NIS2 & ISO 27001: Externe Sicherheitsbewertung deiner Domain
Ransomware-Opferlisten, Datenlecks und öffentlich erreichbare Systeme deiner Firmen-Domain in einem Report — mit Zuordnung zu NIS2 Art. 21 und ISO/IEC 27001 Annex A. Direkt ablagefähig für Audit, ISMS und Lieferantenbewertung.
Quellen: Bundesgesetzblatt, BSI, Fachpresse (Stand 2026)
Was NIS2 und ISO 27001 von dir verlangen
Beide Regelwerke fordern, Risiken nachvollziehbar zu bewerten, auch von außen und auch für Lieferanten. Genau dafür brauchst du belastbare, datierte Nachweise.
Risikoanalyse
NIS2 Art. 21 Abs. 2 lit. a · ISO/IEC 27001 Kap. 6.1.2
Wie sieht deine Organisation von außen aus? Stehst du auf Ransomware-Leakseiten, sind Zugangsdaten geleakt?
Sicherheit der Lieferkette
NIS2 Art. 21 Abs. 2 lit. d · ISO/IEC 27001 A.5.19–A.5.22
Auch die Sicherheit deiner Dienstleister und Zulieferer musst du bewerten und dokumentieren.
Schwachstellenmanagement
NIS2 Art. 21 Abs. 2 lit. e · ISO/IEC 27001 A.8.8
Öffentlich erreichbare Fernwartungs-, Admin- und Testsysteme sind ein klassischer Einstiegspunkt für Angreifer.
Wirksamkeitskontrolle
NIS2 Art. 21 Abs. 2 lit. f · ISO/IEC 27001 Kap. 9.1
Regelmäßig wiederholte, datierte Prüfungen zeigen, ob deine Maßnahmen wirken.
Was der Report für dein Audit liefert
Jeder Domain-Report enthält einen eigenen Nachweis-Abschnitt. Er ordnet jedes Prüfergebnis den passenden Anforderungen zu:
| Prüfbereich | NIS2 Art. 21 Abs. 2 | ISO/IEC 27001:2022 |
|---|---|---|
| Ransomware-Bedrohung | lit. a, lit. b | A.5.7 Threat Intelligence, A.5.24 |
| Datenlecks | lit. a, lit. i, lit. j | A.5.7, A.5.17, A.8.5 |
| Internet-Exposition | lit. e | A.8.8 Schwachstellen, A.8.20 Netzwerke |
| Lieferkette (Lieferanten-Check) | lit. d | A.5.19, A.5.22 |
| Gesamtbewertung | lit. f | 6.1.2 Risikobeurteilung, 9.1 Überwachung |
- Prüfzeitpunkt, geprüfte Domain und Methode — nachvollziehbar für Auditoren
- Verständliche Ampel und konkrete Maßnahmen pro Bereich
- Rein passiv: keine Scans deiner Systeme, kein Zugriff auf DNS oder Server nötig
- PDF sofort zum Download, Rechnung mit USt-IdNr. per E-Mail
Lieferanten prüfen — mit Zustimmung
Lade deinen Lieferanten ein: Er stimmt der Weitergabe zu, du bezahlst erst danach, und ihr bekommt beide denselben Report — inklusive Lieferketten-Bezug für deine NIS2-Dokumentation. Lehnt der Lieferant ab, entstehen keine Kosten.
In drei Schritten zum Nachweis
Domain eingeben
Deine eigene Domain oder die eines Lieferanten. Kein technischer Nachweis nötig.
Bezahlen
49 € zzgl. USt. per Karte, Apple Pay oder Google Pay. Rechnung mit USt-IdNr. automatisch per E-Mail.
Report ablegen
PDF in Minuten — direkt für ISMS, Audit oder Lieferantenakte.
Häufige Fragen zu NIS2, ISO 27001 und dem Domain-Check
›Ersetzt der Report ein NIS2-Audit oder eine ISO-27001-Zertifizierung?
Nein. Der Report ist eine externe, passive Sicherheitsbewertung und damit ein Nachweis-Baustein für Risikoanalyse, Lieferanten- und Schwachstellenmanagement sowie die Wirksamkeitskontrolle. Er ersetzt weder ein Audit noch eine Zertifizierung oder die vollständige Umsetzung der Anforderungen.
›Ist mein Unternehmen von NIS2 betroffen?
Vereinfacht: Unternehmen ab 50 Beschäftigten oder 10 Mio. € Jahresumsatz in einem der 18 erfassten Sektoren. In Deutschland gilt dafür seit dem 06.12.2025 das NIS2-Umsetzungsgesetz. Verbindlich klärt das die Betroffenheitsprüfung des BSI. Auch nicht direkt betroffene Firmen werden oft als Lieferanten von betroffenen Kunden geprüft.
›Brauche ich Zugriff auf DNS, Server oder die IT?
Nein. Du gibst nur die Domain ein. Ausgewertet werden ausschließlich bereits vorliegende, öffentlich bzw. kommerziell zugängliche Daten — es finden keine Scans oder Verbindungsversuche gegen deine Systeme statt.
›Kann ich auch die Domains meiner Lieferanten prüfen?
Ja. Entweder direkt über den Domain-Check oder über den Lieferanten-Check: Dort stimmt der Lieferant der Weitergabe zu, bekommt denselben Report, und der Report enthält zusätzlich den Lieferketten-Bezug.
›Was genau wird geprüft?
Ob die Domain auf Ransomware-Opferlisten steht, ob sie von bekannten Datenlecks betroffen ist und ob auffällige Systeme (z. B. Fernwartung, Admin-Oberflächen, Testsysteme) öffentlich erreichbar sind — zusammengefasst als Ampel mit konkreten Empfehlungen.
›Wie oft sollte ich prüfen?
Für die Wirksamkeitskontrolle empfehlen wir einen festen Rhythmus, z. B. quartalsweise, und zusätzlich nach größeren Änderungen. So entsteht ein datierter Verlauf, den du Auditoren vorlegen kannst.
›Bekomme ich eine Rechnung?
Ja. Du kannst Firmenname und USt-IdNr. angeben und bekommst automatisch eine Rechnung per E-Mail. Für Unternehmen aus dem EU-Ausland mit gültiger USt-IdNr. gilt das Reverse-Charge-Verfahren.
CyberAmpel ist kein Ersatz für ein Audit, eine Zertifizierung oder Rechtsberatung. Die Angaben zu NIS2 und ISO/IEC 27001 dienen der Orientierung.