--- title: "NIS2-Penetrationstest – prüffähige Nachweise | Mr Cyber" url: https://mr-cyber.com/de/nis2-penetrationstest language: de-DE description: "NIS2-Pentest für Unternehmen in Deutschland: prüffähige Nachweise für NIS2UmsuCG, ISO 27001, SOC 2, TISAX, PCI DSS und DORA. Festpreis, Retest inklusive." --- # NIS2-Penetrationstest: Nachweise, die Prüfern standhalten NIS2 verlangt nicht nur Sicherheitsmaßnahmen, sondern auch den Nachweis, dass sie wirken. Ein Penetrationstest liefert genau diesen Nachweis – dokumentiert, datiert und mit bestätigtem Retest. [NIS2-Festpreis berechnen](https://mr-cyber.com/de/angebot) Lieber erst sprechen? [Gespräch buchen](https://mr-cyber.com/de/kontakt#book) Wichtig: Wir zertifizieren nicht. Wir liefern die prüffähigen Testergebnisse, die Ihr Auditor, Ihre Zertifizierungsstelle oder Ihr Kunde sehen möchte. ## Was NIS2 verlangt Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) gilt seit dem 6. Dezember 2025 – ohne Übergangsfrist. Nach Schätzungen sind rund 29.500 Einrichtungen in Deutschland betroffen. - ### Risikomanagement-Maßnahmen Betroffene Einrichtungen müssen geeignete technische und organisatorische Maßnahmen umsetzen (Art. 21 NIS2-Richtlinie), u. a. für Schwachstellenmanagement, sichere Entwicklung und die Lieferkette. - ### Wirksamkeit bewerten Ausdrücklich gefordert sind Konzepte und Verfahren, um die Wirksamkeit dieser Maßnahmen zu bewerten (Art. 21 Abs. 2 lit. f). Ein Penetrationstest ist dafür das etablierte Mittel. - ### Verantwortung der Geschäftsleitung Die Geschäftsleitung muss die Maßnahmen billigen und ihre Umsetzung überwachen (Art. 20). Ein Pentest-Bericht mit Management-Summary ist dafür eine belastbare Grundlage. - ### Bußgelder Für besonders wichtige Einrichtungen bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes, für wichtige Einrichtungen bis zu 7 Mio. € oder 1,4 % (Art. 34). [Richtlinie (EU) 2022/2555 (NIS2)](https://eur-lex.europa.eu/eli/dir/2022/2555/oj) · [BSI – NIS-2-regulierte Unternehmen](https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/nis-2-regulierte-unternehmen_node.html) ## Wer betroffen ist Grundsätzlich mittlere und große Unternehmen (in der Regel ab 50 Beschäftigten oder mehr als 10 Mio. € Jahresumsatz und Bilanzsumme) in den Sektoren der NIS2-Richtlinie – z. B. Energie, Transport, Gesundheit, digitale Infrastruktur und Dienste, verarbeitendes Gewerbe, Lebensmittel, Abfall, Chemie und Post. Ob Ihr Unternehmen betroffen ist, lässt sich mit der Betroffenheitsprüfung des BSI klären. [BSI: NIS-2-regulierte Unternehmen](https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/nis-2-regulierte-unternehmen_node.html) ## Wie ein Pentest-Bericht als Nachweis dient - Dokumentierter Scope, Zeitraum und Methodik (OWASP, PTES, BSI-Empfehlungen) - Management-Summary für die Geschäftsleitung - Befunde mit CVSS-3.1-Bewertung, Risiko und Empfehlung - Retest-Bestätigung: Nachweis, dass Maßnahmen umgesetzt wurden - Importfertige Tickets für Jira, ServiceNow, GitLab, Azure DevOps und GitHub: Behebung nachvollziehbar - E-Mail-Import für Helpdesks wie OTRS/Znuny, Zammad, TOPdesk und Matrix42 - Wiederholbar – für einen jährlichen Testzyklus [NIS2-Festpreis berechnen](https://mr-cyber.com/de/angebot?service=unsure&driver=nis2) ## Ein Test, viele Nachweise Viele Standards fordern regelmäßige technische Prüfungen. Wir richten Scope und Bericht so aus, dass ein Test mehrere Anforderungen abdeckt. - ### NIS2 / NIS2UmsuCG Bewertung der Wirksamkeit der Risikomanagement-Maßnahmen (Art. 21 Abs. 2 lit. f NIS2-Richtlinie). - ### ISO/IEC 27001:2022 Annex A 8.8 (Management technischer Schwachstellen) und 8.29 (Sicherheitstests in Entwicklung und Abnahme). [Pentest ISO 27001](https://mr-cyber.com/de/pentest-iso-27001) - ### SOC 2 Nachweis für die Trust Services Criteria zu Überwachung und Schwachstellenerkennung (u. a. CC4.1, CC7.1) – oft von Enterprise-Kunden verlangt. - ### TISAX® Nachweis für die Anforderungen des VDA-ISA-Katalogs zum Umgang mit technischen Schwachstellen – für Zulieferer der Automobilindustrie. [TISAX Pentest](https://mr-cyber.com/de/tisax-pentest) - ### PCI DSS 4.0 Requirement 11.4: interne und externe Penetrationstests mindestens jährlich und nach wesentlichen Änderungen, inkl. Segmentierungstests. - ### DORA Regelmäßige Tests der digitalen operationalen Resilienz (Art. 24–25), z. B. Penetrationstests. Hinweis: TLPT nach Art. 26 bieten wir nicht an. - ### DSGVO Art. 32 Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen (Art. 32 Abs. 1 lit. d). - ### BSI IT-Grundschutz Methodik orientiert an den Empfehlungen des BSI für Penetrationstests; Ergebnisse lassen sich in Ihr ISMS übernehmen. ## Häufige Fragen zu NIS2 und Penetrationstests Schreibt NIS2 einen Penetrationstest vor? NIS2 nennt den Begriff „Penetrationstest“ nicht als Pflicht, verlangt aber Verfahren zur Bewertung der Wirksamkeit der Sicherheitsmaßnahmen. In der Praxis ist ein Penetrationstest der übliche und von Prüfern erwartete Nachweis dafür. Wie oft sollte getestet werden? Üblich ist mindestens ein Test pro Jahr sowie nach wesentlichen Änderungen (neue Anwendungen, Infrastruktur-Umbau, Migrationen). PCI DSS schreibt genau diesen Rhythmus vor. Erhalten wir ein NIS2-Zertifikat? Nein – für NIS2 gibt es kein allgemeines Zertifikat, und wir zertifizieren nicht. Sie erhalten einen prüffähigen Bericht, eine Retest-Bestätigung und eine einseitige Prüfbescheinigung als Nachweis. Welche Systeme sollten wir für NIS2 testen lassen? Zuerst die Systeme, über die Angreifer am ehesten eindringen: aus dem Internet erreichbare Dienste, Fernzugänge und geschäftskritische Anwendungen – danach das interne Netzwerk. Typische Tests: [Webanwendungs-Pentest](https://mr-cyber.com/de/leistungen/webanwendung-penetrationstest), [Externer Pentest](https://mr-cyber.com/de/leistungen/externer-penetrationstest), [Interner Pentest](https://mr-cyber.com/de/leistungen/interner-penetrationstest) und [Active-Directory-Pentest](https://mr-cyber.com/de/leistungen/active-directory-pentest). Im kostenlosen Erstgespräch priorisieren wir gemeinsam. Wir sind ein Zulieferer. Betrifft uns NIS2 trotzdem? Auch wenn Sie selbst nicht unter NIS2 fallen, verlangen betroffene Kunden zunehmend Nachweise von ihren Lieferanten (Sicherheit der Lieferkette, Art. 21). Ein aktueller Pentest-Bericht beantwortet viele dieser Anfragen.