NIS2 Checklist
NIS2 Awareness-Checkliste — was muss nachweisbar sein?
NIS2 verpflichtet Organisationen nicht nur dazu, Security Awareness zu organisieren, sondern auch nachweisbar zu machen. Diese Checkliste hilft zu prüfen, ob Ihr Programm den Anforderungen der Artikel 20 und 21 entspricht und für Audit oder Management-Reporting bereit ist.
This checklist is based on NIS2 Directive Articles 20 (management training and awareness) and 21 (risk management measures, including employee training). Use it as an internal assessment tool, not legal advice.
A. Vorstandsverantwortung (Art. 20)
- Der Vorstand ist nachweislich über die NIS2-Awareness-Pflichten informiert.
- Vorstandsmitglieder haben eine Cybersicherheitsschulung gemäß Artikel 20 abgeschlossen oder sind eingeschrieben.
- Es besteht ein festgelegtes Eigentümerschaft für das Awareness-Programm auf Vorstandsebene.
- Vorstandsberichte zur Awareness werden mindestens vierteljährlich erstellt und aufbewahrt.
- Die Organisation kann nachweisen, dass das Management aktiv an der Risikobewertung beteiligt ist.
B. Mitarbeiterschulung und Sensibilisierung (Art. 21)
- Alle im Scope befindlichen Mitarbeiter erhalten mindestens eine Security Awareness Schulung pro Jahr.
- Schulungen decken NIS2-relevante Themen ab: Phishing, Ransomware, Zugangskontrolle, Vorfallmeldung, Drittparteien.
- Der Abschluss je Mitarbeiter und Abteilung ist nachverfolgbar und exportierbar.
- Das Onboarding beinhaltet eine Security Awareness Komponente für neue Mitarbeiter.
- Es gibt nachweisbare Unterschiede in der Schulung nach Risikogruppe oder Funktion (Segmentierung).
- Es gibt eine Wiederholungsstruktur: Awareness wird nicht einmalig, sondern regelmäßig angeboten.
C. Phishing-Simulation als Risikominderungsmaßnahme (Art. 21 f)
- Die Organisation führt Phishing-Simulationen als Teil des Risikomanagements durch.
- Ergebnisse werden verfolgt: Klickrate, Melderate, Verhalten nach der Simulation.
- Mitarbeiter, die klicken, werden begleitet, nicht sanktioniert (schuldenfreie Kultur).
- Die Phishing-Nachbereitung ist mit gezieltem Training oder Erklärungen verknüpft.
- Es wird eine Mindestsimulationsfrequenz von 4 bis 6 Mal pro Jahr eingehalten.
D. Reporting und Prüfnachweise
- Berichte sind nach Zeitraum, Abteilung, Einheit oder Zielgruppe verfügbar.
- Exportierbare Übersichten über Teilnahme, Fortschritt und Verhaltensentwicklung sind vorhanden.
- Das Programm hat eine dokumentierte Jahresplanung mit Themen und geplanten Terminen.
- KPIs für Awareness sind definiert (Abschlussquote, Klickrate, Melderate).
- Prüfnachweise sind für externe Prüfungen oder interne Reviews verfügbar.
E. Prozessintegration
- Das Benutzermanagement ist mit HR oder Active Directory verbunden (keine manuellen Listen).
- Der Austritt von Mitarbeitern entzieht automatisch Lizenzen oder sperrt den Zugang.
- Es gibt interne Kommunikationsmomente zu Awareness-Themen (Newsletter, Intranet, Führungsvideo).
- Das Programm wird mindestens jährlich auf Effektivität überprüft und angepasst.
- Es gibt einen Eskalationspfad, wenn Zielgruppen bei Abschluss oder Verhalten zurückbleiben.
Save this checklist as a PDF for internal use, your audit file or board reporting. Enter your email and receive a personalized NIS2 recommendations report.
Möchten Sie sehen, wie 2LRN4 jeden Schritt dieser Checkliste unterstützt? Buchen Sie eine Demo und wir gehen sie gemeinsam durch, basierend auf Ihrer Organisationssituation.