NIS2 Artikel 21(2): Was als Nachweis zählt

Was Artikel 21 tatsächlich verlangt

Artikel 21(1) der Richtlinie (EU) 2022/2555 verpflichtet wesentliche und wichtige Einrichtungen, geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen zu ergreifen, um die Risiken für die Sicherheit ihrer Netz- und Informationssysteme zu beherrschen und die Auswirkungen von Sicherheitsvorfällen zu verhindern oder gering zu halten. Der Maßstab ist ausdrücklich risikobasiert und folgt einem Allgefahrenansatz: Die Verhältnismäßigkeit bemisst sich an der Gefährdungslage und Größe der Einrichtung sowie an den gesellschaftlichen und wirtschaftlichen Auswirkungen eines schwerwiegenden Vorfalls.

Artikel 21(2) führt sodann zehn Maßnahmen auf, auf denen diese Vorkehrungen mindestens beruhen müssen. Diese Liste ist eine Untergrenze, keine Obergrenze, und sie ist in der Sprache von „Konzepten und Verfahren“ verfasst — genau dort hören die meisten Organisationen auf, und genau dort gehen Prüfungen schief.

Zwei weitere Absätze ändern den Charakter der Pflicht. Artikel 21(3) erstreckt sie auf die Lieferkette und verlangt, Schwachstellen jedes einzelnen Anbieters sowie die Gesamtqualität der Sicherheitspraktiken der Anbieter zu berücksichtigen. Artikel 21(4) verpflichtet Einrichtungen, die feststellen, dass sie nicht konform sind, unverzüglich die erforderlichen Abhilfemaßnahmen zu ergreifen — was voraussetzt, dass Sie überhaupt in der Lage sind, die Nichtkonformität zu bemerken.

Um Artikel 21 herum steht die Verantwortlichkeit, die ihm Nachdruck verleiht. Artikel 20 macht Leitungsorgane für die Billigung der Maßnahmen und die Überwachung ihrer Umsetzung verantwortlich und haftbar für Versäumnisse. Artikel 32 verleiht den zuständigen Behörden Aufsichtsbefugnisse gegenüber wesentlichen Einrichtungen, einschließlich Inspektionen, gezielter Prüfungen und Nachweisanforderungen. Artikel 34 sieht Geldbußen von bis zu 10 Millionen Euro oder 2 % des gesamten weltweiten Jahresumsatzes für wesentliche Einrichtungen und bis zu 7 Millionen Euro oder 1,4 % für wichtige Einrichtungen vor — je nachdem, welcher Betrag höher ist.

Offizieller Text: Directive (EU) 2022/2555

Die zehn Maßnahmen in klarer Sprache

Artikel 21(2) verlangt, dass Ihre Maßnahmen auf einem Allgefahrenansatz beruhen und mindestens Folgendes umfassen. Die Buchstaben sind wichtig: Prüfer, interne Revision und Nachweiswerkzeuge zitieren allesamt diese Unterabsätze, und sie zu verwechseln ist ein überraschend häufiger Fehler.

Beachten Sie besonders (h) und (i). Kryptografie ist (h); Sicherheit des Personals, Zugriffskontrolle und Verwaltung von Anlagen sind (i). Zitate, die Kryptografie bei (i) verorten, sind in Sekundärliteratur verbreitet — und waren es in unserem eigenen Produkt, bis wir es korrigiert haben. Wenn eine Zuordnung, auf die Sie sich stützen, das falsch hat, erbt jeder darauf aufbauende Bericht den Fehler.

Warum „wir haben eine Richtlinie“ kein Nachweis ist

Artikel 21(2) ist in Begriffen von Konzepten und Verfahren formuliert, daher liegt es nahe, einen unterzeichneten Dokumentensatz für Compliance zu halten. In der Praxis stellt die Aufsicht eine andere Frage: War die Maßnahme im Prüfzeitraum wirksam, und können Sie das zeigen?

Die Unterscheidung ist dieselbe, die Prüfer seit Langem zwischen Ausgestaltungs- und Wirksamkeitsprüfung treffen. Eine Kryptografie-Richtlinie, die TLS 1.2 oder besser vorschreibt, ist eine Ausgestaltungskontrolle. Der Nachweis, dass elf Monate lang kein Dienst in Ihrem Bestand etwas Schwächeres ausgehandelt hat, dass drei Ausnahmen an bestimmten Tagen erkannt und jede innerhalb einer definierten Frist behoben wurde — das ist Wirksamkeit im Betrieb. Nur das Zweite übersteht eine Frage wie „Zeigen Sie es mir“.

