NIS2 umsetzen: Betroffenheit, Leitungspflichten und Nachweise

Die Vorbereitung auf NIS2 beginnt mit einer dokumentierten Entscheidung zur Anwendbarkeit. Sektor, Dienst, Unternehmensgröße, Niederlassung und besondere Einbeziehungsregeln können jeweils eine Rolle spielen. Der Fragebogen eines Kunden liefert nützlichen Kontext, bestimmt aber nicht Ihren rechtlichen Status. Ebenso wenig belegt ein Sicherheitszertifikat, dass jede relevante Einrichtung, jeder Dienst und jede Meldepflicht abgedeckt ist.

Für eine Geschäftsführung bedeutet Vorbereitung, erklären zu können, was die Leitung genehmigt hat, warum die Maßnahmen angemessen sind, wer sie umsetzt und wie ihre Wirksamkeit bewertet wird. Sie bedeutet auch sicherzustellen, dass die Organisation einen erheblichen Sicherheitsvorfall melden kann, während die Informationen noch unvollständig sind und der normale Betrieb gestört ist.

Die praktische Aufgabe besteht darin, rechtlichen Geltungsbereich, Risiken der Dienste, Umsetzungsprioritäten und geprüfte Nachweise miteinander zu verbinden. Diese Verbindung gibt der Leitung eine Grundlage für Entscheidungen über Investitionen, betriebliche Unterbrechungen, Lieferanten und offene Risiken.

Klären, welche Einrichtungen und Dienste erfasst sind

Die NIS-2-Richtlinie legt ein EU-weites Mindestniveau für Cybersicherheit in bestimmten Tätigkeitsbereichen fest. Die Artikel 2 und 3 bestimmen zusammen mit den Anhängen ihren Anwendungsbereich und ihre Einstufungssystematik. Die nationalen Umsetzungsgesetze liefern die vor Ort geltenden Pflichten und Verfahren.

Bewerten Sie jede relevante juristische Person, statt den Konzernnamen als regulatorische Grenze zu behandeln. Die Tätigkeiten einer Tochtergesellschaft, Beteiligungsverhältnisse und Niederlassungsorte können das Ergebnis verändern. Die Leitung sollte eine dokumentierte Schlussfolgerung, die zugrunde liegenden Fakten und eine verantwortliche Person für offene Fragen verlangen.

Tätigkeiten den aufgeführten Arten von Einrichtungen zuordnen

Anhang I umfasst Sektoren wie Energie, Verkehr, Gesundheitswesen, Wasser, Finanzdienstleistungen, digitale Infrastruktur, Verwaltung von IKT-Diensten, öffentliche Verwaltung und Weltraum. Anhang II erweitert die Erfassung auf Bereiche wie Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, bestimmte Tätigkeiten des verarbeitenden Gewerbes, Anbieter digitaler Dienste und Forschung.

Die Sektorüberschrift ist nur der Ausgangspunkt. Lesen Sie die Arten von Einrichtungen und Tätigkeiten innerhalb des jeweiligen Eintrags. Das verarbeitende Gewerbe ist keine pauschale Einbeziehungskategorie, und der Verkauf von Software macht ein Unternehmen nicht automatisch zu einem Cloud-Anbieter oder Managed Service Provider.

Beschreiben Sie, was die Einrichtung tatsächlich erbringt: den Dienst, seine Empfänger, wie er betrieben wird und ob dabei Kundensysteme administriert werden. Handelsregisterangaben und Wirtschaftszweigschlüssel oder Beschreibungen auf der Website können diese Analyse stützen, sollten sie aber nicht ersetzen.

So sind etwa der Verkauf einer lizenzierten Anwendung und der Betrieb der Informationssysteme eines Kunden unterschiedliche Tätigkeiten. Ein Unternehmen, das sich als Beratung bezeichnet, kann dennoch eine laufende Administration erbringen, die anhand der Definitionen für verwaltete Dienste zu prüfen ist. Klären Sie solche Fragen, bevor Sie den Compliance-Geltungsbereich festlegen.

Größe nach den anwendbaren Regeln berechnen

Artikel 2 verwendet die EU-Definition der Unternehmensgröße. Als grobe Faustregel für eine erste Einschätzung liegt die allgemeine Einbeziehungsschwelle bei 50 oder mehr Beschäftigten oder bei einem Jahresumsatz und einer Jahresbilanzsumme von jeweils über 10 Mio. EUR. Vereinfacht gesagt liegt eine Überschreitung der Obergrenzen für mittlere Unternehmen bei mindestens 250 Beschäftigten vor oder bei einem Umsatz von über 50 Mio. EUR zusammen mit einer Bilanzsumme von über 43 Mio. EUR.

Diese Zahlen ersetzen nicht die vollständige Berechnung. Maßgebliche Rechnungslegungszeiträume, die Methodik der Mitarbeiterzählung sowie Partner- oder verbundene Unternehmen können das Ergebnis beeinflussen. Eine vor Ort kleine Tochtergesellschaft kann einen Schwellenwert überschreiten, sobald die maßgeblichen Beteiligungsverhältnisse berücksichtigt werden.

Bewahren Sie die Berechnung, die zugrunde liegenden Zahlen und die Begründung zu den Konzernbeziehungen auf. Vermeiden Sie es, nur „mittleres Unternehmen“ zu vermerken, ohne zu erläutern, wie diese Schlussfolgerung zustande kam. Der Umsatz allein ist nicht die vollständige finanzielle Alternative zur Beschäftigtenzahl.

Liegt die Größe nahe an einer Grenze oder sind die Beteiligungsverhältnisse komplex, geben Sie eine gezielte rechtliche Prüfung in Auftrag. Die Kosten für die Klärung dieser Unsicherheit sollten als Teil der Festlegung der betrieblichen Anforderungen betrachtet werden, statt sie aufzuschieben, bis eine Behörde oder ein Kunde die Schlussfolgerung infrage stellt.

