NIS-2-Checkliste für den Einstieg

Wie diese NIS2-Checkliste aufgebaut ist

Das BSI hat eine kompakte NIS-2-Checkliste veröffentlicht, die sechs Punkte umfasst: Betroffenheit prüfen, Verantwortlichkeiten festlegen, registrieren, Meldepflicht vorbereiten, Geschäftsleitung schulen und Risikomanagementmaßnahmen umsetzen. Die folgende Liste übernimmt diese Struktur, teilt den letzten Punkt in Bestandsaufnahme und Umsetzung und ergänzt die Dokumentation. Zu jedem Schritt finden Sie Prüffragen und das erwartete Ergebnis.

Schritt 1: Betroffenheit prüfen

• Welche Tätigkeiten aus den Anlagen 1 und 2 BSIG übt das Unternehmen aus?
• Wie viele Beschäftigte (Jahresarbeitseinheiten, ohne Auszubildende), welcher Umsatz und welche Bilanzsumme lagen in den letzten zwei Geschäftsjahren vor?
• Ist das Unternehmen Teil einer Gruppe, und ist es bei IT und Prozessen unabhängig?

Ergebnis: schriftliche Einstufung (nicht betroffen, wichtige oder besonders wichtige Einrichtung) mit Begründung. Eine erste Einschätzung liefert die Betroffenheitsprüfung des BSI, die nicht rechtlich bindend ist.

Schritt 2: Verantwortlichkeiten festlegen

• Wer koordiniert die Informationssicherheit, und wer vertritt diese Person?
• Welche Befugnisse und welches Budget hat sie?
• Wie berichtet sie an die Geschäftsleitung?

Ergebnis: schriftliche Benennung. Das BSI empfiehlt, mindestens zwei Personen mit koordinierender Rolle zu benennen und zu befähigen; Hilfestellung bietet der IT-Grundschutz-Baustein ORP.2 Personal.

Schritt 3: Registrieren

• Liegt ein ELSTER-Organisationszertifikat für «Mein Unternehmenskonto» vor?
• Sind Kontaktstelle, Funktionspostfach, Kontaktpersonen und öffentliche IP-Adressbereiche bekannt?

Ergebnis: abgeschlossene Registrierung im BSI-Portal und eine festgelegte Person, die Änderungen binnen zwei Wochen pflegt.

Schritt 4: Meldeprozess einrichten

• Wer bewertet, ob ein erheblicher Sicherheitsvorfall vorliegt?
• Wer meldet, wer gibt frei, wer vertritt, auch außerhalb der Bürozeiten?
• Gibt es eine Vorlage für Erstmeldung (24 Stunden), Meldung (72 Stunden) und Abschlussmeldung (ein Monat)?
• Sind Dienstleister verpflichtet, Vorfälle unverzüglich mitzuteilen?

Ergebnis: kurzer schriftlicher Ablauf, Zugänge zum BSI-Portal für die Meldenden, eine Probe des Ablaufs.

Schritt 5: Geschäftsleitung schulen

• Haben alle Mitglieder der Geschäftsleitung eine Erstschulung erhalten?
• Deckt die Schulung Risikoerkennung, Auswirkungen auf die Dienste und Risikomanagementmaßnahmen ab?
• Ist der Rhythmus für Auffrischungen festgelegt?

Ergebnis: Teilnahmenachweise mit Inhalten, Datum, Dauer und Anbieter.

Schritt 6: Ist-Stand erheben

Prüfen Sie die zehn Bereiche nach § 30 Abs. 2 BSIG:

1. Risikoanalyse und Sicherheitskonzept
2. Bewältigung von Sicherheitsvorfällen
3. Backup, Wiederherstellung und Krisenmanagement
4. Sicherheit der Lieferkette
5. Sicherheit bei Erwerb, Entwicklung und Wartung, Schwachstellenmanagement
6. Bewertung der Wirksamkeit
7. Schulungen und Sensibilisierung
8. Kryptografie
9. Personalsicherheit, Zugriffskontrolle, Asset Management
10. Multi-Faktor-Authentifizierung und gesicherte Kommunikation

Ergebnis: Tabelle mit Bewertung je Bereich (umgesetzt, teilweise, offen), vorhandenen Nachweisen und Verantwortlichen.

Schritt 7: Maßnahmenplan umsetzen

• Welche Lücken haben das höchste Risiko?
• Was lässt sich mit geringem Aufwand schnell schließen, etwa MFA oder Backup-Tests?
• Welche Maßnahmen brauchen Budget oder externe Unterstützung?

Ergebnis: priorisierter Plan mit Terminen und Verantwortlichen, von der Geschäftsleitung beschlossen.

Schritt 8: Dokumentieren und überprüfen

• Sind Richtlinien, Risikoanalyse, Maßnahmenplan, Schulungs- und Prüfnachweise an einem Ort abgelegt?
• Gibt es einen festen Termin für die Überprüfung, mindestens jährlich?
• Werden Vorfälle und Übungen ausgewertet und fließen in den Plan zurück?

Ergebnis: nachweisfähige Dokumentation, die Sie dem BSI auf Anforderung vorlegen können.

Reihenfolge und Zeitplanung

Die Schritte 1 bis 5 bauen aufeinander auf und sind vergleichsweise schnell zu erledigen. Sie schaffen die rechtlichen und organisatorischen Voraussetzungen: Ohne Betroffenheitsprüfung keine richtige Registrierung, ohne Registrierung kein funktionierender Meldeweg. Schritt 6 und 7 sind das eigentliche Sicherheitsprojekt. Sinnvoll ist eine Einteilung in Etappen:

• Sofortmaßnahmen: Punkte mit hoher Schutzwirkung und geringem Aufwand, etwa Multi-Faktor-Authentifizierung für Fernzugriffe und Administratorkonten, geprüfte Datensicherungen, zeitnahe Sicherheitsupdates.
• Kurzfristig: Richtlinien, Rollen, Risikoanalyse, Notfallplan, Regeln für Dienstleister.
• Mittelfristig: Wirksamkeitsprüfung, Schulungsprogramm, Verschlüsselungskonzept, Ausbau der Protokollierung.

Wer bereits nach IT-Grundschutz, WiBA oder ISO 27001 arbeitet, kann vorhandene Ergebnisse in die Bestandsaufnahme übernehmen und muss vor allem die NIS-2-spezifischen Pflichten ergänzen.

Häufige Fehler

• Die Betroffenheit wird geprüft, aber nicht dokumentiert.
• Registrierung und Meldewege hängen an einer einzigen Person.
• Die Geschäftsleitung delegiert vollständig und lässt sich nicht berichten.
• Maßnahmen werden umgesetzt, aber nicht nachweisbar festgehalten.
• Dienstleister und Lieferanten werden in der Bestandsaufnahme vergessen.
• Die Checkliste wird einmal abgearbeitet und danach nicht mehr angefasst, obwohl sich Betroffenheit, Dienstleister und Risiken verändern.

Die Checkliste als Dauerwerkzeug

Nutzen Sie die acht Schritte auch nach der Ersteinrichtung als jährliche Kontrolle. Prüfen Sie dabei insbesondere, ob sich die Einstufung durch Wachstum oder neue Geschäftsfelder geändert hat, ob die Registrierungsdaten noch stimmen, ob Kontaktpersonen und Vertretungen aktuell sind, ob die Schulung der Geschäftsleitung aufgefrischt werden muss und ob der Maßnahmenplan im Zeitplan liegt. So bleibt die Umsetzung nachweisbar, ohne jedes Jahr neu anzufangen.