Die NIS2-Richtlinie (EU) 2022/2555 stellt Anforderungen an die Cybersicherheit wesentlicher und wichtiger Einrichtungen. ComplianceScan hilft Ihnen, Ihre NIS2-Pflichten zu erfassen, zu bewerten und zu dokumentieren.
Zuletzt aktualisiert: 2026-10-10
Inhaltsverzeichnis
- Überblick
- Anwendbarkeits-Schnellcheck
- Der Assistent in 8 Schritten
- Maßnahmen-Katalog (Art. 21)
- Asset-Inventar
- Incidents und Meldefristen
- Lieferketten-Sicherheit
- Zusammenfassung und Export
- Kontingente
Überblick
Der NIS2-Assistent ist als ein zusammenhängendes Bewertungsdokument pro Organisation aufgebaut. Er unterstützt Sie bei:
- Anwendbarkeits-Schnellcheck — Fällt Ihr Unternehmen unter NIS2?
- Organisationserfassung — Stammdaten, Sektor, Klassifizierung
- Governance (Art. 20) — Verantwortung der Leitung, Schulungen
- Maßnahmen-Dokumentation (Art. 21) — Status und Reifegrad der zehn Maßnahmenkategorien
- Asset-Inventar — kritische IT-Systeme und Netzwerke
- Incident-Management (Art. 23) — Vorfälle dokumentieren, Meldefristen überwachen
- Lieferketten-Sicherheit — Bewertung von Zulieferern
Ihr Fortschritt wird laufend gespeichert; alle Änderungen werden in einer Änderungshistorie protokolliert.
Anwendbarkeits-Schnellcheck
Der Schnellcheck ermittelt in wenigen Klicks, ob NIS2 für Ihr Unternehmen relevant ist:
- Sektor wählen — eine Kachel aus den NIS2-Sektoren oder „Keiner der obigen".
- Unternehmensgröße — < 50, 50–249 oder ≥ 250 Mitarbeitende (entfällt bei größenunabhängig erfassten Sektoren und bei der Regionalverwaltung).
Mögliche Ergebnisse
| Ergebnis | Bedeutung |
|---|---|
| NIS2 gilt nicht | Kein NIS2-kritischer Sektor (kein Anhang I oder II) |
| NIS2 gilt — unabhängig von der Größe | DNS-/TLD-Anbieter, Vertrauensdiensteanbieter, Anbieter öffentlicher Kommunikationsnetze/-dienste (Kachel „Digitale Infrastruktur“) und Zentralverwaltung (Art. 2 Abs. 2) — Cloud, Rechenzentren, CDN und IXP haben eine eigene Kachel „Cloud & Rechenzentren“ mit normaler Größenfrage |
| NIS2 gilt möglicherweise — je nach Einstufung des Mitgliedstaats | Öffentliche Verwaltung auf regionaler Ebene: nur nach risikobasierter Bewertung des Mitgliedstaats erfasst (Art. 2 Abs. 2 lit. f Ziff. ii) |
| NIS2 gilt wahrscheinlich nicht | Unter 50 Mitarbeitende (Art. 2 Abs. 1) |
| NIS2 gilt — potenziell wichtige Einrichtung | Anhang I in mittlerer Größe (50–249) oder Anhang II ab mittlerer Größe |
| NIS2 gilt — potenziell wesentliche Einrichtung | Anhang I als Großunternehmen (≥ 250 Mitarbeitende bzw. > 50 Mio. € Umsatz und > 43 Mio. € Bilanzsumme) sowie größenunabhängig erfasste Zentralverwaltung |
Wesentlich oder wichtig? Die Zuordnung folgt Art. 3 NIS2 und hängt von der Größe ab, nicht allein vom Anhang: Anhang-I-Einrichtungen sind nur als Großunternehmen wesentliche Einrichtungen; mittelgroße Anhang-I-Einrichtungen und alle Anhang-II-Einrichtungen gelten als wichtige Einrichtungen. Hinzu kommen größenunabhängig erfasste Sondertypen (u. a. DNS/TLD-Anbieter, qualifizierte Vertrauensdiensteanbieter, Zentralverwaltung).
