NIS2-Bereitschaft
NIS2 schreibt nicht vor, welche Firewall Sie betreiben. Es schreibt vor, dass Sie jede Änderung daran belegen können: wer sie beantragt hat, wer sie genehmigt hat, wann sie lief und warum. Diese Seite erklärt die Pflichten an die Firewall-Ebene, und gibt Ihnen eine Checkliste, mit der Sie sich selbst prüfen, bevor es eine Behörde tut.
Geltungsbereich
NIS2 unterscheidet zwei Klassen betroffener Organisationen. Beide tragen dieselben Risikomanagementpflichten; sie unterscheiden sich in der Aufsicht und in der Höhe der Bußgelder. Die Einstufung folgt aus Sektor und Größe, nicht aus Selbsteinschätzung.
Energie, Verkehr, Bankwesen und Finanzmarktinfrastruktur, Gesundheit, Trink- und Abwasser, digitale Infrastruktur und ICT-Dienstleister, öffentliche Verwaltung, Weltraum. Regel: ab 250 Beschäftigten oder mehr als 50 Mio. € Jahresumsatz. Diese Klasse unterliegt proaktiver Aufsicht.
Post- und Kurierdienste, Abfallwirtschaft, Chemie und Lebensmittel, verarbeitendes Gewerbe (Medizintechnik, Elektronik, Maschinen, Kraftfahrzeuge), digitale Dienste (Marktplätze, Suchmaschinen, soziale Netzwerke), Forschung. Regel: ab 50 Beschäftigten oder mehr als 10 Mio. € Jahresumsatz. Aufsicht erfolgt anlassbezogen.
Die Schwellenwerte sind ein Filter, kein Freibrief. Liegen Sie knapp darunter, kann eine Lieferkettenanforderung Sie trotzdem in die Pflicht nehmen: Ihr regulierter Kunde muss Ihre Sicherheit nachweisen und reicht die Anforderung an Sie weiter. Im Zweifel sollten Sie sich so dokumentieren, als wären Sie betroffen.
Pflichten an der Firewall
Der größte Teil von NIS2 betrifft Governance und Meldewesen. Vier Stellen schlagen aber direkt bis auf die Firewall-Regel durch, und genau dort versagen die meisten Audits, weil der Nachweis nie sauber geführt wurde.
Geeignete und verhältnismäßige Maßnahmen zur Beherrschung von Risiken für Netz- und Informationssysteme. Für die Firewall heißt das, jede Änderung läuft durch eine Risikoeinschätzung und eine Genehmigung, bevor sie produktiv wird, nicht erst im Nachhinein dokumentiert.
Sicherheit bei Erwerb, Entwicklung und Wartung von Systemen, einschließlich Schwachstellenmanagement. An der Rulebase bedeutet das laufende Konflikt- und Schwachstellenanalyse: verdeckte Regeln, redundante Policy und zu weit gefasste any/any-Freigaben müssen erkannt werden, bevor sie zum Risiko werden.
Konzepte für Zugangskontrolle und Asset-Management. Übersetzt: rollenbasierte Rechte und Funktionstrennung. Niemand genehmigt seine eigene Änderung. Mehrstufige Freigabeketten je Umgebung sind die technische Antwort auf diese Pflicht.
Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht binnen eines Monats. Diese Fristen sind nur einzuhalten, wenn die Änderungshistorie lückenlos vorliegt: Wer hat was, wann und warum geändert, lässt sich dann in Minuten rekonstruieren statt in Tagen.
Vom Ticket zum Nachweis
Die meisten Teams scheitern an NIS2 nicht, weil ihre Firewall schlecht konfiguriert ist, sondern weil die Begründung für jede Regel verloren gegangen ist. Ein Freitext-Ticket und eine CLI-Sitzung hinterlassen keinen prüfbaren Pfad. Ein strukturierter Änderungsprozess schon.
Selbstprüfung
Gehen Sie die Liste ehrlich durch. Können Sie zu jedem Punkt einen Beleg vorlegen: kein „wir machen das“, sondern eine Spur, die ein Dritter nachvollzieht? Wo Sie zögern, liegt Ihre Lücke.
Einordnung
Wer NIS2 sauber löst, hat den größten Teil der anderen Rahmenwerke schon erledigt. Es ist dieselbe Frage, lässt sich jede Regel belegen?, nur in unterschiedlicher Sprache. Ein Änderungsprozess, mehrere Exporte.
| Rahmenwerk | Kernanforderung an die Firewall | Geteilt mit NIS2 |
|---|---|---|
| NIS2 | Risikomanagement, Zugangskontrolle, Meldefristen | , |
| KRITIS | Nachweis der Maßnahmenumsetzung für kritische Anlagen | Audit-Trail, Baseline-Abgleich |
| ISO 27001 | Änderungssteuerung und nachvollziehbare Kontrollen | Genehmigung, Historie |
| DORA | IKT-Risikomanagement für Finanzdienstleister | Risikoanalyse, Meldewesen |
| PCI-DSS | geprüfte Rulebase, Trennung der Umgebungen | Funktionstrennung, Reviews |
Konsequenz
oder 2 % des weltweiten Jahresumsatzes für wesentliche Einrichtungen, die Geschäftsleitung haftet persönlich für Pflichtverletzungen. NIS2, Art. 34
oder 1,4 % des weltweiten Jahresumsatzes für wichtige Einrichtungen, Aufsichtsbehörden können Prüfungen und Abhilfemaßnahmen anordnen. NIS2, Art. 34
Fristen für Frühwarnung und Meldung eines Sicherheitsvorfalls, ohne lückenlose Historie nicht zu halten. NIS2, Art. 23
Die Pflicht ist nicht, eine bestimmte Software zu kaufen. Sie ist, jede Änderung belegen zu können. Der ausführliche Beitrag zeigt, wie die Nachweise im Detail aussehen; die Methodik-Seite zeigt das Verfahren dahinter: mehrere Hundert Migrationen, in einen prüfbaren Prozess gegossen.