NIS2-Incident-Handling: Warum Artikel 21(2)(b) mehr Audits scheitern lässt als Artikel 23
Eine Security-Analystin bei einem niederländischen Managed Service Provider sieht am Samstag um 02:14 Uhr ungewöhnlichen ausgehenden Datenverkehr vom Fileserver eines Kunden. Sie legt ein Ticket an, kennzeichnet es mit "prüfen" und arbeitet die Queue weiter ab. Der Account Manager liest es am Montag um 09:30 Uhr, ruft den Kunden an, und endlich stellt jemand die entscheidende Frage: Ist das meldepflichtig?
Zu diesem Zeitpunkt ist das 24-Stunden-Fenster für die Frühwarnung seit 31 Stunden geschlossen.
Das ist kein Versagen bei der Meldung. Das ist ein Versagen beim NIS2-Incident-Handling — Artikel 21(2)(b) — und diese Maßnahme entscheidet still darüber, ob jede andere Frist der Richtlinie überhaupt einhaltbar ist.
Artikel 23 bekommt die Aufmerksamkeit. Artikel 21(2)(b) entscheidet, ob Sie ihn einhalten
Die meisten Compliance-Gespräche beginnen bei der Meldeuhr: 24 Stunden, 72 Stunden, ein Monat. Diese Fristen stammen aus Artikel 23. Sie sind sichtbar, zählbar und passen gut auf eine Folie.
Artikel 21(2)(b) ist die Maßnahme darunter. Er verlangt Incident-Handling — einen dokumentierten und geübten Prozess zur Erkennung, Analyse, Eindämmung, Reaktion und Wiederherstellung bei Sicherheitsvorfällen.
Die Beziehung verläuft nur in eine Richtung. Sie können keinen Vorfall melden, den Sie nicht klassifiziert haben. Sie können keinen Vorfall klassifizieren, den niemand eskaliert hat. Und Sie können keinen Vorfall eskalieren, der ein Wochenende lang mit dem Label "prüfen" in einer Ticket-Queue liegt.
Wenn eine Aufsichtsbehörde eine versäumte 24-Stunden-Frist feststellt, hört sie bei der Frist nicht auf. Sie fragt, wie die Einrichtung Kenntnis erlangt hat, wer entschieden hat und nach welchen Kriterien. Diese Fragelinie landet direkt bei Artikel 21(2)(b) — und findet dort meist nichts Schriftliches.
Was der verbindliche Text tatsächlich verlangt
Artikel 21(2)(b) der Richtlinie ist eine Zeile. Die Details stehen in der Durchführungsverordnung (EU) 2024/2690 der Kommission, die in allen 27 Mitgliedstaaten unmittelbar gilt, ohne nationale Umsetzung.
Die CIR bindet eine konkrete Liste von Einrichtungstypen: DNS-Diensteanbieter, TLD-Registries, Anbieter von Cloud-Computing-Diensten, Anbieter von IKT-Dienstleistungsmanagement und Managed Security Services, Online-Marktplätze, Online-Suchmaschinen, Plattformen für soziale Netzwerke und Vertrauensdiensteanbieter. Wer einen MSP oder MSSP betreibt, steht auf dieser Liste — nicht als Lieferant, sondern als eigenständig regulierte Einrichtung. Diese doppelte Pflicht haben wir in NIS2 für MSPs und MSSPs behandelt.
Für alle anderen — Energie, Gesundheit, Verkehr, Fertigung, öffentliche Verwaltung — ist die CIR formal nicht bindend, aber sie ist die maßgeblichste verfügbare Aussage darüber, was "geeignet und verhältnismäßig" bedeutet. Gehen Sie davon aus, dass Ihre Aufsichtsbehörde sie so liest, denn etwas Besseres hat sie nicht.
Punkt 3 des CIR-Anhangs behandelt Incident-Handling. Verlangt werden Richtlinien und Verfahren für Erkennung, Analyse, Eindämmung, Reaktion und Wiederherstellung; definierte Rollen und Verantwortlichkeiten; Protokollierung; Eskalations- und Kommunikationswege; sowie eine strukturierte Nachbetrachtung, die Lessons Learned in die übrigen Maßnahmen zurückführt.
