NIS2 digitale Infrastruktur: Die 30-Minuten-Regel

Eine RMM-Plattform fällt an einem Dienstag um 09:14 Uhr aus. Der Anbieter stellt sie um 09:48 Uhr wieder her. Vierunddreißig Minuten, eine Handvoll verärgerter Kunden, eine Gutschrift, erledigt.

Nur ist es nicht erledigt. Nach der Durchführungsverordnung (EU) 2024/2690 ist dieser Ausfall ein erheblicher Sicherheitsvorfall, und die 24-Stunden-Uhr für die Frühwarnung lief ab dem Moment, in dem der Anbieter davon wusste.

Das ist der Teil der NIS2-Compliance für digitale Infrastruktur, den Berater immer wieder unterschätzen. Für die von der DVO 2024/2690 erfassten Einrichtungstypen ist die unbestimmte Sprache von Artikel 21 bereits durch Zahlen ersetzt worden. Minuten. Prozentsätze. Ihr Mandant kann nicht darüber streiten, was "geeignet und verhältnismäßig" bedeutet, wenn die Verordnung ihm genau gesagt hat, was es bedeutet.

Digitale Infrastruktur ist der eine NIS2-Sektor, der über Artikel 21 nicht verhandelt

NIS2 ist eine Richtlinie. Sie brauchte 27 nationale Umsetzungsgesetze, und diese Gesetze kamen spät, uneinheitlich und in einigen Fällen bis heute nicht.

Die DVO 2024/2690 ist eine Verordnung. Sie wurde am 18. Oktober 2024 im Amtsblatt veröffentlicht und gilt unmittelbar in jedem Mitgliedstaat. Keine Umsetzung. Keine nationale Auslegungsebene. Wo sie eine Anforderung festlegt, gilt diese Anforderung — unabhängig davon, was das lokale NIS2-Gesetz sagt oder nicht sagt.

Ihr Anhang gliedert Artikel 21(2) in 13 Anforderungsgruppen mit nummerierten Unteranforderungen. Allein Punkt 11 teilt die Zugangskontrolle auf in Verwaltung von Zugriffsrechten, privilegierte Konten, Administrationssysteme, eindeutige Identifizierung, Authentifizierung und Multi-Faktor-Authentifizierung. Die Verfasser stützten sich auf ISO/IEC 27001, ISO/IEC 27002, ETSI EN 319 401 und CEN/TS 18026:2024 — ein bestehendes ISMS bringt Sie also ein Stück weit. Aber die Zuordnung ist nicht eins zu eins, und genau in den Lücken landen die Audits.

Artikel 21 — 10 NIS2 Cybersicherheitsmaßnahmen
🛡️
Artikel 21
10 Cybersicherheitsmaßnahmen
📊Governance & Strategie
1Risikoanalyse & Informationssicherheitsrichtlinien
6Bewertung der Wirksamkeit von Sicherheitsmaßnahmen
🚨Vorfälle & Kontinuität
2Vorfallsbehandlung & Meldung
3Geschäftskontinuität & Notfallwiederherstellung
🔗Lieferkette & Systeme
4Sicherheit der Lieferkette
5Sicherheit bei der Entwicklung von Netz- und Informationssystemen
🔐Technische Kontrollen
8Kryptografie & Verschlüsselung
10Multi-Faktor-Authentifizierung & sichere Kommunikation
👥Personal & Ressourcen
7Cyber-Hygiene & Schulung
9Personalsicherheit & Zugangskontrolle

Wenn Ihr Mandant keiner der erfassten Einrichtungstypen ist, zählt das trotzdem. Die DVO 2024/2690 ist die detaillierteste amtliche Aussage darüber, wie die Kommission Compliance mit Artikel 21 versteht. Aufsichtsbehörden, die einen Energie- oder Gesundheitsmandanten prüfen, werden sie lesen. Sie sollten das auch. Unsere Aufschlüsselung der zehn Artikel-21-Maßnahmen liefert den Blick auf Richtlinienebene.

