NIS2 erhöht die Cybersicherheitsanforderungen an Organisationen, die in der Europäischen Union essenzielle und wichtige Dienste bereitstellen. Für IT- und Sicherheitsteams hat die Richtlinie praktische Auswirkungen darauf, wie Organisationen Cybersicherheitsrisiken managen, Zugriffe kontrollieren, auf Vorfälle reagieren, Schwachstellen beheben und nachweisen, dass Sicherheitsmaßnahmen konsequent angewendet werden.
Diese Anforderungen werden immer konkreter, da die EU-Mitgliedstaaten NIS2 durch nationale Gesetzgebung umsetzen. In den Niederlanden ist das Cyberbeveiligingswet zur Umsetzung von NIS2 am 15. August 2026 in Kraft getreten und bringt neue Verpflichtungen in den Bereichen Cybersicherheit, Registrierung und Meldung von Vorfällen für Organisationen in seinem Geltungsbereich mit sich.
IT-Teams müssen verstehen, welche Cybersicherheitspraktiken sie umsetzen müssen und wie ihr Technologie-Stack ihnen dabei helfen kann, diese Kontrollen dauerhaft aufrechtzuerhalten.
Was ist NIS2?
Die Richtlinie über Netz- und Informationssicherheit 2, allgemein bekannt als NIS2, ist eine EU-Richtlinie zur Cybersicherheit, die darauf abzielt, die Cybersicherheit und Resilienz in kritischen und wichtigen Sektoren zu stärken.
NIS2 erweitert die ursprüngliche NIS-Richtlinie, indem Cybersecurity-Risikomanagement- und Vorfallmeldeanforderungen auf eine breitere Palette von Organisationen angewendet werden. Zudem steigen die Anforderungen in Bereichen wie Schwachstellenmanagement, Zugriffssicherheit, Geschäftskontinuität, Sicherheit der Lieferkette, Vorfallsbearbeitung und organisatorische Rechenschaftspflicht.
Die EU-Mitgliedstaaten setzen NIS2 durch nationale Gesetzgebung um. Während die zugrunde liegende Richtlinie gemeinsame Cybersicherheitsziele in der gesamten EU festlegt, sollten Unternehmen die spezifischen Anforderungen prüfen, die in jedem Land gelten, in dem sie tätig sind.
Wer muss NIS2 einhalten?
NIS2 gilt für Organisationen, die in einer Vielzahl von Sektoren als wesentliche oder wichtige Einrichtungen eingestuft sind. Die Anwendbarkeit hängt von Faktoren ab, darunter die Dienstleistungen, die eine Organisation erbringt, ihre Größe, ihr Sektor und die nationale Gesetzgebung zur Umsetzung der Richtlinie.
Zu den abgedeckten Sektoren gehören Bereiche wie:
Energie
Transport
Bankwesen und Finanzmarktinfrastruktur
Gesundheitswesen
Digitale Infrastruktur
ICT-Service-Management
Öffentliche Verwaltung
Herstellung bestimmter kritischer Produkte
Digitale Anbieter
Post- und Kurierdienste
Abfallmanagement
Lebensmittelproduktion und -vertrieb
Chemikalien
Forschung
Unternehmen sollten ihre spezifischen Umstände bewerten, anstatt sich ausschließlich auf die Branche oder die Unternehmensgröße zu verlassen, um festzustellen, ob NIS2 für sie gilt.
Welche Cybersicherheitsanforderungen führt NIS2 ein?
NIS2 verlangt von betroffenen Organisationen, angemessene und verhältnismäßige technische, operative und organisatorische Maßnahmen zu ergreifen, um Cybersicherheitsrisiken zu steuern. Artikel 21 der Richtlinie nennt mehrere Bereiche, die Organisationen angehen müssen.
Für IT-Teams haben mehrere Anforderungen direkte Auswirkungen auf den täglichen Sicherheitsbetrieb:
1. Cybersicherheits-Risikomanagement
Unternehmen benötigen Prozesse zur Identifizierung von Cybersicherheitsrisiken und zur Umsetzung geeigneter Maßnahmen, um diese zu verringern.
Effektives Risikomanagement hängt von einer kontinuierlichen Transparenz über Systeme, Benutzer, Endpunkte, Schwachstellen und Sicherheitskonfigurationen ab. IT-Teams benötigen außerdem Prozesse, um zu bewerten, ob ihre Sicherheitskontrollen weiterhin effektiv funktionieren, während sich Umgebungen und Bedrohungen verändern.
2. Prävention, Erkennung und Reaktion bei Vorfällen
NIS2 verlangt von Unternehmen, sich auf Cybersicherheitsvorfälle vorzubereiten und Prozesse für deren Behandlung festzulegen.
