NIS2-Readiness
Die NIS2-Richtlinie und das deutsche Umsetzungsgesetz verpflichten viele Unternehmen zu organisatorischen und technischen Cybersicherheitsmaßnahmen. Das NIS2-Readiness-Modul von XICTRAQ unterstützt Sie dabei, sich strukturiert vorzubereiten: ein Self-Assessment über die zehn Maßnahmenbereiche aus Artikel 21(2), ein Betroffenheits-Vorabcheck, ein Meldefrist-Timer für die 24-Stunden-/72-Stunden-/1-Monats-Fristen, ein Lieferketten- und Drittdienst-Register mit einer Vorschlags-Funktion aus erkannten Diensten sowie ein PDF-Nachweis Ihres Readiness-Stands. Das Modul ist ausdrücklich ein Vorbereitungs- und Dokumentations-Werkzeug und keine Rechtsberatung — es ersetzt keine Prüfung durch Fachkundige. Verfügbar ab dem Business-Plan.
# Readiness-Übersicht auf einen Blick
Das Readiness-Panel zeigt Ihren aktuellen Selbsteinschätzungs-Stand: einen Gesamt-Score von 0 bis 100 sowie den Erfüllungsgrad je Maßnahmenbereich. Der Score ist eine rein interne Orientierungsgröße aus Ihren eigenen Antworten — keine Bewertung durch eine Behörde und keine Aussage über tatsächliche Konformität.
# Die zehn Maßnahmenbereiche (Art. 21(2))
Artikel 21(2) der NIS2-Richtlinie nennt zehn Bereiche, in denen geeignete und verhältnismäßige Maßnahmen zu treffen sind. Das Self-Assessment führt Sie pro Bereich durch konkrete Prüfpunkte. Je Punkt setzen Sie einen Status — nicht begonnen, in Arbeit, umgesetzt oder nicht zutreffend — und können eine Notiz sowie eine Nachweis-URL hinterlegen.
Status, Notiz und Nachweis je Prüfpunkt
Jeder Prüfpunkt eines Bereichs trägt einen von vier Zuständen: „nicht begonnen“, „in Arbeit“, „umgesetzt“ oder „nicht zutreffend“. Zusätzlich können Sie eine Freitext-Notiz erfassen und eine Nachweis-URL hinterlegen (z. B. ein Link zu Ihrer internen Richtlinie oder Dokumentation). Änderungen werden über die Antwort-Funktion gespeichert und fließen sofort in den Readiness-Score und den Erfüllungsgrad des Bereichs ein.
So errechnet sich der Readiness-Score
Jeder Status wird mit einem Gewicht versehen: „umgesetzt“ zählt voll (100 %), „in Arbeit“ halb (50 %), „nicht begonnen“ gar nicht (0 %). Prüfpunkte mit Status „nicht zutreffend“ fallen ganz aus der Wertung. Der Erfüllungsgrad eines Bereichs ist der Mittelwert seiner wertbaren Prüfpunkte; der Gesamt-Readiness-Score von 0 bis 100 ist der Mittelwert über alle Bereiche, die mindestens einen wertbaren Prüfpunkt haben. Der Score ist bewusst eine interne Orientierungsgröße: Er macht den Fortschritt Ihrer Vorbereitung sichtbar, ist aber kein Konformitäts-Zertifikat und keine behördliche Bewertung.
Datenmodell der Bereiche und Antworten
Die zehn Bereiche und ihre Prüfpunkte liefert der Server als maßgeblichen Katalog; jede Ihrer Antworten wird einzeln über einen area_key und einen item_key gespeichert. Ein Aufruf der Übersicht liefert sowohl den Katalog mit Ihren aktuellen Status als auch die berechnete Zusammenfassung zurück.
GET /api/nis2/assessment
{
"areas": [
{
"key": "risk_policies",
"de": "Risikoanalyse & Sicherheitsrichtlinien",
"items": [
{ "key": "risk_assessment", "state": "implemented",
"note": null, "evidence_url": "https://..." }
]
}
],
"summary": {
"readiness_score": 58,
"areas": [ { "key": "risk_policies", "percent": 100 } ],
"disclaimer": "Readiness-Einschätzung, keine Rechtsberatung."
