NIS2: Pflichten, Fristen und praktischer Einstieg

NIS2 ist die EU-Richtlinie über Netz- und Informationssicherheit in der Fassung 2022 (RL (EU) 2022/2555) und ersetzt NIS1. Sie erweitert den Kreis der Betroffenen erheblich und verlangt erstmals einen nachweisbaren Sicherheitsstand – mit persönlicher Verantwortung der Geschäftsleitung.

Wer betroffen ist

NIS2 arbeitet mit Kategorien statt mit einer Liste:\n\nWESENTLICHE EINRICHTUNGEN (important entities / essential)\n  Energie, Verkehr, Bankwesen, Finanzmarkt,\n  Gesundheit, Trinkwasser, Abwasser, digitale\n  Infrastruktur (DNS, Rechenzentren, Cloud, CDN),\n  oeffentliche Verwaltung, Weltraum, IKT-Dienste\n  # Groessenunabhaengig bei besonderer Bedeutung\n\nWICHTIGE EINRICHTUNGEN (important entities)\n  Post, Abfallwirtschaft, Chemie, Lebensmittel,\n  Verarbeitendes Gewerbe, Digitale Dienste,\n  Forschung\n  # Ab 50 Mitarbeitern oder 10 Mio EUR Umsatz\n\nGRUNDREGEL: Ab 50 Beschaeftigten oder 10 Mio EUR\nJahresumsatz in einem betroffenen Sektor.\n  # ACHTUNG: Groessenunabhaengig gelten die Pflichten\n  # fuer besonders wichtige Einrichtungen (z. B.\n  # qualifizierte Vertrauensdienste, DNS-Anbieter,\n  # TLD-Registrare, Internetknoten).\n  # Auch ZULIEFERER koennen indirekt betroffen sein:\n  # Kunden verlangen vertraglich NIS2-Konformitaet.\n\nSELBSTEINSCHAETZUNG ist Pflicht: Betroffene muessen\nsich registrieren (in Deutschland beim BSI).\n  # Frist verpasst = eigenes Vergehen.

Die Pflichten im Kern

1) RISIKOMANAGEMENT (Art. 21)\n   Ein dokumentiertes Managementsystem fuer Sicherheit.\n   Mindestmassnahmen:\n     a) Risikoanalyse und Sicherheitskonzept\n     b) Bewaeltigung von Sicherheitsvorfaellen (IR)\n     c) Betriebskontinuitaet (Backup, Notfallplan, Krisenmanagement)\n     d) Sicherheit der Lieferkette\n     e) Sicherheit bei Beschaffung und Entwicklung\n     f) Bewertung der Wirksamkeit (Tests, Audits)\n     g) Cyberhygiene und Schulung\n     h) Kryptografie und Verschluesselung\n     i) Personalsicherheit, Zugriffskontrolle,\n        Vermoegensverwaltung (Inventar)\n     j) Mehrfaktorauthentifizierung und gesicherte\n        Kommunikation\n   # Die Aufsichtsbehoerde kann die Umsetzung\n   # anordnen und pruefen - nicht nur empfehlen!\n\n2) MELDEPFLICHTEN (Art. 23) - DREI STUFEN\n   Frist 24 Stunden:  Fruehwarnung\n                      "Ein Vorfall ist eingetreten,\n                       Ursache noch unbekannt"\n   Frist 72 Stunden:  Bewertung\n                      Schwere, Auswirkungen, erste\n                      Indikatoren (Angriffsvektor)\n   Frist 1 Monat:     Abschlussbericht\n                      Ursache, Massnahmen, Auswirkungen\n   # Zwischenmeldungen sind also ausdruecklich vorgesehen.\n   # Die 24-Stunden-Frist ist die anspruchsvollste Pflicht\n   # der ganzen Richtlinie - und der Grund, warum\n   # Kontaktwege und Vorlagen VOR dem Vorfall stehen\n   # muessen.\n\n   Wer sonst noch informiert werden muss:\n     - Betroffene (bei erheblicher Auswirkung)\n     - Kunden (wenn Dienst beeintraechtigt)\n     - Gegebenenfalls weitere Behoerden\n\n3) VERANTWORTUNG DER GESCHAEFTSLEITUNG (Art. 20)\n   - Die Leitung muss die Massnahmen GENEHMIGEN\n   - Sie muss an Schulungen teilnehmen (persoenlich!)\n   - Bei Verstoessen: persönliche Haftung moeglich\n   # Das ist die groesste Aenderung gegenueber NIS1:\n   # Sicherheit ist keine Delegationsaufgabe mehr.\n\n4) LIEFERKETTE (Art. 21 Abs. 2 lit. d)\n   Sicherheitsanforderungen an Lieferanten.\n   Vertragliche Regelungen, Bewertung der Risiken.\n   # Praktisch: Man braucht ein Verzeichnis der\n   # Dienstleister und deren Sicherheitsnachweise.\n\n5) NACHWEIS\n   Aufsichtsbehoerden koennen Nachweise verlangen.\n   Ohne Dokumentation gibt es keinen Nachweis.\n   # Deshalb ist "wir machen das schon" im Gespraech\n   # nicht ausreichend.

