Referenz · Artikel 21Zuletzt überarbeitet am 05. Mai 2026
Die 21 Maßnahmen, einfach erklärt.
Artikel 21 der Richtlinie (EU) 2022/2555 nennt zehn Kategorien von Maßnahmen zum Cyberrisikomanagement. Wir haben sie in 21 konkrete Prüfpunkte heruntergebrochen, gruppiert nach dem, was Ihr Team tatsächlich liefern muss.
§ 01
Governance
- M.01Informationssicherheits-Leitlinien — auf Vorstandsebene genehmigt
- M.02Rollen, Verantwortlichkeiten und Rechenschaftspflicht formell dokumentiert
- M.03Schulung der Leitungsorgane zu Cybersicherheitsrisiken
- M.04Jährliche unabhängige Überprüfung des Sicherheitsprogramms
§ 02
Risikomanagement
- M.05Risikoanalysemethodik und aktuell gehaltenes Risikoregister
- M.06Asset-Inventar: Informationssysteme und Daten
- M.07Notfall- und Krisenmanagementpläne
- M.08Backups: Wiederherstellungsverfahren erprobt
§ 03
Technische Maßnahmen
- M.09Mehrfaktor-Authentifizierung für alle kritischen Zugänge
- M.10Kryptografie- und Verschlüsselungsrichtlinie
- M.11Netzwerksegmentierung und Zero-Trust-Prinzipien
- M.12Schwachstellenmanagement und Patch-Kadenz
- M.13Endpoint Detection and Response
- M.14Sicherer Software-Entwicklungslebenszyklus
§ 04
Lieferkette
- M.15Sicherheitsbewertungen von Lieferanten
- M.16Sicherheitsklauseln in Verträgen mit kritischen Anbietern
- M.17Laufende Überwachung der Drittparteien-Exposition
§ 05
Vorfallbearbeitung
- M.18Playbooks für Erkennung, Klassifizierung und Eskalation
- M.1924-Stunden-Frühwarnung an das CSIRT
- M.20Vorfallmeldung nach 72 Stunden mit Schweregradbewertung
- M.21Abschlussbericht innerhalb eines Monats
Handeln · Selbstcheck starten§ Handeln
Bereit, das in Zahlen zu fassen?
Nehmen Sie die 21-Punkte-Bewertung vor. Score in zwei Minuten. Sie gehen mit einem priorisierten Maßnahmenplan, vorbereitet für die Vorlage im Aufsichtsorgan.