49 Vorlagen, nach NIS2-Kapitel sortiert

Einstufungsdokumentation

Hält fest, ob Ihre Einrichtung als wichtig oder besonders wichtig gilt und auf welchen Werten diese Einstufung beruht. Ohne sie lässt sich weder die Registrierung noch der Umfang der Pflichten begründen.

Kapitel 1.2Formate DOCX

Rollen-Rechte-Matrix (RBAC)

Ordnet Rollen die Berechtigungen zu, die sie tatsächlich brauchen, und macht Über-Berechtigungen sichtbar. Auf ihr beruht die Rezertifizierung, die die Zugriffskontrollrichtlinie aus Kapitel 5.2.2 verlangt.

Kapitel 3.1Formate XLSX

Zertifikats- und Schlüsselregister

Führt Zertifikate und Schlüssel mit Gültigkeit, Verantwortlichen und Ablaufdatum. Ein abgelaufenes Zertifikat legt einen Dienst genauso still wie ein Angriff.

Kapitel 3.2Formate XLSX

Schwachstellenregister

Sammelt gemeldete und gefundene Schwachstellen mit Kritikalität, Frist und Stand der Behebung. Die Patch-Management-Richtlinie legt die Fristen fest, dieses Register weist ihre Einhaltung nach.

Kapitel 3.3.3Formate XLSX

Netzwerksicherheit

Dokumentiert Segmentierung, Übergänge und Regeln des Netzes in einer prüfbaren Übersicht. Prüfende fragen danach, sobald es um die Trennung kritischer Bereiche geht.

Kapitel 3.4Formate XLSX

ISB-Mandat

Bestellt die oder den Informationssicherheitsbeauftragten schriftlich, mit Aufgaben, Befugnissen und Berichtsweg an die Geschäftsleitung. Prüfende fragen die schriftliche Bestellung regelmäßig ab.

Kapitel 5.1.1Formate DOCX

Richtlinien Review-Kalender

Terminiert die turnusmäßige Prüfung jeder Richtlinie mit Verantwortlichen und Fälligkeit. Damit belegen Sie, dass der Richtlinienstand gepflegt und nicht nur einmal erstellt wurde.

Kapitel 5.2Formate XLSX

Informationssicherheitsleitlinie

In der Leitlinie legt die Geschäftsleitung Ziele, Geltungsbereich und Verbindlichkeit der Informationssicherheit fest. Alle nachgeordneten Richtlinien setzen darauf auf.

Kapitel 5.2.1Formate DOCX

Informationssicherheitsrichtlinie

Diese Richtlinie formuliert unterhalb der Leitlinie Rollen, Regeln und Verweise auf die Einzelrichtlinien aus. Sie eignet sich für Einrichtungen, die mit einem einzigen Dokument beginnen wollen.

Kapitel 5.2.1Formate DOCX

Backup-Wiederherstellungsrichtlinie

Regelt Sicherungsverfahren, Aufbewahrung und Wiederherstellung, einschließlich der Frage, wer einen Restore auslösen darf. § 30 BSIG nennt Backup-Management ausdrücklich.

Kapitel 5.2.2Formate DOCX

Incident-Response-Richtlinie

Legt fest, wie ein Vorfall erkannt, eingestuft, eskaliert und abgeschlossen wird und wer die Meldung an das BSI verantwortet.

Kapitel 5.2.2Formate DOCX

Kryptographierichtlinie

Regelt eingesetzte Verfahren, Schlüssellängen und den Umgang mit Schlüsseln über deren Lebenszyklus. Das Zertifikats- und Schlüsselregister aus Kapitel 3.2 führt die operative Seite dazu.

Kapitel 5.2.2Formate DOCX

Lieferantensicherheitsrichtlinie

Beschreibt, welche Sicherheitsanforderungen Lieferanten erfüllen müssen und wie das geprüft wird. Setzt den Rahmen für Fragebogen und Vertragsklauseln aus Kapitel 6.

