Eine NIS2-Bereitschaftsprüfung läuft in Deutschland auf vier gesetzliche Fragen hinaus: Erfasst § 28 BSIG Ihr Unternehmen, haben Sie sich rechtzeitig beim BSI registriert (§ 33), könnten Sie einen erheblichen Vorfall innerhalb von 24 Stunden melden (§ 32), und kann die Geschäftsleitung ihre Überwachungspflicht belegen (§ 38)? Die zehn Fragen unten übersetzen diese Pflichten in eine Selbstauskunft für einen Nachmittag. Jede Frage bekommt eine dokumentierbare gute Antwort und eine schlechte Antwort mit Konsequenz. Das novellierte BSIG gilt seit dem 6. Dezember 2025, ohne Übergangsfrist.
Die zehn Fragen
1. Wissen Sie, ob § 28 BSIG Sie erfasst?
Eine gute Antwort ist eine schriftliche Betroffenheitseinschätzung mit Datum. Das Gesetz unterscheidet besonders wichtige Einrichtungen nach § 28 Abs. 1 von wichtigen Einrichtungen nach § 28 Abs. 2, und die Anlagen spannen 18 Branchen auf, von Energie und Gesundheit über Abfallwirtschaft bis Forschung. Die Einrichtungen müssen selbst einschätzen; keine Behörde schreibt Ihnen, dass Sie erfasst sind. Die schlechte Antwort, „wir dachten, wir sind zu klein“, ist die teuerste Annahme des Regimes. Für Sektoren, die zusätzlich KRITIS-Status tragen, siehe Was ist KRITIS? Sektoren, Schwellenwerte und Pflichten.
2. Sind Sie beim BSI registriert, und sind die Daten aktuell?
Das Registrierungsportal ist seit dem 6. Januar 2026 live, die gesetzliche Dreimonatsfrist nach § 33 BSIG lief am 6. März 2026 ab. Die Pflicht überlebt die Frist: Die Nachregistrierung bleibt verpflichtend und separat sanktionierbar, mit Bußgeldern bis 500.000 Euro. Eine gute Antwort zeigt die Portal-Bestätigung, einen benannten Verantwortlichen für die Daten und die Gewohnheit, Änderungen innerhalb von zwei Wochen nachzureichen. Die schlechte Antwort ist eine nicht abgegebene Registrierung ohne Eigentümer. Nach § 33 Abs. 3 BSIG darf das BSI die Registrierung selbst vornehmen, und Sie verlieren die Kontrolle darüber, was die Behörde über Sie führt.
3. Können Sie eine aktuelle Risikoanalyse und ein IT-Sicherheitskonzept vorzeigen?
§ 30 Abs. 2 BSIG eröffnet den Katalog mit Risikoanalyse und angemessenen IT-Sicherheitskonzepten, und § 30 Abs. 1 verlangt die Dokumentation der Maßnahmeneinhaltung. Das BSI vergleicht das mit dem Rechenschaftsgrundsatz nach Art. 5 Abs. 2 DSGVO: Undokumentierte Maßnahmen gelten als fehlende. Eine gute Antwort ist eine Risikoanalyse mit Prüfdatum, zugeordnet zu den Maßnahmenbereichen, abgezeichnet auf Leitungsebene. Die schlechte Antwort ist die Analyse aus der Cloud-Migration vor drei Jahren. Für besonders wichtige Einrichtungen kommt § 61 BSIG hinzu: Die proaktive Aufsicht erlaubt dem BSI, Maßnahmen zu prüfen, bevor ein Vorfall passiert ist.
4. Hat jeder Maßnahmenbereich aus § 30 Abs. 2 einen benannten Verantwortlichen?
Der Katalog schreibt zehn Mindestbereiche vor: Risikoanalyse, Vorfall-Handling, Geschäftskontinuität, Sicherheit in der Lieferkette, Sicherheit bei Beschaffung und Entwicklung, Wirksamkeitsbewertung, Schulung und Sensibilisierung, Kryptografie, Personalsicherheit mit Zugriffskontrolle sowie Mehrfaktor-Authentifizierung mit gesicherter Kommunikation. Eine gute Antwort ordnet jedem Bereich einen Verantwortlichen und einen Nachweis zu. Die schlechte Antwort ist ein einziges Dokument mit dem Titel „ISMS“, das einige Bereiche stillschweigend auslässt.
