NIS2 Artikel 21: Die 10 Risikomanagementmaßnahmen im Bereich der Cybersicherheit erklärt

Artikel 21 NIS2 verpflichtet wesentliche und wichtige Einrichtungen, geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen zu ergreifen, um die Risiken für ihre Netz- und Informationssysteme zu beherrschen. Die Maßnahmen müssen einem gefahrenübergreifenden Ansatz folgen und mindestens die zehn in Artikel 21 Absatz 2 aufgeführten Maßnahmen umfassen. NIS2 schreibt keine Werkzeuge vor. Wie weit Sie gehen, hängt von Ihrer Risikoexposition, Ihrer Größe und der wahrscheinlichen Schwere von Sicherheitsvorfällen ab.

Dieser Leitfaden behandelt, was Artikel 21 verlangt, die zehn Maßnahmen im Einzelnen, was verhältnismäßig bedeutet, den Absatz zur Lieferkette, Korrekturmaßnahmen, die detaillierten Durchführungsvorschriften, die Verantwortung und eine Checkliste.

Maßnahme nach Artikel 21 Absatz 2	In einem Satz	Typische Nachweise
a) Konzepte für Risikoanalyse und Sicherheit von Informationssystemen	Ihre Risiken kennen und festhalten, wie Sie damit umgehen	Risikoregister, genehmigtes Sicherheitskonzept
b) Bewältigung von Sicherheitsvorfällen	Vorfälle erkennen, darauf reagieren und daraus lernen	Verfahren für Sicherheitsvorfälle, Vorfallprotokoll, Übungsnachweis
c) Aufrechterhaltung des Betriebs und Krisenmanagement	Kritische Dienste am Laufen halten und wiederherstellen	Backup- und Wiederherstellungstests, Notfall- und Krisenpläne
d) Sicherheit der Lieferkette	Risiken durch unmittelbare Anbieter und Diensteanbieter steuern	Lieferantenregister, Vertragsklauseln, Bewertungen
e) Sicherheit bei Erwerb, Entwicklung und Wartung	Sicher entwickeln und beschaffen, Schwachstellen managen	Regeln für sichere Entwicklung, Patch-Nachweise, Richtlinie zur Offenlegung von Schwachstellen
f) Bewertung der Wirksamkeit	Prüfen, ob die Maßnahmen wirken	Internes Audit, Testergebnisse, Kennzahlen
g) Cyberhygiene und Schulungen	Grundlegende Verfahren und Schulungen für alle Mitarbeitenden	Hygiene-Mindeststandard, Schulungsnachweise
h) Kryptografie und Verschlüsselung	Regeln für den Einsatz von Kryptografie	Kryptografiekonzept, Schlüsselmanagement
i) Sicherheit des Personals, Zugriffskontrolle, Management von Anlagen	Richtige Personen, richtige Zugriffe, bekannte Assets	Nachweise zu Eintritten, Wechseln und Austritten, Zugriffsüberprüfungen, Asset-Inventar
j) MFA und gesicherte Kommunikation	Starke Authentifizierung und gesicherte Kanäle, soweit angemessen	MFA-Abdeckung, gesicherte Kommunikations- und Notfallkommunikationsmittel

Was verlangt Artikel 21?

Zwei Absätze setzen den Rahmen. Artikel 21 Absatz 1 verlangt Maßnahmen, die ein Sicherheitsniveau gewährleisten, das „dem bestehenden Risiko angemessen ist“, unter Berücksichtigung des Stands der Technik, gegebenenfalls der einschlägigen europäischen und internationalen Normen sowie der Kosten der Umsetzung. Die Maßnahmen müssen außerdem die Auswirkungen von Sicherheitsvorfällen auf die Empfänger Ihrer Dienste und auf andere Dienste verhindern oder möglichst gering halten.

Nach Artikel 21 Absatz 2 müssen die Maßnahmen „auf einem gefahrenübergreifenden Ansatz beruhen, der darauf abzielt, die Netz- und Informationssysteme und die physische Umwelt dieser Systeme vor Sicherheitsvorfällen zu schützen“. Ein überfluteter Serverraum oder ein Stromausfall fällt ebenso darunter, nicht nur ein Angreifer.

