Alles aus Basic (DSGVO-Verzeichnis, TOM, Betroffenenrechte) plus NIS2-Dossier, Risiko-Inventar und Incident-Response-Plan – aus Ihren Angaben.
Rechtlicher Hinweis: Dieses Dokument wurde automatisiert aus den eigenen Angaben des Unternehmens erzeugt und stellt keine individuelle Rechtsberatung dar (vgl. BGH Az. I ZR 113/20). Die inhaltliche Richtigkeit der zugrunde liegenden Angaben sowie die Einhaltung der gesetzlichen Pflichten aus DSGVO und NIS2 (BSIG) verbleiben vollständig bei der Geschäftsführung des verantwortlichen Unternehmens. Stand: .
Firma: – · Tarif: – · Referenz-ID: – · Erhebungstiefe: Stufe 1 von 3
Automatisch aus strukturierten Angaben erstellt – keine individuelle Rechtsberatung (vgl. BGH Az. I ZR 113/20). Unverbindliche Ersteinschätzung.
Was Sie mit diesem Dokument insgesamt tun sollten: als Ganzes aufbewahren (drucken/PDF, Button unten), bei jeder wesentlichen Änderung im Fragebogen aktualisieren – zieht hier automatisch nach – und als Nachweis gegenüber Aufsichtsbehörde/Auditor griffbereit halten.
Dossier · erzeugt am
Daraus resultierende Kernpflichten: Registrierung beim BSI, Risikomanagementmaßnahmen nach Art. 21 NIS2 (siehe Mindestmaßnahmen-Katalog unten), Meldepflicht bei erheblichen Sicherheitsvorfällen (siehe Abschnitt 3), Nachweis der Umsetzung gegenüber der Aufsichtsbehörde.
Unverbindliche Ersteinschätzung auf Basis Ihrer Angaben, keine Rechtsberatung.
Was tun: bei "Wichtige/Besonders wichtige Einrichtung" die BSI-Registrierung vornehmen (falls noch offen) und diese Einstufung als Begründung/Nachweis bereithalten.
Mindestmaßnahmen-Katalog (Art. 21 Abs. 2 NIS2-Richtlinie)
Die zehn gesetzlich vorgegebenen Kategorien, laienverständlich zusammengefasst. Wo aus Ihren Angaben bereits erkennbar, markieren wir den Stand – die übrigen dokumentieren Sie am besten schrittweise in Ihrem eigenen Risikomanagement.
Was tun: als "noch zu adressieren" markierte Kategorien priorisiert angehen – sobald umgesetzt (z. B. TOM angehakt, Schulungsplätze gebucht), aktualisiert sich der Status hier automatisch.
Je Asset: typische Bedrohung, Standardmaßnahme und Schutzbedarf (Vertraulichkeit/Integrität/Verfügbarkeit), orientiert an der Schutzbedarfs-Logik des BSI-IT-Grundschutz-Kompendiums – normal, hoch oder sehr hoch. Eigene, verständliche Einordnung, kein Zitat des BSI-Originaltexts und keine BSI-Zertifizierung.
| Asset | Typische Bedrohung | Standardmaßnahme | Schutzbedarf (V/I/V) |
|---|
Was tun: bei "hoch"/"sehr hoch" eingestuften Assets die genannte Standardmaßnahme vorrangig umsetzen. Ein Asset fehlt? Im Fragebogen ergänzen.
Gilt für NIS2-relevante Sicherheitsvorfälle (Meldung ans BSI). Sind zusätzlich personenbezogene Daten betroffen, greift parallel das DSGVO-Verfahren in Abschnitt 8 (72-Stunden-Meldung an die Datenschutzaufsicht) – beide Meldewege sind unabhängig voneinander einzuhalten.
Ihre Meldekette:
Was tun: diesen Plan zusammen mit den Namen aus Ihrer Meldekette ausgedruckt oder digital griffbereit halten – im Vorfall selbst zählt jede Stunde.
Je Tätigkeit: Zweck, Rechtsgrundlage, betroffene Personen, Datenkategorien, Empfänger, Löschfrist und ggf. Drittlandtransfer.
Was tun: als Nachweis aufbewahren (Art. 30 Abs. 4 DSGVO), neue Tätigkeit im Fragebogen ergänzen statt hier von Hand nachzutragen.
Was tun: bei markierten Tätigkeiten eine förmliche Folgenabschätzung durchführen, bevor Sie die Tätigkeit aufnehmen oder wesentlich ändern.
Was tun: offene Punkte umsetzen, dann erst im Fragebogen anhaken – Nachweis, keine Wunschliste.
Jede betroffene Person kann Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit oder Widerspruch verlangen – Frist 1 Monat (Art. 12 Abs. 3 DSGVO, verlängerbar um 2 Monate bei Komplexität). Zuständig: .
Was tun: diesen Prozess an die genannte zuständige Person weitergeben, griffbereit für den Ernstfall.
Sofort intern melden an . Bei Risiko für Betroffene: binnen 72 Stunden Meldung an die Landes-Aufsichtsbehörde (unabhängig von der NIS2-Meldung ans BSI in Abschnitt 3, falls beide Pflichten greifen). Bei hohem Risiko zusätzlich Benachrichtigung der Betroffenen. Jeder Vorfall – auch nicht meldepflichtige – ist zu dokumentieren.
Was tun: zusammen mit Abschnitt 3 (NIS2-Meldekette) griffbereit halten – beide Meldewege können bei einem einzigen Vorfall parallel greifen.
Was tun: an alle Mitarbeitenden aushändigen oder aushängen/im Intranet bereitstellen.
Was tun: im Kundenbereich unter „Ihr Team" jede Person einzeln zur Schulung (inkl. NIS2-Modul) einladen.
Ergebnisse des Sicherheits-Selbsttests, den Sie über personalisierte Links an Ihre Zulieferer verschickt haben. Neue Zulieferer einladen oder Links verwalten: Konto → Lieferanten.
Sie haben IT-Aufgaben vertraglich an Dienstleister übertragen. Die Pflicht, diese Dienstleister zu kontrollieren, bleibt bei Ihnen — sie ist nicht mit übertragbar. Dieses Kapitel weist nach, wen Sie beauftragt haben, wofür, ob die Baseline-Anforderungen bestätigt sind, und wann Sie zuletzt kontrolliert haben.
Wechseln Sie in Ihrem Konto auf Business für Standort-Übersicht, White-Label-Zertifikate und priorisierten Support.
Zum KontoRechtlicher Hinweis: Dieses Dokument wurde automatisiert aus den eigenen Angaben des Unternehmens erzeugt und stellt keine individuelle Rechtsberatung dar (vgl. BGH Az. I ZR 113/20). Die inhaltliche Richtigkeit der zugrunde liegenden Angaben sowie die Einhaltung der gesetzlichen Pflichten aus DSGVO und NIS2 (BSIG) verbleiben vollständig bei der Geschäftsführung des verantwortlichen Unternehmens. Stand: .
Referenz-ID dieser Freigabe: –