Die 21 Maßnahmen, einfach erklärt.

Informationssicherheits-Leitlinien — auf Vorstandsebene genehmigt

Eine vom Vorstand genehmigte schriftliche Leitlinie definiert Risikoappetit, Geltungsbereich und Überprüfungskadenz — ohne sie wird jede weitere Maßnahme ad hoc. ISO 27001 Anhang A.5.1 ist die praktische Referenz.

Rollen, Verantwortlichkeiten und Rechenschaftspflicht formell dokumentiert

Jede Maßnahme hat einen benannten Verantwortlichen; bei risikoreichen Operationen ist die Aufgabentrennung dokumentiert. Aufsichtsbehörden fragen im Nachgang eines Vorfalls regelmäßig „wer hat freigegeben“.

Schulung der Leitungsorgane zu Cybersicherheitsrisiken

Artikel 20 Absatz 2 macht die Schulung der Leitungsorgane verpflichtend und nachweispflichtig. Allgemeine Awareness-Module reichen nicht — die Schulung muss die spezifischen Risiken der Einrichtung vermitteln.

Jährliche unabhängige Überprüfung des Sicherheitsprogramms

Ein jährliches externes oder unabhängiges internes Audit zur Reife des Programms. Ergebnisse werden dem Vorstand mit Maßnahmenplan und Zeitplan vorgelegt.

Risikoanalysemethodik und aktuell gehaltenes Risikoregister

Eine dokumentierte Methode (qualitativ oder quantitativ) und ein mindestens vierteljährlich überprüftes Register. Statische Risikoregister sind ein typisches Warnsignal für Aufsichtsbehörden.

Asset-Inventar: Informationssysteme und Daten

Was nicht erfasst ist, lässt sich nicht schützen. Das Inventar deckt Hardware, Software, Cloud-Dienste, Datenflüsse und Abhängigkeiten ab — soweit möglich automatisch aktualisiert.

Notfall- und Krisenmanagementpläne

Die Pläne decken Standortverlust, Lieferantenausfall und Zugriffsverlust ab. Sie definieren RTO/RPO je Service, Kommunikationsprotokolle und die Befehlskette im Krisenfall.

Backups: Wiederherstellungsverfahren erprobt

Ein nie zurückgespieltes Backup ist theoretisch. NIS2 erwartet Nachweise regelmäßiger Restore-Tests, idealerweise mit ransomware-widerstandsfähigen Konfigurationen (unveränderlich, offline oder air-gapped).

Mehrfaktor-Authentifizierung für alle kritischen Zugänge

Artikel 21 Absatz 2 Buchstabe j fordert MFA ausdrücklich. Kritischer Zugriff umfasst Administratorkonten, Fernzugriff, exponierte Anwendungen und Zugriff auf sensible Daten — phishing-resistente Faktoren werden zunehmend erwartet.

Kryptografie- und Verschlüsselungsrichtlinie

Eine Richtlinie, die Algorithmen, Schlüssel-Lebenszyklus und Geltungsbereiche der Verschlüsselung festlegt (Daten in Ruhe, in Übertragung, in Backups). ENISA verweist auf Post-Quantum-Readiness als zukunftsgerichtetes Kriterium.

Netzwerksegmentierung und Zero-Trust-Prinzipien

Flache Netze lassen aus einem initialen Kompromiss einen sektorweiten Ausfall werden. Segmentierung isoliert kritische Systeme; Zero-Trust ersetzt implizites Vertrauen durch laufende Prüfung von Identität und Endpunkt-Status.

Schwachstellenmanagement und Patch-Kadenz

Ein dokumentiertes Patch-SLA nach Kritikalität (kritisch / hoch / mittel), ein Prozess für Out-of-Band-Notfallpatches und Ausnahmebehandlung für nicht patchbare Systeme mit kompensierenden Kontrollen.

Endpoint Detection and Response

EDR oder XDR auf Arbeitsplätzen und Servern — über klassisches Antivirus hinaus. Telemetrie muss lange genug aufbewahrt werden für forensische Analysen (typisch 6–12 Monate) und in das SOC oder MSSP einfließen.

Sicherer Software-Entwicklungslebenszyklus

Bedrohungsmodellierung im Design, Abhängigkeits-Scans in CI, Secret-Erkennung, Code-Review und Runtime-Anwendungstests. Gilt gleichermaßen für interne Teams und ausgelagerte Entwickler.

Sicherheitsbewertungen von Lieferanten

Stufen Sie Ihre Lieferanten ein (welche können Sie ausschalten?) und fordern Sie Sicherheitsbewertungen entsprechend der Stufe — Fragebögen, Zertifizierungen (ISO 27001, SOC 2) oder Vor-Ort-Audits für die kritischsten.

Sicherheitsklauseln in Verträgen mit kritischen Anbietern

Auditrecht, Vorfall-Meldefristen (abgestimmt auf Ihre eigenen NIS2-Pflichten), Datenlokalisierung wo erforderlich, Offenlegung von Sub-Auftragnehmern, Ausstiegs-/Übergangsunterstützung. Die Klauseln müssen Verlängerungen und Übernahmen überstehen.

Laufende Überwachung der Drittparteien-Exposition

Überwachung der externen Angriffsfläche, Sanktions-Screening, Breach-Intelligence und Neubewertung bei Eigentümerwechsel des Lieferanten. Ein statischer Jahresfragebogen erfüllt die NIS2-Anforderung „laufend“ nicht.

Playbooks für Erkennung, Klassifizierung und Eskalation

Dokumentierte Runbooks für die wahrscheinlichen Szenarien (Ransomware, Datenexfiltration, DDoS, Supply-Chain-Kompromittierung, Insider). Jedes Runbook listet Triage-Schritte, Klassifizierungskriterien und die Eskalationskette auf.

24-Stunden-Frühwarnung an das CSIRT

Innerhalb von 24 Stunden nach Kenntnis eines erheblichen Vorfalls eine Frühwarnung an das CSIRT oder die zuständige Behörde — auch mit unvollständigen Informationen. Die Frist beginnt mit der Kenntnisnahme, nicht mit dem vollständigen Verständnis.

Vorfallmeldung nach 72 Stunden mit Schweregradbewertung

Förmliche Meldung innerhalb von 72 Stunden mit erstem Schweregrad, Kompromittierungsindikatoren und etwaigen grenzüberschreitenden Auswirkungen. Aktualisierungen folgen der fortschreitenden Bewertung.

Abschlussbericht innerhalb eines Monats

Detaillierter Bericht innerhalb eines Monats zu Ursache, tatsächlicher Auswirkung, getroffenen Gegenmaßnahmen und Lessons Learned. Der Bericht ist Grundlage etwaiger Folgemaßnahmen der Aufsicht.