NIS2-Compliance für die Netzwerkinfrastruktur
Die NIS2-Richtlinie (EU 2022/2555) macht das Management von Cybersicherheitsrisiken für wesentliche und wichtige Einrichtungen zur gesetzlichen Pflicht, und die Leitungsorgane haften persönlich. ConnectMyAssets unterstützt Sie bei der Netzwerkseite von Artikel 21: ein vollständiges Inventar, laufende Compliance-Richtlinien, Konfigurationshistorie, Schwachstellen-Tracking und Alarme, mit Nachweisen, die Sie einem Prüfer übergeben können.
NIS2-Nachweise, von der Plattform aktuell gehalten.
Warum NIS2-Compliance bei Ihrem Netzwerk beginnt
NIS2 erweitert den Anwendungsbereich und die Sanktionen der EU-Cybersicherheitsregulierung deutlich. Verstöße können bei wesentlichen Einrichtungen Geldbußen von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes nach sich ziehen, je nachdem, welcher Betrag höher ist, bei wichtigen Einrichtungen bis zu 7 Millionen Euro oder 1,4 %.
Artikel 21, Risikomanagement
Artikel 21 verpflichtet die Einrichtungen zu technischen und organisatorischen Maßnahmen, darunter Konzepte für Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Aufrechterhaltung des Betriebs, Sicherheit der Lieferkette, Umgang mit Schwachstellen, Kryptografie, Zugriffskontrolle und Management von Anlagen. Im Netzwerk werden viele dieser Maßnahmen umgesetzt und überprüft.
Artikel 23, Meldung von Vorfällen
Einrichtungen müssen ihrem CSIRT innerhalb von 24 Stunden, nachdem sie Kenntnis von einem erheblichen Sicherheitsvorfall erlangt haben, eine Frühwarnung übermitteln und innerhalb von 72 Stunden eine Meldung über den Vorfall. Konfigurationshistorie und Änderungsprotokolle sind unverzichtbar, um zu verstehen, was passiert ist.
Sanktionen und Haftung der Geschäftsleitung
Wesentlichen Einrichtungen drohen Geldbußen von bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist, wichtigen Einrichtungen bis zu 7 Mio. EUR oder 1,4 %. NIS2 führt außerdem eine persönliche Haftung der Leitungsorgane ein, die Cybersicherheitsmaßnahmen nicht billigen und überwachen (Artikel 20).
Erweiterter Anwendungsbereich, 18 Sektoren
NIS2 umfasst 18 Sektoren, darunter Energie, Verkehr, Gesundheit, digitale Infrastruktur, Verwaltung von IKT-Diensten und öffentliche Verwaltung. Mittlere und große Einrichtungen dieser Sektoren fallen nach der jeweiligen nationalen Umsetzung in den Anwendungsbereich, in Deutschland über das NIS2UmsuCG.
Funktionen für die NIS2-Compliance im Netzwerk
Netzwerkkontrollen, den Maßnahmen aus Artikel 21 Absatz 2 zugeordnet und laufend auf jedem Gerät ausgewertet.
Vollständiges Inventar (21 Abs. 2 Buchst. a und i)
Ein ultraleichter zustandsloser Discovery-Durchlauf findet jedes Gerät, das antwortet, anschließend baut die agentenlose Erfassung per SSH das Inventar auf: Modell, Seriennummer, Firmware, Schnittstellen, VLANs, Nachbarn. Auch nicht verwaltete Geräte und offene Ports werden aufgeführt, sodass der unbekannte Teil Ihres Netzwerks zu einer bearbeitbaren Liste wird.
Laufende Compliance-Richtlinien (21 Abs. 2 Buchst. e und f)
Starten Sie mit dem integrierten Katalog und schreiben Sie dann jede benötigte Regel mit einer äußerst umfassenden Bedingungssprache. Richtlinien gehören zu Gerätegruppen, werden mit Sperren nach unten vererbt, mit 0 bis 100 gewichtet und laufend ausgewertet, mit Ausnahmen und 365 Tagen Historie, um die Wirksamkeit Ihrer Maßnahmen nachzuweisen.
