Alles aus Pro (DSGVO-Verzeichnis, NIS2-Dossier, Risiko-Inventar, Incident-Response-Plan) plus Standort-Übersicht, White-Label-Zertifikat, priorisierter Support und Auditoren-Export.
Rechtlicher Hinweis: Dieses Dokument wurde automatisiert aus den eigenen Angaben des Unternehmens erzeugt und stellt keine individuelle Rechtsberatung dar (vgl. BGH Az. I ZR 113/20). Die inhaltliche Richtigkeit der zugrunde liegenden Angaben sowie die Einhaltung der gesetzlichen Pflichten aus DSGVO und NIS2 (BSIG) verbleiben vollständig bei der Geschäftsführung des verantwortlichen Unternehmens. Stand: .
Firma: – · Tarif: – · Referenz-ID: – · Erhebungstiefe: Stufe 1 von 3
Automatisch aus strukturierten Angaben erstellt – keine individuelle Rechtsberatung (vgl. BGH Az. I ZR 113/20). Unverbindliche Ersteinschätzung.
Was Sie mit diesem Dokument insgesamt tun sollten: als Ganzes aufbewahren (drucken/PDF, Button unten), bei jeder wesentlichen Änderung im Fragebogen aktualisieren – zieht hier automatisch nach – und als Nachweis gegenüber Aufsichtsbehörde/Auditor griffbereit halten (siehe auch den Anhang, „Export & API für Auditoren").
Dossier · erzeugt am
Daraus resultierende Kernpflichten: Registrierung beim BSI, Risikomanagementmaßnahmen nach Art. 21 NIS2 (siehe Mindestmaßnahmen-Katalog unten), Meldepflicht bei erheblichen Sicherheitsvorfällen (siehe Abschnitt 3), Nachweis der Umsetzung gegenüber der Aufsichtsbehörde.
Unverbindliche Ersteinschätzung auf Basis der konsolidierten Angaben, keine Rechtsberatung.
Was tun: bei "Wichtige/Besonders wichtige Einrichtung" die BSI-Registrierung vornehmen (falls noch offen) und diese Einstufung als Begründung/Nachweis bereithalten.
Mindestmaßnahmen-Katalog (Art. 21 Abs. 2 NIS2-Richtlinie)
Was tun: als "noch zu adressieren" markierte Kategorien priorisiert angehen – der Status hier aktualisiert sich automatisch, sobald Sie im Fragebogen entsprechend ergänzen.
Je Asset: typische Bedrohung, Standardmaßnahme und Schutzbedarf (Vertraulichkeit/Integrität/Verfügbarkeit).
| Asset | Typische Bedrohung | Standardmaßnahme | Schutzbedarf (V/I/V) |
|---|
Was tun: bei "hoch"/"sehr hoch" eingestuften Assets die genannte Standardmaßnahme vorrangig umsetzen.
Gilt für NIS2-relevante Sicherheitsvorfälle. Sind zusätzlich personenbezogene Daten betroffen, greift parallel das DSGVO-Verfahren in Abschnitt 8.
Ihre Meldekette:
Was tun: diesen Plan zusammen mit den Namen aus Ihrer Meldekette ausgedruckt oder digital griffbereit halten.
Was tun: als Nachweis aufbewahren (Art. 30 Abs. 4 DSGVO), neue Tätigkeit im Fragebogen ergänzen.
Was tun: bei markierten Tätigkeiten eine förmliche Folgenabschätzung durchführen, bevor Sie die Tätigkeit aufnehmen oder wesentlich ändern.
Was tun: offene Punkte umsetzen, dann erst im Fragebogen anhaken.
Frist 1 Monat (Art. 12 Abs. 3 DSGVO, verlängerbar um 2 Monate bei Komplexität). Zuständig: .
Was tun: diesen Prozess an die genannte zuständige Person weitergeben.
Sofort intern melden an . Bei Risiko für Betroffene: binnen 72 Stunden Meldung an die Landes-Aufsichtsbehörde. Bei hohem Risiko zusätzlich Benachrichtigung der Betroffenen.
Was tun: zusammen mit Abschnitt 3 (NIS2-Meldekette) griffbereit halten – beide Meldewege können parallel greifen.
