SchildmarkNIS2
NIS2 umsetzen: die technischen Maßnahmen und der Nachweis, dass Sie sie ergriffen haben
NIS2 verpflichtet besonders wichtige und wichtige Einrichtungen, Cyberrisiken mit geeigneten Maßnahmen zu beherrschen und erhebliche Vorfälle binnen 24 Stunden zu melden. Schildmark übernimmt den Teil Erkennung, Abwehr, Patching und Protokollierung und hält fest, was Prüfer oder BSI sehen wollen.
Was NIS2 technisch verlangt
Artikel 21 Absatz 2 der Richtlinie (EU) 2022/2555, in Deutschland § 30 Absatz 2 BSIG, nennt zehn Bereiche von Maßnahmen, von der Risikoanalyse bis zur Multi-Faktor-Authentifizierung. In diesen leistet Erkennung und Abwehr echte Arbeit. Die Meldefristen stehen in Artikel 23 bzw. § 32 BSIG.
- Bewältigung von Sicherheitsvorfällen
- Vorfälle erkennen, bewerten, eindämmen und beheben (Art. 21 Abs. 2 lit. b, § 30 Abs. 2 Nr. 2 BSIG).
- Management von Schwachstellen
- Teil der Sicherheit bei Erwerb, Entwicklung und Wartung von Systemen, „einschließlich Management und Offenlegung von Schwachstellen“ (§ 30 Abs. 2 Nr. 5 BSIG). Wissen, welche Schwachstellen Sie haben, und sie beheben.
- Bewertung der Wirksamkeit
- Konzepte und Verfahren, um zu prüfen, ob Ihre Risikomanagementmaßnahmen tatsächlich wirken (§ 30 Abs. 2 Nr. 6 BSIG).
- Grundlegende Cyberhygiene
- Grundlegende Verfahren der Cyberhygiene und Schulungen. Gepatchte, sauber konfigurierte Rechner sind der Kern des ersten Teils.
- Meldepflichten
- Bei einem erheblichen Sicherheitsvorfall: frühe Erstmeldung unverzüglich, spätestens 24 Stunden nach Kenntnis; Meldung mit erster Bewertung, Schweregrad und gegebenenfalls Kompromittierungsindikatoren spätestens nach 72 Stunden; Abschlussmeldung spätestens einen Monat danach (§ 32 BSIG).
Wer betroffen ist
Einrichtungen der in den Anlagen 1 und 2 des BSIG genannten Arten, von Energie, Verkehr, Banken, Gesundheit und digitaler Infrastruktur bis zu verarbeitendem Gewerbe, Lebensmitteln, Chemie und digitalen Diensten, mit mindestens 50 Beschäftigten oder einem Jahresumsatz und einer Jahresbilanzsumme von jeweils über 10 Millionen Euro. Manche sind unabhängig von der Größe erfasst, etwa Vertrauensdiensteanbieter, Top Level Domain Name Registries und DNS-Diensteanbieter.
Große Einrichtungen (ab 250 Beschäftigten oder über 50 Millionen Euro Umsatz und 43 Millionen Euro Bilanzsumme) der Anlage 1 sind in der Regel besonders wichtige Einrichtungen, die meisten anderen wichtige Einrichtungen. Die Maßnahmen sind dieselben; Aufsicht und Bußgelder unterscheiden sich.
Deutschland und Frankreich
- Deutschland
- Das NIS2UmsuCG gilt seit Dezember 2025 und hat das BSIG neu gefasst: § 30 nennt die Maßnahmen, § 32 die Meldungen nach 24 Stunden, 72 Stunden und einem Monat, § 38 verpflichtet die Geschäftsleitung, die Maßnahmen umzusetzen, ihre Umsetzung zu überwachen und regelmäßig an Schulungen teilzunehmen. Nach § 33 registrieren sich Einrichtungen beim BSI; laut BSI ist die gesetzliche Frist abgelaufen, wer noch nicht registriert ist, sollte das umgehend im BSI-Portal nachholen.
