Artikel 21 Absatz 2

Die zehn Maßnahmen von NIS2

NIS2 beschreibt zehn Bereiche, in denen Organisationen angemessene Sicherheitsmaßnahmen treffen müssen. Viele Organisationen haben einen Teil davon bereits eingerichtet. Entscheidend ist, ob die Maßnahmen zu den Risiken passen, ob sie konsequent ausgeführt werden und ob sie sich mit aktuellen Informationen nachweisen lassen.

Prüfen, welche Sie erfüllen Erstgespräch vereinbaren

Lesehilfe

Die Gliederung der Richtlinie

Die Maßnahmen unten folgen den Buchstaben (a) bis (j) aus Artikel 21 Absatz 2. Damit lässt sich diese Übersicht unmittelbar mit der Richtlinie vergleichen, mit dem nationalen Recht wie dem deutschen NIS2UmsuCG oder der niederländischen Cyberbeveiligingswet, mit Prüffragen und mit den Fragebögen von Kunden und Lieferanten.

Angemessen zum Risiko. Artikel 21 Absatz 1 verlangt geeignete und verhältnismäßige Maßnahmen. Wie sie eingerichtet werden, hängt deshalb von der Größe der Organisation ab, von ihren Tätigkeiten, ihrer technischen Umgebung, den Kosten und den möglichen Folgen eines Vorfalls. Deshalb nennt die Zuordnung unten je Maßnahme eine SmartCyber-Stufe statt einer Antwort für alle.

Nachweisbar ausgeführt. Ein Richtliniendokument genügt nicht, wenn die darin beschriebene Maßnahme nicht ausgeführt oder geprüft wird. Sie müssen zeigen können, was eingerichtet ist, wann Prüfungen stattgefunden haben und was mit Abweichungen geschehen ist. Eine Backup-Richtlinie zu haben genügt nicht; gezeigt werden muss eine erfolgreiche Wiederherstellung.

Die zehn Maßnahmen

Jede Maßnahme, und wie wir sie erfüllen

Der Buchstabe stammt aus der Richtlinie. Die Beschreibung sagt, was die Maßnahme für eine Organisation Ihrer Größe bedeutet. Das Abzeichen nennt die niedrigste SmartCyber-Stufe, die sie abdeckt.

Risikoanalyse und Sicherheitskonzepte

Eine aktuelle Risikoanalyse, die die wichtigsten Systeme, Daten, Bedrohungen und Abhängigkeiten erfasst, mit je Risiko einem Verantwortlichen, einer Priorität und einer geplanten Maßnahme. Ein Asset-Inventar, das aktuell gehalten wird, und Sicherheitsrichtlinien, die zur tatsächlichen Einrichtung und Arbeitsweise der Organisation passen, ausgerichtet an ISO 27001.

Gemeinsame Verantwortung Die Analyse und die Richtlinien erstellen wir gemeinsam mit Ihnen. Ihre Geschäftsleitung entscheidet, welche Risiken akzeptabel sind, und billigt die Richtlinien.

Protect

Bewältigung von Sicherheitsvorfällen

Sicherheitsvorfälle erkennen, bewerten, eindämmen und melden. Erkennung und Reaktion rund um die Uhr aus unserem Security Operations Center (SOC), darunter SIEM und XDR, eingeübte Playbooks und kritische Alarme, beantwortet innerhalb der vereinbarten Reaktionszeit (SLA). Je Vorfallsart ist festgelegt, welche Maßnahmen das SOC unmittelbar ergreifen darf.

Think Smart Europe führt dies aus Unser SOC übernimmt Erkennung, Bewertung und die vereinbarte Reaktion. Ihre Organisation gibt förmliche Meldungen und die externe Kommunikation frei.

Essential

Aufrechterhaltung des Betriebs

Backups, die sich nicht ändern oder löschen lassen, Wiederherstellungstests mit festem Platz im Kalender und Wiederherstellungsziele, die schriftlich festlagen, bevor sie je gebraucht wurden. Für wichtige Prozesse legen wir vorab die gewünschte Wiederherstellungszeit und den höchstens zulässigen Datenverlust fest.

