NIS2-Umsetzungsstand prüfen
15 Fragen zu den zehn Maßnahmen aus § 30 BSIG. Sie sehen sofort Ihren Reifegrad pro Maßnahme und welche Anforderungen Sie gegenüber dem BSI noch nicht nachweisen können.
Ohne Anmeldung. Ergebnis sofort, ohne Formular.
Gibt es eine dokumentierte Risikoanalyse für Ihre IT und Ihre Netze?
Mit bewerteten Risiken, Behandlungsentscheidungen und Verantwortlichen, regelmäßig und bei Änderungen aktualisiert.
Die zehn Maßnahmen aus § 30 BSIG
Wichtige und besonders wichtige Einrichtungen müssen geeignete, verhältnismäßige und wirksame Maßnahmen ergreifen und dokumentieren. § 30 Abs. 2 BSIG nennt die Bereiche, die diese Maßnahmen mindestens abdecken müssen.
Noch unsicher, ob NIS2 für Sie gilt? Starten Sie mit der NIS2-Betroffenheitsprüfung.
- 01
Risikoanalyse und Sicherheitskonzepte
Risiken für IT und Netze bewerten, behandeln und Sicherheitskonzepte pflegen.
- 02
Bewältigung von Sicherheitsvorfällen
Sicherheitsvorfälle erkennen, bewältigen und erhebliche Vorfälle fristgerecht melden.
- 03
Business Continuity und Krisenmanagement
Backups, Wiederherstellung nach Notfällen und Krisenmanagement.
- 04
Sicherheit der Lieferkette
Sicherheitsanforderungen an unmittelbare Anbieter und Dienstleister.
- 05
Schwachstellenmanagement, Beschaffung und Wartung
Sicherheit bei Erwerb, Entwicklung und Wartung, einschließlich Schwachstellenmanagement.
- 06
Bewertung der Wirksamkeit
Konzepte und Verfahren, um die Wirksamkeit der Maßnahmen zu bewerten.
- 07
Cyberhygiene und Schulungen
Grundlegende Cyberhygiene und Schulungen zur IT-Sicherheit.
- 08
Kryptografie und Verschlüsselung
Konzepte und Verfahren für Kryptografie und Verschlüsselung.
- 09
Personal, Zugriffskontrolle und Assets
Personalsicherheit, Zugriffskontrolle und Management von Anlagen.
- 10
MFA und gesicherte Kommunikation
Multi-Faktor-Authentifizierung, gesicherte Kommunikation und Notfallkommunikation.
So wird bewertet
Jede Frage hat fünf Stufen. Der Reifegrad einer Maßnahme ist der Durchschnitt ihrer Fragen; der Gesamtwert gewichtet alle zehn Maßnahmen gleich. Erst die oberste Stufe gilt als nachweisbar.
- 0Nicht vorhandenDazu gibt es bei uns noch nichts.
- 1InformellWird gelebt, aber anlassbezogen und nicht dokumentiert.
- 2DokumentiertVorgaben existieren, sind aber nicht überall umgesetzt.
- 3UmgesetztDurchgängig umgesetzt und gelebt.
- 4NachweisbarUmgesetzt, regelmäßig überprüft, mit aktuellen Nachweisen.
Von der Lücke zum Control
Jede Frage ist mit den passenden Controls aus dem NIS2-Katalog in Secani verknüpft. Eine Lücke im Check ist damit keine Empfehlung auf Papier, sondern ein konkretes Control mit erwarteten Nachweisen.
Übernehmen Sie das Ergebnis in Secani, legen wir einen Workspace mit dem NIS2-Katalog an und bewerten die Controls nach Ihren Antworten vor. Sie arbeiten an den offenen Punkten weiter, statt den Stand ein zweites Mal zu erfassen.
Häufige Fragen zum NIS2-Umsetzungs-Check
Für Organisationen, die nach dem BSI-Gesetz als wichtige oder besonders wichtige Einrichtung gelten oder davon ausgehen. Ob Ihre Organisation betroffen ist, klärt zuerst die NIS2-Betroffenheitsprüfung.
§ 30 Abs. 2 BSIG nennt zehn Bereiche: Risikoanalyse und Sicherheitskonzepte, Bewältigung von Sicherheitsvorfällen, Aufrechterhaltung des Betriebs, Sicherheit der Lieferkette, Sicherheit bei Erwerb, Entwicklung und Wartung, Bewertung der Wirksamkeit, Cyberhygiene und Schulungen, Kryptografie, Personalsicherheit mit Zugriffskontrolle und Anlagenmanagement sowie Multi-Faktor-Authentifizierung und gesicherte Kommunikation.
Die Maßnahmen müssen nicht nur umgesetzt, sondern auch dokumentiert werden. Das BSI kann Nachweise verlangen, und die Geschäftsleitung muss die Umsetzung nach § 38 BSIG überwachen. Eine umgesetzte Maßnahme ohne aktuelle Nachweise weist der Check deshalb als Nachweislücke aus.
Nein. Der Reifegrad pro Maßnahme erscheint direkt nach der letzten Frage. Name, Firma, E-Mail und Rolle brauchen wir nur, wenn Sie den detaillierten Gap-Report per E-Mail erhalten möchten.
Secani legt einen Workspace mit dem NIS2-Katalog an und bewertet die Controls vor, die zu Ihren Antworten gehören. Offene Controls bearbeiten Sie dort mit Verantwortlichen, Fristen und Nachweisen weiter.
Nein. Der Check ist eine unverbindliche Selbsteinschätzung auf Grundlage Ihrer Angaben. Er ersetzt weder ein Audit noch eine rechtliche Bewertung, zeigt aber, wo Sie anfangen sollten.
Wie weit sind Sie mit NIS2?
In wenigen Minuten wissen Sie es, Maßnahme für Maßnahme.
Quellen und Stand
Stand: 19. Oktober 2026. Maßgeblich sind das BSI-Gesetz in der geltenden Fassung, insbesondere §§ 30, 32 und 38, sowie für bestimmte digitale Dienste die Durchführungsverordnung (EU) 2024/2690.