Besondere Einbeziehungs- und Einstufungsregeln prüfen

Manche Dienstkategorien können unabhängig von der Größe erfasst sein. Artikel 2 behandelt bestimmte Kommunikations-, Vertrauens-, DNS- und Top-Level-Domain-Tätigkeiten, bestimmte Einrichtungen der öffentlichen Verwaltung sowie Einrichtungen, die nach dem einschlägigen EU-Rahmen als kritisch eingestuft sind. Auch eine nationale Bestimmung kann Einrichtungen wegen ihrer gesellschaftlichen Bedeutung oder der Folgen einer Störung in den Anwendungsbereich bringen.

Artikel 3 bestimmt anschließend, ob eine erfasste Einrichtung wesentlich oder wichtig ist. Große Einrichtungen nach Anhang I bilden eine bedeutende Kategorie wesentlicher Einrichtungen, doch der Artikel enthält weitere dienstspezifische und Bestimmungsregeln. Ein mittleres Unternehmen nach Anhang I ist nicht automatisch wesentlich; die Anhänge sind nicht einfach zwei Listen von Aufsichtsstufen.

Beide Einstufungen bringen die zentralen Pflichten zum Cybersicherheits-Risikomanagement und zur Meldung erheblicher Sicherheitsvorfälle mit sich. Der Status als wichtige Einrichtung ändert das Aufsichtsmodell; er hebt die Notwendigkeit wirksamer Maßnahmen nicht auf.

Unmittelbare rechtliche Erfassung und Kundenanforderungen sollten getrennt dokumentiert werden. Ein kleinerer Lieferant kann außerhalb des unmittelbaren Anwendungsbereichs liegen und dennoch erheblichen vertraglichen Sicherheitspflichten unterliegen. Umgekehrt ist ein Kundenfragebogen mit der Aussage „NIS2 gilt“ keine maßgebliche Einstufungsentscheidung.

Eine belastbare Dokumentation des Geltungsbereichs sollte Folgendes enthalten:

• Die juristische Person und ihre tatsächlichen Dienste.
• Einschlägige Einträge in den Anhängen oder besondere Einbeziehungsgründe.
• Die Größenberechnung und die maßgeblichen Beteiligungsverhältnisse.
• Die Einstufung als wesentlich oder wichtig, mit Begründung.
• Niederlassungsorte und die Analyse der Zuständigkeit.
• Anwendbare nationale Vorschriften, prüfende Person, Genehmigungsdatum und offene Fragen.

Anlässe für eine Neubewertung sollten Übernahmen, neue Dienste, wesentliche Größenveränderungen und Gesetzesentwicklungen umfassen. Eine Entscheidung, nicht betroffen zu sein, kann zum Zeitpunkt ihrer Erstellung richtig sein und später veralten.

Das EU-Mindestniveau in nationale Pflichten übersetzen

NIS2 ist eine Richtlinie, die durch nationales Recht umgesetzt wird. Die Mitgliedstaaten hatten eine EU-Umsetzungsfrist bis zum 17. Oktober 2024, und die Umsetzungsmaßnahmen sollten ab dem 18. Oktober 2024 gelten. Diese Daten sagen einem einzelnen Unternehmen nicht, welche nationale Registrierungsfrist derzeit für es gilt oder welches Verfahren es nutzen muss.

Legen Sie für jede relevante Einrichtung und jedes Land ein Pflichtenregister an. Erfassen Sie die anwendbaren Rechtsvorschriften, die zuständige Behörde, das Registrierungsverfahren, den Meldeweg, sektorspezifische Bestimmungen und die intern verantwortliche Person. Unterscheiden Sie eine gesetzliche Anforderung von behördlichen Empfehlungen oder einer internen Umsetzungsempfehlung.

Zuständigkeit klären, bevor Sie einen Meldeweg wählen

Artikel 26 knüpft die Zuständigkeit grundsätzlich an die Niederlassung, für bestimmte Dienste gelten jedoch andere Regeln. Anbieter öffentlicher elektronischer Kommunikationsdienste werden dort beaufsichtigt, wo sie die betreffenden Dienste erbringen. Bestimmte digitale Anbieter folgen dem Ansatz der Hauptniederlassung, darunter Cloud-Dienste, Rechenzentren, Content-Delivery-Netzwerke, verwaltete Dienste, verwaltete Sicherheitsdienste sowie bestimmte Online-Plattformen und domainbezogene Unternehmen.

Prüfen Sie für die Bestimmung der Hauptniederlassung, wo in der Union die Entscheidungen zum Cybersicherheits-Risikomanagement überwiegend getroffen werden. Lässt sich dieser Ort nicht bestimmen oder werden diese Entscheidungen nicht in der Union getroffen, prüfen Sie, wo in der Union die Cybersicherheitsmaßnahmen durchgeführt werden; lässt sich auch das nicht bestimmen, ist die Niederlassung in der Union mit der höchsten Beschäftigtenzahl maßgeblich. Der eingetragene Sitz einer Holdinggesellschaft kann daher unzureichend sein.

Bestimmte Anbieter, die Dienste in der Union ohne Niederlassung in der EU anbieten, müssen einen Vertreter in der EU benennen. Ein ausländischer Hauptsitz ist keine automatische Ausnahme, doch europäische Kunden bringen auch nicht automatisch jedes Unternehmen außerhalb der EU in den Anwendungsbereich. Art des Dienstes und weitere Anwendbarkeitsvoraussetzungen spielen weiterhin eine Rolle.

Dokumentieren Sie Registrierungs- und Informationspflichten getrennt vom Sicherheitsprogramm. Bewahren Sie Eingangsbestätigungen auf, halten Sie Kontaktdaten aktuell und legen Sie fest, wer für Aktualisierungen verantwortlich ist. Ist die Registrierung überfällig, klären Sie das aktuelle Verfahren der Behörde und handeln Sie zügig. Eine abgeschlossene Registrierung belegt nicht die Umsetzung der Sicherheitsmaßnahmen.