Im Anschluss können Sie Assessment starten, Als nicht anwendbar markieren oder Trotzdem ausfüllen. Je nach gewähltem Geltungsbereich (EU-weit, Österreich, Deutschland, Schweiz) werden länderspezifische Rechtshinweise angezeigt.
Sektoren
| Anhang I (Sektoren mit hoher Kritikalität) | Anhang II (sonstige kritische Sektoren) |
|---|---|
| Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, Digitale Infrastruktur, ICT-Dienstleistungsmanagement (B2B), Öffentliche Verwaltung, Weltraum | Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, Verarbeitendes Gewerbe, Digitale Dienste, Forschung |
Der Assistent in 8 Schritten
| Schritt | Bezeichnung | Inhalt |
|---|---|---|
| 1 | Anwendbarkeit | Schnellcheck (siehe oben) |
| 2 | Organisation | Stammdaten, Sektor, Größe, Umsatz, Bilanzsumme |
| 3 | Governance (Art. 20) | Verantwortliche Leitung, Schulungen, ISB |
| 4 | Art. 21 Maßnahmen | Maßnahmen-Katalog (siehe unten) |
| 5 | Asset-Inventar | Kritische IT-Systeme |
| 6 | Incidents (Art. 23) | Sicherheitsvorfälle und Meldefristen |
| 7 | Lieferkette | Bewertung der Zulieferer |
| 8 | Zusammenfassung | Überblick, Änderungshistorie, Export |
Organisation: automatische Einstufung
Aus Ihren Angaben in Schritt 2 (Sektor, Mitarbeitende, Jahresumsatz, Bilanzsumme) ermittelt der Assistent die Einstufung Ihrer Einrichtung. Die Größenklasse folgt der KMU-Empfehlung 2003/361/EG: Ab 50 Mitarbeitenden gilt Ihr Unternehmen als mittleres, ab 250 als großes Unternehmen. Die Finanzkennzahlen heben ein Unternehmen nur, wenn Jahresumsatz und Bilanzsumme die Schwelle übersteigen — beide über 10 Mio. € ergeben ein mittleres Unternehmen, über 50 Mio. € Umsatz und über 43 Mio. € Bilanzsumme ein großes.
| Einstufung | Wann |
|---|---|
| Wesentliche Einrichtung – größenunabhängig | Häkchen für eine größenunabhängige Ausnahme nach Art. 2 Abs. 2 |
| Wesentliche Einrichtung – Anhang I + groß | Anhang-I-Sektor, großes Unternehmen |
| Wichtige Einrichtung – Anhang I + mittel | Anhang-I-Sektor, mittleres Unternehmen |
| Wichtige Einrichtung – Anhang II | Anhang-II-Sektor, ab mittlerem Unternehmen |
| Voraussichtlich nicht NIS2-pflichtig – Ausnahmen nach Art. 2 Abs. 2 prüfen | Anhang-Sektor, unter 50 Mitarbeitenden, Jahresumsatz oder Bilanzsumme höchstens 10 Mio. €, keine größenunabhängige Ausnahme angehakt |
Bei „Voraussichtlich nicht NIS2-pflichtig" zeigen der Governance-Schritt und die Zusammenfassung keinen Sanktionsrahmen und kein Aufsichtsregime; der Export schreibt „Kein NIS2-Sanktionsrahmen anwendbar". Fristen und Lücken bleiben als freiwillige Orientierung sichtbar. Solange Mitarbeiterzahl oder Finanzkennzahlen die Größenklasse nicht entscheiden, bleibt es bei „Wichtige Einrichtung – Anhang I" bzw. „Potenziell wichtige Einrichtung (Größenkriterien prüfen)".
Governance (Art. 20)
Hier erfassen Sie unter anderem die verantwortliche Leitung, den Status von Management-Schulungen (durchgeführt, Datum, Anbieter, Nachweis) sowie den Informationssicherheits-Beauftragten (ISB).