Genau diesen letzten Punkt überspringen Teams. Incident-Handling ist keine Schleife, die endet, sobald das System wieder läuft. Es ist Input für Ihre Risikoanalyse, Ihr Schulungsprogramm und Ihre Wirksamkeitsbewertung nach Artikel 21(2)(f).
Artikel 21 — 10 NIS2 Cybersicherheitsmaßnahmen
Artikel 21
10 Cybersicherheitsmaßnahmen
Governance & Strategie
1Risikoanalyse & Informationssicherheitsrichtlinien6Bewertung der Wirksamkeit von SicherheitsmaßnahmenVorfälle & Kontinuität
2Vorfallsbehandlung & Meldung3Geschäftskontinuität & NotfallwiederherstellungLieferkette & Systeme
4Sicherheit der Lieferkette5Sicherheit bei der Entwicklung von Netz- und InformationssystemenTechnische Kontrollen
8Kryptografie & Verschlüsselung10Multi-Faktor-Authentifizierung & sichere KommunikationPersonal & Ressourcen
7Cyber-Hygiene & Schulung9Personalsicherheit & Zugangskontrolle
Ihre Erheblichkeitsschwelle ist ein Control, keine Ermessensfrage
Die CIR überlässt "erheblich" nicht der Auslegung. Artikel 3 legt Kriterien fest: Ein Vorfall ist erheblich, wenn er einen direkten finanziellen Schaden von mehr als 500.000 EUR oder 5 % des Jahresumsatzes verursacht, zur Exfiltration von Geschäftsgeheimnissen führt oder den Tod bzw. erhebliche Gesundheitsschäden verursacht.
Artikel 4 ergänzt eine Regel, die die meisten Incident-Prozesse völlig ignorieren: Wiederkehrende Vorfälle, die einzeln unter der Schwelle bleiben, können aggregiert und als ein erheblicher Vorfall behandelt werden, wenn sie zusammen innerhalb von sechs Monaten die Kriterien erfüllen. Fünf kleine Credential-Stuffing-Ereignisse über einen Kundenstamm hinweg sind nicht fünf Nicht-Ereignisse. Sie können ein meldepflichtiger Vorfall sein — und niemand merkt es, solange niemand die Summe verfolgt.
Artikel 5 verschärft dies für DNS-Anbieter und TLD-Registries weiter: Eine Verfügbarkeit unter 99,9 % für einen beliebigen Zeitraum genügt bereits für sich allein.
Die praktische Konsequenz für Berater: Die Klassifizierungskriterien Ihres Kunden müssen vor einem Vorfall schriftlich vorliegen, auf diese Schwellen abgebildet und einer benannten Rolle zugeordnet sein. Eine Analystin um 02:14 Uhr am Samstag sollte keinen Erheblichkeitstest erfinden. Sie sollte einen anwenden.
Die Uhr läuft ab Kenntnis, nicht ab Einigung
Artikel 23(3) startet das 24-Stunden-Fenster, sobald die Einrichtung Kenntnis von einem erheblichen Sicherheitsvorfall erlangt. Nicht, wenn die Geschäftsleitung zustimmt, dass er erheblich ist. Nicht, wenn der Incident-Response-Retainer aktiviert wird. Nicht am Montag.
Diese Unterscheidung ist der Ursprung der meisten versäumten Fristen. Die Organisation hatte die Information am Samstag und die Entscheidung am Montag und betrachtet die Lücke als internen Prozess. Die Aufsicht betrachtet sie als 31 Stunden Verzug.
Bauen Sie den Prozess stattdessen von der Frist rückwärts auf. Wenn die Frühwarnung in 24 Stunden fällig ist, muss die Eskalation zu einem Entscheider in Stunden erfolgen, also muss die Erkennung einen klassifizierten Alarm erzeugen, also muss außerhalb der Geschäftszeiten jemand mit Entscheidungsbefugnis erreichbar sein. Jede dieser Fragen ist eine Designentscheidung, die Sie jetzt treffen oder während eines Vorfalls entdecken.