}
}# Betroffenheits-Vorabcheck
Ob ein Unternehmen unter NIS2 fällt, hängt vor allem vom Sektor und von der Unternehmensgröße ab. Der Vorabcheck erfasst diese groben Eckwerte und gibt eine erste, unverbindliche Einordnung — als Anstoß für die anschließende fachkundige Prüfung, nicht als deren Ersatz.
Sektor, Sonderfall und Größe erfassen
Sie wählen Ihren Sektor aus der Liste nach Anhang I und II der Richtlinie (oder „kein gelisteter Sektor“), geben einen etwaigen Sonderfall nach Art. 2 Abs. 2 an und ordnen Beschäftigtenzahl, Umsatz und Bilanzsumme je einer von vier Bandbreiten zu. Daraus leitet der Vorabcheck eine erste Einordnung ab — „voraussichtlich betroffen“, „voraussichtlich nicht betroffen“ oder „nicht eindeutig“ —, bei voraussichtlicher Betroffenheit dazu die Einstufung als besonders wichtige oder wichtige Einrichtung, und nennt die Gründe. Diese Einordnung ist ausdrücklich unverbindlich.
Die Heuristik hinter der Einordnung
Der Vorabcheck folgt der Zwei-Stufen-Logik der Richtlinie: ein in Anhang I oder II gelisteter Sektor UND die Größenschwelle nach der KMU-Empfehlung 2003/361/EG — ab 50 Beschäftigten oder mit mehr als 10 Mio. € Umsatz UND mehr als 10 Mio. € Bilanzsumme; Umsatz allein reicht nicht. Ohne gelisteten Sektor lautet die Einordnung „voraussichtlich nicht betroffen“, gleich welche Größe. Ein Sonderfall nach Art. 2 Abs. 2 (etwa Vertrauensdiensteanbieter, DNS-Diensteanbieter oder Betreiber einer kritischen Anlage) gilt unabhängig von der Größe als „voraussichtlich betroffen“. Im Anhang I führen ab 250 Beschäftigte oder mehr als 50 Mio. € Umsatz und mehr als 43 Mio. € Bilanzsumme zur Einstufung als besonders wichtige Einrichtung, sonst als wichtige; Anhang II kennt nur wichtige Einrichtungen. Fehlen Angaben, die das Ergebnis entscheiden könnten, bleibt es „nicht eindeutig“, statt zu raten. Zu beachten bleibt die Konzernbetrachtung: Gehört das Unternehmen zu einer größeren wirtschaftlichen Einheit, können deren Werte maßgeblich sein.
# Meldefrist-Timer (24 h / 72 h / 1 Monat nach der Meldung)
NIS2 sieht ein gestuftes Meldeverfahren für erhebliche Sicherheitsvorfälle vor. Erfassen Sie einen Vorfall mit Titel, Schweregrad und dem Zeitpunkt der Kenntniserlangung — das Modul berechnet daraus automatisch die drei Stichtage und zeigt sie als nachverfolgbaren Timer. So behalten Sie die Fristen im Blick und dokumentieren, wann welcher Schritt erledigt wurde.
Drei Fristen automatisch berechnet
Beim Anlegen eines Vorfalls geben Sie Titel, Schweregrad und den Zeitpunkt der Kenntniserlangung an (optional eine betroffene Website). Das Modul berechnet daraus die drei Stichtage: Frühwarnung nach 24 Stunden und Meldung nach 72 Stunden, jeweils ab Kenntniserlangung (Artikel 23 Absatz 4 Buchstaben a und b). Maßgeblich ist der Zeitpunkt, zu dem die Einrichtung Kenntnis von dem erheblichen Sicherheitsvorfall erlangt hat — nicht der Zeitstempel eines Erkennungssystems, der davor liegen kann. Die Monatsfrist für den Abschlussbericht läuft dagegen ab der Übermittlung der Meldung (Artikel 23 Absatz 4 Buchstabe d) — solange Sie die Meldung noch nicht als erledigt markiert haben, rechnet das Modul ersatzweise ab der 72-Stunden-Frist und weist diesen Bezugspunkt im Feld final_report_anchor aus. Alle Zeiten werden in Ihrer lokalen Zeitzone dargestellt.
