Anwendungsbereich
Für wen ist das Thema relevant?
In Deutschland erfasste besonders wichtige oder wichtige Einrichtungen. Das deutsche Umsetzungsgesetz gilt laut BSI seit dem 6. Dezember 2025; die konkrete Betroffenheit hängt unter anderem von Tätigkeit, Sektor, Größe und gesetzlichen Sonderregeln ab.
Anforderungskontext
Risiken beherrschen
Betroffene Einrichtungen müssen geeignete und verhältnismäßige Maßnahmen für Cyberrisiken etablieren.
Wirksamkeit prüfen
Richtlinien und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen gehören zum Anforderungskontext.
Verantwortung organisieren
Governance, Vorfallmanagement, Lieferketten und weitere organisatorische Pflichten müssen zusammen betrachtet werden.
Rolle des Pentests
Was ein technischer Test beitragen kann
- Kritische externe oder interne Angriffsflächen untersuchen
- Ausnutzbarkeit technischer Schwachstellen bewerten
- Erkenntnisse in Risikomanagement und Maßnahmenplanung einspeisen
- Technischen Nachweis für ausgewählte Systeme dokumentieren
Keine pauschale Konformitätsaussage
Pentest und Compliance sind nicht gleichbedeutend.
NIS-2 bedeutet nicht, dass jedes Unternehmen jährlich denselben Pentest durchführen muss. Zuerst sind Betroffenheit, konkrete Risiken und angemessene Maßnahmen zu bestimmen. Ein Pentest deckt nur den vereinbarten technischen Scope ab.
Konkreten technischen Scope vorbereiten
Scope-Checkliste