NIS-2: Cyber-Resilienz wird Pflicht für 18 Sektoren

TL;DR

• NIS-2 erweitert den Geltungsbereich der EU-Cybersicherheitsregulierung auf 18 Sektoren und bindet vor allem mittlere und große Unternehmen in kritischen und wichtigen Bereichen ein. Die Richtlinie ist seit dem 16. Januar 2023 in Kraft und muss bis zum 17. Oktober 2024 in nationales Recht überführt sein.
• Kernelement von NIS-2 sind zehn Mindestanforderungen an das Cyber-Risikomanagement, darunter Incident Handling, Business Continuity/Disaster Recovery, Supply-Chain-Sicherheit, Zugriffskontrolle und Multi-Faktor-Authentifizierung.
• Das Management trägt explizite Verantwortung: Führungsteams müssen Cybersicherheits-Risiken verstehen, strategische Entscheidungen treffen und sind bei grober Pflichtverletzung persönlich haftbar.
• Meldepflichten sind streng geregelt: Frühwarnung innerhalb von 24 Stunden, detaillierter Bericht nach 72 Stunden und ein Abschlussbericht innerhalb eines Monats – das erfordert klare Prozesse, Rollen und geeignete technische Telemetrie.
• ayedo unterstützt Sie mit einer integrierten, auf NIS-2 ausgerichteten Plattform: von Intrusion Detection mit Falco, über Netzwerk-Sichtbarkeit mit Cilium, Backups mit Velero bis zu Supply-Chain-Security mit Harbor sowie einer strukturierten Compliance-Architektur und einem NIS-2-Readiness-Assessment.

---

NIS-2 als neuer Standard für Cyber-Resilienz in Europa

Mit der NIS-2-Richtlinie (EU) 2022/2555 etabliert die EU einen einheitlichen, anspruchsvollen Standard für Cybersicherheit. Die Richtlinie ist am 16. Januar 2023 in Kraft getreten; die Mitgliedstaaten müssen sie bis zum 17. Oktober 2024 in nationales Recht überführen. Ab diesem Zeitpunkt greifen nationale NIS-2-Gesetze – und damit konkrete Pflichten und Sanktionsmechanismen.

NIS-2 ist kein reines IT-Thema. Es adressiert explizit Geschäftsführung und Aufsichtsgremien. Ziel ist, Cyber-Resilienz als Bestandteil unternehmerischer Sorgfaltspflichten zu verankern – ähnlich wie bereits beim Datenschutz durch die DSGVO.

Eine ausführliche Einordnung finden Sie auch in unserer NIS-2-Übersicht unter /nis2/. Im Folgenden konzentrieren wir uns auf die Fragen: Wer ist betroffen, welche Mindestanforderungen gelten, und wie lassen sich diese technisch und organisatorisch umsetzen?

---

Anwendungsbereich: 18 Sektoren im Fokus

NIS-2 erweitert den Anwendungsbereich gegenüber der ursprünglichen NIS-Richtlinie deutlich. Betroffen sind Einrichtungen in insgesamt 18 Sektoren, die in zwei Kategorien eingeteilt werden: Sektoren mit hoher Kritikalität und andere kritische Sektoren.

Sektoren mit hoher Kritikalität

Zu den hochkritischen Sektoren zählen unter anderem:

• Energie (Strom, Fernwärme, Öl, Gas, Wasserstoff)
• Transport (Luft, Schiene, Wasser, Straße)
• Banken und Finanzmarktinfrastrukturen
• Gesundheitswesen, inklusive pharmazeutische Produktion
• Trinkwasser- und Abwasserversorgung
• Digitale Infrastruktur (Internet-Knoten, DNS-Provider, TLD-Registrare, Cloud-Computing-Service-Provider, Rechenzentren, Content Delivery Networks, Trust Services, Anbieter öffentlicher elektronischer Kommunikationsnetze)
• ICT-Service-Management (Managed Service Provider, Managed Security Service Provider)
• Öffentliche Verwaltung
• Weltraumbezogene Dienste

Weitere kritische Sektoren

Daneben definiert NIS-2 weitere Sektoren, die ebenfalls unter die Regulierung fallen:

• Post- und Kurierdienste
• Abfallwirtschaft
• Chemische Industrie
• Lebensmittelproduktion und -verarbeitung
• Herstellung von Medizinprodukten, Computern und Elektronik, Maschinen, Fahrzeugen
• Digitale Dienste (Online-Marktplätze, Suchmaschinen, soziale Netzwerke)
• Forschungsorganisationen

Größenkriterien und nationale Konkretisierung

Im Regelfall sind mittlere und große Unternehmen (ab 50 Mitarbeitenden bzw. 10 Mio. EUR Jahresumsatz) betroffen. Einige Sektoren – insbesondere kritische Infrastrukturen – unterliegen zusätzlichen nationalen Schwellenwerten und Regelungen.