Elf Einrichtungstypen sind erfasst, und die Größenschwellen retten die meisten nicht

Die Verordnung benennt ihre Adressaten in Artikel 1:

DNS-Diensteanbieter
TLD-Namenregister
Anbieter von Cloud-Computing-Diensten
Anbieter von Rechenzentrumsdiensten
Betreiber von Content Delivery Networks
Anbieter verwalteter Dienste
Anbieter verwalteter Sicherheitsdienste
Anbieter von Online-Marktplätzen
Anbieter von Online-Suchmaschinen
Anbieter von Plattformen für soziale Netzwerke
Vertrauensdiensteanbieter

Zwei Dinge machen Berater hier falsch.

Erstens fallen DNS-Diensteanbieter, TLD-Namenregister und Vertrauensdiensteanbieter nach NIS2 Artikel 2(2) unabhängig von Mitarbeiterzahl oder Umsatz in den Anwendungsbereich. Ein DNS-Betreiber mit vier Personen ist erfasst. Die Größenregel, die kleine Unternehmen in den meisten Sektoren rettet, gilt für sie nicht.

Zweitens ist "Anbieter verwalteter Dienste" in Artikel 6(39) der Richtlinie weit definiert: eine Einrichtung, die Dienste im Zusammenhang mit Installation, Verwaltung, Betrieb oder Wartung von IKT-Produkten, Netzen, Infrastrukturen, Anwendungen oder sonstigen Netz- und Informationssystemen erbringt, beim Kunden vor Ort oder aus der Ferne. Das ist der größte Teil des MSP-Markts und eine ganze Reihe von Firmen, die sich "IT-Support" oder "Entwicklungspartner" nennen, ohne das Wort verwaltet je zu verwenden. Wenn Sie das als Berater lesen: Prüfen Sie, ob es auf Sie zutrifft, bevor Sie Ihre Mandanten prüfen — unser Leitfaden NIS2 für MSPs behandelt die doppelte Verpflichtung im Detail.

Die Zuständigkeit ist die nächste Falle. Einrichtungen der digitalen Infrastruktur unterliegen in der Regel der Aufsicht dort, wo ihre Hauptniederlassung liegt, nicht dort, wo ihre Kunden sitzen. Wenn Sie nicht sicher sind, welche Behörde Ihren Mandanten beaufsichtigt, lesen Sie unseren Beitrag zu Artikel 26, bevor Sie Annahmen treffen.

Die Erheblichkeitsschwellen sind Uhren, keine Ermessensfragen

Hier weicht die DVO 2024/2690 am stärksten davon ab, wie die meisten Organisationen ihre Vorfalltriage heute betreiben.

Artikel 3 legt horizontale Kriterien fest, die für jede erfasste Einrichtung gelten. Ein Vorfall ist erheblich, wenn er einen direkten finanziellen Verlust von mehr als 500.000 EUR oder 5% des Gesamtjahresumsatzes der Einrichtung im vorangegangenen Geschäftsjahr verursacht hat oder verursachen kann, je nachdem, welcher Betrag niedriger ist. Ebenso, wenn er die Exfiltration von Geschäftsgeheimnissen verursachen kann. Ebenso, wenn ein erfolgreicher, mutmaßlich böswilliger und unbefugter Zugriff stattgefunden hat, der eine schwere Betriebsstörung verursachen kann — und Erwägungsgrund 39 stellt klar, dass ein Angreifer, der sich für eine spätere Störung positioniert, mitzählt, auch wenn es noch keine Störung gibt.

Dann kommen die einrichtungsspezifischen Kriterien:

Cloud-Anbieter (Artikel 7) — vollständige Nichtverfügbarkeit von mehr als 30 Minuten. Eingeschränkte Verfügbarkeit von mehr als einer Stunde, die mehr als 5% der Nutzer in der Union oder mehr als 1 Million Unionsnutzer betrifft, je nachdem, welche Zahl kleiner ist. Jede Beeinträchtigung von Integrität, Vertraulichkeit oder Authentizität von Daten durch mutmaßlich böswillige Handlungen, ganz ohne Nutzerzahl-Untergrenze.

Rechenzentrumsanbieter (Artikel 8) — vollständige Nichtverfügbarkeit eines Rechenzentrumsdienstes, punktum, ohne Dauerschwelle. Eingeschränkte Verfügbarkeit von mehr als einer Stunde. Datenbeeinträchtigung durch mutmaßlich böswillige Handlungen. Und kompromittierter physischer Zugang zur Anlage — ein Tailgating-Vorfall an der Personenvereinzelungsanlage ist damit ein meldepflichtiges Ereignis.

