49 Vorlagen, nach NIS2-Kapitel sortiert

Risikomanagement

Führt Risiken von der Identifikation über die Bewertung bis zur Behandlung, mit benannten Verantwortlichen und Terminen. § 30 BSIG verlangt einen gefahrenübergreifenden Ansatz, keine reine Liste.

Kapitel 2.2 + 2.3XLSX

Gap Assessment

Vergleicht den Ist-Stand mit den zehn Mindestmaßnahmen und zeigt je Anforderung, was fehlt. In diesem Arbeitsblatt entsteht die Bewertung, die der Bericht daneben zusammenfasst.

Kapitel 2.4XLSX

Gap Assessment Report

Fasst die Ergebnisse des Arbeitsblatts zu einem Bericht mit Feststellungen, Priorisierung und Maßnahmenplan zusammen. Er richtet sich an die fachliche Ebene, die Kurzfassung für die Geschäftsleitung liegt daneben.

Kapitel 2.4DOCX

Gap-Report für die Geschäftsleitung

Verdichtet denselben Befund auf das, was die Geschäftsleitung entscheiden muss: Restrisiko, Budget, Termine. Sie muss die Maßnahmen nach § 38 BSIG billigen und braucht dafür eine Vorlage, die sie lesen kann.

Kapitel 2.4.3DOCX

Zertifikats- und Schlüsselregister

Führt Zertifikate und Schlüssel mit Gültigkeit, Verantwortlichen und Ablaufdatum. Ein abgelaufenes Zertifikat legt einen Dienst genauso still wie ein Angriff.

Kapitel 3.2XLSX

Schwachstellenregister

Sammelt gemeldete und gefundene Schwachstellen mit Kritikalität, Frist und Stand der Behebung. Die Patch-Management-Richtlinie legt die Fristen fest, dieses Register weist ihre Einhaltung nach.

Kapitel 3.3.3XLSX

Netzwerksicherheit

Dokumentiert Segmentierung, Übergänge und Regeln des Netzes in einer prüfbaren Übersicht. Prüfende fragen danach, sobald es um die Trennung kritischer Bereiche geht.

Kapitel 3.4XLSX

Meldeprozess-Richtlinie

Regelt, wer einen Vorfall bewertet, wer meldet und wer außerhalb der Geschäftszeiten erreichbar ist. Die 24-Stunden-Frist läuft auch am Wochenende.

Kapitel 4.2DOCX

Meldeformular Abschlussbericht

Deckt die dritte Stufe ab, den Abschlussbericht einen Monat nach der Vollmeldung, mit Ursache, Schweregrad und ergriffenen Maßnahmen.

Kapitel 4.2.2DOCX

Meldeformular Frühwarnung

Deckt die erste Stufe der Meldekaskade ab, die innerhalb von 24 Stunden nach Kenntniserlangung beim BSI eingeht.

Kapitel 4.2.2DOCX

Meldeformular Vollmeldung

Deckt die zweite Stufe ab, die innerhalb von 72 Stunden folgt und die Erstbewertung um Ursache, Auswirkung und Gegenmaßnahmen ergänzt.

Kapitel 4.2.2DOCX

Übungen zur Vorfallreaktion

Plant und protokolliert Übungen zur Vorfallreaktion samt Feststellungen und Nachverfolgung. Ein Meldeprozess, der nie geübt wurde, hält der ersten echten Frist selten stand.

Kapitel 4.3.1XLSX

Richtlinien Review-Kalender

Terminiert die turnusmäßige Prüfung jeder Richtlinie mit Verantwortlichen und Fälligkeit. Damit belegen Sie, dass der Richtlinienstand gepflegt und nicht nur einmal erstellt wurde.

Kapitel 5.2XLSX

Informationssicherheitsleitlinie

In der Leitlinie legt die Geschäftsleitung Ziele, Geltungsbereich und Verbindlichkeit der Informationssicherheit fest. Alle nachgeordneten Richtlinien setzen darauf auf.