Für die Praxis bedeutet das:

• Prüfen Sie frühzeitig, ob Ihr Unternehmen in einen der 18 Sektoren fällt.
• Berücksichtigen Sie nationale Besonderheiten, z. B. KRITIS-Regelungen in Deutschland oder sektorale Spezialgesetze.
• Beziehen Sie auch ausgelagerte Bereiche (Cloud, Managed Services, kritische Lieferanten) in die Betrachtung ein.

---

Die zehn Mindestanforderungen nach Art. 21(2) NIS-2

Artikel 21(2) der Richtlinie listet zehn Mindestanforderungen an das Cyber-Risikomanagement. Diese sind nicht als Checkliste für Einzelmaßnahmen zu verstehen, sondern als Rahmen für ein integriertes Sicherheitskonzept.

Die zehn Bereiche lauten:

1. Risikomanagement-Policies und ‑Prozesse
2. Incident Handling
3. Business Continuity und Disaster Recovery
4. Supply-Chain-Security
5. Sicherheit bei Beschaffung, Entwicklung und Wartung
6. Bewertung der Wirksamkeit von Sicherheitsmaßnahmen
7. Cyber-Hygiene und Schulungen
8. Kryptografie und Verschlüsselung
9. Zugriffskontrolle
10. Multi-Faktor-Authentifizierung und gesicherte Kommunikationssysteme

Im Folgenden vertiefen wir die Bereiche, die besonders stark mit Ihrer technischen Infrastruktur – etwa einer Kubernetes-basierten Umgebung – verknüpft sind.

Incident Handling: Vom Alarm bis zur forensischen Aufklärung

NIS-2 erwartet, dass Sicherheitsvorfälle erkannt, eingegrenzt, bearbeitet und dokumentiert werden. Dazu gehören:

• Erkennung (Detection) von Anomalien und Angriffen
• Strukturiertes Incident-Response-Verfahren mit klaren Rollen
• Forensische Analyse und Lessons Learned
• Nachvollziehbare Dokumentation, auch zur Erfüllung der Meldepflichten

Technisch unterstützt ayedo dies unter anderem durch:

• Laufende Verhaltensanalyse mit Falco (z. B. verdächtige Systemaufrufe in Containern)
• Netzwerk-Telemetrie und Durchsetzung von Policies mit Cilium
• Zentrale Protokollierung und Audit-Logs, die auch für forensische Zwecke nutzbar sind

Organisatorisch braucht es dazu ein Incident-Response-Playbook, definierte Eskalationswege und eine klare Verzahnung mit den gesetzlichen Meldeprozessen.

Business Continuity und Disaster Recovery: Ausfallfähigkeit wird Pflicht

NIS-2 verlangt belastbare Konzepte für:

• Business Continuity (Aufrechterhaltung kritischer Prozesse im Störfall)
• Disaster Recovery (Wiederanlauf nach größeren Ausfällen)
• Krisenmanagement (Entscheidungs- und Kommunikationsstrukturen)

In containerisierten Umgebungen ist es entscheidend, nicht nur einzelne Workloads, sondern die gesamte Plattform konsistent wiederherstellen zu können. ayedo setzt dazu auf:

• Cluster- und applikationsbewusste Backups mit Velero
• Geografisch getrennte Speicherorte für Backups
• Regelmäßige Restore-Tests als Teil eines etablierten DR-Prozesses

Auf Management-Ebene sollten diese technischen Fähigkeiten in einem Business-Continuity-Plan verankert und regelmäßig getestet werden – inklusive klarer Recovery-Time- und Recovery-Point-Objectives (RTO/RPO).

Supply-Chain-Security: Transparenz über Software-Lieferketten

NIS-2 legt besonderen Wert auf Sicherheitsaspekte in der Lieferkette – auch in der digitalen Lieferkette. Das betrifft:

• Software-Komponenten und Images
• Zulieferer von Plattformtechnologien
• Externe Dienstleister (z. B. Managed Services, Cloud)

Mit Harbor als Container-Registry bietet ayedo zentrale Funktionen für Supply-Chain-Security:

• Vulnerability Scanning containerisierter Workloads
• Signierung von Images und Durchsetzung von Policies (nur signierte Images in Produktion)
• Unterstützung von SBOM-Konzepten (Software Bill of Materials)
• Nachvollziehbare Chain-of-Custody für kritische Images

Diese technischen Maßnahmen sollten durch vertragliche Anforderungen an Lieferanten, standardisierte Security-Fragebögen und regelmäßige Reviews flankiert werden.

