Wird die Wirksamkeit der Sicherheitsmaßnahmen regelmäßig überprüft?

Überprüfung ist Teil der Maßnahme selbst, kein separates Kästchen

Ja, in den meisten Fällen — aber nicht als eigenständige Frage, denn Artikel 21 Absatz 2 NIS2 formuliert es als Merkmal von Richtlinien und Verfahren, nicht als separate Überprüfungspflicht. Bei Punkt (a), der Richtlinie zur Risikoanalyse und zum Schutz von Informationssystemen, und bei Punkt (b), der Incident-Behandlung, gehört die regelmäßige Bewertung zu dem, was "angemessen" normalerweise bedeutet. Wer nachweisen kann, dass Maßnahmen regelmäßig überprüft werden — nach einem Incident, nach einem Pentest, nach einer Audit-Feststellung — erfüllt das, was der Kunde mit dieser Frage eigentlich sehen möchte: ein funktionierendes Managementsystem, nicht einen Schnappschuss aus einem einzelnen Dokumentationspapier.

Wenn das Unternehmen ISO 27001-zertifiziert ist, ist dies normalerweise das einfachste Nachweismittel: die Norm selbst verlangt interne Audits und eine Management Review, und diese Unterlagen zeigen direkt, dass Überprüfung stattfindet. Ohne Zertifikat kann das Gleiche mit einem Pentest-Bericht, einem Bericht einer internen Bewertung oder Notizen nachgewiesen werden, in denen Sicherheitsmaßnahmen erörtert und angepasst wurden. Fehlt aller dieser Nachweis, dann ist "nein" oder "in Entwicklung" eine ehrlichere Antwort als ein Ja ohne Unterlagen — besonders weil diese Frage oft zusammen mit der nach Richtlinie zur Risikoanalysegestellt wird, und eine Inkonsistenz zwischen den beiden Antworten fällt einem Kunden auf, der beide liest.

Wo das in der Richtlinie steht: Artikel 21 Absatz 2

Artikel 21 Absatz 2 NIS2 nennt zehn Kategorien von Maßnahmen, die "angemessen und verhältnismäßig" sein müssen, und die Begründung zur Richtlinie verknüpft Verhältnismäßigkeit mit einem kontinuierlichen Risikobewertungsprozess — nicht mit einer einmaligen Implementierung. Eine explizite separate Verpflichtung zur "regelmäßigen Überprüfung der Wirksamkeit" als separater Absatz gibt es nicht; sie ergibt sich aus der Kombination von Punkt (a) Risikoanalyse-Richtlinie und Punkt (b) Incident-Behandlung, wobei Lektionen aus Incidents und regelmäßige Risikobewertungen logischerweise zur Überprüfung von Maßnahmen führen. Für den genauen Text ist die authentische Richtlinie die Fundstelle, auf die man sich beziehen kann.