KRITIS- und sektorspezifische Pflichten auseinanderhalten

Prüfen Sie für Tätigkeiten in Deutschland die KRITIS-Anforderungen zusätzlich zu den anwendbaren NIS2-Umsetzungsvorschriften. Die beiden Regelwerke überschneiden sich, sind aber nicht identisch. Eine Erfassung durch NIS2 macht nicht automatisch jede Anlage zu einer kritischen Anlage, und ein etabliertes KRITIS-Programm erfüllt nicht automatisch jede NIS2-Pflicht.

Führen Sie getrennte Aufzeichnungen für die Einstufung der Einrichtung, kritische Anlagen und zusätzliche Pflichten. Nutzen Sie die NIS-2-Informationen des BSI für das aktuelle nationale Verfahren, statt sich auf ältere Fristankündigungen zu verlassen.

Artikel 4 behandelt zudem gleichwertige sektorspezifische EU-Anforderungen. Für erfasste Finanzunternehmen kann die DORA-Verordnung die betreffenden Bereiche regeln. Bestimmen Sie, welche Pflichten für die konkrete Einrichtung und den konkreten Dienst gelten, statt standardmäßig doppelte Meldewege zu unterhalten.

Einen Plan aufstellen, für den die Leitung verantwortlich ist

Artikel 20 weist die Billigung und die Überwachung der Umsetzung den Leitungsorganen wesentlicher und wichtiger Einrichtungen zu. Er sieht außerdem eine Haftung für Verstöße gegen Artikel 21 vor; die rechtlichen Folgen hängen vom nationalen Recht und von der Rechtsform der Einrichtung ab.

Die Umsetzung kann an Sicherheit, IT, Betrieb, Einkauf und andere Teams delegiert werden. Die Delegation sollte eine sichtbare Aufsicht durch die Leitung erhalten. Die Rolle der Geschäftsführung besteht nicht darin, Systeme zu konfigurieren, sondern sicherzustellen, dass wesentliche Risiken der Dienste fundierte Entscheidungen, Ressourcen und konsequente Nachverfolgung erhalten.

Entscheidungen genehmigen, nicht nur Dokumente

Eine Entscheidungsvorlage sollte die Risikobewertung mit einem umsetzbaren Plan verbinden. Nehmen Sie die erfassten Dienste, die wichtigsten Störungsszenarien, vorgeschlagene Maßnahmen, Alternativen, Abhängigkeiten in der Umsetzung, Personalbedarf, Meilensteine und die erwarteten Nachweise auf.

Dokumentieren Sie für jede Pflicht die Umsetzung, die verantwortliche Person, den Nachweis, die Lücke und die nächste Entscheidung. So lässt sich eine genehmigte Absicht von einer tatsächlich vorhandenen Fähigkeit unterscheiden. Außerdem werden Maßnahmen sichtbar, für die niemand verantwortlich ist oder die von Ressourcen abhängen, die nie zugewiesen wurden.

Protokolle der Leitung sollten die Entscheidung und ihre Grundlage erläutern. Wird beispielsweise eine Investition in die Wiederherstellung genehmigt, sollte festgehalten werden, welche Dienstunterbrechung sie adressiert, welches Wiederherstellungsergebnis erwartet wird und welche betrieblichen Einschränkungen bestehen. Eine Unterschrift unter einer Richtlinie erklärt nicht, ob die Leitung das dahinterliegende Umsetzungsproblem berücksichtigt hat.

Budgetgespräche sollten interne Kapazitäten und Betriebsunterbrechungen einbeziehen, nicht nur Softwareausgaben. Eine Netzwerkänderung kann eine Produktionsunterbrechung erfordern; eine Lieferantenprüfung kann rechtliche Verhandlungen nötig machen; ein Wiederherstellungstest kann eine isolierte Umgebung und Betriebspersonal erfordern.

Die Risikoakzeptanz verdient besondere Sorgfalt. Sie kann eine Behandlungsentscheidung innerhalb eines Risikomanagementprozesses dokumentieren, aber keine gesetzliche Anforderung außer Kraft setzen. Wo eine Ausnahme mit einer Pflicht kollidieren könnte, holen Sie eine rechtliche Auslegung ein, legen Sie einen vorläufigen Schutz fest und halten Sie das ungelöste Problem sichtbar.

Umsetzungsfortschritt von der Wirksamkeit der Maßnahmen trennen

Ein Projekt kann die Einführung einer Maßnahme abschließen, ohne den beabsichtigten Schutz zu erreichen. Das Reporting an die Leitung sollte beides beantworten: ob die genehmigte Arbeit abgeschlossen ist und ob sie im gesamten relevanten Dienstumfang funktioniert.

Legen Sie einen Prüfrhythmus fest, der dem Programm angemessen ist. Vierteljährliche Managementbewertungen können für einen stabilen Betrieb praktikabel sein, mit häufigeren Bewertungen während der Umsetzung. Das ist eine Empfehlung, keine allgemeingültige Frequenz, die Artikel 20 vorschreibt.

Legen Sie die Eskalation zwischen den Sitzungen fest. Ein fehlgeschlagener Wiederherstellungstest, ein kompromittiertes privilegiertes Konto oder eine neu erkannte kritische Abhängigkeit sollten nicht bis zur nächsten planmäßigen Präsentation warten.

Schulungen der Leitung auf Entscheidungen ausrichten

Artikel 20 verlangt, dass die Mitglieder der Leitungsorgane an Schulungen teilnehmen, die ausreichen, um Risiken zu erkennen, Risikomanagementpraktiken zu bewerten und die Auswirkungen auf die Dienste zu verstehen. Er legt keine allgemeingültige Kursdauer und kein Auffrischungsintervall fest.