Think Smart Europe führt dies aus Wir betreiben die vereinbarten Backups, Wiederherstellungstests und technischen Handbücher. RTO und RPO, also wie lange eine Wiederherstellung dauern darf und wie viele Daten dabei verloren gehen dürfen, legen wir gemeinsam mit Ihnen fest.

Essential

Sicherheit der Lieferkette

Wissen, welche Lieferanten Zugang zu Systemen, Daten oder kritischen Prozessen haben und welche Risiken damit verbunden sind: eine gepflegte Lieferantenübersicht, vertragliche Sicherheitsanforderungen und Bewertungen, hinter denen Unterlagen stehen.

Gemeinsame Verantwortung Wir führen das Lieferantenregister und die Sicherheitsbewertungen. Ihre Organisation bleibt für die kaufmännischen und rechtlichen Vereinbarungen mit Lieferanten verantwortlich.

Advanced

Sicherheit im Systemlebenszyklus

Systeme sicher beschaffen, entwickeln, einrichten, aktualisieren und ändern. Patch-Management in einem vereinbarten Rhythmus, Schwachstellen-Scans, gehärtete Konfigurationen und Sicherheitstests, die jedes System über seinen gesamten Lebenszyklus begleiten. Bei der Softwareentwicklung sehen wir unter anderem auf Zugriffsrechte, Codeverwaltung, Tests und den Umgang mit gefundenen Schwachstellen.

Think Smart Europe führt dies aus Wir führen die vereinbarten Scans, Updates und technischen Prüfungen innerhalb der festgelegten Behebungsfristen durch.

Protect

Bewertung der Wirksamkeit

Regelmäßig bewerten, ob die Maßnahmen ausgeführt werden und die beabsichtigte Wirkung haben: Patch-Abdeckung, Wiederherstellungstests, Nachverfolgung von Meldungen, Kontenverwaltung und Schwachstellen, in einem festen Rhythmus berichtet statt in einer einmaligen Bewertung, die Staub ansetzt.

Think Smart Europe führt dies aus Wir erheben und berichten die vereinbarten Daten. Das interne Audit kann Ihre Organisation oder eine gesondert beauftragte Stelle durchführen.

Advanced

Cyberhygiene und Schulungen

Beschäftigte lernen, wie sie verdächtige E-Mails, ungewöhnliche Anfragen und mögliche Vorfälle erkennen und melden. Ein strukturiertes Awareness-Programm, Phishing-Simulationen mit Teilnahmenachweis je Person und die Schulung, die Artikel 20 dem Leitungsorgan selbst vorschreibt.

Think Smart Europe führt dies aus Wir führen das vereinbarte Schulungsprogramm durch und halten Teilnahme und Ergebnisse fest.

Essential

Kryptografie und Verschlüsselung

Daten verschlüsselt dort, wo sie liegen, und dort, wo sie unterwegs sind, Zertifikate und Schlüssel über ihren gesamten Lebenszyklus verwaltet, und festgehalten, wer Zugriff hat, wie Schlüssel gewechselt werden und was geschieht, wenn ein Schlüssel oder ein Zertifikat abläuft.

Wir richten es ein; Ihre Organisation bleibt Eigentümer Wir richten die technischen Vorkehrungen für Verschlüsselung und Schlüsselmanagement ein. Eigentum und letzte Verfügungsgewalt über die Schlüssel bleiben bei Ihrer Organisation.

Protect

Personalsicherheit und Zugriffskontrolle

Zugriffsrechte, die zur Funktion passen und bei einem Rollenwechsel oder einem Austritt rechtzeitig angepasst werden, mit Eintritt, Wechsel und Austritt an HR gekoppelt, Berechtigungen geprüft nach dem Least-Privilege-Prinzip, also nicht mehr Rechte als jemand braucht, und Administratorkonten, die gesondert verwaltet und regelmäßig kontrolliert werden.

Gemeinsame Verantwortung Wir führen die technischen Maßnahmen und die Zugriffsprüfungen durch. HR und Führungskräfte bleiben dafür verantwortlich, Änderungen rechtzeitig zu melden und zu genehmigen.

