Leitfaden
NIS2: Von der Pflicht zur belastbaren Architektur
Wie Anforderungen in konkrete technische Kontrollen und eine prüfbare Dokumentation übersetzt werden.
Marc Iridon · Aktualisiert am · 7 Min. Lesezeit
Kurz gesagt
NIS2 verpflichtet deutlich mehr Unternehmen als bisher zu einem nachweisbaren Risikomanagement für Informationssicherheit. Entscheidend ist nicht die Menge an Dokumenten, sondern dass Maßnahmen technisch wirksam und nachvollziehbar belegt sind.
Bin ich betroffen?
Ob ein Unternehmen unter NIS2 fällt, hängt vor allem von Sektor, Größe und Umsatz ab. Die verbindliche Prüfung sollte anhand der nationalen Umsetzung und gegebenenfalls mit rechtlicher Beratung erfolgen. Auch nicht direkt betroffene Unternehmen spüren die Anforderungen häufig über ihre Kunden und Lieferketten.
Von Anforderungen zu Kontrollen
Die Richtlinie beschreibt Themenfelder, keine konkreten Produkte. Die Übersetzung in die eigene Umgebung ist die eigentliche Arbeit.
- Zugriffskontrolle und Mehrfaktor-Authentifizierung → Entra ID, Conditional Access, PIM
- Umgang mit Sicherheitsvorfällen → Defender XDR, Sentinel, definierte Meldewege
- Schutz von Daten und Kryptografie → Purview, Verschlüsselung, Klassifizierung
- Business Continuity → Backup-Konzepte, Wiederherstellungstests
- Lieferkettensicherheit → Bewertung und Steuerung von Dienstleisterzugriffen
Eine realistische Roadmap
Bewährt hat sich ein risikobasiertes Vorgehen: Zuerst eine Gap-Analyse gegen die Anforderungen, dann Priorisierung nach Risiko und Aufwand, danach Umsetzung in überschaubaren Paketen. Jede Maßnahme wird so dokumentiert, dass sie gegenüber Geschäftsführung, Prüfern und Behörden erklärbar ist.
Rolle der Geschäftsführung
NIS2 nimmt die Leitungsebene ausdrücklich in die Verantwortung. Ein verständliches Reporting über Risiken, Fortschritt und offene Punkte ist deshalb nicht optional, sondern Teil einer tragfähigen Umsetzung.