- Frankreich
- Der Gesetzentwurf zur Resilienz kritischer Infrastrukturen und zur Stärkung der Cybersicherheit, der NIS2 umsetzt, wurde im März 2025 vom Senat angenommen und ist mit Stand November 2026 noch nicht endgültig verabschiedet. Laut ANSSI gelten die Pflichten, sobald das Gesetz und seine Durchführungstexte veröffentlicht sind.
Anforderung, Umsetzung, Nachweis
Jede Zeile beschreibt, was das Produkt heute tut. Das Nachweispaket ist ein ZIP mit CSV-Dateien für den gewählten Zeitraum.
| Anforderung | Was Schildmark tut | Nachweis, der entsteht |
|---|---|---|
| Vorfallsbewältigung | Alarme von Windows-, macOS- und Linux-Rechnern, Netzwerksensoren, Firewalls, Microsoft 365, AWS und Google Cloud in einer Liste mit einheitlicher Schwere. Angreifende Adressen auf Ihrer eigenen Firewall sperren, aus dem Alarm, einer Regel oder dem Analysten; Regeln können auf eine Freigabe warten. | Jeder Alarm mit Regel, MITRE-Technik, Rechnern und Zeit; jede Sperre mit wer, wann und warum im Audit-Log; audit_trail.csv. |
| Meldungen nach 24 und 72 Stunden | Die Fakten für die Meldungen: wann der erste Alarm kam, welche Rechner, welche Quelladressen, was gesperrt wurde. Der Analyst fasst es auf Nachfrage in klarer Sprache zusammen. Ob ein Vorfall erheblich ist, entscheidet nicht Schildmark, und die Meldung reichen Sie selbst ein. | Alarmdetails mit Logzeile; Quelladressen als Kompromittierungsindikatoren; das Audit-Log des Zeitraums. |
| Schwachstellenmanagement | Verwundbare Pakete, abgeglichen mit Hersteller- und NVD-Daten, aktiv ausgenutzte zuerst. Jeder Fix wird auf dem Rechner geprobt, freigegeben, in genau der Version installiert und erst als erledigt gezählt, wenn die Schwachstelle nachweislich behoben ist. Was sich nicht installieren lässt, wird akzeptiertes Risiko mit Verantwortlichem, Begründung und Ablaufdatum. | vulnerabilities_fixed.csv mit dem Nachweis der Prüfung; patch_activity.csv mit Freigaben, Ablehnungen und Ausführungen. |
| Wirksamkeit und Cyberhygiene | CIS-Konfigurationsprüfungen auf jedem Rechner, alle 10 Minuten neu gelesen, und eine Warnung, wenn Logs kürzer aufbewahrt werden, als ein Framework erwartet. | configuration_scores.csv, configuration_checks.csv und die Unterschreitung der Aufbewahrung in README.txt. |
Die Compliance-Seite hat keinen eigenen NIS2-Reiter: Das Nachweispaket enthält dieselben Aufzeichnungen, egal über welches Framework Sie berichten. Mehr zu Erkennung, geprüftem Patching, Compliance-Seite und Nachweispaket, und in der Dokumentation: Compliance, Patching.
Was Schildmark nicht abdeckt
NIS2 ist überwiegend eine organisatorische Pflicht. Diese Teile bleiben bei Ihnen, Ihrem ISMS oder einem Berater.
- Risikoanalyse und Konzepte
- Risikoanalyse und Sicherheitskonzepte (Nr. 1) und die Entscheidung, welche Maßnahmen verhältnismäßig sind.
- Betriebskontinuität und Backup
- Aufrechterhaltung des Betriebs, Backup Ihrer Systeme, Notfallwiederherstellung und Krisenmanagement. Schildmark sichert seine eigene Installation, nicht Ihre Systeme.
- Lieferkette
- Bewertung von Lieferanten und Dienstleistern und Sicherheitsklauseln in deren Verträgen.
- Personal und Zugriff
- Schulungen, Personalsicherheit, Zugriffskontrolle und Anlagenverwaltung, Kryptographie, Multi-Faktor-Authentifizierung für Ihre Nutzer und eine Richtlinie zur Offenlegung von Schwachstellen.
