NIS2 sichere Kommunikation: Die Hälfte von Artikel 21(2)(j), die die meisten Programme überspringen

Zwischen Februar und Juni 2026 verfolgte Sophos eine Kampagne, die es STAC4749 nennt. Die Angreifer legten Microsoft-Teams-Konten auf IT-ähnlichen Domains an, riefen Mitarbeiter als angeblicher Helpdesk an und überredeten sie zu einer Quick-Assist-Sitzung. Mindestens drei dieser Einbrüche endeten mit Chaos-Ransomware. Einer ging vom ersten Teams-Anruf bis zu verschlüsselten Dateien in unter 17 Stunden.

Fragen Sie sich jetzt, womit diese Organisationen ihre Reaktion koordiniert haben. Teams. Outlook. Derselbe Tenant, in dem der Angreifer bereits saß.

Genau dieses Problem sollen die NIS2-Anforderungen an sichere Kommunikation lösen. Artikel 21(2)(j) ist die Maßnahme, die es abdeckt, und es ist die Hälfte dieses Artikels, die die meisten Compliance-Programme nie umsetzen.

Artikel 21(2)(j) hat zwei Hälften, und die meisten Programme bauen nur eine

Der Wortlaut der Richtlinie ist kurz: "Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung."

Alle lesen den ersten Teil. MFA bekommt Budget, ein Projekt und eine Zeile im Vorstandsbericht. Warum MFA allein keine Prüfung mehr besteht, haben wir Anfang des Jahres behandelt.

Der zweite Teil wird ignoriert. Er enthält zwei getrennte Pflichten: Sichern Sie Ihre alltäglichen Sprach-, Video- und Textkanäle, und halten Sie ein Notfallkommunikationssystem bereit, das noch funktioniert, wenn die alltäglichen Kanäle es nicht mehr tun.

"Gegebenenfalls" ist keine Ausstiegsklausel. Es ist ein risikobasierter Vorbehalt. Wenn Sie entscheiden, dass eine Maßnahme nicht angemessen ist, muss diese Entscheidung mit Begründung in der Risikobewertung stehen. Ein Prüfer wertet Schweigen als Lücke, nicht als Entscheidung.

Artikel 21 — 10 NIS2 Cybersicherheitsmaßnahmen
🛡️
Artikel 21
10 Cybersicherheitsmaßnahmen
📊Governance & Strategie
1Risikoanalyse & Informationssicherheitsrichtlinien
6Bewertung der Wirksamkeit von Sicherheitsmaßnahmen
🚨Vorfälle & Kontinuität
2Vorfallsbehandlung & Meldung
3Geschäftskontinuität & Notfallwiederherstellung
🔗Lieferkette & Systeme
4Sicherheit der Lieferkette
5Sicherheit bei der Entwicklung von Netz- und Informationssystemen
🔐Technische Kontrollen
8Kryptografie & Verschlüsselung
10Multi-Faktor-Authentifizierung & sichere Kommunikation
👥Personal & Ressourcen
7Cyber-Hygiene & Schulung
9Personalsicherheit & Zugangskontrolle

Die Durchführungsverordnung verteilt die Anforderung auf fünf Abschnitte

Die Durchführungsverordnung (EU) 2024/2690 der Kommission ist das detaillierte Regelwerk für digitale Infrastruktur, IKT-Dienstleistungsmanagement und digitale Dienste. MSPs und MSSPs fallen damit direkt darunter. Nationale Behörden in anderen Sektoren nutzen sie als Referenz dafür, was "angemessen" bedeutet.

Es gibt darin keinen Abschnitt mit dem Titel "sichere Kommunikation". Wer danach sucht, kommt zu dem Schluss, die Pflicht sei dünn. Ist sie nicht. Sie ist verteilt:

Punkt 3.5.3 verlangt Kommunikationspläne und -verfahren für die Incident Response: mit dem CSIRT oder der zuständigen Behörde, unter den eigenen Mitarbeitern und mit externen Beteiligten.

Punkt 4.1.2(c) verlangt, dass der Business-Continuity- und Disaster-Recovery-Plan die wichtigsten Kontakte sowie interne und externe Kommunikationskanäle aufführt.

Punkt 4.2.4(d) verlangt zumindest teilweise Redundanz "angemessener Kommunikationskanäle", neben der Redundanz von Systemen, Einrichtungen und Personal.

