erwischt
• Einmalige Compliance: NIS2 verlangt kontinuierliches Risikomanagement, keine jährlichen Übungen
• Die 24-Stunden-Meldepflicht ignorieren: Diese erfordert Überwachungsfähigkeiten, nicht nur ein Richtliniendokument

---

Beginnen Sie mit Sichtbarkeit

Man kann nicht beheben, was man nicht sieht. Der erste Schritt zur NIS2-Compliance ist das Verständnis Ihrer aktuellen Sicherheitslage.

👉 Holen Sie sich Ihren kostenlosen KENSAI-Security-Scan auf kensai.app/free-scan — kartieren Sie Ihre Angriffsfläche und erkennen Sie Schwachstellen in Minuten.