Kapitel 5.2.2Formate DOCX

Patch-Management-Richtlinie

Regelt Fristen für Sicherheitsupdates nach Kritikalität sowie Ausnahmen und deren Genehmigung. Arbeitet mit dem Schwachstellenregister aus Kapitel 3.3.3 zusammen.

Kapitel 5.2.2Formate DOCX

Zugriffskontrollrichtlinie

Regelt Vergabe, Änderung und Entzug von Berechtigungen samt regelmäßiger Rezertifizierung. Wird über die Rollen-Rechte-Matrix aus Kapitel 3.1 umgesetzt.

Kapitel 5.2.2Formate DOCX

Unterschriftenliste für Beschäftigte

Weist nach, dass Beschäftigte die geltenden Richtlinien zur Kenntnis genommen haben, mit Datum und Fassung. Ohne diesen Nachweis bleibt eine Richtlinie im Audit eine Behauptung.

Kapitel 5.2.4Formate DOCX

Haftungsdokumentation

Hält fest, welche Entscheidung wann von wem getroffen und freigegeben wurde. Darauf greifen Sie zurück, wenn die persönliche Verantwortung der Geschäftsleitung geprüft wird.

Kapitel 5.3Formate XLSX

Geschäftsleitungsbeschluss zur NIS2-Umsetzung

Mit diesem Beschluss ordnet die Geschäftsleitung die Umsetzung an, weist Budget zu und benennt Verantwortliche. § 38 BSIG macht diese Billigung zur persönlichen Pflicht.

Kapitel 5.3.1Formate DOCX

Schulungsnachweis Leitungsorgane

Dokumentiert die verpflichtende Schulung der Geschäftsleitung selbst, mit Inhalt, Datum und Teilnehmenden.

Kapitel 5.3.2Formate DOCX

Management-Review-Protokoll

Protokolliert die Managementbewertung mit Eingaben, Entscheidungen und Maßnahmen. Damit weisen Sie jährlich nach, dass das Managementsystem gesteuert und nicht nur betrieben wird.

Kapitel 5.4Formate DOCX

Sicherheits-KPI-Dashboard

Sammelt die Kennzahlen, die in die Managementbewertung eingehen, etwa offene Maßnahmen, Vorfälle und Patch-Stand. So wird aus Statusmeldungen eine Entwicklung.

Kapitel 5.4Formate XLSX

Business Impact Analysis (BIA)

Bestimmt je Geschäftsprozess, wie lange ein Ausfall tragbar ist, und leitet daraus RTO und RPO ab. Aus diesen Werten ergibt sich, welche Wiederanlaufstrategie überhaupt in Frage kommt.

Kapitel 7.1Formate XLSX

IT-Notfallhandbuch

Beschreibt Wiederanlaufreihenfolge, Zuständigkeiten und Sofortmaßnahmen für den IT-Notfall. Es muss auch dann greifbar sein, wenn die Systeme stehen, die es beschreibt.

Kapitel 7.2Formate XLSX

Krisenkommunikationsplan

Legt fest, wer im Krisenfall wen informiert, über welchen Kanal und mit welcher Freigabe. Er deckt auch Kunden, Aufsichtsbehörden und Presse ab, nicht nur die eigene Mannschaft.

Kapitel 7.2Formate XLSX

Restore-Test-Protokoll und Testkalender

Plant Wiederherstellungstests und hält jedes Ergebnis mit Dauer und Abweichungen fest. Ein Backup ist erst dann ein Backup, wenn eine Rückspielung nachweislich funktioniert hat.

Kapitel 7.3Formate XLSX

BCM-Übungspaket

Bündelt Szenarien, Ablauf und Auswertung für Notfallübungen samt Feststellungen. Die Feststellungen gehören anschließend in das Risikomanagement, sonst bleibt die Übung folgenlos.

Kapitel 7.4Formate XLSX