1. August 2026

NIS2-Sicherheitsmaßnahmen praktisch einführen

Ein Ausfall beginnt selten mit einer großen Meldung. Häufig steht am Anfang ein kompromittiertes Benutzerkonto, ein unentdeckter Zutritt zu einem Technikraum oder ein Dienstleisterzugang mit zu weitreichenden Rechten. Wer NIS2-Sicherheitsmaßnahmen praktisch einführen will, muss deshalb mehr als einzelne IT-Produkte beschaffen. Gefragt ist ein nachvollziehbares Sicherheitsniveau, das Verantwortlichkeiten, technische Schutzvorkehrungen, physische Infrastruktur und belastbare Abläufe zusammenführt.

Für Betreiber kritischer oder besonders wichtiger Einrichtungen ist das keine reine Compliance-Aufgabe. Die Anforderungen betreffen unmittelbar die Betriebsfähigkeit: Wie schnell wird ein Sicherheitsereignis erkannt? Wer entscheidet bei einem Vorfall? Welche Systeme müssen weiterarbeiten, wenn Teile der IT oder Kommunikation ausfallen? Und wie lässt sich gegenüber Aufsicht, Kunden und Versicherern belegen, dass die Maßnahmen nicht nur auf dem Papier bestehen?

Den Geltungsbereich vor der Technik klären

Der häufigste Fehlstart ist ein Projekt, das bei Firewall, Endpoint-Schutz oder Kameraaustausch beginnt. Diese Komponenten können sinnvoll sein, beantworten aber nicht die Grundfrage: Welche Geschäftsprozesse, Standorte, Anlagen, Daten und Dienstleister müssen geschützt werden? Der erste Arbeitsschritt ist daher eine belastbare Bestandsaufnahme.

Erfassen Sie nicht nur klassische IT-Systeme wie Server, Identitätsverwaltung und Arbeitsplatzumgebungen. Gerade in Industrie, Gesundheitswesen, Energieversorgung und kommunalen Einrichtungen gehören auch Gebäudeleittechnik, Zutrittskontrolle, Videoanlagen, Leitstellen, Notrufsysteme, Netzwerktechnik sowie externe Fernwartungszugänge in den Blick. Entscheidend sind die Abhängigkeiten. Eine Kameraanlage kann beispielsweise für die Aufklärung nach einem Vorfall wichtig sein, während der Ausfall eines PoE-Switches gleichzeitig Videoüberwachung, Türkommunikation und Teile der Zutrittskontrolle beeinträchtigt.

Anschließend wird der Anwendungsbereich mit Geschäftsführung, IT, Informationssicherheit, Betrieb und gegebenenfalls Datenschutz abgestimmt. Ob und in welcher Form eine Organisation unter die national umgesetzten NIS2-Vorgaben fällt, ist rechtlich im Einzelfall zu bewerten. Unabhängig davon ist die strukturierte Erfassung der Schutzbedarfe für jede Organisation mit hohen Verfügbarkeitsanforderungen sinnvoll.

NIS2-Sicherheitsmaßnahmen praktisch einführen: vom Risiko zur Umsetzung

NIS2 verlangt ein risikobasiertes Sicherheitsmanagement. Das bedeutet nicht, jedes theoretisch denkbare Szenario gleich zu behandeln. Es bedeutet, realistische Gefährdungen nach Eintrittswahrscheinlichkeit und möglichen Auswirkungen auf Versorgung, Betrieb, Sicherheit und Daten zu priorisieren.

Szenarien statt abstrakter Risikolisten bewerten

Ein guter Risikoworkshop arbeitet mit konkreten Situationen. Was passiert bei Ransomware in der zentralen Verwaltung? Wie wird ein unbefugter Zutritt zu einem Serverraum erkannt und dokumentiert? Welche Folgen hat es, wenn ein externer Dienstleister seine Fernwartungsverbindung verliert oder missbräuchlich genutzt wird? Kann die Leitstelle bei einem Netzwerkausfall weiterarbeiten? Solche Fragen verbinden technische und operative Perspektiven und machen Lücken sichtbar.

Für jedes priorisierte Szenario sollten Verantwortliche vier Punkte festlegen: Welche Schutzmaßnahme senkt das Risiko, wer betreibt sie, wie wird ihre Wirksamkeit geprüft und welcher Nachweis wird abgelegt? Erst damit wird aus einer Risikoanalyse ein umsetzbarer Maßnahmenplan.