5. Gibt es Personalsicherheit als Konzept, nicht nur als Richtlinie?
§ 30 Abs. 2 Nr. 9 BSIG verlangt Konzepte für die Sicherheit des Personals, die Zugriffskontrolle und die Verwaltung von IKT-Systemen. Die Durchführungsverordnung (EU) 2024/2690 konkretisiert das in Anlage Punkt 10: Einstellungsbedingungen, Überprüfung des Personals, Beendigung des Beschäftigungsverhältnisses und ein dokumentierter Sanktionsprozess; Erwägungsgrund 22 nennt die Abfrage des Führungszeugnisses und die Prüfung der beruflichen Vergangenheit als geeignete Zuverlässigkeitsprüfungen. Eine gute Antwort beschreibt risikobasierte Prüfung vor Zugriffsgewährung, gestaffelt nach Rolle, mit erneuter Prüfung bei Rollenwechsel und eingebundenem externem Personal über das Lieferkettenkonzept. Die schlechte Antwort ist eine Passwort-Richtlinie plus NDA. Wenn ein Vorfall von innen kommt, ist die erste Frage, was das Unternehmen über die Person mit dem Zugriff wusste. Die operative Struktur steht in NIS2-Personalsicherheit: Pflichten nach § 30 BSIG.
6. Würden Ihre Mitarbeitenden eine Phishing-Mail erkennen, die auf sie zielt?
Grundlegende Schulungs- und Sensibilisierungsmaßnahmen sind nach § 30 Abs. 2 BSIG verpflichtend, und § 38 Abs. 3 erstreckt die regelmäßige Schulung auch auf die Geschäftsleitung. Eine gute Antwort führt Teilnahmelisten mit Datum und eine Geschäftsleitung, die ihre eigene Sitzung absolviert hat. Die schlechte Antwort ist eine Richtlinie, die niemand seit dem Onboarding geöffnet hat. Die Meldekette aus Frage 7 hängt an einem Mitarbeitenden, der etwas bemerkt und weiß, wem er es sagt.
7. Könnten Sie die frühe Erstmeldung innerhalb von 24 Stunden abgeben?
Nach § 32 Abs. 1 BSIG löst ein erheblicher Vorfall eine frühe Erstmeldung innerhalb von 24 Stunden ab Kenntniserlangung aus, eine Meldung innerhalb von 72 Stunden und eine Abschlussmeldung innerhalb eines Monats; läuft der Vorfall weiter, tritt ein Zwischenbericht an die Stelle. Die Uhr startet mit der Kenntniserlangung, dem Wissen eines Mitarbeitenden innerhalb der Arbeitszeit, nicht mit dem Zeitpunkt, an dem die Führungsebene es erfährt. Gemeldet wird an die gemeinsame Meldestelle von BSI und BBK. Eine begründet unvollständige Meldung nach 72 Stunden ist zulässig; die Verspätung ist der sanktionierbare Mangel, und Verstöße gegen § 32 liegen in der obersten Bußgeldstufe mit Deckeln von 10 und 7 Millionen Euro. Eine gute Antwort ist eine geprobte Kette mit benanntem Kontakt und vorformulierten Dokumenten. Die schlechte Antwort ist Improvisation am Tag selbst. Die vollständige Fristenstruktur steht in NIS2-Meldepflicht: Fristen nach § 32 BSIG.
8. Wissen Sie, welche Lieferanten Ihren Service gefährden können?
Die Sicherheit in der Lieferkette ist ein eigener Pflichtbereich nach § 30 Abs. 2 BSIG, und die Personalsicherheitspflicht erreicht ausdrücklich Personal von Dienstleistern: Externe mit Systemzugang durchlaufen kein HR-Onboarding und würden sonst durch jedes Netz fallen. Eine gute Antwort dokumentiert, welche Anbieter sicherheitsrelevant sind, verbindet vertragliche Anforderungen mit einer eigenen Prüfung ihres Sicherheitsniveaus und führt externes Personal in das Screening-Konzept. Die schlechte Antwort ist ein Ordner mit Anbieter-Zertifikaten. Die Pflicht liegt bei Ihnen, und ein Vorfall über einen Dienstleister ist trotzdem Ihr meldepflichtiger Vorfall aus Frage 7.