Advanced

Authentifizierung und sichere Kommunikation

Mehrstufige Authentifizierung verringert die Wahrscheinlichkeit, dass ein gestohlenes Passwort unmittelbar Zugang verschafft. Starke Anmeldung überall dort, wo es darauf ankommt, ergänzt um Conditional Access, geschützte Werkzeuge für die Zusammenarbeit und ein eigener Kommunikationskanal für Lagen, in denen die gewohnte E-Mail- oder Kollaborationsumgebung nicht verlässlich ist.

Think Smart Europe führt dies aus Wir richten die vereinbarten technischen Maßnahmen ein und betreiben sie: starke Anmeldung, Conditional Access und den Kanal außerhalb Ihres eigenen Netzwerks (out-of-band).

Essential

Die Zuordnung zu den SmartCyber-Stufen ist ein erster Hinweis. Im Erstgespräch legen wir fest, welche Maßnahmen zu den Risiken, zur Größe und zur technischen Umgebung Ihrer Organisation passen.

Dieselben zehn, als Tabelle

Wie die Verantwortung verteilt ist

In der Tabelle steht je Maßnahme, welche Arbeiten wir ausführen und welche Entscheidungen oder Prozesse bei Ihrer Organisation bleiben.

Die Maßnahmen nach NIS2 Artikel 21 Absatz 2, was Think Smart Europe liefert und wer sie ausführt
Maßnahme	Was wir dafür liefern	Wer betreibt sie	Ab SmartCyber
a) Risikoanalyse und Sicherheitskonzepte	Eine aktuelle Risikoanalyse, die die wichtigsten Systeme, Daten, Bedrohungen und Abhängigkeiten erfasst, mit je Risiko einem Verantwortlichen, einer Priorität und einer geplanten Maßnahme. Ein Asset-Inventar, das aktuell gehalten wird, und Sicherheitsrichtlinien, die zur tatsächlichen Einrichtung und Arbeitsweise der Organisation passen, ausgerichtet an ISO 27001.	Gemeinsame Verantwortung Die Analyse und die Richtlinien erstellen wir gemeinsam mit Ihnen. Ihre Geschäftsleitung entscheidet, welche Risiken akzeptabel sind, und billigt die Richtlinien.	Protect
b) Bewältigung von Sicherheitsvorfällen	Sicherheitsvorfälle erkennen, bewerten, eindämmen und melden. Erkennung und Reaktion rund um die Uhr aus unserem Security Operations Center (SOC), darunter SIEM und XDR, eingeübte Playbooks und kritische Alarme, beantwortet innerhalb der vereinbarten Reaktionszeit (SLA). Je Vorfallsart ist festgelegt, welche Maßnahmen das SOC unmittelbar ergreifen darf.	Think Smart Europe führt dies aus Unser SOC übernimmt Erkennung, Bewertung und die vereinbarte Reaktion. Ihre Organisation gibt förmliche Meldungen und die externe Kommunikation frei.	Essential
c) Aufrechterhaltung des Betriebs	Backups, die sich nicht ändern oder löschen lassen, Wiederherstellungstests mit festem Platz im Kalender und Wiederherstellungsziele, die schriftlich festlagen, bevor sie je gebraucht wurden. Für wichtige Prozesse legen wir vorab die gewünschte Wiederherstellungszeit und den höchstens zulässigen Datenverlust fest.	Think Smart Europe führt dies aus Wir betreiben die vereinbarten Backups, Wiederherstellungstests und technischen Handbücher. RTO und RPO, also wie lange eine Wiederherstellung dauern darf und wie viele Daten dabei verloren gehen dürfen, legen wir gemeinsam mit Ihnen fest.	Essential
d) Sicherheit der Lieferkette	Wissen, welche Lieferanten Zugang zu Systemen, Daten oder kritischen Prozessen haben und welche Risiken damit verbunden sind: eine gepflegte Lieferantenübersicht, vertragliche Sicherheitsanforderungen und Bewertungen, hinter denen Unterlagen stehen.	Gemeinsame Verantwortung Wir führen das Lieferantenregister und die Sicherheitsbewertungen. Ihre Organisation bleibt für die kaufmännischen und rechtlichen Vereinbarungen mit Lieferanten verantwortlich.	Advanced