Eine technische Basis schaffen, die betrieben werden kann

Die technische Umsetzung sollte sich an der tatsächlichen Umgebung orientieren. Ein kleiner Krankenhausverbund benötigt andere Betriebsmodelle als ein Industrieunternehmen mit mehreren Werken. Dennoch gehören einige Maßnahmen in den meisten sicherheitsrelevanten Umgebungen zur Grundausstattung:

• Mehrstufige Anmeldung für privilegierte Konten, Fernzugänge und besonders schutzwürdige Anwendungen.
• Getrennte Netzwerksegmente für Büro-IT, Produktions- oder Gebäudetechnik, Videoüberwachung und externe Zugriffe.
• Geregeltes Patch- und Schwachstellenmanagement mit klaren Fristen, Ausnahmen und kompensierenden Schutzmaßnahmen.
• Sichere, getestete Datensicherungen mit Wiederherstellungszielen für priorisierte Systeme.
• Zentral auswertbare Protokollierung sicherheitsrelevanter Ereignisse und nachvollziehbare Alarmwege.
• Beschränkte Dienstleisterzugänge mit Genehmigung, Protokollierung und zeitlicher Begrenzung.

Der entscheidende Punkt liegt im Betrieb. Eine Multifaktor-Authentisierung hilft nicht, wenn Notfallkonten ungeprüft bleiben. Segmentierung wirkt nur, wenn Firewall-Regeln gepflegt und Änderungen kontrolliert werden. Backups schützen nur dann, wenn ihre Wiederherstellung unter realen Bedingungen getestet wurde. Sicherheitsmaßnahmen müssen deshalb feste Eigentümer, Wartungszyklen und Prüftermine erhalten.

Physische Sicherheit in das Sicherheitsmanagement integrieren

NIS2 wird oft ausschließlich als IT-Thema behandelt. Das greift zu kurz. Ein offener Technikraum, manipulierte Außenkomponenten oder ein unkontrollierter Zugang zur Leitstelle können digitale Schutzmaßnahmen umgehen oder ihren Betrieb beeinträchtigen. Physische und digitale Sicherheit sollten daher nicht getrennt geplant werden.

Professionelle Videoüberwachung kann bei dieser Verbindung eine wichtige Rolle spielen. Sie unterstützt die Erkennung ungewöhnlicher Aktivitäten an Zufahrten, Perimeterbereichen und kritischen Räumen, liefert Informationen für die Lagebewertung und kann die Aufklärung eines Vorfalls beschleunigen. Wärmebildtechnik kann insbesondere bei weitläufigen Außenflächen oder schlechten Lichtverhältnissen sinnvoll sein. Nummernschilderkennung wiederum kann Zufahrtsprozesse und die Nachverfolgung berechtigter Fahrzeuge unterstützen.

Die Technik allein ist jedoch kein Sicherheitsnachweis. Kameras, Aufzeichnungsserver und Managementsoftware müssen selbst geschützt sein: mit separaten Netzwerken, abgesicherten Administrationszugängen, aktuellen Softwareständen, sorgfältig vergebenen Berechtigungen und einem Konzept für Ausfall oder Manipulationsversuche. Ebenso wichtig sind Datenschutz, Zweckbindung, Löschfristen und geregelte Zugriffe auf Bilddaten. Die konkrete Ausgestaltung hängt vom Einsatzort, den betrieblichen Risiken und den rechtlichen Rahmenbedingungen ab.

Für sicherheitskritische Standorte ist außerdem die Frage relevant, was bei einem Kommunikationsausfall passiert. Lokale Speicherung, definierte Notbetriebsarten, überwachte Stromversorgung und klare Interventionswege können entscheidend sein. IBC Raif verbindet diese Perspektive in der Planung von Sicherheitsinfrastruktur mit den Anforderungen an Verfügbarkeit, Detektion und nachvollziehbare Betriebsprozesse.

Meldewege und Krisenabläufe vor dem Ernstfall trainieren

NIS2 legt besonderes Gewicht auf die Behandlung und Meldung erheblicher Sicherheitsvorfälle. In der Praxis scheitert dies selten an fehlenden E-Mail-Adressen. Problematisch sind unklare Schwellenwerte, unvollständige Informationen und Entscheidungen, die im Krisenfall zu lange warten.