Die vollständige Abfolge — Frühwarnung nach 24 Stunden, Meldung nach 72 Stunden, Abschlussbericht nach einem Monat — steht in unserem Leitfaden zu den Meldefristen, und die offiziellen Meldevorlagen zeigen genau, welche Felder Sie unter Zeitdruck ausfüllen müssen.
NIS2 Zeitplan für die Vorfallmeldung
24hFrühwarnung
Melden Sie den erheblichen Vorfall innerhalb von 24 Stunden nach Bekanntwerden bei der zuständigen Behörde (CSIRT/NCA).
Schritt 172hVorfallmeldung
Übermitteln Sie innerhalb von 72 Stunden eine detaillierte Meldung mit einer ersten Bewertung von Schwere, Auswirkungen und Kompromittierungsindikatoren.
Schritt 21moAbschlussbericht
Liefern Sie innerhalb eines Monats einen umfassenden Abschlussbericht mit Ursachenanalyse, ergriffenen Maßnahmen und grenzüberschreitenden Auswirkungen.
Schritt 324hFrühwarnung
Melden Sie den erheblichen Vorfall innerhalb von 24 Stunden nach Bekanntwerden bei der zuständigen Behörde (CSIRT/NCA).
72hVorfallmeldung
Übermitteln Sie innerhalb von 72 Stunden eine detaillierte Meldung mit einer ersten Bewertung von Schwere, Auswirkungen und Kompromittierungsindikatoren.
1moAbschlussbericht
Liefern Sie innerhalb eines Monats einen umfassenden Abschlussbericht mit Ursachenanalyse, ergriffenen Maßnahmen und grenzüberschreitenden Auswirkungen.
Fünf Stellen, an denen Incident-Handling in echten Kundenumgebungen bricht
Erkennung erzeugt Alerts, keine Vorfälle. Ein SIEM mit 400 Alerts pro Tag ist keine Vorfallserkennung. Erkennung nach Anhang Punkt 3 heißt: Alerts werden in ein definiertes Severity-Modell triagiert, mit Verantwortlichem und Reaktionszeit.
Die Eskalation hängt an einer Person. Der Prozess funktioniert, weil Marco weiß, was zu tun ist. Marco ist im Urlaub. Dokumentieren Sie die Rolle, nicht die Person, und benennen Sie eine Vertretung.
Erreichbarkeit außerhalb der Geschäftszeiten wird angenommen, nicht vereinbart. Stellen Sie die direkte Frage: Wer hat zwischen Freitag 18:00 und Montag 08:00 Uhr die Befugnis, einen erheblichen Vorfall festzustellen? Wenn die Antwort ein Meeting braucht, lautet sie: niemand.
Abhängigkeiten von Dritten liegen außerhalb des Prozesses. Der Vorfall Ihres Kunden kann bei dessen Cloud-Anbieter beginnen — oder bei Ihnen. Artikel-21-Pflichten wandern nicht mit der Workload mit. Vertragliche Meldepflichten gegenüber Lieferanten gehören in den Plan — siehe Lieferantenverträge und NIS2.
Die Nachbetrachtung ist ein Gespräch, keine Aufzeichnung. Ein Gespräch ist kein Nachweis. Die CIR erwartet eine strukturierte Auswertung mit Feststellungen, Verantwortlichen und umgesetzten Änderungen. Kein Dokument, keine Maßnahme.
Die Aufsicht eskaliert, wenn das Handling fehlt
Wesentliche Einrichtungen unterliegen der Ex-ante-Aufsicht — Behörden dürfen proaktiv prüfen, ohne auf einen Vorfall zu warten. Wichtige Einrichtungen unterliegen der Ex-post-Aufsicht, ausgelöst durch einen Vorfall oder glaubhafte Hinweise auf Nichteinhaltung.
Beide Wege enden am selben Punkt, wenn Incident-Handling fehlt. Behörden können verbindliche Anweisungen erteilen, konkrete Abhilfe anordnen, die Benachrichtigung betroffener Kunden verlangen, die Nichteinhaltung veröffentlichen und Bußgelder verhängen. Für wesentliche Einrichtungen liegt die Obergrenze bei 10 Millionen EUR oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Die nicht-finanziellen Folgen sind häufig die härteren — wir haben sie in 7 NIS2-Sanktionen, die schlimmer sind als Geld behandelt.
