NIS2-Nachweise
NIS2-Nachweise sind der dokumentierte, prüfbare Beleg dafür, dass die nach der EU-NIS2-Richtlinie geforderten Maßnahmen zum Cybersicherheits-Risikomanagement und zur Vorfallsreaktion einer Organisation tatsächlich vorhanden sind und eingehalten werden - nicht die Kontrollen selbst, sondern Aufzeichnungen (Logs, Berichte, Freigaben), die einer Aufsichtsbehörde, einem Prüfer oder einem Kunden erlauben, ihre Anwendung zu verifizieren.
Die NIS2-Richtlinie (EU 2022/2555) weitet die grundlegenden Cybersicherheitsregeln der EU auf einen viel breiteren Kreis von Organisationen aus als ihre Vorgängerin - Energie, Verkehr, Gesundheit, digitale Infrastruktur, Cloud- und Managed-Service-Anbieter, öffentliche Verwaltung und mehr, unterteilt in „wesentliche" und „wichtige" Einrichtungen mit unterschiedlicher Aufsichtsintensität. Sie verlangt Risikomanagementmaßnahmen (Lieferkettensicherheit, Zugriffskontrolle, Vorfallsbehandlung, Betriebskontinuität, Verschlüsselung und Schwachstellenmanagement), die Meldung von Vorfällen an eine nationale Behörde innerhalb enger Fristen (eine Frühwarnung innerhalb von 24 Stunden, eine vollständigere Meldung innerhalb von 72) und für Leitungsorgane eine persönliche Verantwortung für die Aufsicht. Die EU-Mitgliedstaaten setzen NIS2 in nationales Recht um, sodass genauer Umfang und Durchsetzung je nach Land variieren, die zugrunde liegende Pflicht aber gleich bleibt: Risiken kennen, sie managen und nachweisen können, dass man es getan hat.
Sicherheitskontrollen zu haben und sie nachweisen zu können, sind zwei verschiedene Probleme. Eine Firewall-Regel, eine Patch-Richtlinie oder ein Zugriffsmodell kann auf dem Papier oder in einem Dashboard existieren, ohne dass jemand im Nachhinein rekonstruieren kann, wer was wann und mit welcher Berechtigung geändert hat. Nachweise schließen genau diese Lücke: eine nur anfügbare Aufzeichnung durchgeführter Aktionen (nicht nur des aktuellen Zustands), mit Zeitstempel versehen und an eine Identität gebunden, die auch dann standhält, wenn sie innerhalb einer Meldefrist oder bei einer Aufsichtsprüfung verlangt wird. Praktisch bedeutet das Änderungs- und Zugriffsprotokolle, die nicht heimlich bearbeitet oder rückdatiert werden können, Aufzeichnungen darüber, wer eine bestimmte Aktion genehmigt hat, ein Inventar der vorhandenen Infrastruktur samt Verantwortlichkeit, und eine Dokumentation von Datenflüssen und Subunternehmern. Ohne all das ist „wir haben gute Sicherheit" eine Behauptung; mit alldem ist es eine Abfrage, die jemand anderes selbst ausführen kann.
Warum NIS2-Nachweise wichtig sind
Unter NIS2 ist das Nichtvorlegen von Nachweisen auf Anfrage keine Formalität - in der Praxis kann es genauso behandelt werden wie das Fehlen der Kontrolle selbst. Aufsichtsbehörden können Aufzeichnungen im Rahmen einer Aufsichtsprüfung anfordern, und Leitungsgremien haften persönlich für unzureichende Aufsicht, sodass vage Zusicherungen nicht bestehen. Die Meldefristen verschärfen das Problem: Eine 24-Stunden-Frühwarnung nach einem erheblichen Vorfall lässt keine Zeit, das Geschehene aus dem Gedächtnis oder verstreuten Logs zu rekonstruieren. Organisationen, die Infrastruktur über mehrere Anbieter hinweg betreiben, stehen vor einer verschärften Version dieses Problems, weil jede Anbieterkonsole eigene Logs in eigenem Format erzeugt, und das nachträgliche Zusammensetzen von „wer hat was wann getan" über alle hinweg ist genau die Art Arbeit, für die eine Meldefrist keine Zeit lässt.
Wie Sencai hilft
Sencai führt ein einziges, nur anfügbares, hash-verkettetes Audit-Log jeder Aktion über alle verbundenen Cloud-Konten und On-Premise-Server hinweg - wer, wann und an welcher Ressource, unabhängig davon, welchen der elf unterstützten Anbieter es betraf. Dieses Log ist exportierbar, sodass „wer hat das wann geändert" zu einer Abfrage statt zu einem Rekonstruktionsprojekt wird. Sencai selbst hält keine ISO-27001- oder SOC-2-Zertifizierung und sagt das offen; stattdessen liefert es die Nachweise, die eine Prüfung üblicherweise verlangt - einen Audit-Trail-Export, Verarbeitungsverzeichnisse, ein veröffentlichtes Subunternehmer-Register, eine Datenresidenz-Erklärung und eine veröffentlichte Auftragsverarbeitungsvereinbarung - von einem Unternehmen, das nach EU-Recht in Prag operiert.
Sicherheit und Compliance erkunden →