Art. 20 NIS2: Die Leitungsorgane billigen die Risikomanagementmaßnahmen und überwachen ihre Umsetzung (Abs. 1); ihre Mitglieder müssen an Cybersicherheits-Schulungen teilnehmen (Abs. 2).
Registrierung und Meldekontakte
Im Rahmen der Organisations- und Meldeangaben dokumentieren Sie außerdem den Registrierungsstatus (inkl. Registriernummer und Frist), die Selbstdeklaration sowie die Meldekontakte: Incident-Kontakt (mit Stellvertreter), CSIRT-Kontakt, nationale Behörde und Meldeportal-URL.
Maßnahmen-Katalog (Art. 21)
Die zehn Maßnahmenkategorien nach Art. 21 Abs. 2 lit. a–j. Für jede Maßnahme hinterlegen Sie einen Umsetzungsstatus und einen Reifegrad:
| Status | Reifegrad (0–5) |
|---|---|
| Nicht umgesetzt | 0 Nicht vorhanden · 1 Initial/Ad-hoc · 2 Wiederholbar |
| Teilweise | 3 Definiert · 4 Gesteuert/Messbar |
| Vollständig | 5 Optimiert |
Die Reifegrad-Skala (0–5) ist eine Bewertungshilfe von ComplianceScan (angelehnt an CMMI- bzw. ISO-Reifegradmodelle) – NIS2 selbst schreibt keine Reifegrade vor. Die Zuordnung von Status zu Reifegrad ist als Orientierung gedacht, keine starre gesetzliche Vorgabe.
Zusätzlich können Sie je Maßnahme Verantwortliche, eine Beschreibung, einen Nachweis (Evidenz) und eine Frist hinterlegen.
| lit. | Maßnahme |
|---|---|
| a | Konzepte für Risikoanalyse und Sicherheit von Informationssystemen |
| b | Bewältigung von Sicherheitsvorfällen |
| c | Aufrechterhaltung des Betriebs (BCM) |
| d | Sicherheit der Lieferkette |
| e | Sicherheit bei Erwerb, Entwicklung und Wartung |
| f | Bewertung der Wirksamkeit von Maßnahmen |
| g | Cyberhygiene und Schulungen |
| h | Kryptographie und ggf. Verschlüsselung |
| i | Personalsicherheit und Zugangskontrollen |
| j | Multi-Faktor-Authentifizierung und sichere Kommunikation |
Asset-Inventar
Erfassen Sie Ihre kritischen IT-Systeme. Aus Kritikalität und Patch-Status ermittelt ComplianceScan automatisch eine Risikoeinstufung (niedrig, mittel, hoch, kritisch).
| Feld | Beschreibung |
|---|---|
| Name | Bezeichnung des Assets |
| Typ | Server, Netzwerk, Anwendung, Datenbank, … |
| Standort | Physischer / Cloud-Standort |
| Kritikalität | niedrig / mittel / hoch / kritisch |
| Verantwortlicher | Zuständige Person |
| Stellvertreter | Vertretung |
| Letzte / nächste Prüfung | Audit-Termine |
| Lieferant | Zugehöriger Lieferant |
| Backup | Backup-Status |
| Patch-Status | aktuell / teilweise / veraltet |
Incidents und Meldefristen
Dokumentieren Sie Sicherheitsvorfälle für die Meldepflicht. Je Vorfall erfassen Sie unter anderem Titel, Schweregrad, Status, die Zeitpunkte der Entdeckung und der einzelnen Meldungen sowie betroffene Systeme, Ursache, Behebung und gewonnene Erkenntnisse.
Die drei Felder der Meldestufen („Stufe 1: Frühwarnung übermittelt am", „Stufe 2: Erstbewertung übermittelt am", „Stufe 3: Abschlussbericht übermittelt am") nehmen den Zeitpunkt auf, zu dem die jeweilige Meldung tatsächlich übermittelt wurde; solange sie aussteht, bleibt das Feld leer. Unter jedem Feld steht die gesetzliche Frist als Hinweis („Frist: …"). Das Feld der 72-Stunden-Meldung steht bereit, sobald der Entdeckungszeitpunkt eingetragen ist — auch ohne erfasste Frühwarnung; das Feld des Abschlussberichts erscheint, sobald die 72-Stunden-Meldung eingetragen ist.