Die Schulung sollte die Erheblichkeit von Sicherheitsvorfällen, Zielkonflikte bei der Wiederherstellung, Lieferantenkonzentration, Grenzen von Nachweisen und Entscheidungen unter Unsicherheit behandeln. Nehmen Sie ein Szenario auf, in dem die Leitung eine Meldung freigeben, den Betrieb einschränken oder eine dringende Behandlung finanzieren muss.

Bewahren Sie Daten, Teilnehmende, Inhalte und Folgemaßnahmen auf. Auch die Schulung der Beschäftigten wird in Artikel 21 behandelt, doch Sensibilisierungsveranstaltungen für Mitarbeitende ersetzen nicht die eigene Schulung der Leitung. Die Leitung sollte Aussagen zur Prüfsicherheit hinterfragen können, ohne selbst technische Fachkraft werden zu müssen.

Artikel 21 in Maßnahmen auf Dienstebene übersetzen

Artikel 21 verlangt verhältnismäßige technische, operative und organisatorische Schutzmaßnahmen. Die Verhältnismäßigkeitsprüfung berücksichtigt die Risikoexposition, die Größe der Organisation, die Umsetzungskosten sowie die Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen einschließlich ihrer gesellschaftlichen und wirtschaftlichen Auswirkungen.

Der geforderte Ansatz umfasst Gefahren über böswillige Cyberaktivitäten hinaus. Stromausfall, Überschwemmung, physisches Eindringen, nicht verfügbares Personal und gestörte Telekommunikation können denselben Dienst gefährden.

Die folgenden Umsetzungsbeispiele sind praktische Empfehlungen. Sie erläutern die zehn Themenbereiche, ohne jeder Einrichtung ein identisches technisches Design vorzuschreiben. Für bestimmte digitale Dienste gelten zusätzlich detailliertere EU-Durchführungsanforderungen; prüfen Sie deren Anwendbarkeit, bevor Sie sich allein auf eine allgemeine Checkliste verlassen.

Risikoanalyse und Sicherheitskonzepte für Informationssysteme

Beginnen Sie mit dem Dienst: was weiterlaufen muss, wer davon abhängt und was eine Störung bedeuten würde. Erfassen Sie die unterstützenden Systeme, Standorte, Personen und externen Anbieter, bevor Sie Risikobewertungen vergeben.

Verwenden Sie Auswirkungskriterien, die finanzielle Verluste von Sicherheit für Leib und Leben, Schäden bei den Empfängern des Dienstes und weitergehenden Störungen unterscheiden. Dokumentieren Sie Szenarien, bestehende Schutzmaßnahmen, vorgeschlagene Behandlungen, Restrisiken und Anlässe für eine Neubewertung. Eine generische Liste von Cyberbedrohungen ist weniger hilfreich als die Erklärung, wie eine bestimmte Abhängigkeit den Dienst unterbrechen kann.

Das Ergebnis ist eine Risikobewertung, die Entscheidungen unterstützt, und Richtlinien, die beschreiben, wie diese Entscheidungen zu betrieblichen Anforderungen werden.

Bewältigung von Sicherheitsvorfällen

Legen Sie Erkennung, Triage, Eskalation, Eindämmung, Untersuchung, Koordination der Wiederherstellung und Abschluss fest. Benennen Sie eine koordinierende Person mit Stellvertretungen und geben Sie den Einsatzkräften nutzbare Verfahren für wahrscheinliche Vorfälle an die Hand.

Operative Schwere und gesetzliche Erheblichkeit hängen zusammen, sind aber verschieden. Ein dringender technischer Vorfall kann eine Eindämmung erfordern, bevor die rechtliche Meldepflicht geklärt ist. Der Prozess muss beide Tätigkeiten unterstützen, ohne dass die eine die andere blockiert.

Bewahren Sie Zeitabläufe von Vorfällen, Entscheidungen, relevante Nachweise und Korrekturmaßnahmen auf. Prüfen Sie, ob vereinbarte Verbesserungen umgesetzt wurden; ein Lessons-Learned-Dokument ohne Nachverfolgung bietet nur geringe Sicherheit.

Aufrechterhaltung des Betriebs, Backup-Management, Wiederherstellung und Krisenmanagement

Nutzen Sie eine Business-Impact-Analyse, um wesentliche Tätigkeiten und vertretbare Ausfallzeiten zu ermitteln. Vereinbaren Sie Wiederanlaufzeiten (Recovery Time Objectives) und maximal tolerierbare Datenverluste (Recovery Point Objectives) mit den Verantwortlichen der Dienste. Ersteres betrifft die Zeit bis zur Wiederherstellung, Letzteres den hinnehmbaren Datenverlust.

Aufzeichnungen über abgeschlossene Backups sind nützlich, belegen aber nicht, dass ein Dienst wiederhergestellt werden kann. Testen Sie die Wiederherstellung, die unterstützenden Identitäten, Schlüssel, Schnittstellen und nutzbare Daten. Prüfen Sie, ob die wiederhergestellten Systeme den tatsächlichen Geschäftsablauf tragen können.

Krisenregelungen sollten neben der technischen Wiederherstellung auch operative Entscheidungen und Kommunikation abdecken. Dokumentieren Sie Testergebnisse, verfehlte Ziele, Maßnahmen und Entscheidungen der Leitung über das verbleibende Risiko.

Lieferantenbeziehungen

Ermitteln Sie die direkten Lieferanten, deren Ausfall oder Kompromittierung den Dienst wesentlich beeinträchtigen könnte. Berücksichtigen Sie administrative Zugriffe, sensible Informationen, Softwareabhängigkeiten und Verfügbarkeit.