Die zehn folgenden Maßnahmen sind das, was Ihre Maßnahmen „zumindest“ umfassen müssen. Es sind Überschriften, kein Kontrollkatalog. Das ist gewollt: Die Richtlinie legt Ergebnisse fest und überlässt die Methode Ihnen, Ihrem nationalen Recht und, für bestimmte Sektoren, Durchführungsvorschriften.

Welche 10 Maßnahmen nennt Artikel 21 Absatz 2?

Jede Überschrift unten gibt die Maßnahme im Wortlaut von Artikel 21 Absatz 2 wieder, gefolgt von dem, was sie in der Praxis meist bedeutet. Die Praxishinweise sind Orientierung, keine zusätzlichen rechtlichen Anforderungen.

a) Konzepte in Bezug auf die Risikoanalyse und Sicherheit für Informationssysteme

Sie brauchen ein dokumentiertes Vorgehen, um Risiken zu identifizieren und zu bewerten, und ein von der Leitung genehmigtes Sicherheitskonzept. In der Praxis ist das ein Risikoregister, das an die betroffenen Dienste geknüpft ist, mit Verantwortlichen und Behandlungsentscheidungen, und das in geplanten Abständen überprüft wird.

b) Bewältigung von Sicherheitsvorfällen

Sie müssen Sicherheitsvorfälle erkennen, darauf reagieren und daraus lernen. Diese Maßnahme macht die Meldung nach Artikel 23 erst möglich: Ohne funktionierenden Prozess für Sicherheitsvorfälle können Sie keine Frühwarnung innerhalb von 24 Stunden abgeben. Siehe den NIS2-Zeitplan für die Meldung von Sicherheitsvorfällen.

c) Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement

Sie müssen kritische Dienste am Laufen halten oder wiederherstellen. Als Nachweis zählt eine tatsächlich getestete Wiederherstellung, nicht ein vorhandenes Backup.

d) Sicherheit der Lieferkette

Gemeint ist die Sicherheit der Lieferkette „einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern“. Artikel 21 Absatz 3 ergänzt, was Sie berücksichtigen müssen, wie unten und in NIS2: Sicherheit der Lieferkette erläutert.

e) Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen, einschließlich Management und Offenlegung von Schwachstellen

Sicherheitsanforderungen beim Kauf oder bei der Entwicklung, Patch- und Schwachstellenmanagement im Betrieb und ein Weg, über den andere Ihnen Schwachstellen melden können.

f) Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Cybersicherheit

Sie müssen prüfen, ob die anderen neun wirken. Interne Audits, technische Tests und wenige Kennzahlen, etwa Patch-Zeiten oder MFA-Abdeckung, die von der Leitung überprüft werden.

g) Grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Cybersicherheit

Die Erwägungsgründe der Richtlinie nennen Beispiele für Cyberhygiene: Zero-Trust-Grundsätze, Software-Updates, Gerätekonfiguration, Netzwerksegmentierung, Identitäts- und Zugriffsmanagement und Sensibilisierung der Nutzer. Schulungen betreffen alle Mitarbeitenden, und Artikel 20 schreibt gesondert Schulungen für die Mitglieder der Leitungsorgane vor.

h) Konzepte und Verfahren für den Einsatz von Kryptografie und gegebenenfalls Verschlüsselung

Welche Daten verschlüsselt werden, womit und wie die Schlüssel verwaltet werden. „Gegebenenfalls“ bezieht sich auf die Verschlüsselung, nicht darauf, ob Sie ein Kryptografiekonzept haben.

i) Sicherheit des Personals, Konzepte für die Zugriffskontrolle und Management von Anlagen

Sicherheit bei Einstellung, Rollenwechsel und Austritt, Zugriffsrechte, die zu den Rollen passen und überprüft werden, und ein Inventar der Assets, die Sie schützen. Ein Asset, das Sie nicht kennen, können Sie nicht patchen.

j) Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung

MFA, soweit angemessen, gesicherte interne Kommunikation und ein Weg, während eines Sicherheitsvorfalls zu kommunizieren, wenn Ihre normalen Kanäle kompromittiert sein können.

Was bedeutet „verhältnismäßig“?

