Kostenlose Vorlagen
NIS2-Gap-Checkliste
Gehen Sie die zehn Maßnahmen aus NIS2 Artikel 21 Absatz 2 mit Ihrem Team durch: Beantworten Sie jede Frage, legen Sie Verantwortliche und Termine fest und notieren Sie vorhandene Nachweise.
So nutzen Sie die Vorlage
- 1Laden Sie die Datei für Excel herunter oder drucken Sie sie.
- 2Füllen Sie die leeren Spalten mit Ihrem Team oder Ihren Lieferanten aus.
- 3Legen Sie Verantwortliche und Termine fest und prüfen Sie in einigen Monaten erneut.
Inhalt: 10 Punkte
(a) Risikoanalyse und Sicherheitskonzepte
Haben Sie eine schriftliche Risikoanalyse und eine von der Leitung gebilligte Informationssicherheitsrichtlinie?
Erster Schritt: Listen Sie Ihre wichtigen Systeme auf und was bei jedem schiefgehen kann, schreiben Sie dann eine kurze Sicherheitsrichtlinie und lassen Sie sie von der Leitung billigen.
(b) Bewältigung von Sicherheitsvorfällen
Wissen Sie, wie Sie einen Sicherheitsvorfall erkennen, bewältigen und melden, und wer die Behörde informiert?
Erster Schritt: Schreiben Sie einen einseitigen Vorfallplan: wer entscheidet, wen man anruft, und die Meldefristen von 24 Stunden, 72 Stunden und einem Monat.
(c) Betriebskontinuität und Backups
Haben Sie getestete Backups und einen Plan, nach einem schweren Ausfall weiterzuarbeiten oder wiederherzustellen?
Erster Schritt: Prüfen Sie, dass Backups wichtiger Daten getrennt aufbewahrt werden, stellen Sie eines testweise wieder her und schreiben Sie auf, wie Sie ohne Ihre Hauptsysteme weiterarbeiten.
(d) Sicherheit der Lieferkette
Wissen Sie, von welchen Lieferanten Sie abhängen, und haben Sie deren Sicherheit geprüft?
Erster Schritt: Listen Sie Ihre Lieferanten mit Leistung und Datenzugriff auf und bitten Sie die kritischen um Nachweise ihrer Sicherheit.
(e) Sicherheit bei Erwerb, Entwicklung und Wartung
Gehören Sicherheit und Umgang mit Schwachstellen dazu, wenn Sie Systeme kaufen, entwickeln und aktualisieren?
Erster Schritt: Legen Sie fest, Sicherheitsupdates innerhalb einer festen Frist einzuspielen, und stellen Sie Sicherheitsfragen bei der Auswahl neuer Software.
(f) Wirksamkeit der Maßnahmen prüfen
Prüfen Sie regelmäßig, ob Ihre Sicherheitsmaßnahmen tatsächlich wirken?
Erster Schritt: Planen Sie eine jährliche Überprüfung oder ein internes Audit Ihrer Maßnahmen und halten Sie fest, was Sie gefunden und behoben haben.
(g) Cyberhygiene und Schulungen
Erhalten Beschäftigte und Leitung regelmäßig Schulungen zur Sicherheitssensibilisierung?
Erster Schritt: Führen Sie eine kurze Sensibilisierungsschulung für alle durch, auch für die Leitung, und wiederholen Sie sie jedes Jahr.
(h) Kryptografie und Verschlüsselung
Haben Sie Regeln, wann und wie Daten verschlüsselt werden?
Erster Schritt: Verschlüsseln Sie Laptops, Telefone und Backups, nutzen Sie überall sichere Verbindungen und schreiben Sie diese Regeln auf.
(i) Personal, Zugriffskontrolle und Anlagen
Steuern Sie, wer worauf zugreift, führen Sie eine Liste Ihrer Anlagen und entziehen Sie Zugänge, wenn jemand geht?
Erster Schritt: Führen Sie eine Liste der Geräte und Systeme, vergeben Sie Zugriff nur nach Bedarf und entziehen Sie ihn am Tag des Ausscheidens.
(j) Multi-Faktor-Authentifizierung und sichere Kommunikation
Ist Multi-Faktor-Authentifizierung für wichtige Konten eingeschaltet, und haben Sie einen sicheren Kommunikationsweg für Notfälle?