Bewerten Sie die Sicherheitsrelevanz der tatsächlichen Beziehung, einschließlich lieferantenspezifischer Schwachstellen sowie Produkt- und Entwicklungspraktiken. Verknüpfen Sie die Feststellungen mit Zugriffskontrollen, vertraglichen Regelungen, Notfallvorkehrungen und Anlässen für eine erneute Prüfung.

Ein Lieferantenzertifikat kann die Bewertung stützen. Es deckt nicht automatisch den von Ihnen bezogenen Dienst, dessen Konfiguration oder Ihre Verantwortlichkeiten bei der Integration ab.

Erwerb, Entwicklung, Wartung und Schwachstellen

Legen Sie Sicherheitsabnahmekriterien für Beschaffungen und neue Systeme fest. Definieren Sie Verantwortlichkeiten für sichere Entwicklung, Konfiguration, Änderungen, Wartung, Updates und eingehende Schwachstellenmeldungen.

Verfolgen Sie wesentliche Schwachstellen über Bewertung, Behandlung, Ausnahmebehandlung und Verifizierung. Die Prioritäten bei der Behebung sollten das Ausnutzungspotenzial und die Folgen für den Dienst widerspiegeln, nicht nur eine numerische Schweregradbewertung.

Betriebstechnik (OT) kann vor dem Patchen eine Freigabe durch den Hersteller und geplante Stillstände erfordern. Dokumentieren Sie vorläufige Schutzmaßnahmen und den Zeitplan für die Behandlung. „Kann nicht gepatcht werden“ ist eine zu steuernde Einschränkung, keine vollständige Risikoentscheidung.

Bewertung der Wirksamkeit

Legen Sie für wichtige Maßnahmen fest, welche Frage der Test beantworten muss. Eine Zugriffsüberprüfung prüft die Berechtigung; eine Wiederherstellungsübung prüft die Wiederherstellung; eine Vorfallsimulation prüft Koordination und Entscheidungsfindung.

Dokumentieren Sie den getesteten Umfang, das erwartete Ergebnis, die Methode, die prüfende Person, die Feststellungen und die Reaktion auf ein Fehlschlagen. Setzen Sie unabhängige Prüfungen ein, wo sie einen Mehrwert bieten oder anwendbare Vorschriften sie verlangen.

Artikel 21 fordert eine Bewertung der Wirksamkeit, schreibt aber nicht jeder erfassten Organisation eine bestimmte Häufigkeit von Penetrationstests vor. Tests sollten dem Bedarf an Prüfsicherheit und etwaigen einschlägigen Detailanforderungen entsprechen.

Cyberhygiene und Schulung der Beschäftigten

Geben Sie den Beschäftigten praktische Anweisungen zum Melden verdächtiger Aktivitäten, zum Schutz von Zugangsdaten, zum Umgang mit Informationen und zum sicheren Arbeiten. Ergänzen Sie rollenspezifische Inhalte für Entwicklung, Administration, Einkauf und Einsatzteams.

Die Teilnahme an Schulungen zeigt Anwesenheit, nicht unbedingt die Fähigkeit zu handeln. Übungen und beobachtetes Verhalten können unklare Anweisungen oder schwache Eskalationswege aufdecken.

Nutzen Sie die Erkenntnisse, um Verfahren zu verbessern. Wenn Beschäftigte verdächtige Nachrichten korrekt melden, das empfangende Team aber langsam reagiert, wird eine Wiederholung derselben Sensibilisierungsschulung das eigentliche Problem nicht lösen.

Kryptografie

Legen Sie fest, welche Informationen und Abläufe kryptografischen Schutz benötigen, einschließlich relevanter Daten bei der Übertragung und im Ruhezustand. Klären Sie die Verantwortung für Schlüssel und Zertifikate, Erneuerung, Widerruf, Zugriff und Wiederherstellung.

Nachweise sollten Konfigurationsentscheidungen und Regelungen zur Schlüsselverwaltung umfassen, nicht nur die Behauptung, dass Verschlüsselung vorhanden ist. Der Schutz kann versagen, wenn verschlüsselte Backups von nicht verfügbaren Schlüsseln abhängen oder der Zugriff auf Schlüssel nicht angemessen beschränkt ist.

Führen Sie begründete Ausnahmen und überprüfen Sie sie, wenn sich Systeme oder Risiken ändern. Behandeln Sie eine pauschale Aussage wie „alles ist verschlüsselt“ nicht als ausreichende Sicherheit.

Personal, Zugriff und Assets

Verknüpfen Sie Einstellungen, Rollenwechsel und Austritte mit Zugriffsentscheidungen. Ermitteln Sie fachliche Verantwortliche, Administratoren, externe Konten, Dienstidentitäten und relevante Assets.

Überprüfen Sie privilegierte Zugriffe und entfernen Sie Berechtigungen, die nicht mehr gerechtfertigt sind. Beziehen Sie gemeinsam genutzte oder nicht-menschliche Konten in die Bewertung ein, statt sie auf Benutzerlisten der Beschäftigten zu beschränken.

Nachweise können genehmigte Anträge, Stichproben aus Offboarding-Aufzeichnungen, abgeschlossene Zugriffsüberprüfungen und aufgelöste Ausnahmen umfassen. Ein Asset-Inventar sollte Verantwortlichkeiten und Abhängigkeiten der Dienste erklären, nicht bloß Geräte zählen.

Authentifizierung und gesicherte Kommunikation

Artikel 21 behandelt stärkere Authentifizierung und geschützte Kommunikation einschließlich Notfallkommunikation, jeweils mit dem Vorbehalt der Angemessenheit.

Prüfen Sie als praktische Priorität privilegierte und Fernzugriffe auf kritische Dienste. Ermitteln Sie Einschränkungen von Altsystemen und bewerten Sie schützende Alternativen, statt anzunehmen, dass jedes System denselben Mechanismus unterstützt.