Schritte abhaken und dokumentieren
Jeden der drei Schritte können Sie als erledigt markieren; das Modul speichert den jeweiligen Zeitpunkt. So entsteht eine nachvollziehbare Zeitleiste, welche Meldung wann erfolgt ist. Solange ein Vorfall den Status „offen“ trägt, behält ihn die Übersicht im Blick — abgeschlossene Vorfälle blendet sie aus.
Fristen-Erinnerungen über Ihre Alert-Kanäle
Ein Erinnerungs-Cron prüft alle 30 Minuten die offenen Vorfälle. Etwa sechs Stunden vor jeder noch nicht erledigten Frist — oder sobald sie überschritten ist — löst er genau einen Hinweis je Frist aus und verschickt ihn über dieselben Kanäle wie Ihre übrigen Alerts (E-Mail, Slack, Discord, Telegram, Teams, Webhook, Browser-Push). Jede Frist erinnert das Modul nur einmal, damit kein Stichtag unbemerkt verstreicht und Sie nicht doppelt benachrichtigt werden.
# Lieferketten- & Drittdienst-Register
Die Sicherheit der Lieferkette ist einer der zehn Maßnahmenbereiche. Das Register hält Ihre Dienstleister und Drittdienste fest — mit Kategorie, Kritikalität, Herkunftsland und ob personenbezogene Daten verarbeitet werden. Aus den von XICTRAQ erkannten Diensten schlägt eine Vorschlags-Funktion passende Einträge vor, die Sie einzeln übernehmen.
Dienstleister mit Kritikalität und Datenbezug
Pro Eintrag erfassen Sie Name, Kategorie, Kritikalität (niedrig / mittel / hoch), das Herkunftsland und ob der Dienst personenbezogene Daten verarbeitet; eine Notiz ist optional. So entsteht ein gepflegtes Verzeichnis Ihrer Lieferkette, das Sie jederzeit ergänzen, bearbeiten oder bereinigen können.
Vorschläge aus erkannten Diensten
Die Vorschlags-Funktion wertet aus, was XICTRAQ für Ihre Websites ohnehin schon gespeichert hat — sie löst dafür keinen neuen Abruf aus. Sie zieht aus drei Quellen: dem erkannten Tech-Stack (Kategorie „Technologie“, Quelle Tech-Stack), den E-Mail-Anbietern aus den MX-Einträgen Ihrer DNS-Records (Kategorie „E-Mail/MX-Anbieter“, Quelle DNS) und den per CSP gemeldeten externen Web-Ressourcen (Kategorie „Web-Ressource (CSP)“, Quelle CSP). Bereits erfasste Namen lässt sie aus. Per Klick auf „Übernehmen“ fügen Sie einen Vorschlag einzeln ins Register ein und ergänzen Kritikalität, Land und Datenbezug. Das spart die mühsame Inventarisierung von Hand.
# PDF-Nachweis des Readiness-Stands
Readiness-Stand als PDF exportieren
Auf Knopfdruck erzeugt das Modul einen PDF-Nachweis mit Ihrem Readiness-Gesamtwert und je Maßnahmenbereich den einzelnen Prüfpunkten samt ihrem Status, dazu dem Ergebnis des Betroffenheits-Vorabchecks, dem Lieferketten-Register und Ihren erfassten Vorfällen samt berechneten Meldefristen. Das Dokument eignet sich zur internen Dokumentation und als Gesprächsgrundlage mit Ihrer Beratung. Es trägt den Disclaimer, dass es eine Selbsteinschätzung ist und keine Konformität bescheinigt.
