Konkrete Umsetzungshinweise
Jede Anforderung der DVO wird in nachvollziehbare Umsetzungsschritte übersetzt — mit Erläuterungen, worauf es bei der praktischen Ausgestaltung ankommt und welche Fallstricke typisch sind.
NIS2 · Technische Umsetzung
ENISA Technical Implementation Guidance: NIS2-Maßnahmen konkret umsetzen
Die ENISA-Leitlinie bricht jede Anforderung der Durchführungsverordnung (EU) 2024/2690 auf konkrete Umsetzungshinweise, Nachweis-Beispiele und Standard-Mappings herunter — die praktische Blaupause, um die NIS2-Risikomanagement-Maßnahmen aus Art. 21 Abs. 2 auditfähig zu belegen.
ENISAHerausgeber der Leitlinie
v1.0 · 26.06.2025Finale Version (Stand)
DVO (EU) 2024/2690Unterstützte Durchführungsverordnung
13 BereicheMaßnahmen im DVO-Anhang
Von der Pflicht zum Nachweis
Mit der Durchführungsverordnung (EU) 2024/2690 vom 17. Oktober 2024 hat die Europäische Kommission die technischen und methodischen Anforderungen zu den Cybersecurity-Risikomanagement-Maßnahmen aus Art. 21 Abs. 2 NIS2 konkretisiert. Die Verordnung gilt formal zunächst für bestimmte Arten digitaler Anbieter — von DNS-Diensten über Cloud- und Rechenzentrumsbetreiber bis zu Managed (Security) Service Providern und Vertrauensdiensteanbietern.
Die ENISA Technical Implementation Guidance ist der nicht bindende Begleitleitfaden dazu: Sie erklärt zu jeder Anforderung, wie sie sich in der Praxis erfüllen lässt, welche Nachweise (Evidence) Auditoren erwarten und wie die Maßnahme auf etablierte Standards abbildet. Damit wird die Leitlinie zur praktischen Blaupause — auch für alle anderen NIS2-Einrichtungen, für die die DVO formal (noch) nicht unmittelbar gilt.
Was der Leitfaden liefert
Sechs Kernbausteine, die die ENISA-Guidance von einer Regelliste zum umsetzbaren Handbuch machen.
Beispiele für Nachweise (Evidence)
Zu jeder Maßnahme nennt der Leitfaden beispielhafte Belege — Richtlinien, Protokolle, Konfigurationen, Testberichte —, mit denen sich die Wirksamkeit gegenüber Auditoren und Behörden dokumentieren lässt.
Mappings zu Standards
Jede Anforderung wird auf europäische und internationale Normen abgebildet, u. a. ISO/IEC 27001/27002, NIST Cybersecurity Framework (CSF) und IEC 62443 — so lassen sich bestehende Zertifizierungen anrechnen.
Die 13 Maßnahmenbereiche
Der Aufbau folgt dem Anhang der DVO: von Sicherheitskonzept, Risikomanagement und Incident Handling über Business Continuity und Lieferkettensicherheit bis zu Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentifizierung (MFA).
Geltungsbereich & Sektoren
Der Leitfaden macht transparent, für welche Anbietertypen die DVO unmittelbar gilt — und ordnet ein, warum die Hinweise als Blaupause auch für andere wesentliche und wichtige Einrichtungen wertvoll sind.
Verhältnis DVO ↔ NIS2
Er verortet die technischen Anforderungen im Rechtsrahmen: Die DVO konkretisiert die verbindliche Pflicht aus Art. 21 Abs. 2 NIS2, die ENISA-Guidance erklärt die Erfüllung — sie ist selbst nicht bindend.
Anschluss an Ihren Rechts- und Normenrahmen
Die ENISA-Guidance steht nicht für sich — sie verzahnt sich mit Gesetz, Normen und bestehenden Managementsystemen.
NIS2-Gesetz & Art. 21
Die DVO konkretisiert Art. 21 Abs. 2 NIS2; die nationale Umsetzung (in Deutschland das NIS2-Umsetzungsgesetz) bleibt der verbindliche Rahmen. Der Leitfaden hilft, die dortigen Pflichten technisch zu erfüllen.
ISO/IEC 27001
Die Standard-Mappings machen ein bestehendes ISMS nach ISO/IEC 27001 zum Beschleuniger: Vorhandene Controls und Nachweise lassen sich gezielt den DVO-Anforderungen zuordnen und Lücken sichtbar machen.
DORA
Für Finanzunternehmen ergänzt DORA die NIS2-Logik um sektorspezifische Anforderungen. Wo beide greifen, hilft ein gemeinsames Kontroll- und Nachweisgerüst, Doppelarbeit zu vermeiden.