Einen erfassten Vorfall laden Sie über Bearbeiten wieder ins Formular. Vorfall aktualisieren speichert Ihre Änderung unter demselben Vorfall — etwa den Zeitpunkt einer Frühwarnung, die Sie erst nach dem Erfassen übermittelt haben; Abbrechen verwirft die Änderung. Die E-Mail-Erinnerung je Vorfall und Frist bleibt dabei bestehen: Für eine Frist, an die Sie schon erinnert wurden, erhalten Sie keine zweite E-Mail.
NIS2-Meldefristen (Art. 23)
Frühwarnung und Erstbewertung laufen ab der Entdeckung des Vorfalls, der Abschlussbericht ab der 72-Stunden-Meldung (Art. 23 Abs. 4 lit. d):
| Frist | Aktion |
|---|---|
| 24 Stunden | Frühwarnung an das zuständige CSIRT |
| 72 Stunden | Erstbewertung (Meldung mit erster Bewertung) |
| 1 Monat | Abschlussbericht (nach der 72-h-Meldung) |
Fehlt der Tag im Folgemonat, endet die Monatsfrist am letzten Tag dieses Monats (z. B. 72-Stunden-Meldung am 31.01. → Abschlussbericht bis 28.02., im Schaltjahr 29.02.).
Automatische Erinnerung: ComplianceScan überwacht offene Meldefristen und benachrichtigt die Administratoren Ihrer Organisation per E-Mail, wenn eine Frist näher rückt oder überschritten wurde — die Erinnerung an die 72-Stunden-Meldung auch dann, wenn keine Frühwarnung erfasst wurde. Die E-Mail enthält Ihre hinterlegten Meldekontakte (CSIRT, nationale Behörde, Meldeportal).
Lieferketten-Sicherheit
Bewerten Sie die Cybersicherheit Ihrer Zulieferer:
| Feld | Beschreibung |
|---|---|
| Name | Firma / Dienstleister |
| Dienstleistung | Was wird geliefert? |
| Land | Sitz des Lieferanten |
| Risiko-Stufe | niedrig / mittel / hoch / kritisch |
| Vertragsreferenz | Vertrag / SLA |
| Letztes Audit | Datum der letzten Bewertung |
| Sicherheitsanforderungen | Vereinbarte Anforderungen |
| Sicherheitsbewertung | Ergebnis der Bewertung |
| Cyberklauseln im Vertrag | Sind Security-Klauseln vereinbart? |
Zusammenfassung und Export
Der letzte Schritt zeigt eine Zusammenfassung Ihres Assessments inklusive Hinweisen zu offenen Punkten und der Änderungshistorie. Für den Export stehen zur Verfügung:
| Schaltfläche | Ergebnis |
|---|---|
| Als PDF drucken | Öffnet den Druckdialog; Speichern als PDF möglich |
| Text herunterladen | Lädt das Assessment als .txt-Datei herunter |
Ist Ihre Einrichtung als „Voraussichtlich nicht NIS2-pflichtig" eingestuft (siehe Organisation: automatische Einstufung), nennt der Sanktionsabschnitt des Exports „Kein NIS2-Sanktionsrahmen anwendbar".
Die Änderungshistorie wird direkt in der Zusammenfassung als „Änderungshistorie" angezeigt.
Kontingente
Die Verfügbarkeit des NIS2-Assistenten sowie die maximale Anzahl an Assets hängen von Ihrem Tarif ab. Die aktuellen Tarif-Limits finden Sie in der Abrechnungs-Dokumentation.
Weiterführend
- AI Act — KI-Systeme regulatorisch erfassen
- VVT — Verarbeitungsverzeichnis (DSGVO Art. 30)
- Monitoring — Automatische Überwachung