Mit Ihrem eigenen Branding
Haben Sie White-Label hinterlegt (Agentur-Plan), übernimmt der PDF-Nachweis Ihren Firmennamen und Ihre Primärfarbe; der Dateiname wird aus Ihrem Markennamen abgeleitet. Ohne White-Label erscheint der Standard-Markenname. So können Agenturen den Readiness-Nachweis unter eigener Marke an ihre Kundschaft weitergeben.
Häufige Fragen
# So funktioniert es im Detail
Der Betroffenheits-Check prüft beide Voraussetzungen, die NIS2 verknüpft: den Sektor und die Größe. Zuerst der Sektor — nur die in Anhang I (Sektoren hoher Kritikalität) und Anhang II (sonstige kritische Sektoren) gelisteten Branchen lösen die Richtlinie aus. Sie wählen ihn aus einer Liste statt ihn frei einzutippen, weil ein Freitext nicht auswertbar wäre. Dann die Größe: Die Schwelle ist erreicht bei mindestens 50 Beschäftigten oder wenn Umsatz UND Bilanzsumme jeweils über 10 Mio. Euro liegen. Beide Finanzkennzahlen zählen nur gemeinsam, deshalb wird auch die Bilanzsumme abgefragt. Unabhängig von der Größe erfasst sind die Sonderfälle nach Art. 2 Abs. 2, etwa Anbieter öffentlicher Kommunikationsnetze, Vertrauensdiensteanbieter, DNS-Diensteanbieter und TLD-Register, Betreiber kritischer Anlagen sowie alleinige Anbieter einer kritischen Dienstleistung; diese können Sie gesondert angeben.
Bei wahrscheinlicher Betroffenheit nennt das Ergebnis zusätzlich die Klasse: "besonders wichtige Einrichtung" bei Anhang-I-Sektoren ab 250 Beschäftigten beziehungsweise über 50 Mio. Euro Umsatz und über 43 Mio. Euro Bilanzsumme, sonst "wichtige Einrichtung". Die Unterscheidung ist keine Feinheit: Besonders wichtige Einrichtungen werden proaktiv beaufsichtigt, wichtige nur anlassbezogen. Zu jedem Ergebnis zeigt das Werkzeug die Herleitung, damit die Einschätzung nachvollziehbar bleibt und nicht als Urteil ohne Begründung im Ordner landet. Sie ersetzt keine rechtliche Prüfung, da die Einstufung im Einzelfall abweichen kann — etwa durch Konzernbetrachtung verbundener Unternehmen.
Das Selbst-Assessment führt Sie durch zehn Maßnahmenbereiche, die sich an Art. 21(2) NIS2 orientieren. Je Maßnahme wählen Sie einen Status (offen, in Arbeit, umgesetzt oder nicht zutreffend) und können einen Nachweis-Link sowie eine Notiz hinterlegen. Daraus berechnet das Werkzeug einen Readiness-Score von 0 bis 100, der Ihren Dokumentationsstand widerspiegelt und Lücken sichtbar macht.
Das Lieferketten- und Drittanbieter-Register hilft, kritische Abhängigkeiten zu erfassen und ihre Kritikalität einzuordnen. Vorschläge leitet das Werkzeug automatisch aus Ihrem erkannten Tech-Stack, aus CSP-Reports und aus DNS- bzw. MX-Einträgen ab, sodass Sie diese Quellen nicht von Hand zusammensuchen müssen. Die Vorschläge sind ein Ausgangspunkt und sollten von Ihnen geprüft und ergänzt werden.
Der Meldefrist-Timer unterstützt Sie im Ernstfall, die NIS2-Fristen für Sicherheitsvorfälle im Blick zu behalten: 24 Stunden für die Frühwarnung, 72 Stunden für die eigentliche Meldung und ein Monat für den Abschlussbericht. Die ersten beiden Fristen laufen ab Kenntniserlangung, die Monatsfrist dagegen ab der Übermittlung der Meldung (Art. 23 Abs. 4 lit. d) — bis die Meldung markiert ist, rechnet das Werkzeug ersatzweise ab der 72-Stunden-Frist. Sie erhalten automatische Erinnerungen entlang dieser Stufen. Die Funktion ist im Plan Business und höher verfügbar.