Kapitel 5.2.1DOCX

Informationssicherheitsrichtlinie

Diese Richtlinie formuliert unterhalb der Leitlinie Rollen, Regeln und Verweise auf die Einzelrichtlinien aus. Sie eignet sich für Einrichtungen, die mit einem einzigen Dokument beginnen wollen.

Kapitel 5.2.1DOCX

Backup-Wiederherstellungsrichtlinie

Regelt Sicherungsverfahren, Aufbewahrung und Wiederherstellung, einschließlich der Frage, wer einen Restore auslösen darf. § 30 BSIG nennt Backup-Management ausdrücklich.

Kapitel 5.2.2DOCX

Incident-Response-Richtlinie

Legt fest, wie ein Vorfall erkannt, eingestuft, eskaliert und abgeschlossen wird und wer die Meldung an das BSI verantwortet.

Kapitel 5.2.2DOCX

Kryptographierichtlinie

Regelt eingesetzte Verfahren, Schlüssellängen und den Umgang mit Schlüsseln über deren Lebenszyklus. Das Zertifikats- und Schlüsselregister aus Kapitel 3.2 führt die operative Seite dazu.

Kapitel 5.2.2DOCX

Lieferantensicherheitsrichtlinie

Beschreibt, welche Sicherheitsanforderungen Lieferanten erfüllen müssen und wie das geprüft wird. Setzt den Rahmen für Fragebogen und Vertragsklauseln aus Kapitel 6.

Kapitel 5.2.2DOCX

Patch-Management-Richtlinie

Regelt Fristen für Sicherheitsupdates nach Kritikalität sowie Ausnahmen und deren Genehmigung. Arbeitet mit dem Schwachstellenregister aus Kapitel 3.3.3 zusammen.

Kapitel 5.2.2DOCX

Zugriffskontrollrichtlinie

Regelt Vergabe, Änderung und Entzug von Berechtigungen samt regelmäßiger Rezertifizierung. Wird über die Rollen-Rechte-Matrix aus Kapitel 3.1 umgesetzt.

Kapitel 5.2.2DOCX

Unterschriftenliste für Beschäftigte

Weist nach, dass Beschäftigte die geltenden Richtlinien zur Kenntnis genommen haben, mit Datum und Fassung. Ohne diesen Nachweis bleibt eine Richtlinie im Audit eine Behauptung.

Kapitel 5.2.4DOCX

Haftungsdokumentation

Hält fest, welche Entscheidung wann von wem getroffen und freigegeben wurde. Darauf greifen Sie zurück, wenn die persönliche Verantwortung der Geschäftsleitung geprüft wird.

Kapitel 5.3XLSX

Geschäftsleitungsbeschluss zur NIS2-Umsetzung

Mit diesem Beschluss ordnet die Geschäftsleitung die Umsetzung an, weist Budget zu und benennt Verantwortliche. § 38 BSIG macht diese Billigung zur persönlichen Pflicht.

Kapitel 5.3.1DOCX

Schulungsnachweis Leitungsorgane

Dokumentiert die verpflichtende Schulung der Geschäftsleitung selbst, mit Inhalt, Datum und Teilnehmenden.

Kapitel 5.3.2DOCX

Management-Review-Protokoll

Protokolliert die Managementbewertung mit Eingaben, Entscheidungen und Maßnahmen. Damit weisen Sie jährlich nach, dass das Managementsystem gesteuert und nicht nur betrieben wird.

Kapitel 5.4DOCX

Sicherheits-KPI-Dashboard

Sammelt die Kennzahlen, die in die Managementbewertung eingehen, etwa offene Maßnahmen, Vorfälle und Patch-Stand. So wird aus Statusmeldungen eine Entwicklung.

