NIS2 — EU-weite Cyber-Basisanforderungen
NIS2 hebt die Cybersicherheits-Basisanforderungen für wesentliche und wichtige Einrichtungen in der gesamten EU an. CYBORA setzt die Risikomaßnahmen, die Verantwortlichkeit der Leitung und die von der Richtlinie geforderte Meldedisziplin bei Vorfällen um.
Der Standard, einfach erklärt
Die NIS2-Richtlinie (EU 2022/2555) weitet die EU-Cybersicherheitspflichten auf mehr Sektoren aus und schreibt Risikomanagementmaßnahmen, die Verantwortlichkeit der Unternehmensleitung sowie strenge Fristen für die Meldung von Vorfällen vor.
Lesen Sie den Gesetzestext, Artikel für Artikel, einfach erklärt →Betrifft es Sie?
Wesentliche und wichtige Einrichtungen in Energie, Verkehr, Gesundheit, digitaler Infrastruktur, Fertigung und mehr — sowie viele ihrer Zulieferer.
Anforderungen im Überblick
Zehn Risikomanagementmaßnahmen (Artikel 21(2))
Ein Mindeststandard über Governance, Vorfallmanagement, Business Continuity, Lieferkettensicherheit, Schwachstellenmanagement und mehr — Artikel 21(2) legt die Untergrenze fest, kein Auswahlmenü.
Schwachstellenmanagement und -offenlegung (Art. 21(2)(e))
Erkennung, Validierung und Behebung müssen als fortlaufender Prozess dokumentiert werden, kontinuierlich belegt statt im Nachhinein rekonstruiert.
Kontinuierliche Wirksamkeitsbewertung (Art. 21(2)(f))
Kontrollen müssen fortlaufend als wirksam nachgewiesen werden — eine jährliche Momentaufnahme belegt keine "Kontinuität", die der Wortlaut tatsächlich verlangt.
Lieferkettensicherheit (Art. 21(2)(d))
Betroffene Einrichtungen müssen nun das Cyberrisiko über direkte Lieferantenbeziehungen hinweg managen — ein ISO-27001-Zertifikat eines Lieferanten allein schließt diese Prüfung nicht mehr ab.
24-Stunden-Meldefrist für Vorfälle (Artikel 23)
Signifikante Vorfälle folgen einem dreistufigen Zeitplan: Frühwarnung innerhalb von 24 Stunden, Meldung des Vorfalls innerhalb von 72 Stunden und Abschlussbericht innerhalb eines Monats.
From gap to NIS2, on one platform
Jede Kontrolle wird einmal erfasst, Nachweise werden fortlaufend gesammelt, und ein Team ist von der Gap-Analyse bis zum Audit verantwortlich.
Risikomanagementmaßnahmen
Die in Artikel 21 geforderten technischen und organisatorischen Maßnahmen, umgesetzt und belegt.
Verantwortlichkeit der Leitung
Vorstandsaufsicht und Schulungen, die den Führungsverpflichtungen der Richtlinie entsprechen.
24-Stunden-Vorfallmeldung
Frühwarn- und Meldeprozesse, abgestimmt auf die engen Fristen von NIS2.
Lieferkettensicherheit
Drittparteirisiken werden bewertet und überwacht, wie es die Richtlinie erwartet.
Häufig gestellte Fragen
Macht das Durchführen von Scans uns NIS2-konform?
Nein. Technische Tests belegen Artikel 21(2)(e) und (f) — Schwachstellenmanagement und dessen fortlaufende Wirksamkeit —, ersetzen aber nicht das Governance-, Continuity-, Schulungs- und Incident-Response-Programm, das NIS2 ebenfalls verlangt.
Schwachstellenbewertung oder Penetrationstest — was verlangt NIS2?
Beides, für unterschiedliche Zwecke. Scans liefern die kontinuierlichen Nachweise, die Artikel 21(2)(f) verlangt; periodische manuelle Penetrationstests liefern die tiefere, praxisnahe Validierung, die Scans allein nicht bieten können. CYBORA führt beides im Rahmen eines Programms durch.
Wir haben bereits DORA — brauchen wir auch NIS2?
Wenn Sie ein Finanzunternehmen sind, gilt für das IKT-Risikomanagement DORA statt NIS2 — DORA ist lex specialis. Wenn Sie Finanzunternehmen beliefern, ohne selbst eines zu sein, oder in einem anderen wesentlichen/wichtigen Sektor tätig sind, gilt eher NIS2 für Sie. Es lohnt sich, beides anhand Ihres tatsächlichen Geltungsbereichs zu prüfen.
Kann CYBORA auch interne oder Private-Cloud-Infrastruktur erreichen, nicht nur öffentlich zugängliche Assets?
Ja — Engagements umfassen interne Netzwerke, authentifizierte Portale und private Umgebungen, nicht nur das aus dem öffentlichen Internet Erreichbare. OT-/ICS-/SCADA-Umgebungen werden mit besonderer Vorsicht behandelt, mit sicherheitsorientierten Tests statt standardmäßigem aktivem Scannen.
Wie hilft CYBORA bei der Meldefrist nach Artikel 23?
Das Monitoring von HybridSOC erkennt aktiv ausgenutzte CVEs bei Ihren Assets schnell genug, um die Frage "sind wir betroffen?" innerhalb des 24-Stunden-Frühwarnfensters zu beantworten, mit Alarmen an Slack, Teams oder einen Webhook statt Warten auf ein Dashboard. Die Meldung an Ihr nationales CSIRT bleibt weiterhin Aufgabe Ihrer Organisation.
Erfüllt der Nachweis eines Lieferanten von CYBORA unsere Prüfung nach Artikel 21(2)(d)?
Es schließt die technische Hälfte ab — kontinuierliche Nachweise zum Schwachstellenmanagement in einem Format, das Ihre Beschaffungsprüfung tatsächlich nutzen kann. Der Rest der Lieferantenprüfung (Verträge, Governance, Zusammenarbeit bei Vorfällen) liegt weiterhin außerhalb dessen, was Testnachweise belegen können.
Sehen Sie es in Ihrem eigenen Perimeter
Tell us where you are today. A CYBORA engineer — not a salesperson — will come back with what actually applies to your situation.
- Reply within one business day
- Scoped to your regulatory frameworks
- No obligation, no sales pitch
Take control of your perimeter
Register for a pilot demonstration of the CYBORA GRC and HybridSOC platform. One team, accountable for your full cyber security lifecycle.