NIS2-Readiness-Checkliste: in sieben Feldern zur Nachweisfähigkeit

Wofür diese Checkliste gedacht ist

NIS2 verlangt keine Einzelmaßnahme, sondern ein nachweisbares Risikomanagement über die gesamte IT. Diese Checkliste übersetzt die Pflichten in sieben prüfbare Felder. Sie ersetzt keine Rechtsberatung, schafft aber eine belastbare Selbsteinschätzung — und zeigt, wo Lücken zwischen Anspruch und Betriebsrealität liegen.

Die Liste steht unten als PDF bereit. Der Bezug ist datensparsam und cookieless: eine E-Mail-Adresse für den Versand, sonst nichts. Kein Drittanbieter-Tracking, keine Marketing-Pixel.

Die sieben Felder im Überblick

1. Governance und Verantwortlichkeiten

• Geschäftsleitung hat die NIS2-Pflichten formell übernommen und ist geschult.
• Rollen für Informationssicherheit sind benannt und mit Zeit/Budget hinterlegt.
• Risikomanagement ist dokumentiert und wird regelmäßig überprüft.
• Sicherheitsrichtlinien sind verschriftlicht und den Mitarbeitenden bekannt.

2. Asset-Inventar

• Vollständiges, aktuelles Inventar aller Endpunkte, Server und Netzkomponenten.
• Eigentümer und Schutzbedarf je Asset sind dokumentiert.
• Schatten-IT wird aktiv erkannt, nicht nur manuell gepflegt.
• Inventar wird automatisiert aktualisiert, nicht per Tabellenkalkulation.

3. Patch- und Schwachstellen-Management

• Definierter Prozess für das Einspielen von Updates, mit Fristen nach Kritikalität.
• Schwachstellen werden erkannt, priorisiert und nachverfolgt.
• Nachweis darüber, welcher Patch wann auf welchem Asset eingespielt wurde.
• Umgang mit nicht patchbaren Systemen ist geregelt (Kompensation, Isolation).

4. Backup und Recovery

• Backups laufen automatisiert und werden auf Erfolg überwacht.
• Wiederherstellung wird regelmäßig getestet, nicht nur angenommen.
• Offline- oder unveränderbare Kopien schützen gegen Ransomware.
• Recovery-Zeiten und -Punkte (RTO/RPO) sind definiert.

5. Meldewege und Incident Response

• Verfahren für die NIS2-Meldepflichten ist dokumentiert (Erstmeldung, Folgemeldung).
• Verantwortliche und Eskalationspfade sind benannt und erreichbar.
• Vorfälle werden erkannt, klassifiziert und protokolliert.
• Der Meldeprozess wurde mindestens einmal geübt.

6. Lieferkette

• Kritische Dienstleister und deren Sicherheitsniveau sind bekannt.
• Vertragliche Sicherheitsanforderungen sind vereinbart.
• Abhängigkeit von außereuropäischen Anbietern ist bewertet (u. a. CLOUD-Act-Exposure).
• Zugriffe von Dienstleistern sind nachvollziehbar und begrenzt.

7. Awareness und Schulung

• Mitarbeitende werden regelmäßig zu Phishing und sicherem Verhalten geschult.
• Schulungen sind dokumentiert und nachweisbar.
• Leitung und Schlüsselrollen erhalten vertiefte Schulungen.
• Meldekultur für verdächtige Vorgänge ist etabliert.

Vom Haken zur Nachweisführung

Eine Liste abzuhaken ist der erste Schritt. NIS2 verlangt darüber hinaus, die Wirksamkeit belegen zu können. Genau hier setzt ein RMM an: Asset-Inventar, Patch-Stände, Backup-Status und Vorfälle entstehen ohnehin im Betrieb und lassen sich auditfest dokumentieren.

OneLog ist als souveränes, NIS2-konformes RMM aufgesetzt — EU-betrieben in der STACKIT Sovereign Cloud, ohne US-Cloud-Exposure, mit einem KI-Agenten-Layer, der definierte Vorfälle autonom abarbeitet. Die Checkliste benennt die Anforderungen; OneLog macht die Erfüllung sichtbar.