Punkt 4.3.2(b) verlangt, dass der Krisenmanagementprozess die Kommunikationsmittel mit den zuständigen Behörden festlegt, sowohl für Pflichtmeldungen als auch für freiwilligen Austausch.

Punkt 6.7.2(i) und (k) verlangen vertrauenswürdige, isolierte Kanäle zwischen Systemen und einen Umsetzungsplan für moderne E-Mail-Kommunikationsstandards.

Punkt 11.7 deckt die MFA-Hälfte ab.

Die praktische Konsequenz: Ein Prüfer fragt nicht "Haben Sie sichere Kommunikation?" Er verlangt Ihr Incident-Response-Verfahren, Ihren BC/DR-Plan und Ihren Krisenmanagementprozess und sucht in jedem davon nach dem Kommunikationskanal. Lautet die Antwort in allen dreien "E-Mail und Teams", schreibt sich der Befund von selbst.

Ihre Incident Response läuft auf dem System, in dem der Angreifer sitzt

Gehen Sie von einer Kompromittierung aus. Das ist keine Paranoia, sondern dokumentiertes Verhalten.

Microsoft und CISA beschreiben beide, wie Octo Tempest, besser bekannt als Scattered Spider, Slack, Teams und Exchange Online des Opfers nach Gesprächen über den eigenen Einbruch durchsucht und sich in Incident-Response-Calls einwählt, um zu erfahren, wie die Verteidiger nach ihnen suchen. Im Juni 2026 wurden DragonForce-Affiliates dabei beobachtet, Command-and-Control-Verkehr über legitime Microsoft-Teams-Relays zu leiten, damit er im normalen Kollaborationsverkehr untergeht.

Hält der Angreifer ein privilegiertes Entra-ID-Konto, kann er jeden Kanal mitlesen, der sich gegen Entra ID authentifiziert. Einschließlich des "Backup"-Teams-Kanals, den Sie für das Krisenteam angelegt haben.

Ein Notfallkommunikationssystem besteht drei Tests:

Getrennte Identität. Es authentifiziert nicht über Ihren primären Identity Provider. Wenn SSO Sie hineinlässt, lässt ein kompromittiertes SSO den Angreifer hinein.

Getrennte Infrastruktur. Es liegt nicht im selben Tenant, auf derselben Domain oder hinter demselben DNS, das Sie womöglich abschalten müssen.

Vorab eingerichtet und geübt. Die Kontaktliste existiert offline, die Konten existieren vor dem Vorfall, und der Kanal wurde in einem Test benutzt. Punkt 4.1.4 verlangt, dass BC/DR-Pläne in geplanten Abständen getestet werden. Der Notfallkanal ist Teil dieses Plans, also Teil dieses Tests.

In der Praxis ist das nicht teuer. Eine Signal- oder Threema-Gruppe auf MDM-verwalteten Geräten mit Konten, die nicht am Unternehmens-SSO hängen. Eine gedruckte Kontaktkarte im Krisenordner. Ein Break-Glass-Postfach bei einem anderen Anbieter. Die Kosten liegen nicht im Werkzeug. Die Kosten liegen in der Disziplin, es aktuell zu halten.

Ein weiteres Detail, das oft übersehen wird: Die Frühwarnung binnen 24 Stunden nach Artikel 23 muss Ihr CSIRT auch dann erreichen, wenn gerade Ihr Mailserver ausgefallen ist. Die Kontaktdaten, die Sie bei der Registrierung dem nationalen Einrichtungsregister gegeben haben, sind das, womit das CSIRT Sie zurückruft. Ist das ein Postfach im kompromittierten Tenant, haben Sie ein Meldeproblem zusätzlich zum Sicherheitsproblem. Das Verfahren zur Bewältigung von Sicherheitsvorfällen sollte den Ausweichweg zum CSIRT ausdrücklich benennen.