Testen Sie auch die Krisenkommunikation für den Fall, dass gewöhnliche E-Mail, Kollaborationswerkzeuge oder Identitätsdienste nicht verfügbar sind. Ein Notfallverfahren, das vollständig von der ausgefallenen Plattform abhängt, kann gerade dann unbrauchbar sein, wenn es gebraucht wird.

Entscheidungen zu kritischen Lieferanten ausdrücklich treffen

Die Sicherheit der Lieferkette wird oft zu einem Thema für die Leitung, weil der Einkauf nicht jede Abhängigkeit mit einem Fragebogen beseitigen kann. Beginnen Sie mit der Folge eines Ausfalls: Kann dieser Lieferant die Leistungserbringung unterbrechen, unautorisierte Änderungen einbringen, Informationen offenlegen oder die Wiederherstellung verhindern?

Dokumentieren Sie für kritische direkte Lieferanten den unterstützten Dienst, die gewährten Zugriffe, die für die Bewertung verantwortliche Person, die geprüften Nachweise, offene Feststellungen und Behandlungsentscheidungen. Prüfen Sie Umfang und Zeitraum von Prüfdokumenten. Ein Bericht, der einen anderen Dienst oder ein früheres Betriebsmodell abdeckt, beantwortet die aktuelle Frage möglicherweise nicht.

Vertragsverhandlungen sollten die Risiken der Beziehung adressieren. Praktische Themen sind Sicherheitsverantwortlichkeiten, Kommunikation bei Sicherheitsvorfällen, Mitwirkung an Untersuchungen, Umgang mit Schwachstellen, Zugriffsbeschränkungen, Verfügbarkeit von Nachweisen, Aufrechterhaltung des Betriebs und Unterstützung beim Ausstieg. Das sind empfohlene Verhandlungsthemen, keine identischen gesetzlichen Klauseln für jeden Vertrag.

Benachrichtigungsregelungen mit Lieferanten sollten Ihren Meldezeitplan unterstützen. Bestätigen Sie operative Kontakte und Stellvertretungen; das reguläre Postfach eines Account Managers zu Geschäftszeiten kann bei einem schweren Vorfall unzureichend sein.

Artikel 21 bezieht sich ausdrücklich auf direkte Beziehungen. Vorgelagerte Abhängigkeiten können dennoch von Bedeutung sein, wenn sie ein Konzentrationsrisiko schaffen oder die Wiederherstellung untergraben. Gehen Sie tiefer, wenn das die Entscheidung verändert, statt eine unbegrenzte Bestandsaufnahme aller Lieferanten Ihrer Lieferanten zu versuchen.

Bleibt die Sicherheit unzureichend, kann die Leitung den Zugriff beschränken, zusätzliche Überwachung einführen, Verbesserungen verhandeln, Alternativen einführen, die Abhängigkeit neu gestalten oder den Anbieter ersetzen. Dokumentieren Sie die Begründung und die vorläufigen Maßnahmen. Die Auslagerung der Leistungserbringung entbindet nicht von der Verantwortung für das eigene Risikomanagementprogramm der Einrichtung.

Die Meldung erheblicher Sicherheitsvorfälle üben

Artikel 23 legt Meldepflichten für erhebliche Sicherheitsvorfälle fest. Ein Sicherheitsvorfall ist erheblich, wenn er schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die betreffende Einrichtung verursacht hat oder verursachen kann oder andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann. Klären Sie die anwendbaren nationalen und sektorspezifischen Erheblichkeitsregeln, bevor Sie den Entscheidungsprozess gestalten.

Die Frist knüpft an die Kenntnisnahme eines erheblichen Sicherheitsvorfalls an, nicht an den Abschluss der forensischen Analyse. Dokumentieren Sie, wann relevante Informationen verfügbar wurden, wie die Erheblichkeit bewertet wurde und wer die Entscheidung getroffen hat. Konstruieren Sie keinen späteren Zeitpunkt der Kenntnisnahme, indem Sie die interne Eskalation verzögern.

Vertrauensdiensteanbieter unterliegen einer besonderen 24-Stunden-Meldevorschrift für erhebliche Sicherheitsvorfälle, die ihre Vertrauensdienste betreffen. Sowohl wesentliche als auch wichtige Einrichtungen haben gestufte Meldepflichten; die Einstufung als wichtige Einrichtung entbindet nicht von der Frühwarnung.

Befugnisse und Zugänge für den Einsatz außerhalb der Geschäftszeiten gestalten

Benennen Sie die Person, die die Bewertung leitet, die zur Übermittlung befugte Person, eine Stellvertretung, einen rechtlichen Ansprechpartner und den Eskalationsweg zur Leitung. Vereinbaren Sie, wie vorläufige Informationen freigegeben werden. Die Leitung braucht Transparenz, ohne zu einem unvermeidlichen Engpass für jede Übermittlung zu werden.

Bereiten Sie Vorlagen vor, die bestätigte Fakten, vorläufige Einschätzungen, Unbekanntes und geplante Aktualisierungen trennen. Vermeiden Sie unbelegte Zuschreibungen oder Wiederherstellungsversprechen. Frühe Meldungen sollten Unsicherheit korrekt darstellen, statt künstlich vollständig zu wirken.

Testen Sie den Zugang zum Meldeweg, Zugangsdaten, Kontaktinformationen und Ausweichregelungen. Hängt die übermittelnde Person von einem kompromittierten Identitätsdienst des Unternehmens ab, braucht der Prozess eine Alternative.

Üben Sie ein Szenario am Abend oder am Wochenende. Messen Sie die Zeit, bis die mögliche Erheblichkeit erkannt ist, die nötigen Personen zusammenkommen, die Frühwarnung erstellt, freigegeben und über den Meldeweg übermittelt ist. Verbinden Sie diese Tätigkeit mit Eindämmung und Wiederherstellung und setzen Sie zugleich genügend Personen ein, damit die Meldung nicht das gesamte Einsatzteam bindet.