Zugriffskontrolle und MFA: Identity als Sicherheitsanker

Zugriffskontrolle (Art. 21(2)(h)) und Multi-Faktor-Authentifizierung (Art. 21(2)(i)) sind zentrale Bausteine von NIS-2. Erwartet werden:

• Rollenbasierte Zugriffskonzepte
• Prinzip der minimalen Rechte (Least Privilege)
• Starke Authentifizierung, insbesondere für administrative Konten
• Gesicherte Kommunikationskanäle (z. B. TLS, mTLS, verschlüsselte Managementzugänge)

In der ayedo-Plattform spielen dabei die Identity- und Access-Management-Funktionen eine zentrale Rolle:

• Integration mit zentralen Identity Providern (z. B. SSO, OIDC/SAML)
• Feingranulare RBAC-Modelle direkt in Kubernetes
• erzwingbare MFA für alle privilegierten Zugriffe
• Verschlüsselung von Verbindungen und – bei Bedarf – Network Encryption über Cilium

Management-seitig ist wichtig, dass diese technischen Möglichkeiten in einer verbindlichen Access-Control-Policy verankert und regelmäßig überprüft werden.

---

Management-Verantwortung: Governance statt Alibi-Dokumente

NIS-2 adressiert ausdrücklich die Verantwortlichkeit des Managements. Führungskräfte sind verpflichtet:

• ein angemessenes Cyber-Risikomanagement aufzubauen
• die Umsetzung der Anforderungen zu überwachen
• sich regelmäßig über den Stand von Risiken und Maßnahmen berichten zu lassen
• an Schulungen teilzunehmen und hinreichende Kenntnisse zu erwerben

Bei grober Pflichtverletzung sind persönliche Haftungsfolgen vorgesehen. In der Praxis bedeutet das:

1. Governance-Struktur definieren

   • Benennen Sie klare Verantwortliche für Informationssicherheit (CISO oder vergleichbar).
   • Verankern Sie Cybersecurity im Risikomanagement und im Reporting an Geschäftsführung/Aufsichtsorgane.

2. Risikobasierter Ansatz

   • Führen Sie eine strukturierte Risikoanalyse durch (inkl. IT, OT, Cloud, Lieferkette).
   • Priorisieren Sie Maßnahmen auf Basis von Impact und Eintrittswahrscheinlichkeit.

3. Policies und Prozesse

   • Dokumentieren Sie Sicherheitsrichtlinien (Access Control, Incident Handling, Backup/DR, Vulnerability Management).
   • Stellen Sie sicher, dass diese Richtlinien in operative Prozesse übersetzt sind – inklusive Messgrößen und KPIs.

4. Kontinuierliche Wirksamkeitsprüfung

   • Etablieren Sie regelmäßige Reviews, Audits und Tests (z. B. Backup-Restore-Tests, Security-Reviews, Penetrationstests).
   • Nutzen Sie dabei auch externe Perspektiven, etwa durch unabhängige Audits.

Die Technik kann vieles automatisieren und absichern. Die Verantwortung für Priorisierung, Budgetierung und Governance kann sie dem Management nicht abnehmen. Hier setzt NIS-2 bewusst einen klaren Rahmen.

---

Meldepflichten: Frühwarnung, Incident-Bericht, Abschlussbericht

Ein zentrales Element von NIS-2 sind die gestuften Meldepflichten bei erheblichen Sicherheitsvorfällen. Die Richtlinie sieht im Kern vor:

1. Frühwarnung innerhalb von 24 Stunden

   • Meldung an die zuständige nationale Behörde oder das CSIRT.
   • Fokus auf Erkennung eines Vorfalls, erste Einschätzung und potenzielle grenzüberschreitende Auswirkungen.

2. Ausführlicher Incident-Bericht innerhalb von 72 Stunden

   • Aktualisierte Bewertung von Ursache, Ausmaß und Auswirkungen.
   • Erste Abhilfemaßnahmen und geplante weitere Schritte.