Schwachstellen und Lieferkette (21 Abs. 2 Buchst. d und e)
Firmware-Versionen werden mit CVEs aus der Cloud-Infrastruktur von ConnectMyAssets abgeglichen, mit CISA KEV, EPSS und EUVD-Kennungen mit dem Hinweis der ENISA. End-of-Life- und End-of-Support-Daten werden mit Budgetprognosen und Alarmen mit Vorlaufzeit verfolgt.
Konfigurationshistorie und Wiederherstellung (21 Abs. 2 Buchst. c)
Jede Konfiguration wird bei jeder Erfassung per SSH gelesen, mit vollständiger Historie aufbewahrt und zwischen zwei beliebigen Versionen zeilengenau verglichen. Zur Wiederherstellung spielen Sie eine frühere Konfigurationsversion per ZTP erneut auf das Gerät ein.
Zugriffskontrolle, MFA und Kryptografie (21 Abs. 2 Buchst. h, i, j)
SSO mit LDAP, Active Directory oder OpenID Connect und MFA, 81 auf Gerätegruppen begrenzte Berechtigungen, eine Bastion, die jede SSH-Sitzung aufzeichnet, und ein Vault, dessen Schlüssel Sie verwalten. Das TLS-Zertifikatsaudit markiert abgelaufene, bald ablaufende und selbstsignierte Zertifikate sowie veraltete Protokollversionen.
Änderungserkennung und Alarme (21 Abs. 2 Buchst. b)
Regelmäßige Scans, bis zu alle 5 Minuten, speisen die 62 Detektoren von Soron: außerhalb von ConnectMyAssets geänderte Konfiguration, nicht autorisiertes Gerät, verbotener offener Port, kritische CVE, nicht erreichbarer Host. Alarme erreichen Ihr Team in der Anwendung, per E-Mail, Syslog oder Webhook, und Ihr SIEM über CEF, LEEF, ECS oder GELF.
In drei Schritten zur NIS2-Compliance Ihres Netzwerks
Bewerten: Inventar und Lückenanalyse
Installieren Sie ConnectMyAssets, starten Sie eine Discovery und lassen Sie ConnectMyAssets Ihre Geräte per SSH erfassen. Integrierte Richtlinien, Firewall-Analyse und CVE-Abgleich liefern Ihnen einen ersten Überblick über die Lücken, mit einem gewichteten Compliance-Score pro Gerät und pro Gruppe.
Umsetzen: Richtlinien und Härtung
Schreiben Sie die Regeln, die Ihrer eigenen Sicherheitsrichtlinie entsprechen, sperren Sie sie für die Gruppen, in denen sie gelten müssen, und schließen Sie die Lücken mit eigenen Skripten: Vorschau auf einem Gerät, Risikoregeln, Vorher-Nachher-Diff für jedes geänderte Gerät.
Aufrechterhalten: laufende Compliance und Berichte
Die Compliance wird laufend ausgewertet, und Alarme werden ausgelöst, sobald ein Scan eine Abweichung erkennt. Senden Sie zeitgesteuerte E-Mail-Berichte an das Management, drucken Sie Dashboards oder speichern Sie sie als PDF und exportieren Sie Nachweise als CSV oder NDJSON für Ihre Prüfer und die Governance-Überprüfungen nach Artikel 20.
Zugehörige Funktionen der Plattform
FAQ zur NIS2-Compliance
Häufige Fragen zur Einhaltung der NIS2-Richtlinie in der Netzwerkinfrastruktur.
Gilt NIS2 für meine Organisation?
NIS2 gilt für mittlere und große Einrichtungen (ab 50 Beschäftigten oder ab 10 Mio. EUR Umsatz), die in 18 festgelegten Sektoren in der EU tätig sind. Dazu gehören Energie, Verkehr, Bankwesen, Gesundheit, Wasser, digitale Infrastruktur, Verwaltung von IKT-Diensten, öffentliche Verwaltung und Weltraum. Die Mitgliedstaaten können auch kleinere Einrichtungen von besonderer Bedeutung einbeziehen.
