Zum Inhalt springen
deveca GRC
Arbeitshilfe

NIS2- und ISMS-Startcheckliste

Was vor dem Tool kommt: Scope, Risiken, Maßnahmen, Lieferkette, Meldewege. Quellen sind § 30 und § 32 BSIG sowie Hinweise des BSI. Keine Rechtsberatung – eine Liste, die Teams abarbeiten können.

Betroffenheit und Scope

  • ☐Prüfen, ob die Organisation wichtige oder besonders wichtige Einrichtung nach BSIG (NIS2UmsuCG) ist – oder KRITIS-Betreiber.
  • ☐Scope schriftlich festhalten: Standorte, Netze, wesentliche Dienste, Tochtergesellschaften.
  • ☐Geschäftsleitung benennt eine verantwortliche Person für Informationssicherheit.
  • ☐Bestehende ISO-27001-, IT-Grundschutz- oder Branchenzertifikate als Ausgangslage inventarisieren.

Risikomanagement (§ 30 BSIG)

  • ☐Risikokriterien und Schutzbedarf festlegen (Vertraulichkeit, Integrität, Verfügbarkeit).
  • ☐Wesentliche Assets, Prozesse und Abhängigkeiten erfassen.
  • ☐Bedrohungen und Schwachstellen bewerten; Behandlung beschließen (vermeiden, vermindern, transferieren, akzeptieren).
  • ☐Maßnahmen mit Frist, Owner und Nachweis verknüpfen – nicht nur in Excel-Listen.
  • ☐Risiken mindestens jährlich und nach wesentlichen Änderungen reviewen.

Technische und organisatorische Maßnahmen

  • ☐Zugangskontrolle: Least Privilege, regelmäßige Rechte-Reviews, MFA für privilegierte und Remote-Zugänge.
  • ☐Verschlüsselung in Transit und at rest für schutzbedürftige Daten.
  • ☐Patch- und Schwachstellenprozess mit definierten Fristen.
  • ☐Protokollierung sicherheitsrelevanter Ereignisse, Zeit synchronisiert.
  • ☐Datensicherung: 3-2-1 oder gleichwertig, Restore-Tests dokumentiert.
  • ☐Netzsegmentierung und Härtung exponierter Systeme.

Lieferkette

  • ☐Verzeichnis der wesentlichen Dienstleister und der von ihnen verarbeiteten Daten.
  • ☐Sicherheitsanforderungen vertraglich (AVV, TOMs, Meldewege, Auditrechte).
  • ☐Fragebogen oder Assessment für kritische Lieferanten – Wiederholung nach Risiko.
  • ☐Unterauftragnehmer der Dienstleister kennen, soweit relevant.

Vorfälle und Meldung (§ 32 BSIG)

  • ☐Incident-Prozess: erkennen, eindämmen, bewerten, melden, nachbereiten.
  • ☐Meldewege zum BSI und intern (Geschäftsleitung, Datenschutz, Kommunikation) hinterlegen.
  • ☐Schwellen für „erheblich“ vorab festlegen, damit in der Lage niemand improvisiert.
  • ☐Üben: Tabletop mit Frühwarnung, Folgemeldung und Abschlussbericht.
  • ☐Kontaktliste und Vertretung außerhalb der Bürozeiten.

Betriebskontinuität

  • ☐Kritische Prozesse und maximale Ausfallzeiten (RTO/RPO) benennen.
  • ☐BCM-Pläne mit Wiederanlaufschritten; wo Prozesse komplex sind, als Ablauf (BPMN) und PDF.
  • ☐Krisenstab und Kommunikationsvorlagen.

Governance, Schulung, Nachweis

  • ☐Schulung der Geschäftsleitung zu NIS2-Pflichten und Haftung.
  • ☐Awareness für Mitarbeitende mit Nachweis.
  • ☐Richtlinien: Informationssicherheit, Vorfälle, Homeoffice, Lieferanten, Kryptografie.
  • ☐Nachweise so ablegen, dass ein Audit oder die Aufsicht sie in angemessener Zeit sieht.
  • ☐Registrierung beim BSI in der gesetzlichen Frist einplanen, sobald die Pflicht greift.

Datei gegen geschäftliche E-Mail

Das Ergebnis im Kopf ist frei. Die Datei zum Weitergeben gibt es, sobald eine geschäftliche Adresse und die Einwilligung zur Bearbeitung da sind. Werbung nur mit Double-Opt-In.

Weitere Hilfen

NIS2-Betroffenheitscheck8–12 Fragen zu Sektor, Größe und Umsatz. Ergebnis sofort im Browser.NIS2-/ISMS-Startcheckliste§ 30 und § 32 BSIG als abhakbare Liste. Download gegen geschäftliche E-Mail.Lieferantenanfrage beantwortenFür Agenturen, Zeitarbeit und Mittelstand, die Fragebögen von NIS2-Kunden bekommen.Meldefristen-Rechner24 Stunden, 72 Stunden, ein Monat – Zeitplan ab Kenntnis des Vorfalls.