NIS2 Zeitplan für die Vorfallmeldung
24h
⚡Frühwarnung
Melden Sie den erheblichen Vorfall innerhalb von 24 Stunden nach Bekanntwerden bei der zuständigen Behörde (CSIRT/NCA).
Schritt 1
72h
📋Vorfallmeldung
Übermitteln Sie innerhalb von 72 Stunden eine detaillierte Meldung mit einer ersten Bewertung von Schwere, Auswirkungen und Kompromittierungsindikatoren.
Schritt 2
1mo
📊Abschlussbericht
Liefern Sie innerhalb eines Monats einen umfassenden Abschlussbericht mit Ursachenanalyse, ergriffenen Maßnahmen und grenzüberschreitenden Auswirkungen.
Schritt 3
24h
⚡Frühwarnung
Melden Sie den erheblichen Vorfall innerhalb von 24 Stunden nach Bekanntwerden bei der zuständigen Behörde (CSIRT/NCA).
72h
📋Vorfallmeldung
Übermitteln Sie innerhalb von 72 Stunden eine detaillierte Meldung mit einer ersten Bewertung von Schwere, Auswirkungen und Kompromittierungsindikatoren.
1mo
📊Abschlussbericht
Liefern Sie innerhalb eines Monats einen umfassenden Abschlussbericht mit Ursachenanalyse, ergriffenen Maßnahmen und grenzüberschreitenden Auswirkungen.

NIS2 sichere Kommunikation ist ein Konfigurationsstandard, kein Produktkauf

Teams, Google Meet und Zoom verschlüsseln alle während der Übertragung. Niemand fällt durch eine Prüfung, weil seine Videoanrufe unverschlüsselt wären. Die Frage, die die Verordnung wirklich stellt, lautet: Wer kann Ihre Leute erreichen, über welche Kanäle und unter welchen Kontrollen?

Übersetzen Sie das in konkrete Einstellungen, und das Bild wird klar.

Externer Zugriff. STAC4749 und die Black-Basta-Kampagne davor hingen beide davon ab, dass externe Teams-Konten Mitarbeiter anschreiben und anrufen konnten. Externe Föderation auf eine Allow-List von Partnerdomains zu beschränken oder externe Chats und Anrufe für die meisten Nutzer zu blockieren, beseitigt den Einstiegspunkt. Punkt 6.7.2(c) verlangt bereits, Netzwerkkommunikation zu unterbinden, die für den Betrieb nicht nötig ist. Das ist die Kollaborationsebenen-Version dieser Regel.

E-Mail-Authentifizierung. Punkt 6.7.2(k) verlangt einen Umsetzungsplan für "international vereinbarte und interoperable moderne E-Mail-Kommunikationsstandards". Die technische Umsetzungsleitlinie der ENISA vom Juni 2025 verweist auf SPF, DKIM und DMARC für die Absenderauthentifizierung und MTA-STS oder DANE für die Transportverschlüsselung. Ein DMARC-Eintrag mit p=none ist Monitoring, kein Schutz. Prüfer kennen den Unterschied inzwischen.

Freigegebene Werkzeuge nach Klassifizierung. Ihre Kryptografie-Richtlinie nach Artikel 21(2)(h) sollte festlegen, welche Messaging- und Konferenzwerkzeuge für welche Klassifizierungsstufe freigegeben sind. Ein Vorstand, der einen Vorfall per WhatsApp auf privaten Telefonen bespricht, ist ein Befund, weil keine Richtlinie es erlaubt und keine Kontrolle es regelt.

Meeting-Hygiene. Lobby aktiviert, authentifizierter Beitritt zu internen Meetings, Bildschirmfreigabe und Aufzeichnung nur durch den Host, und die Regel, dass in einem Krisen-Call niemand anonym ist.

Sprache. SIP-Trunks und VoIP über TLS und SRTP, und an Standorten, wo es darauf ankommt, eine Notruffähigkeit, die nicht von einem funktionierenden Unternehmensnetz abhängt.

Nichts davon erfordert den Kauf eines neuen Produkts. Alles davon erfordert jemanden, der die Konfiguration verantwortet und den Nachweis exportieren kann.

Was ein Prüfer tatsächlich verlangt

Aufsichtsbehörden fordern inzwischen Nachweispakete statt Richtlinienerklärungen. Die allgemeine Nachweis-Checkliste haben wir vor zwei Wochen behandelt. Für Artikel 21(2)(j) rechnen Sie mit diesen acht Punkten:

Der Kommunikationsabschnitt des Incident-Response-Verfahrens mit primären und Ausweichkanälen samt Verantwortlichen.
Der Abschnitt zu Schlüsselkontakten und Kanälen im BC/DR-Plan, datiert innerhalb des aktuellen Überprüfungszyklus.
Eine Redundanzerklärung für Kommunikationskanäle nach Punkt 4.2.4(d).
Ein Testprotokoll, das zeigt, dass der Notfallkanal in einer Übung genutzt wurde.
Ein Export der Konfiguration für externen Zugriff in Teams oder Google Workspace.
DNS-Einträge für DMARC, MTA-STS und, wo eingesetzt, DANE.
Die Liste freigegebener Kommunikationswerkzeuge, verknüpft mit den Klassifizierungsstufen.
Die Einträge in der Risikobewertung, die etwaige "nicht angemessen"-Entscheidungen begründen.