Artikel 21 Absatz 1 nennt vier Faktoren: das Ausmaß der Risikoexposition der Einrichtung, ihre Größe, die Wahrscheinlichkeit des Eintretens von Sicherheitsvorfällen und deren Schwere, einschließlich ihrer gesellschaftlichen und wirtschaftlichen Auswirkungen. Ein Hersteller mit 60 Beschäftigten und ein Cloud-Anbieter mit Tausenden Kunden setzen beide alle zehn Maßnahmen um, aber in sehr unterschiedlicher Tiefe.

Verhältnismäßigkeit ist kein Ausweg aus einer Maßnahme. Sie bestimmt, wie weit Sie gehen, nicht ob Sie die Maßnahme umsetzen. Die Behörde erwartet, dass Sie Ihre Entscheidungen mit Ihrer Risikoanalyse begründen.

Was ergänzt Artikel 21 Absatz 3 zur Lieferkette?

Bei der Entscheidung, welche Maßnahmen zur Sicherheit der Lieferkette geeignet sind, müssen Sie Folgendes berücksichtigen: die spezifischen Schwachstellen der einzelnen unmittelbaren Anbieter und Diensteanbieter, die Gesamtqualität ihrer Produkte und ihrer Cybersicherheitspraxis einschließlich der Sicherheit ihrer Entwicklungsprozesse sowie die Ergebnisse der koordinierten Risikobewertungen kritischer Lieferketten auf EU-Ebene nach Artikel 22. Allen Lieferanten denselben Fragebogen zu schicken, reicht dafür allein nicht aus.

Was gilt, wenn Sie eine Lücke finden?

Artikel 21 Absatz 4 verpflichtet eine Einrichtung, die feststellt, dass sie den Maßnahmen nicht nachkommt, „unverzüglich alle erforderlichen, angemessenen und verhältnismäßigen Korrekturmaßnahmen“ zu ergreifen. Eine Lücke in Ihrem eigenen Register ist für sich genommen noch kein Verstoß. Eine bekannte Lücke, die Sie offen lassen, ist schwerer zu verteidigen.

Gibt es detailliertere technische Anforderungen?

Für bestimmte Einrichtungen ja. Nach Artikel 21 Absatz 5 musste die Kommission Durchführungsrechtsakte für DNS-Diensteanbieter, TLD-Namenregister, Cloud-Computing-Dienstleister, Anbieter von Rechenzentrumsdiensten, Betreiber von Inhaltszustellnetzen, Anbieter verwalteter Dienste, Anbieter verwalteter Sicherheitsdienste, Anbieter von Online-Marktplätzen, Online-Suchmaschinen und Plattformen für Dienste sozialer Netzwerke sowie Vertrauensdiensteanbieter erlassen. Dieser Rechtsakt ist die Durchführungsverordnung (EU) 2024/2690.

Ihr Anhang hat 13 Abschnitte: Sicherheitskonzept, Konzept für das Risikomanagement, Bewältigung von Sicherheitsvorfällen, Betriebskontinuitäts- und Krisenmanagement, Sicherheit der Lieferkette, Erwerb und Entwicklung, Bewertung der Wirksamkeit, Cyberhygiene und Schulungen, Kryptografie, Sicherheit des Personals, Zugriffskontrolle, Anlagen- und Wertemanagement sowie Sicherheit des Umfelds und physische Sicherheit. Auch wenn Sie nicht zu diesen Anbietern gehören, ist sie die detaillierteste verfügbare offizielle Lesart von Artikel 21 und ein nützlicher Maßstab.

Nationale Gesetze können für andere Sektoren Einzelheiten ergänzen. Prüfen Sie das für Sie geltende Gesetz, bevor Sie Kontrollen entwerfen.

Wer ist für Artikel 21 verantwortlich?

Das Leitungsorgan. Artikel 20 verpflichtet es, die Risikomanagementmaßnahmen zu billigen und ihre Umsetzung zu überwachen, und es kann für Verstöße der Einrichtung gegen Artikel 21 verantwortlich gemacht werden. Seine Mitglieder müssen an Schulungen teilnehmen. Für Verstöße gegen Artikel 21 muss das nationale Recht Höchstgeldbußen von mindestens 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes für wesentliche Einrichtungen und von mindestens 7 Mio. EUR oder 1,4 % für wichtige Einrichtungen vorsehen, je nachdem, welcher Betrag höher ist (Artikel 34).

