NIS2-Checkliste
NIS2 Awareness-Checkliste — was muss nachweisbar sein?
NIS2 verpflichtet Organisationen nicht nur dazu, Security Awareness zu organisieren, sondern auch nachweisbar zu machen. Diese Checkliste hilft zu prüfen, ob Ihr Programm den Anforderungen der Artikel 20 und 21 entspricht und für Audit oder Management-Reporting bereit ist.
Diese Checkliste basiert auf den NIS2-Richtlinien — Artikel 20 (Vorstandsausbildung und Awareness) und Artikel 21 (Risikomanagement-Maßnahmen, inklusive Mitarbeiterschulung). Nutzen Sie sie als internes Bewertungsinstrument, nicht als Rechtsberatung.
A. Vorstandsverantwortung (Art. 20)
- Der Vorstand ist nachweislich über die NIS2-Awareness-Pflichten informiert.
- Vorstandsmitglieder haben eine Cybersicherheitsschulung gemäß Artikel 20 abgeschlossen oder sind eingeschrieben.
- Es besteht ein festgelegtes Eigentümerschaft für das Awareness-Programm auf Vorstandsebene.
- Vorstandsberichte zur Awareness werden mindestens vierteljährlich erstellt und aufbewahrt.
- Die Organisation kann nachweisen, dass das Management aktiv an der Risikobewertung beteiligt ist.
B. Mitarbeiterschulung und Sensibilisierung (Art. 21)
- Alle im Scope befindlichen Mitarbeiter erhalten mindestens eine Security Awareness Schulung pro Jahr.
- Schulungen decken NIS2-relevante Themen ab: Phishing, Ransomware, Zugangskontrolle, Vorfallmeldung, Drittparteien.
- Der Abschluss je Mitarbeiter und Abteilung ist nachverfolgbar und exportierbar.
- Das Onboarding beinhaltet eine Security Awareness Komponente für neue Mitarbeiter.
- Es gibt nachweisbare Unterschiede in der Schulung nach Risikogruppe oder Funktion (Segmentierung).
- Es gibt eine Wiederholungsstruktur: Awareness wird nicht einmalig, sondern regelmäßig angeboten.
C. Phishing-Simulation als Risikominderungsmaßnahme (Art. 21 f)
- Die Organisation führt Phishing-Simulationen als Teil des Risikomanagements durch.
- Ergebnisse werden verfolgt: Klickrate, Melderate, Verhalten nach der Simulation.
- Mitarbeiter, die klicken, werden begleitet, nicht sanktioniert (schuldenfreie Kultur).
- Die Phishing-Nachbereitung ist mit gezieltem Training oder Erklärungen verknüpft.
- Es wird eine Mindestsimulationsfrequenz von 4 bis 6 Mal pro Jahr eingehalten.
D. Reporting und Prüfnachweise
- Berichte sind nach Zeitraum, Abteilung, Einheit oder Zielgruppe verfügbar.
- Exportierbare Übersichten über Teilnahme, Fortschritt und Verhaltensentwicklung sind vorhanden.
- Das Programm hat eine dokumentierte Jahresplanung mit Themen und geplanten Terminen.
- KPIs für Awareness sind definiert (Abschlussquote, Klickrate, Melderate).
- Prüfnachweise sind für externe Prüfungen oder interne Reviews verfügbar.
E. Prozessintegration
- Das Benutzermanagement ist mit HR oder Active Directory verbunden (keine manuellen Listen).
- Der Austritt von Mitarbeitern entzieht automatisch Lizenzen oder sperrt den Zugang.
- Es gibt interne Kommunikationsmomente zu Awareness-Themen (Newsletter, Intranet, Führungsvideo).
- Das Programm wird mindestens jährlich auf Effektivität überprüft und angepasst.
- Es gibt einen Eskalationspfad, wenn Zielgruppen bei Abschluss oder Verhalten zurückbleiben.
Speichern Sie diese Checkliste als PDF für interne Nutzung, Audit-Akte oder Vorstandsreporting. E-Mail eingeben und einen persönlichen NIS2-Empfehlungsbericht erhalten.
Möchten Sie sehen, wie 2LRN4 jeden Schritt dieser Checkliste unterstützt? Buchen Sie eine Demo und wir gehen sie gemeinsam durch, basierend auf Ihrer Organisationssituation.