Können Sie alle acht an einem Tag vorlegen, sind Sie mit dieser Maßnahme fertig. Können Sie drei vorlegen, wissen Sie, wo die Gap-Analyse beginnt.

Für MSPs gilt diese Maßnahme doppelt

Ein MSP ist eine Einrichtung des IKT-Dienstleistungsmanagements nach Anhang I der NIS2. Die DVO 2024/2690 gilt für ihn direkt. Das ist Ihre eigene Pflicht.

Dann ist da die Kundenseite. Die Richtlinie zur Sicherheit der Lieferkette jedes Kunden nach Punkt 5.1 soll die Cybersicherheitspraktiken seiner Dienstleister bewerten. Ihre Fähigkeit, während eines Vorfalls mit einem Kunden zu kommunizieren, über einen Kanal, der weder der kompromittierte Tenant des Kunden noch Ihr kompromittierter Tenant ist, gehört zu diesen Praktiken.

Spielen Sie dieses Szenario durch: Ihr RMM oder Ihr M365-Tenant ist kompromittiert. Vierzig Kunden müssen das innerhalb von Stunden erfahren. Ihre E-Mail ist genau das, was kompromittiert ist. Wo ist die Liste, wo liegt sie, und wer hat sie auf einem Telefon, das nicht mit dem Unternehmens-SSO synchronisiert?

Gibt es keine Antwort, ist das der erste Punkt auf Ihrem eigenen Maßnahmenplan. Das niederländische Cyberbeveiligingswet ist seit dem 15. August 2026 in Kraft, und die RDI beaufsichtigt das IKT-Dienstleistungsmanagement direkt. Das deutsche BSI und das belgische CCB tun das schon länger. Die doppelte Pflicht für MSPs ist in keinem dieser Märkte mehr theoretisch.

NIS2-Sanktionseskalation — Jenseits der Geldbuße
!
Auslöser
Non-Compliance erkannt oder Vorfall tritt ein
Eine Aufsichtsbehörde identifiziert eine Compliance-Lücke oder eine Organisation erfüllt die NIS2-Anforderungen nicht
Behörden können verhängen▼
Nicht-finanzielle Sanktionen
1
Anordnungen mit bindenden Fristen
2
Verpflichtende Sicherheitsaudits auf eigene Kosten
3
Öffentliche Bekanntmachung von Verstößen
4
Bindende Anweisungen zu spezifischen Sicherheitsmaßnahmen
Eskaliert zu▼
Betriebliche und persönliche Konsequenzen
1
Aussetzung von Zertifizierungen oder Betriebsgenehmigungen
2
Vorübergehendes Verbot von Leitungsfunktionen für Personen
3
Öffentliche Benennung verantwortlicher natürlicher Personen
Auslöser
Nicht-finanziell
Betrieblich / persönlich

Womit Sie diesen Monat anfangen

Das ist kein Projekt mit Lenkungsausschuss. Es sind vier Aufgaben.

Notfallkanal wählen und einrichten. Getrennte Identität, getrennte Infrastruktur, Kontaktliste offline gespeichert.

Festschreiben. Den Kanal in das Incident-Response-Verfahren nach 3.5.3 und in den Abschnitt Schlüsselkontakte des BC/DR-Plans nach 4.1.2(c) aufnehmen.

Die Vordertür schließen. Externe Föderation in Teams einschränken. DMARC auf p=reject stellen, sobald die Berichte Ihre legitimen Absender bestätigen.

Testen. Die erste Nachricht Ihrer nächsten Tabletop-Übung geht ausschließlich über den Notfallkanal. Sieht sie niemand, haben Sie zu einem günstigen Zeitpunkt etwas Wichtiges gelernt.

Wenn Sie wissen wollen, wo Artikel 21(2)(j) neben den anderen neun Maßnahmen für einen bestimmten Kunden steht, deckt der NIS2Certify Quick Scan alle zehn in etwa zehn Minuten ab und liefert Ihnen eine priorisierte Lückenliste als Arbeitsgrundlage.