Artikel 23 behandelt außerdem die Information der Empfänger der Dienste, soweit angemessen. Verträge und andere Gesetze können zusätzliche Benachrichtigungen vorsehen. Eine Verletzung des Schutzes personenbezogener Daten erfordert eine eigene Bewertung nach der DSGVO; eine NIS2-Meldung erfüllt diese nicht automatisch. Stimmen Sie die Fakten ab und halten Sie Entscheidungen und Fristen dennoch getrennt.

Nachweise pflegen, die erklären, was tatsächlich funktioniert

Richtlinien, Zertifizierungen, Lieferantenverträge und Registrierungsbestätigungen können die Vorbereitung stützen. Die Nachweise müssen dennoch zeigen, was im anwendbaren Geltungsbereich tatsächlich in Betrieb ist.

Unterscheiden Sie zwischen Konzeption, Umsetzung und Betrieb. Eine Zugriffsrichtlinie beschreibt das beabsichtigte Verhalten. Konfigurationsnachweise zeigen die Einführung. Eine abgeschlossene Zugriffsüberprüfung mit entfernten Berechtigungen und aufgelösten Ausnahmen belegt den Betrieb. Diese Aufzeichnungen beantworten unterschiedliche Fragen und sollten nicht als austauschbar behandelt werden.

Bewahren Sie für jeden Nachweis Quelle, Geltungsbereich, Datum oder Zeitraum, verantwortliche Person, prüfende Person, Schlussfolgerung und Grenzen auf. Ein erfolgreicher Wiederherstellungstest für eine Anwendung belegt nicht die Wiederherstellbarkeit der gesamten Umgebung. Ein Screenshot kann eine Konfiguration zu einem Zeitpunkt zeigen, nicht einen dauerhaften Betrieb.

Schützen Sie sensible Nachweise. Vorfallsprotokolle, Architekturdiagramme und Zugriffsexporte können betriebliche oder personenbezogene Informationen offenlegen. Legen Sie angemessene Regelungen für Zugriff, Aufbewahrung und externe Weitergabe fest.

Lücken in den Nachweisen sollten zu Arbeitspaketen werden. „Kein aktueller Test“, „unklarer Leistungsumfang des Lieferanten“ und „Verantwortliche Person hat den Export nicht geprüft“ sind unterschiedliche Probleme, die unterschiedliche Maßnahmen erfordern. Eine Dokumentenzählung macht sie nicht sichtbar.

Bestehende ISMS- und KRITIS-Arbeit wiederverwenden

Ein ISMS nach ISO 27001 kann Risikobewertung, Risikobehandlung, Richtlinien, Audits, Managementbewertung und Betriebsaufzeichnungen liefern. Vergleichen Sie seinen zertifizierten Geltungsbereich mit den Einrichtungen und Diensten, die von den nationalen NIS2-Vorschriften erfasst sind.

Eine Zertifizierung der Unternehmens-IT kann Produktionssysteme, einen verwalteten Dienst oder ein übernommenes Unternehmen ausschließen. Verwenden Sie relevante Maßnahmen und Nachweise wieder und behandeln Sie dann Einstufung, Registrierung, gesetzliche Meldungen und die Schulung der Leitung ausdrücklich. Unser Leitfaden zu NIS2 und ISO 27001 erklärt, wie bestehende ISMS-Arbeit diesen Prozess unterstützen kann.

NIS2 schafft kein allgemeines EU-Compliance-Zertifikat. Eine Zertifizierung stützt die Prüfsicherheit innerhalb ihres eigenen Geltungsbereichs; sie erledigt nicht jede gesetzliche Pflicht. Wenden Sie dieselben Relevanzprüfungen auf bestehende KRITIS-Nachweise an, statt anzunehmen, dass eine frühere Anerkennung die aktuellen Pflichten abdeckt.

Praxisbeispiel: Fernwartung und Wiederherstellung der Produktion

Betrachten Sie einen fiktiven deutschen Hersteller mit 180 Beschäftigten, der Ausrüstung im Rahmen einer in Anhang II aufgeführten Tätigkeit des verarbeitenden Gewerbes produziert. Angenommen, eine geprüfte Berechnung bestätigt den Status als mittleres Unternehmen, die nationale Analyse bestätigt die Einstufung als wichtige Einrichtung und eine gesonderte Bewertung ergibt keine Einstufung als kritische Anlage im Sinne von KRITIS. Diese Annahmen gelten nur für das Beispiel, nicht als Regel für jeden Hersteller dieser Größe.

Der erste Umsetzungsschwerpunkt ist die Produktionsplanung an einem Werk. Zu den Abhängigkeiten gehören eine ERP-Anwendung, Industriesteuerungen, Identitätsdienste, Backups und ein Wartungsdienstleister mit Fernzugriff. Die rechtliche Prüfung des Geltungsbereichs umfasst weiterhin die relevanten Pflichten der Einrichtung über diesen ersten Dienst hinaus.

Die Überprüfung ergibt drei zusammenhängende Schwächen. Die Techniker des Lieferanten teilen sich ein privilegiertes Konto. Backup-Jobs laufen durch, aber kein aktueller Wiederherstellungstest bezieht die Identitätsabhängigkeit der Planungsanwendung ein. Das Vorfallverfahren benennt eine für die Meldung verantwortliche Person, aber keine zur Übermittlung befugte Stellvertretung.

Die Leitung fordert Optionen an, statt drei isolierte Richtlinienaktualisierungen zu genehmigen. Der Betrieb schlägt namentlich zugeordneten, zeitlich begrenzten Lieferantenzugriff über einen kontrollierten Fernzugangsweg vor. Die IT schlägt eine Wiederherstellungsübung für den Dienst gegen vom Fachbereich genehmigte Ziele vor. Sicherheit und Recht schlagen eine stellvertretende Meldebefugnis und eine Übung außerhalb der Geschäftszeiten vor.