3. Abschlussbericht innerhalb eines Monats

   • Vollständige Ursachenanalyse (Root Cause Analysis).
   • Endgültige Bewertung der Auswirkungen.
   • Lessons Learned und geplante Verbesserungsmaßnahmen.

Damit diese Fristen realistisch eingehalten werden können, braucht es:

• Frühe und verlässliche Erkennung von Vorfällen (Monitoring, Intrusion Detection, Log-Auswertung).
• Klare interne Prozesse, wer wann informiert und wer die externe Meldung erstellt.
• Standardisierte Vorlagen für interne und externe Berichte.
• Technische Nachvollziehbarkeit, um Ursachen und Auswirkungen auch tatsächlich rekonstruieren zu können.

Die ayedo-Plattform unterstützt hierbei mit konsistenter Telemetrie, Audit-Logs, Intrusion Detection und 24/7-Support im Incident-Fall. Die organisatorische Verankerung – etwa in einem Incident-Response-Plan – bleibt entscheidend.

---

Technische Umsetzung mit ayedo: Von Plattform-Sicherheit bis Compliance-Nachweis

NIS-2 verlangt keinen spezifischen Technologiestack, aber es verlangt Nachvollziehbarkeit, Standardisierung und belastbare technische Kontrollen. Genau hier setzt ayedo an.

Sicherheitsbeobachtung und Incident Handling mit Falco und Cilium

Für die Erkennung und Behandlung von Sicherheitsvorfällen kombinieren wir:

• Falco (z. B. über /apps/falco/, falls in Ihrer Umgebung verfügbar) zur Echtzeitüberwachung von Systemaufrufen und Container-Verhalten
• Cilium für transparente Netzwerk-Observability, durchsetzbare Network Policies und – optional – Verschlüsselung des Netzwerkverkehrs

Diese Komponenten sind in eine zentrale Monitoring- und Alerting-Architektur eingebettet, die es ermöglicht, Vorfälle früh zu erkennen, gezielt einzugrenzen und mit den Anforderungen aus Art. 21(2)(b) und den Meldepflichten in Einklang zu bringen.

Resiliente Backups mit Velero

Für Business Continuity und Disaster Recovery bietet die ayedo-Plattform:

• Integration von Velero für clusterweite, konsistente Backups von Workloads und Konfigurationen
• Unterstützung mehrerer Speicherziele, einschließlich geografisch getrennter Standorte
• definierte Prozesse und Dokumentation für Wiederherstellungsszenarien

Damit erfüllen Sie nicht nur die formale Anforderung von NIS-2 an Backups, sondern schaffen auch die Grundlage für nachweisbare Recovery-Fähigkeit – ein Punkt, den Auditoren erfahrungsgemäß intensiv betrachten.

Supply-Chain-Security mit Harbor

Mit Harbor als integrierter Registry adressiert ayedo die Anforderungen an Supply-Chain-Security in containerisierten Umgebungen:

• Durchgängiges Scanning von Images auf bekannte Schwachstellen
• Konfiguration von Richtlinien, die unsichere oder nicht signierte Images in Produktion verhindern
• Unterstützung von SBOM-Konzepten zur Transparenz über enthaltene Komponenten
• Nachvollziehbare Protokollierung von Pulls, Pushes und Policy-Verstößen

Diese technischen Funktionen lassen sich nahtlos in Ihr organisatorisches Vulnerability-Management integrieren und bilden einen wichtigen Baustein im Gesamtkontext von /compliance/.

Integrierte Compliance-Architektur

Neben den genannten Komponenten ist entscheidend, dass Ihre gesamte Plattform – von Kubernetes über Netzwerk, Registry, Backup bis hin zum Identity-Management – als konsistentes Sicherheits- und Compliance-System verstanden wird. ayedo liefert dafür:

• Dokumentierte Sicherheitsarchitektur, abgestimmt auf NIS-2-Anforderungen
• Wiederverwendbare Policies und Best Practices für zentrale Themen wie Zugangskontrolle, Logging, Updates und Patching
• Unterstützung bei Audits, inklusive der Bereitstellung technischer Nachweise und Beantwortung von Audit-Fragen

---

Häufige Fragen

Gilt NIS-2 für mein Unternehmen – auch wenn wir „nur“ IT-Dienstleister sind?

Viele IT- und Cloud-Dienstleister fallen unter NIS-2, insbesondere wenn sie kritische oder wichtige Einrichtungen unterstützen oder als „essential“ bzw. „important entities“ eingestuft werden können. Das betrifft unter anderem Managed Service Provider, Cloud-Service-Anbieter, Betreiber von Rechenzentren und bestimmte digitale Dienste.

