Diese Checkliste dient der persönlichen Absicherung der Geschäftsleitung und der strukturierten Umsetzung der NIS-2-Pflichten.
- Betroffenheit geklärt
[ ] Branche / Sektor geprüft
[ ] Einordnung als „wichtige“ oder „besonders wichtige“ Einrichtung dokumentiert
[ ] Ergebnis schriftlich festgehalten - Verantwortung geregelt (Pflicht der Geschäftsleitung)
[ ] NIS-2-Verantwortlichen benannt
[ ] Stellvertretung benannt
[ ] Entscheidungs- und Eskalationswege definiert
[ ] Regelmäßige Berichterstattung an die Geschäftsleitung festgelegt - Registrierung beim BSI vorbereitet / erfolgt
[ ] Unternehmens- und Kontaktdaten zusammengestellt
[ ] Unternehmenskonto (MUK / ELSTER) vorbereitet
[ ] Fristen überwacht (max. 3 Monate)
[ ] Registrierung abgeschlossen oder terminiert - Risikomanagement umgesetzt und dokumentiert
[ ] IT-Risikoanalyse vorhanden
[ ] Sicherheitskonzept definiert
[ ] Incident-Response-Prozess etabliert
[ ] Backup- und Wiederanlaufkonzept getestet
[ ] Lieferketten- und Dienstleisterrisiken bewertet
[ ] Zugriffskontrollen und MFA umgesetzt
[ ] Schwachstellen- und Patchmanagement geregelt
[ ] Schulungs- und Awareness-Maßnahmen eingeführt - Meldepflichten abgesichert
[ ] Interner Meldeprozess definiert
[ ] 24-Stunden-Frühmeldung vorbereitet
[ ] 72-Stunden-Vollmeldung vorbereitet
[ ] Abschluss- / Fortschrittsmeldung geregelt
[ ] Vorlagen und Zuständigkeiten festgelegt - Dokumentation & Nachweisfähigkeit
[ ] Alle Maßnahmen nachvollziehbar dokumentiert
[ ] Zuständigkeiten klar zugeordnet
[ ] Nachweise jederzeit vorzeigbar
[ ] nis2-conform.eu als zentrales Steuerungs- und Nachweisinstrument genutzt - Lieferanten & IT-Partner geprüft
[ ] IT-Dienstleister und Cloud-Anbieter bewertet
[ ] Sicherheits- und Meldepflichten vertraglich geregelt
[ ] Kritische Abhängigkeiten identifiziert
[ ] Notfall- und Ausweichszenarien definiert - Geschäftsleitung geschult
[ ] Persönliche Pflichten bekannt
[ ] Haftungsrisiken verstanden
[ ] Regelmäßige Reviews geplant - Regelbetrieb etabliert
[ ] Management-Review mindestens jährlich
[ ] Aktualisierung der Risikoanalyse
[ ] Tests von Notfall- und Wiederanlaufplänen
[ ] Fortlaufende Verbesserung - Sanktionen bewusst
[ ] Bußgeldrisiken bekannt (bis zu Millionenhöhe)
[ ] Persönliche Verantwortung anerkannt
[ ] Prävention höher priorisiert als Reaktion