- Geschäftsleitung und Behörden
- Billigung, Überwachung, Schulung und Haftung der Geschäftsleitung, die Registrierung beim BSI und das Einreichen der Meldungen.
Wie eine Einführung abläuft
Meist Tage, nicht Monate. Auf Ihren Firewalls wird nichts installiert.
Betrieb wählen
Von uns betrieben oder auf einem oder zwei eigenen Linux-Servern. In jedem Fall mit eigener Installation.
Rechner anbinden
Ein Befehl pro Rechner unter Windows, macOS und Linux, oder ein MSI für Intune, Configuration Manager oder Gruppenrichtlinien.
--patchingfügt Patching hinzu.Quellen anbinden
Firewall-Logs, Microsoft 365, AWS und Google Cloud sowie die Firewalls, auf denen gesperrt wird, eingerichtet in der Konsole.
Aufbewahrung festlegen, berichten
Legen Sie fest, wie lange Logs aufbewahrt werden, und exportieren Sie das Nachweispaket für den Zeitraum Ihrer Meldung oder Prüfung.
Häufige Fragen
Verlangt NIS2 ein SOC?
Nein. Weder die Richtlinie noch das BSIG schreiben ein SOC oder ein bestimmtes Produkt vor. Verlangt werden geeignete, verhältnismäßige und wirksame Maßnahmen, darunter die Bewältigung von Sicherheitsvorfällen, und die Meldung erheblicher Vorfälle binnen 24 Stunden. Praktisch heißt das: Sie müssen einen Vorfall schnell bemerken und nachvollziehen können, ob mit eigenem Team, einem Dienstleister oder einer Plattform wie Schildmark.
Reicht ein EDR für NIS2?
Kein einzelnes Werkzeug reicht. Erkennung auf Endgeräten deckt einen Teil der Vorfallsbewältigung ab. NIS2 verlangt außerdem Schwachstellenmanagement, Wirksamkeitsprüfungen, Betriebskontinuität, Lieferkettensicherheit, Schulungen, Kryptographie, Zugriffskontrolle und Multi-Faktor-Authentifizierung, überwacht von der Geschäftsleitung. Schildmark deckt Erkennung, Abwehr, geprüftes Patching und die Nachweise ab; der Rest gehört in Ihr ISMS.
Wie schnell muss ein Sicherheitsvorfall nach NIS2 gemeldet werden?
Ein erheblicher Sicherheitsvorfall wird in drei Stufen gemeldet: eine frühe Erstmeldung unverzüglich, spätestens 24 Stunden nach Kenntnis, eine Meldung mit erster Bewertung spätestens nach 72 Stunden und eine Abschlussmeldung spätestens einen Monat nach dieser Meldung. Dauert der Vorfall dann noch an, folgt zunächst eine Fortschrittsmeldung (§ 32 BSIG).
Ist mein Unternehmen von NIS2 betroffen?
Betroffen sind Einrichtungen der in den Anlagen 1 und 2 des BSIG genannten Arten mit mindestens 50 Beschäftigten oder einem Jahresumsatz und einer Jahresbilanzsumme von jeweils über 10 Millionen Euro, einige auch unabhängig von der Größe, etwa DNS-Diensteanbieter, Top Level Domain Name Registries und Vertrauensdiensteanbieter. Das BSI bietet online eine NIS-2-Betroffenheitsprüfung an.
Macht Schildmark uns NIS2-konform?
Das kann kein Produkt. Schildmark setzt die technischen Maßnahmen für Vorfallsbewältigung, Schwachstellenmanagement und Wirksamkeitsprüfung um, protokolliert sie und exportiert die Nachweise eines Zeitraums. Ob Ihre Maßnahmen angemessen sind, bemisst sich an Ihrer Risikoanalyse und wird von Ihnen und gegebenenfalls vom BSI beurteilt.
Sie bereiten sich auf NIS2 vor?
Nennen Sie uns Ihren Sektor, Ihre Rechner und Ihre Firewalls. Wir zeigen Ihnen, welche Maßnahmen Schildmark in Ihrer Umgebung abdeckt und welche bei Ihrem ISMS bleiben. Preis pro geschütztem Rechner.