Erster Schritt: Schalten Sie Multi-Faktor-Authentifizierung zuerst für E-Mail, Administratorkonten und Fernzugriff ein und vereinbaren Sie einen Ersatzkanal für Notfälle.
| Maßnahme | Frage | Erster Schritt | Status (Ja / Teilweise / Nein) | Verantwortlich | Nachweise | Termin | Notizen |
|---|---|---|---|---|---|---|---|
| (a) Risikoanalyse und Sicherheitskonzepte | Haben Sie eine schriftliche Risikoanalyse und eine von der Leitung gebilligte Informationssicherheitsrichtlinie? | Listen Sie Ihre wichtigen Systeme auf und was bei jedem schiefgehen kann, schreiben Sie dann eine kurze Sicherheitsrichtlinie und lassen Sie sie von der Leitung billigen. | |||||
| (b) Bewältigung von Sicherheitsvorfällen | Wissen Sie, wie Sie einen Sicherheitsvorfall erkennen, bewältigen und melden, und wer die Behörde informiert? | Schreiben Sie einen einseitigen Vorfallplan: wer entscheidet, wen man anruft, und die Meldefristen von 24 Stunden, 72 Stunden und einem Monat. | |||||
| (c) Betriebskontinuität und Backups | Haben Sie getestete Backups und einen Plan, nach einem schweren Ausfall weiterzuarbeiten oder wiederherzustellen? | Prüfen Sie, dass Backups wichtiger Daten getrennt aufbewahrt werden, stellen Sie eines testweise wieder her und schreiben Sie auf, wie Sie ohne Ihre Hauptsysteme weiterarbeiten. | |||||
| (d) Sicherheit der Lieferkette | Wissen Sie, von welchen Lieferanten Sie abhängen, und haben Sie deren Sicherheit geprüft? | Listen Sie Ihre Lieferanten mit Leistung und Datenzugriff auf und bitten Sie die kritischen um Nachweise ihrer Sicherheit. | |||||
| (e) Sicherheit bei Erwerb, Entwicklung und Wartung | Gehören Sicherheit und Umgang mit Schwachstellen dazu, wenn Sie Systeme kaufen, entwickeln und aktualisieren? | Legen Sie fest, Sicherheitsupdates innerhalb einer festen Frist einzuspielen, und stellen Sie Sicherheitsfragen bei der Auswahl neuer Software. | |||||
| (f) Wirksamkeit der Maßnahmen prüfen | Prüfen Sie regelmäßig, ob Ihre Sicherheitsmaßnahmen tatsächlich wirken? | Planen Sie eine jährliche Überprüfung oder ein internes Audit Ihrer Maßnahmen und halten Sie fest, was Sie gefunden und behoben haben. | |||||
| (g) Cyberhygiene und Schulungen | Erhalten Beschäftigte und Leitung regelmäßig Schulungen zur Sicherheitssensibilisierung? | Führen Sie eine kurze Sensibilisierungsschulung für alle durch, auch für die Leitung, und wiederholen Sie sie jedes Jahr. | |||||
| (h) Kryptografie und Verschlüsselung | Haben Sie Regeln, wann und wie Daten verschlüsselt werden? | Verschlüsseln Sie Laptops, Telefone und Backups, nutzen Sie überall sichere Verbindungen und schreiben Sie diese Regeln auf. | |||||
| (i) Personal, Zugriffskontrolle und Anlagen | Steuern Sie, wer worauf zugreift, führen Sie eine Liste Ihrer Anlagen und entziehen Sie Zugänge, wenn jemand geht? | Führen Sie eine Liste der Geräte und Systeme, vergeben Sie Zugriff nur nach Bedarf und entziehen Sie ihn am Tag des Ausscheidens. | |||||
| (j) Multi-Faktor-Authentifizierung und sichere Kommunikation | Ist Multi-Faktor-Authentifizierung für wichtige Konten eingeschaltet, und haben Sie einen sicheren Kommunikationsweg für Notfälle? | Schalten Sie Multi-Faktor-Authentifizierung zuerst für E-Mail, Administratorkonten und Fernzugriff ein und vereinbaren Sie einen Ersatzkanal für Notfälle. |
Eine Selbsteinschätzung, kein Audit: Sie zeigt, wo Sie anfangen, nicht ob Sie das Gesetz erfüllen. Die Details regelt das NIS2-Gesetz Ihres Landes.
Mit CloudSignLab erledigen
Verfolgen Sie die zehn Maßnahmen mit Verantwortlichen, Nachweisen und einem Umsetzungsstand, immer aktuell.
Neue Vorlagen und NIS2-Neuigkeiten erhalten
Freiwillig: Wir schreiben Ihnen, wenn wir eine neue Vorlage oder einen Leitfaden veröffentlichen. Sie bestätigen zuerst per E-Mail und können sich jederzeit abmelden.