Praktischer Einstieg

Vorgehen in Stufen - nicht alles gleichzeitig:\n\nSTUFE 1 (Woche 1-2): Betroffenheit und Registrierung\n  - Sind wir im Anwendungsbereich? (Sektor, Groesse)\n  - Registrierung beim BSI nachholen/pruefen\n  - Zuständige Person benennen (Sicherheitsbeauftragter)\n  - Feststellen, was bereits vorhanden ist\n\nSTUFE 2 (Woche 3-8): Grundlagen\n  - Inventar aller Systeme, Anwendungen, Dienste\n    (die Grundlage fuer alles Weitere)\n  - Risikoanalyse (auch informell - siehe Threat Modeling)\n  - Meldeprozess definieren: Wer entscheidet?\n    Wer meldet wem? Kontaktnummern, Vorlagen\n  - Sicherungen pruefen und WIEDERHERSTELLUNG TESTEN\n  - Zugriffskontrolle und Mehrfaktorauthentifizierung\n    fuer alle Administration zugaenge\n  # Diese Punkte sind die wirksamsten und der\n  # grossteils schon Teil guter Praxis.\n\nSTUFE 3 (Woche 9-16): Ausbau\n  - Notfallplan und Krisenmanagement\n  - Lieferantenverzeichnis und Anforderungen\n  - Schulung (auch der Leitung!)\n  - Verwundbarkeitsmanagement etablieren\n  - Protokollierung und Erkennung (zentrale Protokollablage!)\n  # Ohne Erkennung kann die 24-Stunden-Meldung nicht\n  # ausgeloest werden - man merkt den Vorfall nicht.\n\nSTUFE 4 (laufend): Nachweis und Verbesserung\n  - Dokumentation pflegen\n  - Jaehrliche Uebung (Vorfall durchspielen)\n  - Wirksamkeit bewerten\n  - Managementpruefung mit Nachweisen\n\nHAEUFIGE FALLE: Man beginnt mit dem Dokument\n  (Sicherheitsleitlinie, 40 Seiten) und hat danach\n  keine Zeit mehr fuer die Technik.\n  Besser: Erst die wirksamen technischen Massnahmen,\n  dann dokumentieren. Sicherheit entsteht nicht\n  durch Dokumente, aber der Nachweis braucht\n  Dokumente.