Bis wann muss NIS2 umgesetzt sein?
Die EU-Mitgliedstaaten mussten NIS2 bis zum 17. Oktober 2024 in nationales Recht umsetzen. Die Umsetzungszeitpläne unterscheiden sich jedoch von Land zu Land; in Deutschland erfolgt die Umsetzung über das NIS2UmsuCG. Organisationen sollten bei ihrer nationalen Behörde (etwa dem BSI in Deutschland oder der ANSSI in Frankreich) die konkreten Fristen und Registrierungspflichten prüfen.
Wie unterstützt ConnectMyAssets bei den Anforderungen aus Artikel 21 der NIS2?
ConnectMyAssets unterstützt die Netzwerkseite von Artikel 21 Absatz 2: Risikoanalyse über Inventar, Compliance-Richtlinien und Firewall-Analyse (a), Bewältigung von Sicherheitsvorfällen über Änderungserkennung und Alarme (b), Aufrechterhaltung des Betriebs über Konfigurationshistorie und erneutes Einspielen per ZTP (c), Lieferkette und Umgang mit Schwachstellen über Firmware-, CVE- und End-of-Life-Tracking (d, e), Bewertung der Wirksamkeit über laufende Auswertung und 365 Tage Historie (f), Kryptografie über das TLS-Zertifikatsaudit (h), Zugriffskontrolle und Management von Anlagen über RBAC, Bastion und CMDB (i) sowie MFA über SSO (j).
Welche Sanktionen drohen bei Verstößen gegen NIS2?
Wesentlichen Einrichtungen drohen Geldbußen von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Wichtigen Einrichtungen drohen Geldbußen von bis zu 7 Millionen Euro oder 1,4 % des Umsatzes. Zusätzlich führt Artikel 20 eine persönliche Verantwortung der Leitungsorgane ein, und die nationalen Behörden können ein vorübergehendes Verbot der Ausübung von Leitungsfunktionen verhängen.
Wie schnell müssen Vorfälle nach NIS2 gemeldet werden?
Artikel 23 legt einen dreistufigen Meldeablauf fest: eine Frühwarnung innerhalb von 24 Stunden, nachdem Kenntnis von einem erheblichen Sicherheitsvorfall erlangt wurde, eine Meldung innerhalb von 72 Stunden mit einer ersten Bewertung und den Auswirkungen sowie ein Abschlussbericht innerhalb eines Monats mit Ursache, Abhilfemaßnahmen und gegebenenfalls grenzüberschreitenden Auswirkungen. ConnectMyAssets hilft Ihnen, schnell zu antworten: welche Konfiguration sich wann auf welchen Geräten geändert hat und welche Geräte einer bestimmten CVE ausgesetzt sind.
Was ist der Unterschied zwischen NIS2 und der ursprünglichen NIS-Richtlinie?
NIS2 erweitert den Anwendungsbereich von 7 auf 18 Sektoren, ersetzt die Unterscheidung zwischen Betreibern wesentlicher Dienste und Anbietern digitaler Dienste durch die Einstufung in wesentliche und wichtige Einrichtungen, führt strengere und einheitlichere Sanktionen ein, ergänzt die Verantwortung der Leitungsorgane (Artikel 20), verschärft die Meldefristen (24 Stunden, 72 Stunden, 1 Monat) und enthält Anforderungen an die Sicherheit der Lieferkette. Außerdem schreibt sie eine koordinierte Offenlegung von Schwachstellen vor.
Starten Sie Ihren Weg zur NIS2-Compliance
Erfahren Sie in einer persönlichen Demo, wie ConnectMyAssets Ihre Netzwerkinfrastruktur den Anforderungen der NIS2-Richtlinie zuordnet.