Ob Sie konkret unter NIS-2 fallen, hängt von:

• Ihrem Sektor (einer der 18 NIS-2-Sektoren)
• Ihrer Unternehmensgröße
• Ihrer Bedeutung für kritische Dienste ab

Wir empfehlen eine strukturierte Einstufung gemeinsam mit Rechtsberatung und – falls vorhanden – Ihrem Informationssicherheitsbeauftragten. ayedo unterstützt Sie dabei durch ein NIS-2-Readiness-Assessment, in dem wir die technische Seite dieser Einstufung beleuchten.

Reichen bestehende Standards wie ISO 27001 oder BSI IT-Grundschutz für NIS-2 aus?

Bestehende Standards sind ein sehr guter Ausgangspunkt, aber keine automatische Garantie für NIS-2-Konformität. In der Regel gilt:

• Wenn Sie bereits ein etabliertes ISMS nach ISO 27001 oder BSI IT-Grundschutz betreiben, erfüllen Sie viele organisatorische Anforderungen von NIS-2 bereits teilweise oder vollständig.
• NIS-2 bringt jedoch zusätzliche Schwerpunkte, etwa spezifische Meldepflichten, konkretere Anforderungen an Supply-Chain-Security und eine stärkere Fokussierung auf Management-Verantwortung.

Ein Gap-Assessment zwischen Ihrer bestehenden Zertifizierung und den NIS-2-Anforderungen ist daher sinnvoll. Die technische Umsetzung – beispielsweise in Ihrer Plattform- und Cloud-Infrastruktur – lässt sich dabei gezielt auf bereits etablierte Controls aufsetzen.

Wie unterstützt ayedo konkret bei der Umsetzung von NIS-2?

ayedo versteht NIS-2 als Chance, Infrastruktur standardisiert sicherer und robuster aufzubauen. Konkret unterstützen wir Sie:

• mit einer integrierten Plattform-Architektur, die zentrale NIS-2-Anforderungen technisch adressiert (Monitoring, Backups, Supply-Chain-Security, IAM)
• mit vorkonfigurierten Komponenten wie Cilium, Velero und Harbor, abgestimmt auf Compliance-Anforderungen
• mit Dokumentation, die für Audits und Compliance-Nachweise verwendbar ist
• mit einem strukturierten NIS-2-Readiness-Assessment, das technische Gaps sichtbar macht und priorisierte Handlungsempfehlungen liefert

Weitere Fragen? Siehe unsere FAQ

---

Von der Theorie zur Umsetzung

NIS-2 hebt Cybersicherheit in der EU auf ein neues, verpflichtendes Niveau – und verschiebt das Thema endgültig von der reinen IT-Ebene in die Verantwortung des Managements. Für betroffene Organisationen bedeutet das nicht, alles neu erfinden zu müssen. Erfolgreich sind diejenigen, die bestehende Sicherheitsmaßnahmen systematisch an den NIS-2-Rahmen anbinden und Lücken pragmatisch schließen.

Genau hier kann ayedo Sie unterstützen: mit einer Plattform, die technische Mindestanforderungen wie Incident Handling, Backup/DR, Supply-Chain-Security und Zugriffskontrolle nicht isoliert betrachtet, sondern als zusammenhängendes Sicherheits-Ökosystem. Komponenten wie Falco, Cilium, Velero und Harbor sind in eine einheitliche Architektur eingebettet, die speziell für regulatorische Anforderungen wie NIS-2 konzipiert ist.

Gleichzeitig geht es nicht nur um Technik: Unser Team arbeitet mit Ihnen daran, die Plattform-Features in Ihre Governance-Strukturen, Ihre Prozesse und Ihre Dokumentation zu integrieren – von der Ausgestaltung von Incident-Response-Playbooks über Backup- und Restore-Übungen bis zu nachvollziehbaren Compliance-Nachweisen unter /compliance/.

Wenn Sie NIS-2 nicht als zusätzliche Last, sondern als Gelegenheit für bessere, resilientere Infrastruktur nutzen wollen, ist ein klarer Startpunkt entscheidend. Ein strukturiertes NIS-2-Readiness-Assessment hilft, die Lage realistisch einzuschätzen, Prioritäten zu setzen und technische wie organisatorische Maßnahmen aufeinander abzustimmen.

Den ersten Schritt gehen Sie mit einem NIS-2-Readiness-Assessment.