NIS2 und Penetrationstests: Was Unternehmen in Deutschland wirklich brauchen
NIS2 schreibt den Begriff „Penetrationstest“ nicht wörtlich vor – verlangt aber, die Wirksamkeit der Sicherheitsmaßnahmen zu bewerten. Für die meisten betroffenen Unternehmen in Deutschland ist ein regelmäßiger, sauber dokumentierter Penetrationstest der praktikabelste Weg zu diesem Nachweis. Was das Gesetz fordert und wie Sie den Test planen.
Von Moez Bouzayani · · 3 Min. Lesezeit
Inhalt
Seit dem 6. Dezember 2025 gilt in Deutschland das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) – ohne Übergangsfrist. Nach Schätzungen sind rund 29.500 Einrichtungen betroffen. Viele stellen sich dieselbe Frage: Brauchen wir jetzt einen Penetrationstest – und was genau muss er abdecken?
Was NIS2 zu Tests tatsächlich sagt
Die NIS2-Richtlinie (EU) 2022/2555 verpflichtet wesentliche und wichtige Einrichtungen zu „geeigneten und verhältnismäßigen technischen, operativen und organisatorischen Maßnahmen“ für das Management von Cybersicherheitsrisiken (Art. 21). Zu den Mindestmaßnahmen gehören unter anderem:
- Konzepte für Risikoanalyse und Sicherheit der Informationssysteme,
- Bewältigung von Sicherheitsvorfällen und Aufrechterhaltung des Betriebs,
- Sicherheit der Lieferkette,
- Sicherheit bei Erwerb, Entwicklung und Wartung von Systemen einschließlich des Umgangs mit Schwachstellen,
- Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagement-Maßnahmen (Art. 21 Abs. 2 lit. f).
Der letzte Punkt ist entscheidend. Es reicht nicht, eine Firewall, MFA oder einen Patch-Prozess zu haben – Sie müssen zeigen können, dass diese Maßnahmen wirken. Genau das leistet ein Penetrationstest: Er prüft aus Sicht eines Angreifers, ob Ihre Schutzmaßnahmen einen echten Angriff aufhalten.
Die Geschäftsleitung steht in der Verantwortung
Nach Art. 20 muss die Geschäftsleitung die Risikomanagement-Maßnahmen billigen und ihre Umsetzung überwachen – und kann für Versäumnisse haftbar gemacht werden. Ein Pentest-Bericht mit klarer Management-Summary ist dafür eine belastbare Entscheidungsgrundlage: Was wurde getestet, was wurde gefunden, was wurde behoben?
Wer ist betroffen?
Grundsätzlich mittlere und große Unternehmen (in der Regel ab 50 Beschäftigten oder mehr als 10 Mio. € Jahresumsatz und Bilanzsumme) in den Sektoren der Richtlinie – Energie, Transport, Gesundheit, digitale Infrastruktur und Dienste, verarbeitendes Gewerbe, Lebensmittel, Chemie, Abfallwirtschaft und weitere. Das BSI bietet eine Betroffenheitsprüfung an.
Selbst nicht betroffen? Wenn Ihre Kunden es sind, erhalten Sie sehr wahrscheinlich Sicherheitsfragebögen für Lieferanten – die Sicherheit der Lieferkette gehört zu deren Pflichten. Ein aktueller Pentest-Bericht beantwortet viele dieser Fragen.
So planen Sie einen NIS2-tauglichen Penetrationstest
- Dort beginnen, wo Angreifer beginnen. Aus dem Internet erreichbare Systeme – VPN-Gateways, Fernzugänge, E-Mail, Webanwendungen und APIs – sind die häufigsten Einfallstore. Diese zuerst testen.
- Danach prüfen, was nach einem Einbruch passiert. Ein Test des internen Netzwerks und des Active Directory zeigt, wie weit ein Angreifer im Inneren kommt – der Weg, den Ransomware-Gruppen gehen.
- Geschäftskritische Anwendungen abdecken. Kundenportale, ERP-Schnittstellen und SaaS-Produkte enthalten oft die wichtigsten Daten.
- Scope und Methodik dokumentieren. Prüfer wollen sehen, was wann wie und nach welchem Standard getestet wurde (z. B. OWASP, PTES, BSI-Empfehlungen).
- Mit einem Retest abschließen. Der Nachweis behobener Befunde zählt mehr als eine Liste offener. Die Retest-Bestätigung zeigt, dass Ihre Maßnahmen jetzt wirken.
- Wiederholen. Planen Sie einen jährlichen Zyklus plus Tests nach wesentlichen Änderungen.
Was einen Pentest-Bericht prüffähig macht
Ein Bericht, der im Audit besteht, enthält:
- einen definierten Scope, Zeitraum und Testart,
- eine Methodik mit Bezug auf anerkannte Standards,
- eine Management-Summary für die Geschäftsleitung,
- Befunde mit Schweregrad (z. B. CVSS 3.1), Geschäftsrisiko, Nachweis und Empfehlung,
- eine datierte Retest-Bestätigung.
Das deckt zugleich Anforderungen ab, die viele Unternehmen parallel erfüllen müssen – ISO 27001 (Annex A 8.8 und 8.29), SOC 2, TISAX oder PCI DSS. Ein gut geschnittener Test kann also mehrere Audits bedienen. Mehr dazu auf unserer Seite zum NIS2-Penetrationstest.
Fazit
NIS2 verlangt den Nachweis, dass Ihre Sicherheit funktioniert. Ein Penetrationstest ist der direkteste Nachweis – wenn er auf Ihre tatsächlichen Risiken zugeschnitten, sauber dokumentiert und mit einem Retest abgeschlossen wird. Wenn Sie unsicher sind, wo Sie anfangen sollen, klärt ein kurzes Scoping-Gespräch das meist in 30 Minuten.