Was tun: an alle Mitarbeitenden aushändigen oder aushängen/im Intranet bereitstellen.
Was tun: im Kundenbereich unter „Ihr Team" jede Person einzeln zur Schulung einladen.
Laut Ihren Angaben arbeitet Ihr Unternehmen vollständig digital/remote, ohne eigene Geschäftsstandorte mit dort tätigen Mitarbeitenden – daher entfällt hier eine Standort-Tabelle. Ihr steuerlich gemeldeter Geschäftssitz ist davon unabhängig und bleibt unberührt.
| Standort | Mitarbeitende |
|---|
Was tun: fehlt ein Standort oder hat sich die Mitarbeitendenzahl geändert? Im Fragebogen unter "Standorte & White-Label" pflegen.
Ergebnisse des Sicherheits-Selbsttests, den Sie über personalisierte Links an Ihre Zulieferer verschickt haben. Neue Zulieferer einladen oder Links verwalten: Konto → Lieferanten.
Sie haben IT-Aufgaben vertraglich an Dienstleister übertragen. Die Pflicht, diese Dienstleister zu kontrollieren, bleibt bei Ihnen — sie ist nicht mit übertragbar. Dieses Kapitel weist nach, wen Sie beauftragt haben, wofür, ob die Baseline-Anforderungen bestätigt sind, und wann Sie zuletzt kontrolliert haben.
Anhang: Was Pflichtpilot Ihnen dazu bereitstellt
Kein Bestandteil des Nachweises. Dieser Anhang beschreibt Werkzeuge und Vorlagen aus Ihrem Tarif – er belegt keine Pflichterfüllung und ist für eine Prüfung nicht erforderlich.
Noch keine Schulung abgeschlossen. Dieses Zertifikat erscheint hier automatisch, sobald ein Teammitglied die Security-Awareness-Schulung erfolgreich abgeschlossen hat (Team-Tab).
Teilnahmezertifikat
Ausgestellt:
Ausstellende Person:
So sieht das Zertifikat aus, das jede geschulte Person einzeln erhält. Die Namen der Teilnehmenden stehen bewusst nicht in diesem Dokument: Es geht an Prüfer, und personenbezogene Daten gehören dort nur hinein, wenn sie gebraucht werden (Art. 5 Abs. 1 lit. c DSGVO). Den Nachweis liefert die Zahl oben; die Einzelzertifikate liegen im Kundenbereich. Ausgestellt und verantwortet wird das Zertifikat von der oben genannten Person Ihres Unternehmens; Pflichtpilot liefert ausschließlich Vorlage und Textbausteine, keine eigene Zertifizierungsleistung.
Was tun: erst nach tatsächlich bestandener Schulung pro Person ausstellen (siehe Abschnitt 10/Kundenbereich „Ihr Team") – nicht vorab pauschal verteilen.
Was tun: bei Fragen das Kontaktformular nutzen – priorisierter Support ist im Business-Tarif bereits aktiviert.
Laden Sie Ihre Angaben strukturiert als JSON herunter, oder erzeugen Sie einen API-Key, mit dem ein:e externe:r Auditor:in Ihre Daten direkt abrufen kann – ohne eigenes Pflichtpilot-Konto.
Was tun: API-Key nur an tatsächlich beauftragte Auditor:innen weitergeben – er berechtigt zum Datenabruf. Nicht mehr benötigt? Vorerst nur manuell durch Nichtweitergabe "deaktivieren" (Widerruf folgt als Funktion später).
Noch kein API-Key erzeugt.
Ihr API-Key (nicht öffentlich teilen – berechtigt zum Datenabruf):
Beispiel-Aufruf für Ihre:n Auditor:in (kein Login nötig):
Rechtlicher Hinweis: Dieses Dokument wurde automatisiert aus den eigenen Angaben des Unternehmens erzeugt und stellt keine individuelle Rechtsberatung dar (vgl. BGH Az. I ZR 113/20). Die inhaltliche Richtigkeit der zugrunde liegenden Angaben sowie die Einhaltung der gesetzlichen Pflichten aus DSGVO und NIS2 (BSIG) verbleiben vollständig bei der Geschäftsführung des verantwortlichen Unternehmens. Stand: .
Referenz-ID dieser Freigabe: –