Die Durchführungsverordnung (EU) 2024/2690 der Kommission hat dies für eine bestimmte Gruppe digitaler Einrichtungen präzisiert — DNS-Diensteanbieter, TLD-Namenregister, Anbieter von Cloud-Computing- und Rechenzentrumsdiensten, Content-Delivery-Netzwerke, Anbieter verwalteter Dienste und verwalteter Sicherheitsdienste, Online-Marktplätze, Online-Suchmaschinen, Plattformen sozialer Netzwerke sowie Vertrauensdiensteanbieter — indem sie technische und methodische Anforderungen an deren Maßnahmen nach Artikel 21(2) festlegt. Der begleitende technische Umsetzungsleitfaden der ENISA vom Juni 2025 geht noch weiter und ordnet einzelnen Anforderungen konkrete Nachweisbeispiele zu, die eine Einrichtung vorlegen könnte.

Selbst wenn Ihre Einrichtung außerhalb des Anwendungsbereichs dieser Durchführungsverordnung liegt, sind diese Beispiele das klarste veröffentlichte Signal dafür, wie „weisen Sie es nach“ aussehen soll. Sie lohnen die Lektüre als Zielbild, denn sie beschreiben Artefakte — Inventare, Aufzeichnungen, Protokolle, Messungen, Testberichte über die Zeit — und keine Dokumente.

Offizieller Text: Implementing Regulation (EU) 2024/2690

Was ein Prüfer tatsächlich verlangt

Über die Nachweisbeispiele hinweg kehren dieselben drei Eigenschaften wieder. Sie sind ein nützlicher Test für alles, was Sie einzureichen gedenken.

Für alles mit Regulierungsbezug lohnt eine vierte Eigenschaft: Die Aufzeichnung sollte angeben, gegen welche Version einer regulatorischen Zuordnung sie erstellt wurde. Zuordnungen sind Auslegungen, und Auslegungen werden korrigiert. Ein Bericht, der seine Zuordnungsversion festhält, zeigt einem Prüfer genau, aus welchem Text eine Schlussfolgerung stammt — und erlaubt Ihnen, künftige Berichte zu korrigieren, ohne frühere stillschweigend umzuschreiben.

Welche Maßnahmen von außen beobachtbar sind

Das ist der Teil, den Compliance-Marketing meist auslässt. Von den zehn Maßnahmen betrifft die deutliche Mehrheit interne Prozesse und organisatorische Vorkehrungen. Kein Außenüberwachungswerkzeug — unseres eingeschlossen — kann sie sehen, denn sie hinterlassen keine Spur im öffentlichen Internet.

Die Bewältigung von Sicherheitsvorfällen (b) lebt in Ihren Ticket- und Bereitschaftssystemen. Die Aufrechterhaltung des Betriebs (c) weisen Wiederherstellungstests nach, nicht irgendetwas von außen Beobachtbares. Lieferkettensicherheit (d) ist vertraglich und prozessual. Sicherheit des Personals, Zugriffskontrolle und Verwaltung von Anlagen (i) sind per Definition intern. Mehr-Faktor-Authentifizierung (j) ist eine Eigenschaft Ihres Identitätsanbieters, nicht Ihrer öffentlichen Angriffsfläche. Risikoanalyse (a) ist eine Tätigkeit, die Sie ausführen; ein externes Inventar kann sie speisen, sie aber nicht ersetzen.

Von außen beobachtbar ist Engeres und Konkreteres: die Kryptografie, die Ihre öffentlichen Dienste tatsächlich aushandeln, die Zertifikate, die sie tatsächlich ausliefern, die Vertrauenssignale, die Ihre Domains tatsächlich veröffentlichen, und — über die Zeit — wie schnell Schwächen darin nach der Erkennung behoben werden. Letzteres ist wertvoller, als es zunächst wirkt, denn es ist das Rohmaterial für eine Wirksamkeitsmessung nach (f), die sonst zu den am schwersten nachweisbaren Maßnahmen zählt.

Die ehrliche Aussage für jedes Außenwerkzeug lautet daher: direkter Nachweis für wenige Maßnahmen, unterstützender Nachweis für einige weitere und gar nichts für den Rest. Alles Weitergehende sollte skeptisch gelesen werden.

Was SkyQon nachweist, genau benannt

Der NIS2-Nachweisbericht von SkyQon deckt fünf der zehn Maßnahmen ab, wobei der Abdeckungsgrad im Bericht ausdrücklich ausgewiesen wird. Diese Formulierungen werden wortgleich in das signierte PDF übernommen: Was Sie hier lesen, liest auch ein Prüfer dort.

Direkt bedeutet, dass unsere Telemetrie der primäre Nachweis für diese Maßnahme ist. Unterstützend bedeutet, sie ist einer von mehreren Bausteinen, die Sie benötigen. Nur Zulieferung bedeutet, sie speist Ihren Prozess und wird ausdrücklich nicht als abgedeckt beansprucht — sie erscheint im Bericht gerade deshalb, damit niemand ein Inventar für eine Risikoanalyse hält.

Der Bericht ist von SkyQons eigener Zertifizierungsstelle signiert und trägt einen Inhaltshash, den jeder unabhängig und ohne Konto gegen unseren öffentlichen Verifizierer prüfen kann. Er hält die Version der Zuordnung fest, gegen die er erzeugt wurde. Und er ist durchgängig als ausgerichtet auf NIS2 Artikel 21(2) formuliert — nie als Zertifizierung, die SkyQon nicht erteilen kann und kein Überwachungsprodukt erteilen kann.