MSPs und MSSPs (Artikel 10) — vollständige Nichtverfügbarkeit von mehr als 30 Minuten. Eingeschränkte Verfügbarkeit von mehr als einer Stunde, die mehr als 5% oder 1 Million Unionsnutzer betrifft, je nachdem, welche Zahl kleiner ist. Datenbeeinträchtigung durch mutmaßlich böswillige Handlungen.

Beachten Sie, wie die Nutzerzahlen funktionieren. Nach Artikel 3(3) zählen Sie Vertragskunden und die natürlichen und juristischen Personen, die mit Geschäftskunden verbunden sind und den Dienst nutzen. Ein MSP mit 60 Kundenunternehmen zählt nicht 60 Nutzer. Er zählt jeden Mitarbeiter in diesen 60 Unternehmen, der den verwalteten Dienst berührt.

Artikel 4 schließt die letzte Lücke: Wiederkehrende Vorfälle, die einzeln unter der Schwelle bleiben, werden zusammengefasst und als ein erheblicher Vorfall behandelt, wenn sie die Kriterien gemeinsam innerhalb von sechs Monaten erfüllen. Drei getrennte 20-Minuten-Ausfälle mit derselben Ursache sind keine drei Nicht-Ereignisse.

NIS2 Zeitplan für die Vorfallmeldung
24h
⚡Frühwarnung
Melden Sie den erheblichen Vorfall innerhalb von 24 Stunden nach Bekanntwerden bei der zuständigen Behörde (CSIRT/NCA).
Schritt 1
72h
📋Vorfallmeldung
Übermitteln Sie innerhalb von 72 Stunden eine detaillierte Meldung mit einer ersten Bewertung von Schwere, Auswirkungen und Kompromittierungsindikatoren.
Schritt 2
1mo
📊Abschlussbericht
Liefern Sie innerhalb eines Monats einen umfassenden Abschlussbericht mit Ursachenanalyse, ergriffenen Maßnahmen und grenzüberschreitenden Auswirkungen.
Schritt 3
24h
⚡Frühwarnung
Melden Sie den erheblichen Vorfall innerhalb von 24 Stunden nach Bekanntwerden bei der zuständigen Behörde (CSIRT/NCA).
72h
📋Vorfallmeldung
Übermitteln Sie innerhalb von 72 Stunden eine detaillierte Meldung mit einer ersten Bewertung von Schwere, Auswirkungen und Kompromittierungsindikatoren.
1mo
📊Abschlussbericht
Liefern Sie innerhalb eines Monats einen umfassenden Abschlussbericht mit Ursachenanalyse, ergriffenen Maßnahmen und grenzüberschreitenden Auswirkungen.

Die Meldefristen selbst haben sich nicht geändert — 24 Stunden für die Frühwarnung, 72 Stunden für die Vorfallmeldung, ein Monat für den Abschlussbericht. Geändert hat sich, wie oft die Uhr zu laufen beginnt. Die Mechanik behandeln wir in NIS2 Meldefristen für Sicherheitsvorfälle.

Geplante Wartung ist ausgenommen, aber nur wenn Sie beweisen können, dass sie geplant war

Artikel 3(2) nimmt geplante Unterbrechungen und die geplanten Folgen geplanter Wartungsarbeiten aus. Erwägungsgrund 33 erweitert das auf Nichtverfügbarkeit auf Basis vorab vereinbarter vertraglicher Regelungen.

Diese Ausnahme ist nur so gut wie Ihre Aufzeichnungen. Erwägungsgrund 34 besagt, dass die Dauer eines Verfügbarkeitsvorfalls von der Störung der ordnungsgemäßen Diensterbringung bis zur Wiederherstellung läuft — und wenn die Einrichtung nicht bestimmen kann, wann die Störung begann, wird die Dauer ab dem Zeitpunkt der Entdeckung gemessen oder ab dem Zeitpunkt der Aufzeichnung in Logs, je nachdem, was früher liegt.

Lesen Sie das noch einmal aus der Perspektive eines Prüfers. Schlechtes Logging führt nicht zum Zweifel zugunsten der Einrichtung. Es führt zur frühestmöglichen vertretbaren Startzeit. Eine Einrichtung mit schwachem Monitoring meldet systematisch längere Vorfälle als eine mit gutem Monitoring — bei exakt demselben Ausfall.