2026 hat das aufgehört, theoretisch zu sein. Die Umsetzung in den Mitgliedstaaten ist weitgehend abgeschlossen, das niederländische Cyberbeveiligingswet ist am 15. August 2026 in Kraft getreten, und die Kommission hat im Juli Irland, Spanien, Frankreich und die Niederlande wegen unvollständiger Umsetzung vor den Gerichtshof gebracht. Aufsichtsbehörden führen Prüfungen auf Basis nationalen Rechts durch, das existiert.
NIS2-Sanktionseskalation — Jenseits der Geldbuße
!Auslöser
Non-Compliance erkannt oder Vorfall tritt ein
Eine Aufsichtsbehörde identifiziert eine Compliance-Lücke oder eine Organisation erfüllt die NIS2-Anforderungen nicht
Behörden können verhängen▼Nicht-finanzielle Sanktionen1Anordnungen mit bindenden Fristen
2Verpflichtende Sicherheitsaudits auf eigene Kosten
3Öffentliche Bekanntmachung von Verstößen
4Bindende Anweisungen zu spezifischen Sicherheitsmaßnahmen
Eskaliert zu▼Betriebliche und persönliche Konsequenzen1Aussetzung von Zertifizierungen oder Betriebsgenehmigungen
2Vorübergehendes Verbot von Leitungsfunktionen für Personen
3Öffentliche Benennung verantwortlicher natürlicher Personen
AuslöserNicht-finanziellBetrieblich / persönlich
Die Nachweise, die belegen, dass der Prozess existiert
Ein Auditor bewertet nicht Ihre Absichten. Er bewertet, was Sie vorlegen können. Für Artikel 21(2)(b) gehört in die Akte:
- Eine von der Leitung genehmigte Incident-Handling-Richtlinie mit einem Prüfdatum innerhalb der letzten 12 Monate
- Schriftliche Klassifizierungskriterien, abgebildet auf die Schwellen aus Artikel 3 der CIR
- Eine benannte Eskalationskette mit Vertretungen und Erreichbarkeit außerhalb der Geschäftszeiten
- Incident-Tickets mit Erkennungszeit, Klassifizierungszeit und Entscheidungszeit als getrennte Zeitstempel
- Mindestens eine Übung oder ein Tabletop aus dem vergangenen Jahr, samt den erzielten Feststellungen
- Nachbetrachtungen mit zugewiesenen Verantwortlichen und Nachweisen, dass die Maßnahmen abgeschlossen wurden
- Protokollierungskonfiguration und Aufbewahrung, die eine nachträgliche Rekonstruktion der Zeitachse ermöglichen
Der letzte Punkt wiegt schwerer, als er aussieht. Beträgt Ihre Aufbewahrungsfrist 30 Tage und reichen Sie nach einem Monat einen Abschlussbericht ein, schreiben Sie womöglich über Ereignisse, die Sie nicht mehr belegen können.
Beginnen Sie bei den Zeitstempeln. Ziehen Sie die letzten fünf Vorfälle aus einer beliebigen Kundenumgebung und prüfen Sie, ob Erkennung, Klassifizierung und Entscheidung getrennt erfasst sind. Wenn nicht, ist das 24-Stunden-Fenster ungetestet — und Sie erfahren erst bei dem Vorfall, der zählt, wie lange es wirklich dauert.
Wenn Sie ein strukturiertes Bild davon wollen, wo ein Kunde über alle zehn Artikel-21-Maßnahmen hinweg steht, bevor Sie einen Remediationsplan zusagen, machen Sie einen kostenlosen NIS2-Quick-Scan. Das dauert wenige Minuten und liefert einen belastbaren Ausgangspunkt für das Gespräch.
Incident-Handling ist die Maßnahme, die jedes andere Control in eine Reaktion überführt. Stimmen Prozess, Kriterien und Uhr, wird Artikel 23 zum Verwaltungsschritt. Stimmen sie nicht, hält kein Tooling die Frist.