Ein funktionierender Ablauf beschreibt deshalb präzise, wie ein Ereignis erkannt, klassifiziert, eskaliert und dokumentiert wird. IT-Sicherheit, Betrieb, Kommunikation, Geschäftsführung und gegebenenfalls externe Spezialisten müssen wissen, wann sie eingebunden werden. Bei physischen Ereignissen gehören Sicherheitsdienst, Leitstelle oder Facility Management ebenfalls in diese Kette.

Definieren Sie vorab, welche Informationen sofort gesichert werden: Zeitstempel, Logdaten, Konfigurationsstände, Bildmaterial, betroffene Systeme, bisherige Maßnahmen und Ansprechpartner. Dabei gilt: Beweissicherung darf die Wiederherstellung nicht unnötig verzögern, aber eine übereilte Bereinigung kann die Ursachenanalyse unmöglich machen. Dieser Zielkonflikt sollte im Notfallhandbuch geregelt und in Übungen erprobt werden.

Auch Lieferketten verdienen Aufmerksamkeit. Fragen Sie bei kritischen Dienstleistern nach Zuständigkeiten bei Sicherheitsvorfällen, nach abgesicherten Wartungszugängen, Meldepflichten, Verfügbarkeitszusagen und Exit-Szenarien. Verträge können Risiken nicht beseitigen, sie schaffen aber verbindliche Erwartungen und klare Eskalationswege.

Ein realistischer Einführungsplan für die ersten 90 Tage

Organisationen müssen nicht jedes Defizit gleichzeitig beheben. Ein gestufter Plan schafft eher ein tragfähiges Sicherheitsniveau als ein überladenes Großprojekt. Für die ersten 90 Tage bietet sich eine klare Reihenfolge an:

1. Verantwortlichkeiten, Geltungsbereich und kritische Prozesse verbindlich festlegen.
2. Kronjuwelen, Abhängigkeiten und wesentliche Risiken in einer gemeinsamen Bestandsaufnahme erfassen.
3. Sofortmaßnahmen für besonders gefährdete Zugänge, ungepatchte Systeme, Backups und Fernwartung umsetzen.
4. Incident-Response-Ablauf einschließlich Entscheidungs- und Kommunikationswegen dokumentieren und testen.
5. Ein mehrstufiges Investitionsprogramm für Architektur, physische Schutzmaßnahmen, Monitoring und Lieferantensteuerung beschließen.

Diese Reihenfolge verhindert, dass Budgets in sichtbare, aber nachrangige Einzelmaßnahmen fließen. Ein neues Kamerasystem ist beispielsweise dann besonders wirksam, wenn sein Einsatzbereich aus einer Risikoanalyse folgt, Alarmierung und Intervention definiert sind und die Anlage sicher in die vorhandene Infrastruktur eingebunden wird.

Typische Fehler, die Projekte ausbremsen

Ein häufiger Fehler ist die Übertragung der gesamten Verantwortung auf die IT-Abteilung. NIS2 verlangt Leitungseinbindung, weil Sicherheitsentscheidungen häufig Prioritäten, Investitionen und Betriebsrisiken betreffen. Ebenso problematisch ist eine Dokumentation ohne gelebten Prozess. Richtlinien, die niemand kennt, helfen bei einer Prüfung und im Ernstfall nicht weiter.

Auch zu viel Komplexität kann schaden. Nicht jede Umgebung benötigt sofort ein hochintegriertes Sicherheitszentrum. Wenn Personal, Prozesse und Datenqualität noch nicht dafür bereit sind, erzeugt ein komplexes Tool vor allem Fehlalarme und Pflegeaufwand. Besser ist ein Ausbau in Stufen: erst Transparenz und klare Reaktionen schaffen, dann Automatisierung und Integration erweitern.

Belastbare Sicherheit zeigt sich nicht in einer einzelnen Zertifizierung oder Anschaffung. Sie zeigt sich darin, dass ein Unternehmen Angriffe und Störungen früh erkennt, geordnet entscheidet, priorisierte Funktionen wiederherstellt und aus Vorfällen messbar lernt. Genau dort sollte die praktische Einführung von NIS2-Sicherheitsmaßnahmen ansetzen: bei den Risiken, die den eigenen Betrieb tatsächlich gefährden, und bei Lösungen, die dauerhaft verantwortbar betrieben werden können.