Betroffenheit und Scope☐Prüfen, ob die Organisation wichtige oder besonders wichtige Einrichtung nach BSIG (NIS2UmsuCG) ist – oder KRITIS-Betreiber.☐Scope schriftlich festhalten: Standorte, Netze, wesentliche Dienste, Tochtergesellschaften.☐Geschäftsleitung benennt eine verantwortliche Person für Informationssicherheit.☐Bestehende ISO-27001-, IT-Grundschutz- oder Branchenzertifikate als Ausgangslage inventarisieren.
Risikomanagement (§ 30 BSIG)☐Risikokriterien und Schutzbedarf festlegen (Vertraulichkeit, Integrität, Verfügbarkeit).☐Wesentliche Assets, Prozesse und Abhängigkeiten erfassen.☐Bedrohungen und Schwachstellen bewerten; Behandlung beschließen (vermeiden, vermindern, transferieren, akzeptieren).☐Maßnahmen mit Frist, Owner und Nachweis verknüpfen – nicht nur in Excel-Listen.☐Risiken mindestens jährlich und nach wesentlichen Änderungen reviewen.
Technische und organisatorische Maßnahmen☐Zugangskontrolle: Least Privilege, regelmäßige Rechte-Reviews, MFA für privilegierte und Remote-Zugänge.☐Verschlüsselung in Transit und at rest für schutzbedürftige Daten.☐Patch- und Schwachstellenprozess mit definierten Fristen.☐Protokollierung sicherheitsrelevanter Ereignisse, Zeit synchronisiert.☐Datensicherung: 3-2-1 oder gleichwertig, Restore-Tests dokumentiert.☐Netzsegmentierung und Härtung exponierter Systeme.
Lieferkette☐Verzeichnis der wesentlichen Dienstleister und der von ihnen verarbeiteten Daten.☐Sicherheitsanforderungen vertraglich (AVV, TOMs, Meldewege, Auditrechte).☐Fragebogen oder Assessment für kritische Lieferanten – Wiederholung nach Risiko.☐Unterauftragnehmer der Dienstleister kennen, soweit relevant.
Vorfälle und Meldung (§ 32 BSIG)☐Incident-Prozess: erkennen, eindämmen, bewerten, melden, nachbereiten.☐Meldewege zum BSI und intern (Geschäftsleitung, Datenschutz, Kommunikation) hinterlegen.☐Schwellen für „erheblich“ vorab festlegen, damit in der Lage niemand improvisiert.☐Üben: Tabletop mit Frühwarnung, Folgemeldung und Abschlussbericht.☐Kontaktliste und Vertretung außerhalb der Bürozeiten.
Betriebskontinuität☐Kritische Prozesse und maximale Ausfallzeiten (RTO/RPO) benennen.☐BCM-Pläne mit Wiederanlaufschritten; wo Prozesse komplex sind, als Ablauf (BPMN) und PDF.☐Krisenstab und Kommunikationsvorlagen.
Governance, Schulung, Nachweis☐Schulung der Geschäftsleitung zu NIS2-Pflichten und Haftung.☐Awareness für Mitarbeitende mit Nachweis.☐Richtlinien: Informationssicherheit, Vorfälle, Homeoffice, Lieferanten, Kryptografie.☐Nachweise so ablegen, dass ein Audit oder die Aufsicht sie in angemessener Zeit sieht.☐Registrierung beim BSI in der gesetzlichen Frist einplanen, sobald die Pflicht greift.