Die zehn NIS2-Sicherheitsmaßnahmen in Klartext
Artikel 21 in Klartext — was jede der zehn Maßnahmen bedeutet und der Unterschied zwischen Behaupten und Nachweisen.
Kurz gesagt: Das Gesetz vom 5. Mai 2026 verlangt von jeder erfassten Einrichtung zehn Cybersicherheitsmaßnahmen — von wesentlichen wie von wichtigen. Sie stammen aus Artikel 21 der NIS2-Richtlinie und sind die Liste, an der die ILR Sie misst. Hier ist, was jede in Klartext bedeutet und wie „erledigt" tatsächlich aussieht.
Keine der zehn ist exotisch. Woran Unternehmen scheitern, ist nicht das Verstehen — es ist das Nachweisen. Eine Maßnahme, die in einer Richtlinie steht, aber nie getestet wurde, ist für eine Aufsichtsbehörde oder einen Versicherer nicht dasselbe wie eine, die Sie belegen können.
Die zehn Maßnahmen in Klartext
- Risikoanalyse und Sicherheitsrichtlinien. Eine schriftliche Sicht auf die tatsächlichen Risiken Ihres Geschäfts und daraus abgeleitete Sicherheitsregeln — keine heruntergeladene und unterschriebene Vorlage.
- Umgang mit Vorfällen. Ein Plan zum Erkennen, Bewältigen und Dokumentieren von Vorfällen, damit Sie im Ernstfall reagieren statt improvisieren.
- Geschäftskontinuität. Tatsächlich getestete Backups, Notfallwiederherstellung und die Fähigkeit, in einer Krise weiterzuarbeiten.
- Sicherheit der Lieferkette. Die Sicherheit der Lieferanten und Dienstleister steuern, die Ihre Systeme berühren — samt der Vertragsklauseln, die sie dazu verpflichten.
- Sichere Beschaffung und Entwicklung. Sicherheit in den Systemen, die Sie kaufen, bauen und warten, einschließlich Handhabung und Offenlegung von Schwachstellen.
- Wirksamkeitsprüfung. Ein Weg zu prüfen, dass Ihre Maßnahmen wirklich funktionieren — nicht nur, dass sie auf dem Papier existieren.
- Cyberhygiene und Schulung. Die Grundlagen konsequent umgesetzt und echte Schulung Ihrer Mitarbeitenden.
- Kryptografie. Verschlüsselung dort, wo es zählt, geregelt durch eine Richtlinie, die sagt wo und wie.
- Personal, Zugangskontrolle und Anlagenverwaltung. Kontrolle darüber, wer worauf zugreift, was bei Ein- und Austritten geschieht und welche Werte Sie tatsächlich besitzen.
- Mehr-Faktor-Authentifizierung und sichere Kommunikation. Zwei-Schritt-Anmeldung, wo es darauf ankommt, und gesicherte Sprach-, Video- und Textkommunikation, auch im Notfall.
Dieselben zehn gelten für wesentliche und wichtige Einrichtungen. Unterschiedlich ist die Aufsicht, nicht die Anforderung: Wesentliche werden proaktiv geprüft, wichtige nach einem Vorfall oder einer Beschwerde. „Wir sind nur wichtig" verkürzt die Liste also nicht — es ändert nur, wann jemand hinschaut.
Verhältnismäßigkeit: alle zehn gelten, aber nicht in gleicher Tiefe
Artikel 21 verlangt Maßnahmen, die geeignet und verhältnismäßig zu Risiko, Größe und Exposition sind. Ein Logistikunternehmen mit 60 Beschäftigten wird nicht wie ein nationaler Netzbetreiber gemessen. Doch die Verhältnismäßigkeit steuert, wie weit Sie jede Maßnahme treiben — sie erlaubt nicht, eine auszulassen. Alle zehn müssen vorhanden sein; flexibel ist die Ausgereiftheit.
Wo es wirklich hakt
In der Praxis häufen sich die Lücken an denselben Stellen, selten den exotischen:
- Mehr-Faktor-Authentifizierung für die meisten Konten, aber nicht alle — und ausgerechnet die privilegierten fehlen oft.
- Backups, die existieren, aber nie wiederhergestellt wurden: niemand weiß, ob sie funktionieren.
- Keine Sicherheitsklauseln für Lieferanten, weil IT-Verträge vor dem Gedanken an die Lieferkette geschlossen wurden.
- Keine Wirksamkeitsprüfung — Maßnahmen werden behauptet, nie überprüft.
Das ist nicht teuer zu beheben. Es braucht nur jemanden, der es ehrlich findet — was ein internes Team oder der Anbieter, der das Setup gebaut hat, für sich selbst nicht leisten kann.
Behauptet ist nicht bewiesen. Jede der zehn lässt sich zweifach bewerten: wie ausgereift sie ist und woher Sie es wissen — Sie haben es gesagt, wir haben das Dokument gelesen, oder wir haben es getestet und das Ergebnis gesehen. Eine Akte voller „behaupteter" Maßnahmen überzeugt niemanden, der zählt. Wenn Sie sich an Artikel 21 messen, bestehen Sie auf der zweiten Zahl.
Wie wir helfen
Unser Konformitätsaudit misst Sie an allen zehn Maßnahmen, testet, was testbar ist, und kennzeichnet den Rest ehrlich — damit Ihre Akte einer Aufsichtsbehörde, einem Versicherer oder einem Kunden zeigt, welche Maßnahmen auf Belegen und welche auf einem bloßen Wort beruhen. Sie erhalten eine Risikobewertung, eine Sicherheitsrichtlinie, einen Aktionsplan und ein Vorfallverfahren, geschrieben für Ihr Unternehmen, samt einer klaren Liste, was in welcher Reihenfolge zu beheben ist.
Unsicher, ob das Gesetz überhaupt für Sie gilt? Das ist eine eigene, schnellere Frage — und wir beantworten sie schriftlich, bevor all dies beginnt.