Was er nicht nachweist

Fünf Maßnahmen liegen vollständig außerhalb des Berichts: Bewältigung von Sicherheitsvorfällen (b), Aufrechterhaltung des Betriebs (c), Lieferkettensicherheit (d), Sicherheit des Personals und Zugriffskontrolle (i) sowie Authentifizierungsmaßnahmen (j). Der Bericht sagt das, statt sie stillschweigend zu übergehen, denn eine Lücke, die ein Prüfer entdeckt, ist schlimmer als eine, die Sie erklärt haben.

Zwei weitere Grenzen gehören klar benannt. Erstens ist ein Nachweis über Ihren von außen erreichbaren Bestand kein Nachweis über Ihr internes Netz; ein Bericht über öffentliche Dienste ist auf öffentliche Dienste beschränkt. Zweitens entbindet kein Artefakt irgendeines Anbieters von der Pflicht — Artikel 20 legt Billigung und Überwachung auf Ihr Leitungsorgan, und das lässt sich nicht an ein PDF auslagern.

Eine praktische Reihenfolge

Wenn Sie von Richtlinien ausgehen und zu Nachweisen gelangen wollen, verschwendet diese Reihenfolge den geringsten Aufwand.

• Bringen Sie zuerst das Inventar in Ordnung. Jede spätere Maßnahme wird davon im Umfang bestimmt. Erfassen Sie die Domains, Subdomains und öffentlichen Dienste, die Sie tatsächlich betreiben, einschließlich der aus Zukäufen und aufgegebenen Projekten geerbten. Abdeckungsdiskussionen gehen hier verloren, nicht in der Analyse.
• Starten Sie die Uhr früh. Ein Kontinuitätsnachweis braucht verstrichene Zeit und lässt sich nicht rückwirkend erzeugen. Eine Überwachungsaufzeichnung, die in der Woche vor Ihrer Prüfung beginnt, belegt sehr wenig; dieselbe Aufzeichnung über das vorangegangene Jahr ist nahezu unangreifbar.
• Instrumentieren Sie die Behebung, nicht nur den Befund. Maßnahme (e) und Maßnahme (f) hängen beide an der Behebungsdauer. Erkennt Ihr Prozess ein schwaches Zertifikat, lebt die Behebung aber in einem E-Mail-Verlauf, haben Sie einen Befund und keinen Nachweis. Erfassen Sie Erkennung und Behebung als datierte Ereignisse.
• Bevorzugen Sie signierte Artefakte. Wo sich eine Aufzeichnung signieren und hashen lässt, signieren Sie sie. Bei der Erzeugung kostet es nichts und beseitigt später eine ganze Kategorie von Streitfragen.
• Ordnen Sie ehrlich zu und versionieren Sie die Zuordnung. Beanspruchen Sie direkte Abdeckung nur dort, wo Ihr Artefakt wirklich der primäre Nachweis ist. Halten Sie fest, gegen welche Version der Zuordnung jeder Bericht erstellt wurde, damit eine spätere Korrektur nicht alles Eingereichte in Zweifel zieht.
• Prüfen Sie Ihre nationale Umsetzung. NIS2 bindet Sie über nationales Recht, und die Mitgliedstaaten haben unterschiedlich schnell und unterschiedlich detailliert umgesetzt. Die Richtlinie ist die Referenz; Ihr nationales Umsetzungsgesetz ist der maßgebliche Text.

Anwendungsbereich, Fristen und Meldepflicht

NIS2 gilt für wesentliche und wichtige Einrichtungen in den in den Anhängen I und II aufgeführten Sektoren, in der Regel ab mittlerer Unternehmensgröße, wobei mehrere Kategorien unabhängig von der Größe erfasst sind. Die Einstufung ist wichtig: Sie bestimmt sowohl das Aufsichtsregime als auch die Bußgeldobergrenze. Die Umsetzungsfrist für die Mitgliedstaaten endete am 17. Oktober 2024, die nationalen Maßnahmen gelten ab dem 18. Oktober 2024 — wenngleich die Umsetzung in etlichen Mitgliedstaaten verspätet erfolgte.

Artikel 23 fügt die Meldepflicht hinzu, die Einrichtungen am häufigsten überrascht, denn ihre Fristen sind kurz: eine Frühwarnung an die zuständige Behörde oder das CSIRT binnen 24 Stunden nach Kenntnis eines erheblichen Sicherheitsvorfalls, eine Vorfallsmeldung binnen 72 Stunden und ein Abschlussbericht binnen eines Monats. Der Nachweis, dass Ihre Überwachung tatsächlich etwas erkennt — mit Zeitstempeln —, macht diese Fristen erreichbar statt bloß wünschenswert.

Häufige Fragen