e) Sicherheit im Systemlebenszyklus	Systeme sicher beschaffen, entwickeln, einrichten, aktualisieren und ändern. Patch-Management in einem vereinbarten Rhythmus, Schwachstellen-Scans, gehärtete Konfigurationen und Sicherheitstests, die jedes System über seinen gesamten Lebenszyklus begleiten. Bei der Softwareentwicklung sehen wir unter anderem auf Zugriffsrechte, Codeverwaltung, Tests und den Umgang mit gefundenen Schwachstellen.	Think Smart Europe führt dies aus Wir führen die vereinbarten Scans, Updates und technischen Prüfungen innerhalb der festgelegten Behebungsfristen durch.	Protect
f) Bewertung der Wirksamkeit	Regelmäßig bewerten, ob die Maßnahmen ausgeführt werden und die beabsichtigte Wirkung haben: Patch-Abdeckung, Wiederherstellungstests, Nachverfolgung von Meldungen, Kontenverwaltung und Schwachstellen, in einem festen Rhythmus berichtet statt in einer einmaligen Bewertung, die Staub ansetzt.	Think Smart Europe führt dies aus Wir erheben und berichten die vereinbarten Daten. Das interne Audit kann Ihre Organisation oder eine gesondert beauftragte Stelle durchführen.	Advanced
g) Cyberhygiene und Schulungen	Beschäftigte lernen, wie sie verdächtige E-Mails, ungewöhnliche Anfragen und mögliche Vorfälle erkennen und melden. Ein strukturiertes Awareness-Programm, Phishing-Simulationen mit Teilnahmenachweis je Person und die Schulung, die Artikel 20 dem Leitungsorgan selbst vorschreibt.	Think Smart Europe führt dies aus Wir führen das vereinbarte Schulungsprogramm durch und halten Teilnahme und Ergebnisse fest.	Essential
h) Kryptografie und Verschlüsselung	Daten verschlüsselt dort, wo sie liegen, und dort, wo sie unterwegs sind, Zertifikate und Schlüssel über ihren gesamten Lebenszyklus verwaltet, und festgehalten, wer Zugriff hat, wie Schlüssel gewechselt werden und was geschieht, wenn ein Schlüssel oder ein Zertifikat abläuft.	Wir richten es ein; Ihre Organisation bleibt Eigentümer Wir richten die technischen Vorkehrungen für Verschlüsselung und Schlüsselmanagement ein. Eigentum und letzte Verfügungsgewalt über die Schlüssel bleiben bei Ihrer Organisation.	Protect
i) Personalsicherheit und Zugriffskontrolle	Zugriffsrechte, die zur Funktion passen und bei einem Rollenwechsel oder einem Austritt rechtzeitig angepasst werden, mit Eintritt, Wechsel und Austritt an HR gekoppelt, Berechtigungen geprüft nach dem Least-Privilege-Prinzip, also nicht mehr Rechte als jemand braucht, und Administratorkonten, die gesondert verwaltet und regelmäßig kontrolliert werden.	Gemeinsame Verantwortung Wir führen die technischen Maßnahmen und die Zugriffsprüfungen durch. HR und Führungskräfte bleiben dafür verantwortlich, Änderungen rechtzeitig zu melden und zu genehmigen.	Advanced
j) Authentifizierung und sichere Kommunikation	Mehrstufige Authentifizierung verringert die Wahrscheinlichkeit, dass ein gestohlenes Passwort unmittelbar Zugang verschafft. Starke Anmeldung überall dort, wo es darauf ankommt, ergänzt um Conditional Access, geschützte Werkzeuge für die Zusammenarbeit und ein eigener Kommunikationskanal für Lagen, in denen die gewohnte E-Mail- oder Kollaborationsumgebung nicht verlässlich ist.	Think Smart Europe führt dies aus Wir richten die vereinbarten technischen Maßnahmen ein und betreiben sie: starke Anmeldung, Conditional Access und den Kanal außerhalb Ihres eigenen Netzwerks (out-of-band).	Essential

Die Buchstaben folgen Artikel 21 Absatz 2 der NIS2-Richtlinie. Die niederländische Cyberbeveiligingswet übernimmt dieselben zehn Maßnahmen mit denselben Buchstaben in Artikel 21 Absatz 3 Buchstabe a bis j, beide Fundstellen funktionieren also. Die endgültige Aufgabenverteilung wird je Organisation im Vertrag und in der Leistungsbeschreibung festgelegt.

