NIS2-Audit
Wir prüfen IT-Sicherheit, Abläufe und Dokumentation Ihres Unternehmens. Der Bericht zeigt, was verbessert werden sollte und in welcher Reihenfolge. Geschäftsleitung und IT erhalten einen Maßnahmenplan. Vor dem Audit klären wir, was geprüft wird und wie Sie die Ergebnisse erhalten.
Kunden
Sie brauchen weder vollständige Unterlagen noch Detailkenntnisse aller Anforderungen. Zunächst sprechen wir über Ihr Unternehmen, Ihre Systeme und bestehende Schutzmaßnahmen. Gemeinsam klären wir, was geprüft werden soll, ob zur Vorbereitung auf gesetzliche Pflichten oder zur Beantwortung von Sicherheitsfragen Ihrer Kunden.
Wir verbinden Gespräche mit Geschäftsleitung und IT mit einer Prüfung der Dokumentation und Systemeinstellungen. Der genaue Umfang richtet sich nach Ihrer Geschäftstätigkeit und IT-Umgebung. Vor der Beauftragung eines gesetzlichen KSC-Audits vereinbaren wir die Zusammensetzung des Auditteams und bestätigen die für den Prüfungsumfang erforderlichen Qualifikationen.
Wir besprechen die Ergebnisse mit Ihrem Team. Der Bericht soll Entscheidungen und die Arbeitsplanung unterstützen, nicht nur den Istzustand beschreiben.
Unser Informationssicherheitsmanagementsystem ist durch TÜV NORD Polska zertifiziert. Das Zertifikat gilt für Virtline und ersetzt keine Prüfung der NIS2-Konformität Ihres Unternehmens.
Zertifikat ansehenUmfang, Kosten und Zeitplan vereinbaren wir vor Beginn. Prüfung und spätere Umsetzung sind getrennte Leistungen, damit klar ist, was Ihr Auftrag umfasst. Preis und Dauer hängen von der Anzahl der Systeme und Standorte, den verfügbaren Unterlagen und dem Umfang der technischen Prüfung ab. Das Formular bietet die Varianten I — technologisch, II — technologisch und rechtlich sowie III — technologisch, rechtlich und OT. Die Auswahl dient der Angebotserstellung. Vor Arbeitsbeginn vereinbaren wir den genauen Umfang, die Ergebnisse und die Ausführenden der technischen, rechtlichen und OT-Leistungen. Die Auswahl bestätigt weder die Teamzusammensetzung noch die Qualifikation für ein gesetzliches Audit.
Wir lernen Ihr Unternehmen, Ihre Systeme und das Ziel des Audits kennen. Wir vereinbaren, welche Dienste, Systeme, Standorte und externen Anbieter einbezogen werden. Wir bitten um vorhandene Unterlagen und benennen die Personen, die Abläufe und Schutzmaßnahmen erläutern können.
Wir vereinbaren den Zeitplan und die Regeln für die technische Prüfung, einschließlich gesondert freizugebender Tätigkeiten. Wir vereinbaren den Zugriff auf Informationen. Wir analysieren Unterlagen, besprechen Arbeitsabläufe und prüfen die vereinbarten Teile Ihrer IT-Umgebung. Unklarheiten klären wir mit den zuständigen Personen. Lasttests und Konfigurationsänderungen gehören nicht zum Standardumfang und müssen vorab vereinbart werden.
Sie erhalten Ergebnisse, Prioritäten und vorgeschlagene Maßnahmen. Wir erläutern die geschäftlichen Auswirkungen und die notwendigen Entscheidungen.
Sie können Empfehlungen mit Ihrem eigenen Team umsetzen, einen anderen Anbieter beauftragen oder mit uns separate Leistungen zu Dokumentation, Sicherheitsmaßnahmen, Schulungen oder IT-Unterstützung vereinbaren. Diese Arbeiten sind nicht automatisch im Audit enthalten. Termin und Bedingungen einer Nachprüfung vereinbaren wir gesondert.
Praktischer Umfang
Die Änderung des polnischen KSC-Gesetzes vom 23. Januar 2026 (Dz.U. Pos. 252) trat am 3. April 2026 in Kraft und setzt NIS2 in polnisches Recht um. Im Audit prüfen wir sektor- und größenbezogene Kriterien, den Status der Einrichtung, ihren Eintrag im KSC-Verzeichnis und geltende Fristen anhand amtlicher Quellen.
ein gemeinsamer Cybersicherheitsrahmen für wesentliche und wichtige Einrichtungen in der Europäischen Union.
