NIS2-Mindestmaßnahmen

Art. 21 der NIS2-Richtlinie definiert 10 verbindliche Mindestmaßnahmenkategorien, die besonders wichtige und wichtige Einrichtungen umsetzen müssen. Diese Maßnahmen sind nicht optional — sie gelten unabhängig vom individuellen Risikoergebnis und bilden das Fundament jeder NIS2-Konformität.

Nutzen Sie diese Checkliste für eine erste Selbstbewertung: Identifizieren Sie, welche Kategorien bereits vollständig umgesetzt sind, wo Lücken bestehen, und priorisieren Sie Maßnahmen nach Risikoexposition. Eine strukturierte Gap-Analyse zeigt den konkreten Handlungsbedarf.

10 Maßnahmenkategorien

1. Risikoanalyse und Sicherheitskonzepte

   Führen Sie eine dokumentierte Risikoanalyse für alle kritischen Informationssysteme durch. Erstellen oder aktualisieren Sie ein Sicherheitskonzept, das identifizierte Risiken adressiert und Maßnahmen zur Risikominderung beschreibt. Die Risikoanalyse muss regelmäßig wiederholt werden — mindestens jährlich oder nach wesentlichen Änderungen.

2. Bewältigung von Sicherheitsvorfällen

   Etablieren Sie einen formellen Incident-Response-Prozess mit klaren Eskalationswegen. Definieren Sie, was einen erheblichen Sicherheitsvorfall nach § 30 NIS2UmsuCG ausmacht, und stellen Sie sicher, dass Erstmeldungen innerhalb von 24 Stunden, Folgemeldungen innerhalb von 72 Stunden an das BSI erfolgen können.

3. Business Continuity und Krisenmanagement

   Erstellen Sie einen Business-Continuity-Plan (BCP) und Disaster-Recovery-Konzepte für kritische Systeme und Dienste. Definieren Sie Recovery Time Objectives (RTO) und Recovery Point Objectives (RPO). Testen Sie die Wiederherstellung mindestens einmal jährlich und dokumentieren Sie die Ergebnisse.

4. Sicherheit der Lieferkette

   Bewerten Sie die Cybersicherheitsrisiken Ihrer direkten Lieferanten und Dienstleister. Integrieren Sie Sicherheitsanforderungen in Verträge mit IT-Dienstleistern und Cloud-Anbietern. Überprüfen Sie regelmäßig, ob externe Dienstleister die vereinbarten Sicherheitsstandards einhalten.

5. Sicherheit bei Erwerb, Entwicklung und Wartung

   Führen Sie Sicherheitsanforderungen als festen Bestandteil in den Beschaffungsprozess für Hard- und Software ein. Etablieren Sie Patch-Management-Prozesse mit definierten Reaktionszeiten für kritische Sicherheitsupdates. Testen Sie neue Systeme und Updates vor dem Produktiveinsatz in einer isolierten Umgebung.

6. Bewertung der Wirksamkeit von Sicherheitsmaßnahmen

   Implementieren Sie ein internes Audit-Programm, das die Wirksamkeit aller umgesetzten Sicherheitsmaßnahmen regelmäßig überprüft. Nutzen Sie Kennzahlen (KPIs) wie Patch-Latenz, Incident-Anzahl und Recovery-Zeit. Das Management muss die Ergebnisse zur Kenntnis nehmen und ggf. Maßnahmen einleiten.

7. Cyberhygiene und Schulungen

   Verpflichten Sie alle Mitarbeitenden zu regelmäßigen Cybersicherheitsschulungen — mindestens jährlich, zusätzlich bei neuen Bedrohungslagen. Schulen Sie das Management gesondert zu seinen Verantwortlichkeiten nach NIS2. Etablieren Sie grundlegende Cyberhygiene-Regeln (Passwortrichtlinien, Phishing-Erkennung, Clean-Desk-Policy) schriftlich.

8. Kryptografie und Verschlüsselung

   Definieren Sie eine Kryptografierichtlinie, die die Mindestanforderungen an Algorithmen und Schlüssellängen festlegt (orientieren Sie sich an den BSI-Technischen Richtlinien TR-02102). Verschlüsseln Sie sensible Daten im Ruhezustand und bei der Übertragung. Prüfen Sie regelmäßig, ob eingesetzte Algorithmen noch als sicher gelten.

9. Personalsicherheit und Zugangskontrollen

   Implementieren Sie das Prinzip der minimalen Rechtevergabe (Least Privilege) für alle Systeme. Führen Sie Hintergrundüberprüfungen für Mitarbeitende mit Zugang zu kritischen Systemen durch, soweit rechtlich zulässig. Richten Sie formelle Prozesse für das Onboarding und Offboarding ein, die Zugangsrechte sofort anpassen.

10. Multi-Faktor-Authentifizierung und Kommunikationssicherheit

    Führen Sie Multi-Faktor-Authentifizierung (MFA) für alle privilegierten Zugänge, Remote-Zugriffe und kritischen Anwendungen ein. Sichern Sie administrative Kommunikation mit Verschlüsselung und gesicherten Kanälen. Dokumentieren Sie alle privilegierten Konten und überprüfen Sie deren Berechtigung mindestens quartalsweise.