Name des Unternehmens Rechtsform Branche / Tätigkeitsfeld Standorte / Länder Anzahl Mitarbeitende Jahresumsatz, falls relevant Verantwortliche Person / Rolle für Compliance und Informationssicherheit

Gehört das Unternehmen zu einem NIS-2-Sektor oder beliefert es solche Organisationen? Unbekannt Nein Ja, direkt betroffen Ja, indirekt als Dienstleister/Lieferant Welche kritischen, wichtigen oder wesentlichen Dienstleistungen werden erbracht? Wie stark ist die Leistungserbringung von IT-Systemen, Cloud, Netzwerken oder SaaS abhängig? Gering Mittel Hoch Sehr hoch Welche NIS-2-, Security- oder Audit-Anforderungen stellen Kunden bereits? Ist die Geschäftsleitung in Informationssicherheits- und Compliance-Themen eingebunden? Nein Teilweise Ja

Anzahl wesentlicher Lieferanten und Dienstleister Welche Lieferantenkategorien sind kritisch? z. B. Cloud, IT-Dienstleister, Logistik, Produktion, Beratung In welchen Ländern sitzen wesentliche Lieferanten? Gibt es eine dokumentierte Lieferantenprüfung / Due-Diligence? Nein Teilweise Ja Sind Informationssicherheitsanforderungen vertraglich mit Lieferanten geregelt? Nein Teilweise Ja Werden Lieferanten regelmäßig bewertet oder überwacht? Nein Teilweise Ja Müssen Lieferanten Sicherheitsvorfälle melden? Nein Teilweise Ja

Existiert eine Informationssicherheitsrichtlinie? Nein In Arbeit Ja Sind Verantwortlichkeiten für IT-Sicherheit, Datenschutz, Einkauf und Lieferantenmanagement definiert? Nein Teilweise Ja Gibt es benannte Risiko-Owner für kritische Prozesse und Lieferanten? Nein Teilweise Ja Werden Richtlinien regelmäßig geprüft und freigegeben? Nein Teilweise Ja Wo werden Nachweise, Verträge, Risikoanalysen und Auditunterlagen abgelegt?

Wird eine regelmäßige Risikoanalyse für IT, Prozesse und Lieferanten durchgeführt? Nein Teilweise Ja Welche Risikomethodik wird verwendet? Existiert ein Asset-, System- oder Dienstleistungsverzeichnis? Nein Teilweise Ja Welche Systeme, Daten oder Prozesse sind besonders kritisch? Werden Maßnahmen aus Risiken abgeleitet, priorisiert und nachverfolgt? Nein Teilweise Ja

Ist Multi-Faktor-Authentifizierung für kritische Systeme aktiviert? Nein Teilweise Ja Gibt es ein Patch- und Schwachstellenmanagement? Nein Teilweise Ja Werden Endgeräte zentral geschützt und überwacht? Nein Teilweise Ja Existiert ein Backup-Konzept mit Wiederherstellungstests? Nein Teilweise Ja Gibt es Prozesse für Berechtigungen, Joiner/Mover/Leaver und Rezertifizierungen? Nein Teilweise Ja Sind Netzwerke segmentiert und geschützt? Nein Teilweise Ja Gibt es Logging, Monitoring oder SIEM-ähnliche Überwachung? Nein Teilweise Ja Werden vertrauliche Daten angemessen verschlüsselt? Nein Teilweise Ja Welche Cloud- und SaaS-Sicherheitsmaßnahmen bestehen?

Gibt es einen dokumentierten Prozess für Sicherheitsvorfälle? Nein Teilweise Ja Sind Rollen, Meldewege und Eskalationen definiert? Nein Teilweise Ja Sind Meldepflichten gegenüber Kunden, Behörden oder Partnern bekannt? Nein Teilweise Ja Existiert ein Business-Continuity- oder Notfallkonzept? Nein Teilweise Ja Werden Notfallübungen, Tabletop-Exercises oder Restore-Tests durchgeführt? Nein Teilweise Ja

Werden Mitarbeitende regelmäßig zu Informationssicherheit, Phishing und Datenschutz geschult? Nein Teilweise Ja Erhalten Schlüsselrollen zusätzliche Schulungen? Nein Teilweise Ja Werden Schulungsteilnahmen dokumentiert? Nein Teilweise Ja Wie wird Sicherheitsbewusstsein im Alltag gefördert?

Welche Nachweise liegen bereits vor? z. B. ISO 27001, TISAX, BSI-Grundschutz, Richtlinien, Verträge, Audits Welche bekannten Lücken oder Schwachstellen bestehen? Welche Verbesserungsmaßnahmen sind geplant? Zieltermin für die Umsetzung wesentlicher Maßnahmen Soll das Ergebnis regelmäßig im Management-Review behandelt werden? Nein Teilweise Ja