Verhältnis zu anderen Regelwerken

NIS2      EU-Richtlinie, in nationales Recht umgesetzt\n          (in Deutschland NIS2-Umsetzungsgesetz / BSIG-Novelle)\n          -> Sicherheitsstand fuer kritische/wichtige Sektoren\nISO 27001 Internationale Norm fuer Managementsysteme\n          -> Nachweis nach aussen, freiwillig\nBSI IT-Grundschutz\n          -> Konkreter Baukasten mit Massnahmenkatalogen,\n             sehr gut als Umsetzungsweg fuer die\n             NIS2-Anforderungen\nDSGVO     Schutz personenbezogener Daten\n          -> Ueberlappt bei technischen Massnahmen\n             (Verschluesselung, Zugriff, Loeschung)\n\nGUTE NACHRICHT: Die Regelwerke verlangen zu 70-80 %\n  dasselbe:\n    Inventar, Risikoanalyse, Zugriffskontrolle,\n    Verschluesselung, Sicherungen (getestet!),\n    Protokollierung, Vorfallbehandlung, Schulung.\n  Wer die Grundlagen ordentlich macht, erfuellt\n  einen Grossteil aller drei.\n  # Man muss nicht drei Systeme parallel betreiben.\n  # Ein Massnahmenkatalog mit Zuordnung ("erfuellt\n  # ISO 27001 A.8.7 und NIS2 Art. 21(2)(c)") reicht.

Prüfliste

Ist die Betroffenheit nach NIS2 geprüft und dokumentiert?
Ist die Registrierung erfolgt (bzw. der Termin bekannt)?
Gibt es einen benannten Sicherheitsbeauftragten mit Zeitbudget?
Existiert ein Inventar aller Systeme (ohne das ist nichts nachweisbar)?
Ist ein Meldeprozess mit 24-Stunden-Frist geübt (nicht nur beschrieben)?
Sind die Kontaktwege zur Aufsichtsbehörde und innerhalb des Unternehmens aktuell?
Ist die Wiederherstellung aus Sicherungen getestet?
Ist Mehrfaktorauthentifizierung für alle Administration-Zugänge aktiv?
Werden Sicherheitsvorfälle erkannt (zentrale Protokollierung, Alarme)?
Ist die Geschäftsleitung geschult und hat sie die Maßnahmen genehmigt?
Gibt es ein Verzeichnis der Dienstleister mit Sicherheitsanforderungen?
Wurde in den letzten 12 Monaten ein Vorfall durchgespielt?

Häufige Fehler

Betroffenheit verneint, ohne zu prüfen. Die Größenschwellen sind niedrig (50 Mitarbeiter / 10 Mio). Auch Zulieferer sind betroffen, weil Kunden es vertraglich verlangen.
Mit dem Dokument angefangen. 40 Seiten Leitlinie, aber keine zentrale Protokollablage und ungetestete Sicherungen. Die Reihenfolge ist falsch.
24-Stunden-Frist nicht geübt. Im Ernstfall braucht die Entscheidung, wer meldet, länger als das Zeitfenster.
Vorfälle werden nicht erkannt. Die Meldepflicht ist wertlos, wenn niemand den Vorfall bemerkt. Erkennung ist die Voraussetzung.
Lieferanten übersehen. Cloud, Wartung, Mailversand, Statistik: Jeder mit Zugriff auf Systeme oder Daten gehört in das Verzeichnis.
Geschäftsleitung nicht einbezogen. Ohne Genehmigung und Schulung fehlt ein Kernnachweis – und die Haftung liegt dort.
Ungetestete Sicherung. Der häufigste Befund bei echten Vorfällen. Eine Sicherung, deren Wiederherstellung nie geprüft wurde, ist eine Annahme.
Nur Technik, keine Organisation. Notfallplan, Zuständigkeiten, Krisenkommunikation sind genauso Teil der Anforderungen.
Zertifikat mit Konformität verwechselt. Ein Zertifikat ist ein Nachweis, keine Garantie. Die Wirksamkeit ändert sich durch Papier nicht.

Verwandte Grundlagen: ISO 27001, DSGVO-Grundlagen, Schwachstellenmanagement, Vorfallbehandlung.

IT-Sicherheit