Die praktische Maßnahme ist hier also kein Richtliniendokument. Es ist ein Wartungskalender mit Zeitstempeln, im Voraus genehmigt und aufbewahrt — plus Monitoring, das eine Startzeit auf die Minute genau feststellen kann.

"Nicht anwendbar" ist erlaubt, muss aber schriftlich festgehalten werden

Erwägungsgrund 6 gibt Einrichtungen Raum, zu dem Schluss zu kommen, dass eine bestimmte Anhangsanforderung für sie nicht geeignet, nicht anwendbar oder nicht durchführbar ist. Erwägungsgrund 5 erlaubt Ausgleichsmaßnahmen, wo die Größe eine Anforderung unpraktikabel macht — eine Kleinsteinrichtung, die widersprüchliche Aufgaben nicht trennen kann, kann gezielte Aufsicht durch die Leitung oder verstärktes Monitoring und Logging einsetzen.

Beides ist an eine Bedingung geknüpft: Die Einrichtung muss ihre Begründung nachvollziehbar dokumentieren.

Das ist das wertvollste Ergebnis, das ein Berater in diesem Quartal für einen Mandanten aus der digitalen Infrastruktur liefern kann. Keine weitere Richtlinienvorlage. Eine schriftliche, datierte, von der Leitung genehmigte Anwendbarkeitserklärung, die die 13 Anhangspunkte durchgeht und festhält, welche Unteranforderungen umgesetzt sind, welche nicht und warum — mit benannter Ausgleichsmaßnahme, wo eine verwendet wird.

Behörden erwarten nicht, dass ein MSSP mit zwölf Mitarbeitern wie ein Hyperscaler aussieht. Sie erwarten aber, dass die Einrichtung vor dem Audit darüber auf Papier nachgedacht hat, nicht währenddessen. Unsere Nachweis-Checkliste für Aufsichtsaudits behandelt, was Behörden sonst noch sehen wollen.

Was in den nächsten 30 Tagen zu tun ist

Klassifizieren. Bestimmen Sie, ob jeder Mandant — und Ihre eigene Firma — unter einen der elf Einrichtungstypen aus Artikel 1 fällt. Wenden Sie die Ausnahmen nach Artikel 2(2) an, bevor Sie Schwellen nach Mitarbeiterzahl anwenden.
Nutzerzahlen neu berechnen. Bauen Sie die Unionsnutzerzahl für jeden erfassten Dienst neu auf, einschließlich Endnutzern bei Geschäftskunden. Die meisten Einrichtungen arbeiten mit einer Zahl, die eine Größenordnung zu niedrig ist.
Triage-Regeln zurücksetzen. Hinterlegen Sie die 30-Minuten- und Ein-Stunden-Schwellen als Alarmbedingungen in der Monitoring-Plattform, nicht als nachträgliche Prüfkriterien. Wenn ein Mensch bemerken muss, dass die Schwelle überschritten wurde, wird es zu spät bemerkt.
Wartungsaufzeichnungen in Ordnung bringen. Geplante Fenster vorab genehmigt und mit Zeitstempel versehen, mindestens für den Aufsichtszeitraum aufbewahrt.
Anwendbarkeitserklärung schreiben. Dreizehn Anhangspunkte, Unteranforderung für Unteranforderung, mit Begründung für jeden Ausschluss.

Die von der DVO 2024/2690 erfassten Einrichtungen sitzen der Compliance aller anderen vorgelagert. Wenn ein MSP oder ein Cloud-Anbieter ein Audit nicht besteht, wandert die Feststellung die Lieferkette hinunter in jeden Kundenvertrag, der ihn als kritischen Lieferanten benannt hat — der andere Grund, das jetzt richtig zu machen und nicht erst nach der ersten Vollzugsentscheidung.

Wenn Sie ein strukturiertes Bild davon wollen, wo ein Mandant gegenüber Artikel 21 und der Durchführungsverordnung steht, bevor Sie sich auf einen Maßnahmenplan festlegen, führen Sie einen NIS2-Quick-Scan durch. Das dauert ein paar Minuten und gibt Ihnen einen belastbaren Ausgangspunkt für das Gespräch.

NIS2 digitale Infrastruktur: Die 30-Minuten-Regel, auf die niemand konfiguriert hat