Nur für Planungszwecke werden sechs Wochen und ein geplantes Wartungsfenster angenommen. Die Leitung genehmigt die Personalkapazität, die Regelungen für den Ausfall und vorläufige Beschränkungen des Lieferantenzugriffs. Die Entscheidungsdokumentation erläutert die Folgen für den Dienst, warum die Behandlungen gewählt wurden und welche Nachweise den Abschluss belegen werden.

Die Arbeit am Zugriff liefert Konfigurationsaufzeichnungen, eine Bestätigung des Lieferanten und eine Überprüfung, die die Entfernung des gemeinsam genutzten Kontos bestätigt. Die Wiederherstellungsübung stellt die Daten wieder her, verfehlt aber die vereinbarte Wiederanlaufzeit des Dienstes, weil die Authentifizierung nicht zügig wiederhergestellt werden kann. Diese Feststellung bleibt offen: Erfolgreiche Backup-Jobs heben das gescheiterte Ergebnis für den Dienst nicht auf.

Die Leitung entscheidet dann, ob sie die Wiederherstellung der Identitätsdienste verbessert, die Architektur ändert oder eine andere betriebliche Notfallregelung einführt. Jedes überarbeitete Wiederherstellungsziel braucht eine geschäftliche Begründung und muss mit den anwendbaren Pflichten vereinbar bleiben.

Die Meldeübung zeigt, dass die stellvertretende Person nicht eigenständig auf den Meldeweg zugreifen kann. Das Team behebt die Zugriffsabhängigkeit und testet erneut. Die Vorbereitung verbessert sich durch verifizierte Änderungen und geprüfte Entscheidungen, nicht durch die Erklärung, die überarbeiteten Verfahren seien vollständig.

Aufsicht und Folgen richtig einordnen

Die Artikel 32 und 33 unterscheiden zwischen Aufsichtsansätzen. Wesentliche Einrichtungen können proaktiven Inspektions- und Prüfbefugnissen unterliegen. Wichtige Einrichtungen unterliegen einer nachträglichen Aufsicht, wenn Informationen auf einen möglichen Verstoß hindeuten. Keine von beiden sollte das Ausbleiben eines Vorfalls oder einer behördlichen Anfrage als Beleg für ihre Vorbereitung deuten.

Für Verstöße gegen Artikel 21 oder 23 verlangt Artikel 34, dass die nationalen Höchstbeträge für Geldbußen mindestens folgende Werte erreichen: für wesentliche Einrichtungen den höheren Betrag von 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes des betreffenden Unternehmens; für wichtige Einrichtungen den höheren Betrag von 7 Mio. EUR oder 1,4 %. Das sind Untergrenzen für nationale Bußgeldobergrenzen, keine Standardbeträge für Geldbußen und keine allgemeingültigen festen Obergrenzen.

Die Behörden verfügen außerdem über Abhilfebefugnisse. Artikel 32 sieht für wesentliche Einrichtungen an Bedingungen geknüpfte Mechanismen vor, die eine einschlägige Zertifizierung oder Genehmigung sowie die vorübergehende Untersagung bestimmter Leitungsaufgaben nach den vorgeschriebenen Durchsetzungsschritten betreffen. Das sind keine automatischen Folgen jedes Vorfalls, und die Vorschrift nimmt Einrichtungen der öffentlichen Verwaltung aus.

Die Haftung der Leitung und deren versicherungsrechtliche Behandlung erfordern eine Beratung für die jeweilige Rechtsordnung. Die Leitung sollte sich auf wahrheitsgemäße Aufzeichnungen, rechtzeitige Behandlung und informierte Aufsicht konzentrieren, statt mögliche Sanktionen als Ersatz für die Umsetzung der geforderten Maßnahmen zu betrachten.

Die nächste Entscheidung der Leitung vorbereiten

Beginnen Sie die Umsetzung mit dem Dienst mit den größten Auswirkungen und seinen Abhängigkeiten, und halten Sie die rechtliche Prüfung für jede relevante Einrichtung vollständig. Priorisieren Sie gesetzliche Dringlichkeit, Folgen für die Dienste und Aufgaben, die spätere Arbeiten ermöglichen. Ein fokussierter Umsetzungsrahmen hilft, den Ablauf zu etablieren; er beschränkt die rechtlichen Pflichten der Einrichtung nicht auf dieses Pilotprojekt.

Die nächste Managementbewertung sollte die Entscheidung zum Geltungsbereich genehmigen oder klären, Registrierungs- und Melderegelungen bestätigen, vorrangige Behandlungen finanzieren, verantwortliche Personen zuweisen und Wiederherstellungs- und Meldeübungen terminieren. Sie sollte außerdem festlegen, wann die Leitung Nachweise aus dem Betrieb prüft und welche Feststellungen eine frühere Eskalation erfordern.

In Secani können Teams den ausgewählten Dienst, die unterstützenden Systeme und die Abhängigkeiten von externen Anbietern modellieren und dann Anforderungen, Maßnahmen, Verantwortliche und geprüfte Nachweise miteinander verknüpfen. Fehlende Belege und offene Schlussfolgerungen können zu Aufgaben werden. Menschliche Prüferinnen und Prüfer sollten Zuordnungen und Schlussfolgerungen zu Nachweisen freigeben, wobei Quellverweise, Kommentare, Freigaben und Zeitstempel erhalten bleiben, damit die Begründung nachvollziehbar bleibt.

Bringen Sie eine Dienstlandkarte, ein Pflichtenregister und die folgenreichsten Lücken in diese Sitzung mit. Verlassen Sie sie mit finanzierten Maßnahmen, einer nutzbaren Meldebefugnis und einem Termin, an dem die Ergebnisse geprüft werden, nicht bloß mit der Zusage, weitere Dokumentation zu erstellen.