NIS2 in einem Absatz
Die NIS2-Richtlinie (EU) 2022/2555 verpflichtet deutlich mehr Unternehmen als bisher zu Maßnahmen für die Cybersicherheit; in Deutschland setzt das NIS2-Umsetzungsgesetz sie im BSI-Gesetz um (§ 30 BSIG). Art. 21 Abs. 2 nennt zehn Bereiche, von der Risikoanalyse über die Bewältigung von Sicherheitsvorfällen bis zur Kryptografie. Die meisten davon sind organisatorisch, einige lassen sich an der Domain eines Unternehmens von außen ablesen.
Für NIS2 gibt es kein Zertifikat. Die Richtlinie verlangt Maßnahmen und Nachweise, keine Plakette; dieser Schnellcheck deckt nur die von außen sichtbaren Maßnahmen ab.
Was der Schnellcheck prüft
Fünf der zehn Bereiche aus Art. 21 Abs. 2, jeweils mit den Prüfpunkten, die sich von außen belegen lassen:
- b) Bewältigung von Sicherheitsvorfällen: DMARC-Sammelberichte und TLS-RPT, damit Fälschungsversuche und Verschlüsselungsfehler gemeldet werden.
- c) Aufrechterhaltung des Betriebs: mehrere erreichbare Nameserver mit gleichem Stand, die Domain läuft nicht ab, das Zertifikat der Website ist gültig.
- e) Sicherheit bei Erwerb, Entwicklung und Wartung: aktuelles CMS, eine gültige security.txt als Meldeweg für Sicherheitslücken, keine Versionsangaben in den Antworten des Webservers.
- h) Kryptografie: kein TLS 1.0 oder 1.1, gültiges Zertifikat, HSTS, signierte DNS-Zone, CAA-Einträge, Verschlüsselung am Mailserver und für Mailprogramme.
- j) Gesicherte Kommunikation: SPF, DKIM, DMARC und DANE schützen E-Mails vor Fälschung und Abfangen.
Was nur mit Überwachung geht
Manches lässt sich mit einer einzelnen Abfrage nicht belegen: ob die Domain überhaupt überwacht wird, wie verfügbar die Website über die letzten 30 Tage war und ob Datenbanken oder Fernwartung offen im Netz stehen. Diese Prüfpunkte stehen als „nur mit Überwachung“ im Ergebnis und zählen nicht mit, statt dass der Check rät. Die Überwachung von DomainWarn prüft sie laufend.
So liest du das Ergebnis
Eine Maßnahme ist erfüllt, wenn alle prüfbaren Punkte erfüllt sind, nicht erfüllt, wenn keiner erfüllt ist, und sonst teilweise. Nicht prüfbare Punkte und solche, die nur mit Überwachung gehen, entscheiden nicht mit. Unter jeder Maßnahme stehen die einzelnen Prüfpunkte mit Beleg und Empfehlung.
Was der Schnellcheck nicht kann
Der Check ist eine automatisierte Prüfung von außen. Er ersetzt keine Prüfung nach NIS2 oder BSIG, kein Audit und keine Zertifizierung, und er ist keine Rechtsberatung. Risikoanalyse, Backups, Schulungen, Zugriffskontrolle und alles hinter der Firewall sieht er nicht.
Dauerhaft im Blick behalten
Der Zustand von heute ist morgen schon ein anderer. DomainWarn überwacht die Domains deiner Kunden laufend, misst die Verfügbarkeit, prüft offene Ports, meldet Änderungen und erstellt den Compliance-Bericht zu NIS2, BSI TR-03108 und TR-03182 als PDF für deine Kunden.