Wie setzen Sie Artikel 21 um?

Beginnen Sie bei den betroffenen Diensten, nicht bei den zehn Überschriften. Dann:

1. Legen Sie den Geltungsbereich fest: welche Dienste, Systeme und Standorte die Maßnahmen abdecken.
2. Führen Sie für diesen Geltungsbereich eine Risikoanalyse durch, Maßnahme a).
3. Bringen Sie Bewältigung und Meldung von Sicherheitsvorfällen zum Laufen, Maßnahme b) und Artikel 23, denn die Fristen gelten ab dem ersten Tag.
4. Schließen Sie die offensichtlichen Hygienelücken: MFA für administrative Zugänge und Fernzugriffe, Patching, Backups, die Sie bereits wiederhergestellt haben.
5. Bauen Sie das Lieferantenregister auf und bessern Sie kritische Verträge nach, Maßnahme d).
6. Richten Sie Wirksamkeitsprüfungen ein, Maßnahme f), und berichten Sie der Leitung darüber.

Wenn Sie bereits ISO 27001 betreiben, ist das meiste davon vorhanden. ISO 27001 vs. NIS2 zeigt, welche Maßnahmen ein ISMS vollständig abdeckt und wo es nicht ausreicht.

Woran Artikel-21-Programme scheitern

Die meisten scheitern an den Nachweisen, nicht an den Konzepten. Die zehn Maßnahmen sind leicht zu dokumentieren und schwer zu belegen. Die Artikel 32 und 33 erlauben der Behörde die „Anforderung von Nachweisen für die Umsetzung der Cybersicherheitskonzepte“: den Beleg, dass MFA heute für jedes Administratorkonto aktiv ist, dass kritische Patches innerhalb Ihrer eigenen Frist eingespielt wurden, dass die Wiederherstellung funktioniert hat.

Diese Nachweise liegen in Ihrem Identity Provider, Ihren Endpoint-Tools, Ihren Cloud-Konten und Ihrem Ticketsystem. Auch ein Zertifikat klärt die Frage nicht, denn es gibt kein NIS2-Zertifikat. Einmal im Jahr von Hand gesammelt, sind die Nachweise schon bei ihrer Ankunft veraltet. Laufend aus den Systemen erhoben, wobei eine Person die Ausnahmen prüft, beantworten sie die Frage, die die Behörde tatsächlich stellt. So funktioniert die CloudSoul-Plattform. Wenn Sie zuerst wissen wollen, wo Sie stehen, ist ein Sicherheitsaudit anhand von Artikel 21 der schnellste Weg, und das gesamte Programm finden Sie auf der NIS2-Compliance-Seite.

Checkliste zu NIS2 Artikel 21

• Legen Sie die betroffenen Dienste, Systeme und Standorte fest.
• Führen Sie ein Risikoregister mit Verantwortlichen und Behandlungsentscheidungen, Maßnahme a).
• Testen Sie die Bewältigung von Sicherheitsvorfällen gegen die Meldefristen von 24 und 72 Stunden.
• Stellen Sie mindestens einmal aus einem Backup wieder her und dokumentieren Sie das Ergebnis.
• Führen Sie ein Register der unmittelbaren Anbieter mit Sicherheitsklauseln für die kritischen.
• Aktivieren Sie MFA für administrative Zugänge und Fernzugriffe und messen Sie die Abdeckung.
• Überprüfen Sie die Wirksamkeit der Maßnahmen in geplanten Abständen und berichten Sie der Leitung.
• Dokumentieren Sie die Billigung der Maßnahmen durch das Leitungsorgan und die Schulung seiner Mitglieder.

Quellen

• Richtlinie (EU) 2022/2555 (NIS2), Artikel 20, 21, 22, 23, 32, 33 und 34 sowie Erwägungsgrund 89, EUR-Lex.
• Durchführungsverordnung (EU) 2024/2690 der Kommission, Anhang, EUR-Lex.

Häufige Fragen