Zum Inhalt springen

NIS2-Penetrationstest: Nachweise, die Prüfern standhalten

NIS2 verlangt nicht nur Sicherheitsmaßnahmen, sondern auch den Nachweis, dass sie wirken. Ein Penetrationstest liefert genau diesen Nachweis – dokumentiert, datiert und mit bestätigtem Retest.

NIS2-Festpreis berechnen

Lieber erst sprechen? Gespräch buchen

Wichtig: Wir zertifizieren nicht. Wir liefern die prüffähigen Testergebnisse, die Ihr Auditor, Ihre Zertifizierungsstelle oder Ihr Kunde sehen möchte.

Was NIS2 verlangt

Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) gilt seit dem 6. Dezember 2025 – ohne Übergangsfrist. Nach Schätzungen sind rund 29.500 Einrichtungen in Deutschland betroffen.

  • Risikomanagement-Maßnahmen

    Betroffene Einrichtungen müssen geeignete technische und organisatorische Maßnahmen umsetzen (Art. 21 NIS2-Richtlinie), u. a. für Schwachstellenmanagement, sichere Entwicklung und die Lieferkette.

  • Wirksamkeit bewerten

    Ausdrücklich gefordert sind Konzepte und Verfahren, um die Wirksamkeit dieser Maßnahmen zu bewerten (Art. 21 Abs. 2 lit. f). Ein Penetrationstest ist dafür das etablierte Mittel.

  • Verantwortung der Geschäftsleitung

    Die Geschäftsleitung muss die Maßnahmen billigen und ihre Umsetzung überwachen (Art. 20). Ein Pentest-Bericht mit Management-Summary ist dafür eine belastbare Grundlage.

  • Bußgelder

    Für besonders wichtige Einrichtungen bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes, für wichtige Einrichtungen bis zu 7 Mio. € oder 1,4 % (Art. 34).

Richtlinie (EU) 2022/2555 (NIS2) · BSI – NIS-2-regulierte Unternehmen

Wer betroffen ist

Grundsätzlich mittlere und große Unternehmen (in der Regel ab 50 Beschäftigten oder mehr als 10 Mio. € Jahresumsatz und Bilanzsumme) in den Sektoren der NIS2-Richtlinie – z. B. Energie, Transport, Gesundheit, digitale Infrastruktur und Dienste, verarbeitendes Gewerbe, Lebensmittel, Abfall, Chemie und Post. Ob Ihr Unternehmen betroffen ist, lässt sich mit der Betroffenheitsprüfung des BSI klären.

BSI: NIS-2-regulierte Unternehmen

Wie ein Pentest-Bericht als Nachweis dient

  • Dokumentierter Scope, Zeitraum und Methodik (OWASP, PTES, BSI-Empfehlungen)
  • Management-Summary für die Geschäftsleitung
  • Befunde mit CVSS-3.1-Bewertung, Risiko und Empfehlung
  • Retest-Bestätigung: Nachweis, dass Maßnahmen umgesetzt wurden
  • Importfertige Tickets für Jira, ServiceNow, GitLab, Azure DevOps und GitHub: Behebung nachvollziehbar
  • E-Mail-Import für Helpdesks wie OTRS/Znuny, Zammad, TOPdesk und Matrix42
  • Wiederholbar – für einen jährlichen Testzyklus
NIS2-Festpreis berechnen

Ein Test, viele Nachweise

Viele Standards fordern regelmäßige technische Prüfungen. Wir richten Scope und Bericht so aus, dass ein Test mehrere Anforderungen abdeckt.

  • NIS2 / NIS2UmsuCG

    Bewertung der Wirksamkeit der Risikomanagement-Maßnahmen (Art. 21 Abs. 2 lit. f NIS2-Richtlinie).

  • ISO/IEC 27001:2022

    Annex A 8.8 (Management technischer Schwachstellen) und 8.29 (Sicherheitstests in Entwicklung und Abnahme).

    Pentest ISO 27001

  • SOC 2

    Nachweis für die Trust Services Criteria zu Überwachung und Schwachstellenerkennung (u. a. CC4.1, CC7.1) – oft von Enterprise-Kunden verlangt.

  • TISAX®

    Nachweis für die Anforderungen des VDA-ISA-Katalogs zum Umgang mit technischen Schwachstellen – für Zulieferer der Automobilindustrie.

    TISAX Pentest

  • PCI DSS 4.0

    Requirement 11.4: interne und externe Penetrationstests mindestens jährlich und nach wesentlichen Änderungen, inkl. Segmentierungstests.

  • DORA

    Regelmäßige Tests der digitalen operationalen Resilienz (Art. 24–25), z. B. Penetrationstests. Hinweis: TLPT nach Art. 26 bieten wir nicht an.

  • DSGVO Art. 32

    Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen (Art. 32 Abs. 1 lit. d).

  • BSI IT-Grundschutz

    Methodik orientiert an den Empfehlungen des BSI für Penetrationstests; Ergebnisse lassen sich in Ihr ISMS übernehmen.

Festpreis berechnen

Lieber erst sprechen? Gespräch buchen

Häufige Fragen zu NIS2 und Penetrationstests

Schreibt NIS2 einen Penetrationstest vor?
NIS2 nennt den Begriff „Penetrationstest“ nicht als Pflicht, verlangt aber Verfahren zur Bewertung der Wirksamkeit der Sicherheitsmaßnahmen. In der Praxis ist ein Penetrationstest der übliche und von Prüfern erwartete Nachweis dafür.
Wie oft sollte getestet werden?
Üblich ist mindestens ein Test pro Jahr sowie nach wesentlichen Änderungen (neue Anwendungen, Infrastruktur-Umbau, Migrationen). PCI DSS schreibt genau diesen Rhythmus vor.
Erhalten wir ein NIS2-Zertifikat?
Nein – für NIS2 gibt es kein allgemeines Zertifikat, und wir zertifizieren nicht. Sie erhalten einen prüffähigen Bericht, eine Retest-Bestätigung und eine einseitige Prüfbescheinigung als Nachweis.
Welche Systeme sollten wir für NIS2 testen lassen?
Zuerst die Systeme, über die Angreifer am ehesten eindringen: aus dem Internet erreichbare Dienste, Fernzugänge und geschäftskritische Anwendungen – danach das interne Netzwerk. Typische Tests: Webanwendungs-Pentest, Externer Pentest, Interner Pentest und Active-Directory-Pentest. Im kostenlosen Erstgespräch priorisieren wir gemeinsam.
Wir sind ein Zulieferer. Betrifft uns NIS2 trotzdem?
Auch wenn Sie selbst nicht unter NIS2 fallen, verlangen betroffene Kunden zunehmend Nachweise von ihren Lieferanten (Sicherheit der Lieferkette, Art. 21). Ein aktueller Pentest-Bericht beantwortet viele dieser Anfragen.

Was sollen wir testen?

Wählen Sie aus, um Ihre Anfrage zu starten. Sie erhalten Ihren verbindlichen Festpreis sofort und das schriftliche Angebot (PDF) direkt nach Ihrer Anfrage per E-Mail.

Festpreis berechnen

Lieber erst sprechen? Gespräch buchen