Kapitel 5.4XLSX

Lieferanten-Sicherheitsfragebogen

Fragt bei Lieferanten den Sicherheitsstand ab, abgestuft nach deren Kritikalität. Der ausgefüllte Bogen ist der Nachweis, dass geprüft und nicht nur vertraut wurde.

Kapitel 6.2XLSX

Lieferantenbewertungsregister

Hält die Ergebnisse der Fragebogen zusammen und verfolgt Auflagen und Wiedervorlagen. Aus einzelnen Antworten wird so ein gepflegter Stand über alle Lieferanten.

Kapitel 6.2XLSX

Vertragsklausel-Monitoring

Verfolgt, welcher Vertrag welche Sicherheitsklauseln enthält und wann er zur Nachverhandlung ansteht. Eine Klausel wirkt erst, wenn sie im konkreten Vertrag steht.

Kapitel 6.3XLSX

Vertragsklauselset Lieferanten

Enthält Formulierungen für Sicherheitsanforderungen, Meldepflichten und Prüfrechte, die in Lieferantenverträge übernommen werden können. Vor der Verwendung gehört das durch die Rechtsprüfung.

Kapitel 6.3DOCX

IT-Notfallhandbuch

Beschreibt Wiederanlaufreihenfolge, Zuständigkeiten und Sofortmaßnahmen für den IT-Notfall. Es muss auch dann greifbar sein, wenn die Systeme stehen, die es beschreibt.

Kapitel 7.2XLSX

Krisenkommunikationsplan

Legt fest, wer im Krisenfall wen informiert, über welchen Kanal und mit welcher Freigabe. Er deckt auch Kunden, Aufsichtsbehörden und Presse ab, nicht nur die eigene Mannschaft.

Kapitel 7.2XLSX

Restore-Test-Protokoll und Testkalender

Plant Wiederherstellungstests und hält jedes Ergebnis mit Dauer und Abweichungen fest. Ein Backup ist erst dann ein Backup, wenn eine Rückspielung nachweislich funktioniert hat.

Kapitel 7.3XLSX

BCM-Übungspaket

Bündelt Szenarien, Ablauf und Auswertung für Notfallübungen samt Feststellungen. Die Feststellungen gehören anschließend in das Risikomanagement, sonst bleibt die Übung folgenlos.

Kapitel 7.4XLSX

Schulungsplan und Zielgruppenmatrix

Legt vorab fest, welche Zielgruppe welche Schulung in welchem Turnus erhält. Gegen diesen Plan werden später die Nachweise geprüft.

Kapitel 8.1XLSX

Anwesenheitsliste für Schulungen

Dokumentiert eine einzelne Schulungsveranstaltung mit Datum, Inhalt und Unterschriften der Teilnehmenden. Aus dieser Rohaufzeichnung speist sich das Nachweisregister.

Kapitel 8.2DOCX

Nachverfolgung der Phishing-Simulationen

Verfolgt Durchläufe, Klickraten und Meldequoten der Phishing-Simulationen über die Zeit. Die Meldequote sagt mehr über die Awareness aus als die Klickrate.

Kapitel 8.3XLSX

Schulungsdokumentation

Dokumentiert eine einzelne Awareness-Maßnahme oder Kampagne mit Inhalt, Reichweite und Wirkung. Ergänzt das Nachweisregister um das, was keine klassische Schulung ist.

Kapitel 8.3XLSX

Awareness-Jahresprogramm

Verteilt Schulungen, Simulationen und Kampagnen über das Jahr und weist Verantwortliche zu. Damit wird aus Einzelmaßnahmen ein Programm, das die Geschäftsleitung freigeben kann.

Kapitel 8.4XLSX

Register der Meldekanäle

Führt die Wege auf, über die Beschäftigte Auffälligkeiten melden können, samt Erreichbarkeit und Zuständigkeit. Ein Meldekanal, den niemand kennt, verlängert die Zeit bis zur Kenntniserlangung.

Kapitel 8.4XLSX