Die Selbstregistrierung lief vom 7. Mai bis 3. Oktober 2026; prüfen Sie den erforderlichen Eintrag. Seit dem 12. Juni 2026 können neue Einrichtungen S46 nutzen — dies eröffnet den Zugang und ist keine Anpassungsfrist. Einrichtungen, die beim Inkrafttreten der Novelle die gesetzlichen Kriterien erfüllten, müssen bis zum 3. April 2027 S46 nutzen und ihre Pflichten umsetzen. Neue wesentliche Einrichtungen, die keine Betreiber wesentlicher Dienste waren, müssen ihr erstes Audit bis zum 3. April 2028 durchführen; bisherige Betreiber behalten ihren Auditzyklus.
Risikomanagement, Vorfälle, Geschäftskontinuität, Lieferkettensicherheit, Richtlinien, Zugriff, Backup, Überwachung und Schulung.
Risikoregister, Entscheidungen der Risikoverantwortlichen, Verfahren, Testergebnisse, Protokolle, Sicherungsberichte, Lieferantenbewertungen und Aktionsplan.
Für MAEM sp. z o.o. führten wir eine NIS2-Bewertung und Penetrationstests im vereinbarten Umfang durch. Aus den Ergebnissen leiteten wir Empfehlungen zur Behebung festgestellter Lücken und zur Verbesserung des IT-Schutzes ab. Diese Beschreibung bestätigt keine Konformität der gesamten Organisation. Die Anwendbarkeit von NIS2/KSC und DORA hängt von Branche, Status und Tätigkeit der Organisation ab. Technische Unterlagen können die Bewertung unterstützen, bestätigen allein aber weder Konformität noch Zertifizierung.
Hier finden Sie die amtlichen Rechtsakte und den Zeitplan für die Eintragung ins KSC-Verzeichnis. Anhand dieser Quellen klären wir die Anforderungen und Fristen für Ihre Organisation.
Quelle
Amtlicher Text der NIS2-Richtlinie in EUR-Lex.
Quelle öffnenQuelle
Amtlich veröffentlichte Änderung des polnischen Gesetzes über das nationale Cybersicherheitssystem vom 23. Januar 2026.
Quelle öffnenQuelle
Mitteilung des polnischen Ministeriums für Digitalisierung zu den Fristen des geänderten KSC-Gesetzes.
Quelle öffnenWir bewerten Schutzmaßnahmen, Sicherheitsmanagement und Dokumentation anhand von NIS2 und dem polnischen KSC-Gesetz. Geprüft werden vereinbarte Bereiche wie Risikomanagement, Sicherheitsvorfälle, Geschäftskontinuität, IKT-Dienstleister und die Verantwortung der Geschäftsleitung. Sie erhalten einen Bericht mit Empfehlungen, kein NIS2-Zertifikat und keine Garantie gegen Sicherheitsvorfälle. Benötigen Sie ein gesetzlich vorgeschriebenes Audit, klären wir vor der Beauftragung den maßgeblichen Umfang und die Anforderungen an den Prüfer.
Zunächst klären wir den Status Ihrer Organisation und das Ziel des Audits. Danach vereinbaren wir Umfang, Kosten und Zeitplan. Wir analysieren Unterlagen, sprechen mit den zuständigen Personen und prüfen vereinbarte Teile der IT, etwa Konten, Netzwerke, Backups und Leistungen externer Anbieter. Abschließend besprechen wir den Bericht und die Reihenfolge der Verbesserungen. Zuständigkeiten und Termine stimmen wir mit Ihrem Unternehmen ab. Die Umsetzung der Empfehlungen bedarf einer gesonderten Vereinbarung.
Für wesentliche und wichtige Einrichtungen, die unter das polnische KSC-Gesetz fallen, sowie für Lieferanten und Dienstleister, deren Kunden eine Bestätigung der Schutzmaßnahmen verlangen. Solche Fragen können in Sicherheitsfragebögen, Verträgen oder bei der Klärung von Bedingungen einer Cyberversicherung auftreten. Die Tätigkeit als Lieferant allein entscheidet nicht darüber, ob das Gesetz gilt. Wir prüfen Geschäftstätigkeit, Größe und einschlägige Vorschriften, um gesetzliche Pflichten von Kundenanforderungen zu unterscheiden.
Beispiele sind unklare Sicherheitsverantwortung der Geschäftsleitung, Backups ohne geprüfte Wiederherstellung, MFA für E-Mail, aber nicht für Administratorkonten und Fernzugriffe, fehlende Meldewege für Sicherheitsvorfälle oder Lieferantenverträge ohne Sicherheitsanforderungen. Wir setzen nicht voraus, dass diese Probleme in jedem Unternehmen auftreten. Der Bericht beschreibt die tatsächlich festgestellten Mängel, ihre Bedeutung für die Organisation und die vorgeschlagenen Maßnahmen.
Beschreiben Sie kurz Ihre Geschäftstätigkeit, die zu prüfenden Systeme und einen möglichen Termin. Eine vollständige Anforderungsliste ist nicht nötig. Auf dieser Grundlage besprechen wir Umfang, benötigte Unterlagen und Angebot.
Audit besprechen