BSI IT-Grundschutz
Der IT-Grundschutz liefert in Deutschland konkrete Bausteine und Anforderungen, die sich gut mit den ENISA-Umsetzungshinweisen kombinieren lassen — von der Risikoanalyse bis zum Nachweismanagement.
So werden Ihre Maßnahmen auditfähig
Vier Schritte von der Standortbestimmung bis zum belastbaren Nachweis.
01
1 · Gap-Analyse
Wir gleichen Ihren Ist-Stand mit der DVO (EU) 2024/2690 und der ENISA-Guidance ab — anforderungsgenau über alle 13 Maßnahmenbereiche und mit klarer Priorisierung der Lücken.
02
2 · Maßnahmen umsetzen
Wir schließen die Lücken mit konkreten technischen und organisatorischen Maßnahmen — von Richtlinien und Prozessen über Härtung und Kryptografie bis MFA und Zugriffskontrolle.
03
3 · Nachweise sammeln
Zu jeder Maßnahme legen wir die von der ENISA empfohlenen Evidenzen an — dokumentiert, versioniert und zentral auffindbar, damit Wirksamkeit belegbar ist.
04
4 · Auditfähig halten
Wir verankern Wirksamkeitsbewertung, Reviews und Aktualisierung im Betrieb, damit Ihre Nachweise dauerhaft aktuell bleiben — für Audits, Behörden und Kunden.
Sind Ihre NIS2-Maßnahmen nachweisbar?
1
2
3
4
Der Self-Check ersetzt keine formale Bewertung; er dient der ersten Standortbestimmung.
Quellen & weiterführende Themen
Primärquellen zur Verifikation und thematisch passende VamiSec-Leistungen.
Primärquellen
ENISA Technical Implementation Guidance (v1.0) Der vollständige Leitfaden der ENISA mit Umsetzungshinweisen, Nachweis-Beispielen und Standard-Mappings (PDF).Durchführungsverordnung (EU) 2024/2690 Rechtstext der DVO vom 17.10.2024 mit dem Anhang der technischen und methodischen Anforderungen.NIS2-Richtlinie (EU) 2022/2555 Die Richtlinie mit den Risikomanagement-Maßnahmen aus Art. 21 als Rechtsgrundlage.
Passende Leistungen
Häufige Fragen
Antworten zur ENISA-Guidance und ihrer Anwendung.
Ist die ENISA Technical Implementation Guidance verbindlich?
Nein. Die Leitlinie ist ausdrücklich nicht bindend. Verbindlich sind die NIS2-Richtlinie bzw. ihre nationale Umsetzung und — für die betroffenen Anbietertypen — die Durchführungsverordnung (EU) 2024/2690. Die Guidance erklärt, wie sich diese Anforderungen praktisch erfüllen lassen.
Für wen gilt die Durchführungsverordnung (EU) 2024/2690?
Zunächst für bestimmte Arten digitaler Anbieter: u. a. DNS-Dienste, TLD-Registries, Cloud-Computing, Rechenzentren, CDN, Managed (Security) Service Provider, Online-Marktplätze, Online-Suchmaschinen, soziale Netzwerke und Vertrauensdiensteanbieter. Für andere NIS2-Einrichtungen ist sie eine wertvolle Blaupause.
Welche Maßnahmenbereiche deckt der Leitfaden ab?
Die rund 13 Bereiche des DVO-Anhangs: Sicherheitskonzept, Risikomanagement, Incident Handling, Business Continuity und Krisenmanagement, Lieferkettensicherheit, Sicherheit in Beschaffung/Entwicklung/Wartung, Wirksamkeitsbewertung, Cyberhygiene und Schulungen, Kryptografie, Personalsicherheit/Zugriffskontrolle/Asset-Management sowie MFA und gesicherte Kommunikation.
Welche Nachweise erwarten Auditoren?
Der Leitfaden nennt zu jeder Maßnahme beispielhafte Evidenzen — etwa freigegebene Richtlinien, Risikoregister, Incident-Protokolle, Härtungs- und Konfigurationsnachweise, Test- und Auditberichte sowie Schulungsnachweise. Entscheidend ist, dass sie aktuell, versioniert und auffindbar sind.
Können wir bestehende ISO/IEC-27001-Nachweise anrechnen?
Häufig ja. Über die Standard-Mappings der Guidance lassen sich vorhandene Controls und Nachweise aus einem ISMS gezielt den DVO-Anforderungen zuordnen. Das reduziert Doppelarbeit und macht verbleibende Lücken schnell sichtbar.
NIS2-Maßnahmen belastbar nachweisen
Wir führen Sie von der Gap-Analyse gegen die ENISA-Guidance bis zum auditfähigen Nachweis — pragmatisch und anforderungsgenau.