Konformitätsprüfung
Definition
Eine Konformitätsprüfung ist die systematische und dokumentierte Überprüfung, ob eine Organisation alle gesetzlichen Anforderungen des NIS2UmsuCG vollständig einhält. Sie kann als strukturierte Selbstbewertung anhand eines Compliance-Checklists, als internes Audit durch eine unabhängige interne Stelle oder durch externe akkreditierte Prüfer erfolgen. Das BSI kann bei begründetem Verdacht auf Verstöße eigene Prüfungen anordnen. Regelmäßige Konformitätsprüfungen helfen Einrichtungen, Compliance-Lücken frühzeitig zu erkennen und vor einer offiziellen BSI-Kontrolle eigenständig zu schließen. Eine proaktive Konformitätsprüfung ist grundsätzlich günstiger als eine reaktive Nachbesserung nach einer BSI-Beanstandung.
Rechtsgrundlage
Die Rechtsgrundlage für externe Konformitätsprüfungen durch das BSI findet sich in § 64 BSIG. Das BSI kann bei besonders wichtigen Einrichtungen anlasslose Überprüfungen anordnen und bei wichtigen Einrichtungen reaktive Prüfungen bei konkreten Anhaltspunkten durchführen. Die Einrichtungen müssen alle Prüfer aktiv unterstützen, Systemzugang gewähren und angeforderte Informationen vollständig bereitstellen, geregelt als Mitwirkungspflicht in § 65 BSIG. Eine verweigerte oder eingeschränkte Mitwirkung stellt einen eigenständigen zusätzlichen Bußgeldtatbestand dar. Das BSI ist gemäß § 64 Abs. 3 BSIG verpflichtet, vor Beginn einer Prüfung das Prüfungskonzept und den voraussichtlichen Zeitraum zu kommunizieren.
Praktische Implikation
Eine jährliche interne Konformitätsprüfung nach einem strukturierten NIS2-Compliance-Checklist ist anerkannte Best Practice für betroffene Einrichtungen. Sie sollte alle Anforderungen des § 30 BSIG vollständig abdecken und identifizierte Lücken mit konkreten Maßnahmen und realistischen Umsetzungsfristen dokumentieren. Externe Audits durch ISO-27001-Auditoren decken blinde Flecken auf und stärken die Verteidigungsposition bei einer unangekündigten BSI-Kontrolle. Die vollständige Dokumentation der Konformitätsprüfungen ist selbst ein wichtiges aufzubewahrendes Nachweisdokument. Ergebnisse der Konformitätsprüfung sollten dem Leitungsorgan präsentiert und in einer Vorstandssitzung mit Protokoll beschlossen werden, um die Genehmigungspflicht nach § 38 BSIG zu erfüllen.
Verwandte Begriffe
Verwandte Inhalte
Leistungen
Checklisten
Fachbegriffe geklärt — und jetzt?
Wir helfen Ihnen, NIS2-Anforderungen in konkrete Maßnahmen umzusetzen.
Beratung anfragen