> NIS2 Checkliste: Betroffenheit, Registrierung, Risikomanagementmaßnahmen nach Art. 21, Meldewege nach Art. 23 und Schulung der Leitung – online und als PDF. Source: [https://docxpert.io/de/checklisten/nis2](https://docxpert.io/de/checklisten/nis2) # NIS2 Checkliste: Pflichten prüfen und umsetzen Als PDF speichern Druckfertige Version mit Ankreuzfeldern. [PDF anfordern](https://docxpert.io/de/checklisten/nis2#download) ## NIS2 in Kürze Die NIS2-Richtlinie verpflichtet **wesentliche** und **wichtige Einrichtungen** in 18 Sektoren zu Cybersicherheits-Risikomanagement und zur Meldung erheblicher Sicherheitsvorfälle. Betroffen sind in der Regel mittlere und große Unternehmen (ab 50 Beschäftigten oder mehr als 10 Mio. Euro Umsatz und Bilanzsumme) in den Sektoren der Anhänge I und II; einige Einrichtungen unabhängig von ihrer Größe. Die Mitgliedstaaten setzen die Richtlinie in nationales Recht um – in Deutschland mit dem NIS2-Umsetzungsgesetz, das Registrierungspflichten beim BSI vorsieht. Prüfen Sie den aktuellen Stand der Umsetzung in Ihrem Land. Details zu den Meldefristen erklärt der Ratgeber [NIS2-Meldepflicht](https://docxpert.io/de/ratgeber/nis2-meldepflicht). Leitung haftet Nach Art. 20 müssen Leitungsorgane die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Verstöße können zu persönlicher Verantwortung führen. ## NIS2-Checkliste ### Betroffenheit und Registrierung - Sektor und Tätigkeiten sind gegen Anhang I und II der Richtlinie bzw. das nationale Gesetz geprüft. - Unternehmensgröße (Beschäftigte, Umsatz, Bilanzsumme) ist inklusive Partner- und verbundener Unternehmen bewertet. - Einstufung als wesentliche oder wichtige Einrichtung ist dokumentiert und begründet. - Registrierung bei der zuständigen Behörde ist erfolgt bzw. terminiert. - Verantwortliche Person für NIS2 und Ansprechpartner für Behörden sind benannt. ### Leitung (Art. 20) - Die Geschäftsleitung hat die Risikomanagementmaßnahmen förmlich gebilligt. - Die Leitung lässt sich regelmäßig über den Umsetzungsstand berichten. - Mitglieder der Leitung haben an einer Cybersicherheitsschulung teilgenommen; der Nachweis liegt vor. ### Risikomanagementmaßnahmen (Art. 21) - Konzepte für Risikoanalyse und Sicherheit der Informationssysteme sind dokumentiert. - Prozess zur Bewältigung von Sicherheitsvorfällen ist festgelegt. - Business Continuity: Backup-Management, Wiederherstellung und Krisenmanagement sind geregelt. - Sicherheit der Lieferkette, inklusive Anforderungen an Dienstleister, ist bewertet. - Sicherheit bei Erwerb, Entwicklung und Wartung von Systemen, inklusive Schwachstellenmanagement, ist geregelt. - Verfahren zur Bewertung der Wirksamkeit der Maßnahmen sind festgelegt. - Cyberhygiene und Schulungen für alle Beschäftigten finden regelmäßig statt. - Konzepte für Kryptografie und Verschlüsselung sind festgelegt. - Personalsicherheit, Zugriffskontrolle und Management der Anlagen sind geregelt. - Multi-Faktor-Authentifizierung und gesicherte Kommunikation sind, wo angemessen, eingesetzt. ### Meldewesen (Art. 23) - Kriterien, wann ein Vorfall erheblich ist, sind intern festgelegt. - Meldeweg zur Behörde bzw. zum CSIRT ist bekannt und getestet. - Frühwarnung innerhalb von 24 Stunden nach Kenntnis ist organisatorisch sichergestellt, auch am Wochenende. - Vorfallmeldung innerhalb von 72 Stunden mit erster Bewertung ist vorbereitet (Vorlage vorhanden). - Abschlussbericht innerhalb eines Monats ist als Prozessschritt verankert. - Alle Meldungen und Fristen werden nachvollziehbar dokumentiert. ### Nachweise und Verbesserung - Richtlinien und Verfahren sind gelenkt, freigegeben und den Beschäftigten bekannt. - Schulungsnachweise für Leitung und Beschäftigte sind vollständig. - Nach jedem Vorfall gibt es eine Auswertung mit Maßnahmen. ## Umsetzung mit docxpert docxpert unterstützt die Nachweisseite von NIS2: Vorlagen für Richtlinien und Verfahren aus der [Vorlagenbibliothek](https://docxpert.io/de/features/template-library), [Schulungen mit Nachweis](https://docxpert.io/de/features/training-certification) für Leitung und Beschäftigte sowie eine [NIS2-Vorfallmeldung](https://docxpert.io/de/features/nis2-incident-reporting), die die Fristen von 24 Stunden, 72 Stunden und einem Monat ab Erkennung automatisch berechnet. ## Checkliste als PDF herunterladen Druckfertig mit Ankreuzfeldern – ideal für Ihr nächstes Audit oder Teammeeting. Kostenlos, wir senden Ihnen den Link auch per E-Mail. ## Häufige Fragen Gilt NIS2 auch für kleine Unternehmen? In der Regel nicht. Ausnahmen gibt es für bestimmte Einrichtungen unabhängig von der Größe, etwa Anbieter öffentlicher elektronischer Kommunikationsnetze, qualifizierte Vertrauensdiensteanbieter oder DNS-Diensteanbieter. Indirekt betroffen sind kleine Unternehmen oft als Zulieferer. Welche Bußgelder drohen? Für wesentliche Einrichtungen bis 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes, für wichtige Einrichtungen bis 7 Mio. Euro oder 1,4 % – jeweils der höhere Betrag. Ersetzt eine ISO 27001 Zertifizierung NIS2? Nein, aber sie deckt viele Anforderungen ab. Prüfen Sie zusätzlich Meldepflichten, Registrierung und die Pflichten der Leitung. ## Weiterlesen [NIS2-MeldepflichtWann ein Vorfall erheblich ist und was in 24 Stunden, 72 Stunden und einem Monat zu melden ist.Mehr erfahren](https://docxpert.io/de/ratgeber/nis2-meldepflicht) [NIS2Risikomanagementmaßnahmen, Schulungspflicht der Leitung und Meldefristen umsetzen.Mehr erfahren](https://docxpert.io/de/normen/nis2) [NIS2-VorfallmeldungSicherheitsvorfälle mit den Fristen 24 Stunden, 72 Stunden und einem Monat sicher melden.Mehr erfahren](https://docxpert.io/de/features/nis2-incident-reporting) [Checkliste ISO 27001Von Geltungsbereich bis Erklärung zur Anwendbarkeit: bereit für die Zertifizierung?Mehr erfahren](https://docxpert.io/de/checklisten/iso-27001-zertifizierung) ## docxpert 14 Tage kostenlos testen Dokumentenlenkung, Freigaben, Schulungen und Nachweise in einer Plattform – mit deutschen und englischen Vorlagen für über zehn Normen. [Kostenlos testen](https://docxpert.io/de/trial)[Preise ansehen](https://docxpert.io/de/pricing)