Wo es in der Praxis schiefgeht

Wir führen aus und weisen nach

In Analysen finden wir regelmäßig, dass Maßnahmen zwar vorhanden sind, sich aber nicht belegen lässt, wann sie zuletzt ausgeführt oder geprüft wurden.

Was wir typischerweise finden

Eine Backup-Richtlinie, und kein Nachweis einer getesteten Wiederherstellung
Multi-Faktor-Authentifizierung (MFA) auf E-Mail, aber nicht auf Fernzugriff oder Administratorkonten
Eine Asset-Liste in einer Tabelle, die vor achtzehn Monaten gestimmt hat
Lieferantenverträge ohne Sicherheitsklausel und ohne abgelegte Bewertung
Eine Awareness-Schulung, einmal absolviert, ohne Nachweis wer und wann
Ein Notfallprozess, der nie als Übung durchgespielt wurde

Nichts davon ist Fahrlässigkeit. Es ist der Normalzustand einer ausgelasteten IT-Abteilung, die vorher nie nach Nachweisen gefragt wurde.

Wie das Schließen der Lücke aussieht

Wiederherstellungen nach festem Plan getestet, mit dokumentiertem Ergebnis
Conditional Access über jeden Zugangsweg, quartalsweise überprüft
Ein Asset-Inventar, das sich aus den Werkzeugen aktualisiert, die die Assets verwalten
Ein Lieferantenregister, einheitliche Sicherheitsklauseln und Bewertungen mit Datum
Awareness-Programm und Phishing-Simulation mit Abschlussnachweis je Person
Eine Tabletop-Übung im Jahr, und der Bericht dazu

Wir lösen das, indem wir die Prüfungen als wiederkehrende Arbeit einplanen und die Ergebnisse festhalten. Die Berichte, die Sie brauchen, entstehen damit aus dem laufenden Dienst und nicht aus einem Projekt kurz vor einer Prüfung.

Wie wir sie durchgehen

Unser Vorgehen in fünf Schritten

Jeder Kunde geht denselben Weg, von der Abgrenzung bis zu einem Betrieb, der die Nachweise aktuell hält. Sie können jederzeit auf den Schritt zeigen, in dem Sie stehen, und auf das, was er hervorbringt.

Abgrenzen

Je Rechtseinheit und je Land stellen wir fest, welche Gesetze gelten und welche Systeme und Prozesse in die Analyse fallen.

Analysieren

Wir prüfen die vorhandenen Maßnahmen und die verfügbaren Nachweise gegen die zehn Bereiche der Richtlinie und gegen das nationale Recht, etwa das NIS2UmsuCG in Deutschland, die Cyberbeveiligingswet in den Niederlanden, CyberFundamentals in Belgien oder ReCyF in Frankreich.

Planen

Sie erhalten einen Maßnahmenplan mit Prioritäten, Verantwortlichkeiten, Kosten und Entscheidungspunkten, so aufgesetzt, dass die Geschäftsleitung ihn förmlich billigen kann. Artikel 20 verlangt genau diese Billigung.

Umsetzen

Unsere eigenen Engineers in Amsterdam und Sofia richten die fehlenden technischen und organisatorischen Maßnahmen ein. Nichts geht an einen Dritten, und nichts landet als Hausaufgabe bei Ihrem Team.

Betreiben und überwachen

Das SOC und unsere Betriebsteams führen die vereinbarten Prüfungen durch, bearbeiten Meldungen und halten Berichte und Nachweise aktuell. Die Geschäftsleitung erhält ihren Quartalsbericht.

Welche Maßnahmen stehen, und welche fehlen noch?

In einem Gespräch mit unserem CISO gehen wir durch, welche Maßnahmen bereits eingerichtet sind, welche Nachweise vorliegen und welche Punkte zuerst Aufmerksamkeit brauchen.

Erstgespräch vereinbaren Zuerst den NIS2-Check machen

NIS2 und Ihre Sorgfaltspflicht

SmartCyber-Pakete