{"id":51418,"date":"2026-09-06T22:43:23","date_gmt":"2026-09-06T20:43:23","guid":{"rendered":"https:\/\/overcentral.com\/de\/?p=51418"},"modified":"2026-09-06T22:43:24","modified_gmt":"2026-09-06T20:43:24","slug":"nis2-penetrationstest-pflicht-51418","status":"publish","type":"post","link":"https:\/\/overcentral.com\/de\/nis2-penetrationstest-pflicht-51418\/","title":{"rendered":"NIS2 macht Penetrationstest zum Pflichtnachweis"},"content":{"rendered":"

Der Penetrationstest war lange die K\u00fcr f\u00fcr IT-Teams, jetzt geh\u00f6rt er f\u00fcr rund 29.500 deutsche Unternehmen zur gesetzlichen Nachweispflicht. Mit dem NIS2<\/a>a-Umsetzungsgesetz, das im Dezember 2025 in Kraft trat, ist der Nachweis einer funktionierenden Sicherheitsarchitektur Pflicht. Wer die Wirksamkeit seiner Sicherheitsma\u00dfnahmen nicht belegen kann, riskiert Bu\u00dfgeld und pers\u00f6nliche Haftung der Gesch\u00e4ftsleitung.<\/p>\n

Vom Goodwill zur Rechtspflicht<\/h2>\n

Das novellierte BSI-Gesetz (BSIG) verpflichtet wesentliche und wichtige Einrichtungen in 18 Sektoren, geeignete, verh\u00e4ltnism\u00e4\u00dfige und wirksame technische und organisatorische Ma\u00dfnahmen zum Schutz ihrer Netz- und Informationssysteme zu ergreifen (\u00a7 30 BSIG). Die Registrierungspflicht beim BSI endete f\u00fcr bestehende Unternehmen am 6. M\u00e4rz 2026. Was folgt, sind Pr\u00fcfwellen: Das BSI baut seine Aufsichtsstrukturen aus, erste Stichproben laufen bereits, und Bu\u00dfgeldverfahren werden vorbereitet.<\/p>\n

Die Zahlen sprechen f\u00fcr sich. Laut BSI-Lagebericht zur IT-Sicherheit in Deutschland 2025 wurden im Berichtszeitraum t\u00e4glich im Schnitt 119 neue Schwachstellen registriert, ein Anstieg von 24 Prozent gegen\u00fcber dem Vorjahr. Rund 80 Prozent der dokumentierten Ransomware-Angriffe trafen kleine und mittlere Unternehmen. Die Bitkom-Wirtschaftsschutzstudie 2025 beziffert den j\u00e4hrlichen Gesamtschaden durch Datendiebstahl, Sabotage und Industriespionage auf 289,2 Milliarden Euro, rund 8 Prozent mehr als im Vorjahr.<\/p>\n

F\u00fcr Gesch\u00e4ftsf\u00fchrer und Vorst\u00e4nde bedeutet das eine neue Qualit\u00e4t von Verantwortung. Das novellierte BSIG macht Cybersicherheit zur Chefsache mit pers\u00f6nlicher Haftung. Vorst\u00e4nde m\u00fcssen Sicherheitsma\u00dfnahmen aktiv \u00fcberwachen und sich regelm\u00e4\u00dfig schulen lassen. Wer Nachweispflichten nicht erf\u00fcllt, riskiert Bu\u00dfgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, wobei der h\u00f6here Wert gilt.<\/p>\n

Was NIS2 konkret fordert und was Penetrationstests leisten<\/h2>\n

\u00a7 30 BSIG benennt explizit, was betroffene Einrichtungen umsetzen m\u00fcssen: Konzepte zur Risikoanalyse, Bew\u00e4ltigung von Sicherheitsvorf\u00e4llen, Business Continuity Management, Sicherheit der Lieferkette sowie die \u00dcberpr\u00fcfung der Wirksamkeit von Cybersicherheitsma\u00dfnahmen. Genau dieser letzte Punkt ist entscheidend. Der Penetrationstest ist das pr\u00e4ziseste Instrument f\u00fcr diesen Nachweis. Anders als automatisierte Schwachstellenscans, die bekannte L\u00fccken in Datenbanken abgleichen, simuliert ein Penetrationstest den realen Angriff: Ein autorisierter Sicherheitsexperte versucht, mit denselben Methoden in die Infrastruktur einzudringen, die auch ein Angreifer nutzen w\u00fcrde. Das Ergebnis ist kein Ampelreport, sondern ein detaillierter Befund mit Angriffspfaden, ausgenutzten Schwachstellen und konkretem Handlungsbedarf.<\/p>\n

F\u00fcr NIS2-pflichtige Unternehmen empfehlen Umsetzungsleitf\u00e4den mindestens einen j\u00e4hrlichen Penetrationstest des Au\u00dfenperimeters sowie anlassbezogene Tests nach gr\u00f6\u00dferen Infrastrukturver\u00e4nderungen, etwa nach Cloud-Migrationen oder dem Einf\u00fchren neuer Systeme.<\/p>\n

Drei Testformen und wann welche passt<\/h2>\n

In der Praxis unterscheiden Sicherheitsexperten drei wesentliche Testformen.<\/p>\n