9. Hat die Geschäftsleitung die Maßnahmen genehmigt und dokumentiert?
§ 38 BSIG macht die Genehmigung der Risikomanagementmaßnahmen und die Überwachung ihrer Umsetzung zu einer persönlichen Pflicht der Geschäftsleitung, die nicht vollständig delegiert werden kann, mit Haftung nach allgemeinem Gesellschaftsrecht für verschuldeten Schaden. Eine gute Antwort zeigt datierte Genehmigungsentscheidungen, regelmäßige Berichte nach oben und Schulungsnachweise nach § 38 Abs. 3. Die schlechte Antwort ist Delegation ohne Dokumentation. Eine Genehmigung, die nur als Gespräch existiert, lässt sich schwer rekonstruieren, wenn eine Aufsichtsbehörde danach fragt.
10. Könnten Sie dem BSI diese Woche Ihre Nachweise aushändigen?
Diese Frage prüft alles Vorstehende. § 30 Abs. 1 macht Dokumentation zum Teil der Pflicht selbst, und die Wirksamkeitsbewertung ist einer der zehn Maßnahmenbereiche, also müssen Nachweise aktuell sein, nicht archiviert. Für besonders wichtige Einrichtungen bedeutet die § 61-Aufsicht: Die Anfrage kann ohne Vorfall kommen. Eine gute Antwort ist ein Ordner, in dem jede der neun Fragen oben ihren datierten Nachweis hat: Betroffenheitseinschätzung, Registrierungsbestätigung, Risikoanalyse, Maßnahmenzuordnung, Screening-Unterlagen, Schulungslisten, Meldeproben, Anbieterprüfungen, Genehmigungen. Die schlechte Antwort ist der Plan, diese Unterlagen nach der Anfrage zusammenzutragen.
Wo die Personalüberprüfung einsetzt
Schädigende Vorfälle laufen meist über jemanden, der sich berechtigt im System bewegt; deshalb behandeln die Gesetze Menschen als Risikovektor. Operativ bedeutet das Prüfung vor Zugriffsgewährung, dokumentiert je Auslöser: Einstellung, Rollenwechsel, und Externe, die über einen Dienstleistervertrag hereinkommen. Eine nachvollziehbare Prüfung deckt Identität und Berufswerdegang, Sanktions- und Watchlisten, Adverse Media mit datierten Quellen und wirtschaftliche Verflechtungen ab, mit einer menschlichen Endentscheidung. Indicium liefert das als strukturierte, nachvollziehbare Überprüfung von Schlüsselpersonal, abgestimmt auf den Zugriff, den eine Rolle trägt.
Häufige Fragen
Gibt es eine offizielle NIS2-Checkliste des BSI?
Ja. Das BSI veröffentlicht die NIS-2-Checkliste als kostenloses PDF vom 13. März 2026, als Orientierung für die Selbstauskunft, nicht als verbindliches Formular. Eine Online-Betroffenheitsprüfung hilft bei der Bereichsfrage.
Ist eine ISO-27001-Zertifizierung ausreichend für NIS2-Compliance?
Nein. Das BSI stellt klar, dass eine Unternehmenszertifizierung allein nicht ausreicht. Die Zertifizierung kann mehrere Maßnahmenbereiche aus § 30 unterstützen, aber Registrierung, der Meldeprozess nach § 32 und die Geschäftsführungspflichten nach § 38 liegen außerhalb ihres Umfangs.
Welche Nachweise muss die Geschäftsleitung für NIS2 vorhalten können?
Die Dokumentation der Maßnahmeneinhaltung nach § 30 Abs. 1, datierte Genehmigungsentscheidungen nach § 38, Schulungsnachweise einschließlich der eigenen und eine geprobte Meldekette nach § 32. Undokumentierte Genehmigung gilt als fehlende Genehmigung.
Dieser Artikel dient der allgemeinen Information und ersetzt keine Rechtsberatung.