10-Punkte NIS-2 & Cyber-Readiness Check | Lowery Adaptive Solutions

1. Technische & Organisatorische Maßnahmen (TOM - Q1 bis Q10)

1 Datensicherung & Disaster Recovery (Art. 21 Abs. 2c NIS-2)

Vollständig umgesetzt (10 Pkt): 3-2-1 Regel mit unveränderbaren (WORM) Offsite-Backups und regelmäßigen Recovery-Tests. Teilweise umgesetzt (5 Pkt): Tägliche Datensicherung vorhanden, aber keine WORM-Sicherung oder unregelmäßige Tests. Nicht umgesetzt / Lückenhaft (0 Pkt): Nur lokale Sicherung oder keine dokumentierten Wiederanlauftests.

2 Multi-Faktor-Authentifizierung (MFA) & Identitätsschutz (Art. 21 Abs. 2j)

Vollständig umgesetzt (10 Pkt): Konsequent erzwungen für alle Remote-Zugänge, VPN, Cloud-Dienste und Administrator-Konten. Teilweise umgesetzt (5 Pkt): Nur für VPN oder Cloud aktiv; interne Dienste und einige Konten noch ohne zweiten Faktor. Nicht umgesetzt (0 Pkt): Primär einfache Passwörter im Einsatz; kein durchgängiger MFA-Standard.

3 Schwachstellen- & Patch-Management (Art. 21 Abs. 2e NIS-2)

Vollständig umgesetzt (10 Pkt): Automatisierte Schwachstellenscans; Einspielen kritischer Sicherheitsupdates binnen 72 Stunden. Teilweise umgesetzt (5 Pkt): Regelmäßige manuelle Update-Zyklen (monatlich); kein automatisierter Scan. Nicht umgesetzt (0 Pkt): Unregelmäßige Updates ohne festen SLA-Zeitplan; Alt-Systeme ohne Patch-Management.

4 Endpoint Detection & Response (EDR / XDR) (Art. 21 Abs. 2a NIS-2)

Vollständig umgesetzt (10 Pkt): Zentral verwaltetes EDR/XDR mit Verhaltensanalyse, Isolation und 24/7 Monitoring/SOC. Teilweise umgesetzt (5 Pkt): Klassischer signaturbasierter Virenschutz ohne Verhaltensanalyse oder zentralen SOC-Alarm. Nicht umgesetzt (0 Pkt): Kein einheitlicher Virenschutz oder veraltete Einzelplatz-Lizenzen.

5 Netzwerk-Segmentierung & Zugriffskontrolle (Art. 21 Abs. 2j)

Vollständig umgesetzt (10 Pkt): Strikte Segmentierung (VLANs, DMZ, OT/Produktion strikt isoliert, Zero-Trust-Prinzip). Teilweise umgesetzt (5 Pkt): Gäste-WLAN getrennt; internes Netz und Server jedoch weitgehend flach aufgebaut. Nicht umgesetzt (0 Pkt): Flaches Unternehmensnetzwerk ohne logische Trennung zwischen sensiblen Systemen und Clients.

6 Incident Response & Gesetzliche Meldekette (Art. 21 Abs. 2b / Art. 23)

Vollständig umgesetzt (10 Pkt): Dokumentierter Notfallplan, feste Rollen und NIS-2 Frühwarnung (24h/72h an BSI) etabliert. Teilweise umgesetzt (5 Pkt): IT-Notfallkontakte vorhanden, aber kein formalisierter Prozess für die NIS-2 Frühwarnung. Nicht umgesetzt (0 Pkt): Kein strukturierter Ablaufplan; Reaktionen auf Angriffe erfolgen ad hoc.

7 Lieferketten- & Dienstleister-Sicherheit (Art. 21 Abs. 2d)

Vollständig umgesetzt (10 Pkt): Systematische Risikoanalyse aller IT-Zulieferer, Sicherheitsklauseln und TOM-Prüfungen. Teilweise umgesetzt (5 Pkt): Standard-AVVs vorhanden, jedoch keine regelmäßige technische Prüfung von IT-Dienstleistern. Nicht umgesetzt (0 Pkt): Keine Erfassung oder Sicherheitsbewertung von externen Dienstleistern und SaaS-Tools.

8 Kryptographie & Datenverschlüsselung (Art. 21 Abs. 2h)

Vollständig umgesetzt (10 Pkt): Verschlüsselung aller ruhenden Daten (BitLocker/LUKS) und Übertragungswege (TLS 1.3). Teilweise umgesetzt (5 Pkt): Webverkehr verschlüsselt; mobile Endgeräte und Backups nur teilweise verschlüsselt. Nicht umgesetzt (0 Pkt): Unverschlüsselte Datenübertragungen oder ungeschützte Datenträger im Einsatz.

9 Security Awareness & Phishing-Prävention (Art. 21 Abs. 2g)

Vollständig umgesetzt (10 Pkt): Regelmäßige verpflichtende Schulungen aller Mitarbeiter inkl. realistischer Phishing-Simulationen. Teilweise umgesetzt (5 Pkt): Einmalige Unterweisung bei Einstellung oder unregelmäßige Hinweis-Mails. Nicht umgesetzt (0 Pkt): Keine strukturierten Awareness- oder Anti-Phishing-Trainings.

10 Business Continuity Management (BCM) & Notbetrieb (Art. 21 Abs. 2c)

Vollständig umgesetzt (10 Pkt): BCM mit definierten Wiederanlaufzeiten (RTO/RPO), Notbetriebsplänen und jährlichen Übungen. Teilweise umgesetzt (5 Pkt): Grundlegende Notfallpläne für IT-Ausfall existieren, wurden jedoch noch nie realistisch geübt. Nicht umgesetzt (0 Pkt): Kein Business-Continuity-Konzept; Notbetrieb im Krisenfall nicht geregelt.

2. Unternehmensprofil & Kontaktdaten

Unternehmen *

Branche

Ansprechpartner *

Geschäftliche E-Mail-Adresse *

Unternehmensgröße (Mitarbeiter)

Relevante Compliance-Standards (mindestens eines auswählen) *

TOKEN: NAV-INIT

Ihr berechneter NIS-2 Readiness Score

0 / 100

Handlungsbedarf

Sofortige Bereitstellung Ihrer Audit-Dokumente:

Readiness-Checkliste (PDF) Muster-Audit-Dossier (PDF)