Artikel 20
Governance & Verantwortung der Leitung
Leitungsorgane müssen Cybersicherheits-Risikomanagement-Maßnahmen billigen, deren Umsetzung überwachen und regelmäßig geschult werden. Persönliche Haftung ist ausdrücklich geregelt.
EU-Richtlinie · Verpflichtend · Okt. 2024
NIS2
Readiness-Assessment
Verpflichtend für wesentliche und wichtige Einrichtungen in 18 Sektoren. EU-weit seit Oktober 2024 in Kraft, mit erheblichen Verwaltungssanktionen — bis zu 10 Mio. € oder 2 % des weltweiten Umsatzes.
- 18 FragenAssessment
- ~10 Min.Dauer
- Wesentliche & wichtige EinrichtungenGeltungsbereich
Für wen es gilt
- Wesentliche und wichtige Einrichtungen nach EU-NIS2-Richtlinie (Anhang I & II)
- Energie, Verkehr, Banken, Finanzmarktinfrastruktur, Gesundheit, Trink-/Abwasser, digitale Infrastruktur, IKT-Dienstemanagement
- Post- und Kurierdienste, Abfallwirtschaft, Chemie- und Lebensmittelproduktion, Medizinprodukte, öffentliche Verwaltung, Raumfahrt, Forschung
- Mittlere und große Einrichtungen (50+ Beschäftigte oder 10 Mio. €+ Umsatz) in den Sektoren — und jede Größe in bestimmten kritischen Teilbereichen
In der Regel nicht im Geltungsbereich
- Die meisten Kleinstunternehmen außerhalb explizit kritischer Teilbereiche
- Verteidigung, nationale Sicherheit, Strafverfolgung, Justiz (eigene Regime)
Schlüsselartikel und Klauseln in Klartext
Die fünf Punkte, die Auditoren und Aufsichtsbehörden zuerst prüfen.
Artikel 21
Cybersicherheits-Risikomanagement-Maßnahmen
Zehn Mindestmaßnahmen: Risikoanalyse, Vorfallsbehandlung, BCP, Lieferkettensicherheit, Schwachstellenmanagement, Kryptografie, Zugriffskontrolle, Asset-Management, Schulung und MFA.
Artikel 23
Vorfalls-Meldefristen
24 h Frühwarnung, 72 h Vorfallsmeldung und ein Abschlussbericht innerhalb eines Monats an das nationale CSIRT für signifikante Vorfälle.
Artikel 24
Nutzung europäischer Cybersicherheits-Zertifizierungsschemata
Mitgliedstaaten können EU-zertifizierte Produkte, Dienste und Prozesse als Compliance-Nachweis für Artikel 21 vorschreiben.
Artikel 32 / 34
Aufsicht und Sanktionen
Behörden können auditieren, verbindliche Anweisungen erteilen und Bußgelder bis zu 10 Mio. € oder 2 % des weltweiten Umsatzes für wesentliche Einrichtungen verhängen.
Was dieses Assessment abdeckt
5 Themenbereiche · 18 Fragen zur Selbstbewertung.
- Domäne 01
Governance & Leitung
NIS2 Artikel 20 verpflichtet Leitungsorgane, Cybersicherheits-Risikomanagement-Maßnahmen zu billigen und deren Umsetzung zu überwachen. Die Haftung der Leitung ist ausdrücklich geregelt.
- Domäne 02
Risikomanagement
Artikel 21(2) verlangt einen systematischen, verhältnismäßigen Ansatz zur Identifizierung und Behandlung von Cybersicherheits-Risiken über alle relevanten Werte und Prozesse hinweg.
- Domäne 03
Vorfallsbehandlung
NIS2 Artikel 23 setzt strikte Meldefristen: 24 h Frühwarnung, 72 h Vorfallsmeldung und ein Abschlussbericht innerhalb eines Monats. Operative Bereitschaft ist Pflicht.
- Domäne 04
Lieferketten-Sicherheit
Artikel 21(2)(d) verpflichtet Organisationen, Cybersicherheits-Risiken in der Lieferkette zu adressieren — einschließlich direkter Lieferantenbeziehungen und Drittdienstleister.
- Domäne 05
Technische Maßnahmen
Artikel 21(2) führt technische Maßnahmen wie Zugriffskontrolle, Kryptografie, Netzsicherheit und Geschäftsfortführung auf, die verhältnismäßig umzusetzen sind.
Häufigste Audit-Stolperfallen
- NIS2 als reines IT-Projekt zu behandeln — Artikel 20 macht das Leitungsorgan persönlich haftbar.
- Das 24-Stunden-Frühwarnfenster zu unterschätzen — die meisten Organisationen können es ohne erprobten Prozess nicht einhalten.
- Keine dokumentierten Lieferketten-Sicherheitsanforderungen in Lieferantenverträgen (Art. 21(2)(d)).
Häufig gestellte Fragen
Die Richtlinie trat im Januar 2023 in Kraft; Mitgliedstaaten mussten sie bis 17. Oktober 2024 umsetzen. Nationale Behörden beaufsichtigen wesentliche und wichtige Einrichtungen aktiv.
NIS2 erweitert die Sektorliste deutlich, führt eine Größen-Schwelle ein (mittlere und große Einrichtungen sind standardmäßig erfasst), verschärft die Meldefrist auf 24 h Frühwarnung und schafft ausdrückliche Leitungs-Verantwortung mit persönlicher Haftung.
Wesentliche Einrichtungen (Anhang I) unterliegen strengerer Aufsicht, Ex-ante-Audits und höheren Bußgeldern (10 Mio. €/2 %). Wichtige Einrichtungen (Anhang II) werden ex-post beaufsichtigt; Bußgeld bis 7 Mio. €/1,4 %.
Nein. ISO 27001 ist ein glaubwürdiger Nachweis für Artikel 21, NIS2 schreibt jedoch Ergebnisse vor, keine Zertifikate. Ein dokumentiertes ISMS, das auf Artikel 21 mappt, genügt.
Für eine mittelgroße Einrichtung mit Basis-Hygiene sechs bis zwölf Monate bis zur belastbaren Position. Kritische Lücken (IR, Lieferkette) lassen sich in 60–90 Tagen schließen.
Ja. Mehrere Mitgliedstaaten haben 2025 Sanktionen für fehlende Meldungen, fehlende Schulungsnachweise und nicht dokumentierte Risikomanagement-Programme verhängt.
Starten Sie Ihr NIS2 Assessment
18 Fragen · ~~10 Min. · Scorecard auf Basis Ihrer Antworten. Ohne Anmeldung starten.