Compliance einordnen

    NIS-2 und Pentests

    NIS-2 für Auftraggeber eingeordnet: Betroffenheit, Risikomanagement und Wirksamkeitsprüfung – ohne pauschale Pentest-Pflicht zu behaupten.

    Redaktionell geprüft: 25. August 2026 8 Min. Lesezeit

    Anwendungsbereich

    Für wen ist das Thema relevant?

    In Deutschland erfasste besonders wichtige oder wichtige Einrichtungen. Das deutsche Umsetzungsgesetz gilt laut BSI seit dem 6. Dezember 2025; die konkrete Betroffenheit hängt unter anderem von Tätigkeit, Sektor, Größe und gesetzlichen Sonderregeln ab.

    Anforderungskontext

    01

    Risiken beherrschen

    Betroffene Einrichtungen müssen geeignete und verhältnismäßige Maßnahmen für Cyberrisiken etablieren.

    02

    Wirksamkeit prüfen

    Richtlinien und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen gehören zum Anforderungskontext.

    03

    Verantwortung organisieren

    Governance, Vorfallmanagement, Lieferketten und weitere organisatorische Pflichten müssen zusammen betrachtet werden.

    Rolle des Pentests

    Was ein technischer Test beitragen kann

    • Kritische externe oder interne Angriffsflächen untersuchen
    • Ausnutzbarkeit technischer Schwachstellen bewerten
    • Erkenntnisse in Risikomanagement und Maßnahmenplanung einspeisen
    • Technischen Nachweis für ausgewählte Systeme dokumentieren

    Keine pauschale Konformitätsaussage

    Pentest und Compliance sind nicht gleichbedeutend.

    NIS-2 bedeutet nicht, dass jedes Unternehmen jährlich denselben Pentest durchführen muss. Zuerst sind Betroffenheit, konkrete Risiken und angemessene Maßnahmen zu bestimmen. Ein Pentest deckt nur den vereinbarten technischen Scope ab.

    Konkreten technischen Scope vorbereiten

    Scope-Checkliste