Das macht Transparenz besonders wichtig. IT- und Sicherheitsteams benötigen ausreichende Informationen über Systeme und Aktivitäten, um potenzielle Probleme zu erkennen, Vorfälle zu untersuchen, Abhilfemaßnahmen zu ergreifen und die für die Vorfallsmeldung und Analyse nach einem Vorfall erforderlichen Nachweise bereitzustellen.
3. Schwachstellenbehandlung und Softwaresicherheit
Das Vulnerability Management ist ein weiterer wichtiger Bestandteil des NIS2-Rahmens.
Unternehmen benötigen Prozesse, um Schwachstellen in ihren Technologieumgebungen zu identifizieren und zu beheben, bevor daraus unnötige Sicherheitsrisiken entstehen. Dazu gehört die Pflege von Betriebssystemen und Anwendungen, das Einspielen von Sicherheitsupdates, die Nachverfolgung des Behebungsfortschritts und die Bewertung, ob Sicherheitsmaßnahmen weiterhin wirksam sind.
Ein wiederholbarer Prozess für das Patch-Management kann dazu beitragen, die Zeit zwischen der Identifizierung einer Schwachstelle und der Behebung betroffener Systeme zu verkürzen.
4. Identität, Authentifizierung und Zugriffskontrolle
NIS2 befasst sich ausdrücklich mit Zugriffskontrolle und identitätsbezogenen Sicherheitsmaßnahmen.
IT-Teams sollten feststellen können, wer auf Systeme und Ressourcen zugreifen kann, geeignete Berechtigungen vergeben, Zugriffe entfernen, wenn sie nicht mehr benötigt werden, und gegebenenfalls starke Authentifizierungsmechanismen einsetzen.
Diese Maßnahmen werden besonders wichtig für Fernverwaltung und Fernsupport, bei denen privilegierte Benutzer möglicherweise von außerhalb des traditionellen Netzwerkperimeters der Organisation auf Systeme zugreifen können.
5. Sicherheitsüberwachung und Auditierbarkeit
Organisationen benötigen außerdem Möglichkeiten, die Wirksamkeit ihrer Cybersicherheitsmaßnahmen zu bewerten.
Zentralisierte Protokolle, Aktivitätsaufzeichnungen, Endpoint-Informationen und Sicherheitsberichte können Teams dabei helfen, Ereignisse zu untersuchen und nachzuweisen, wie Kontrollen angewendet werden. Die Bereitstellung leicht zugänglicher Nachweise erleichtert außerdem die Überprüfung von Sicherheitsprozessen und die Vorbereitung auf Audits.
Protokollierung allein erfüllt die NIS2-Anforderungen nicht, aber verlässliche Aufzeichnungen sind ein wichtiger Bestandteil eines umfassenderen Compliance-Programms.
6. Geschäftskontinuität und Sicherheit der Lieferkette
NIS2 geht weit über Endpunkt- und Zugriffssicherheit hinaus. Die Richtlinie behandelt außerdem Bereiche wie:
Geschäftskontinuität
Backup-Management und Disaster Recovery
Krisenmanagement
Sicherheit der Lieferkette
Sicherheitsrichtlinien
Cybersicherheitsschulung
Kryptografie und Verschlüsselung
Personalsicherheit
Asset-Management
Organisationen benötigen daher ein koordiniertes Compliance-Programm, das Technologie, Prozesse, Richtlinien, Mitarbeitende, Lieferanten und Führungskräfte einbezieht.
Was bedeutet NIS2 für IT-Teams?
Für viele IT-Teams unterstreicht NIS2 die Notwendigkeit, bestehende Cybersicherheitspraktiken konsistenter, transparenter und wiederholbar zu gestalten.
Zu den wichtigen betrieblichen Prioritäten gehören:
Aufrechterhaltung der Transparenz in Bezug auf Geräte, Anwendungen, Schwachstellen und Sicherheitsstatus.
Betriebssysteme und Anwendungen über definierte Prozesse aktuell halten.
Den Zugriff auf Systeme kontrollieren und regelmäßig überprüfen.
Anwendung einer starken Authentifizierung und angemessener Zugriffsberechtigungen.
Pflege nützlicher Protokolle und Aktivitätsaufzeichnungen für Untersuchungen und Audits.
Sicherheitsprobleme schnell identifizieren und wiederholbare Prozesse zur Behebung etablieren.
Sicherheits- und Wartungs-Workflows dort automatisieren, wo es sinnvoll ist.
Pflege genauer Hardware- und Softwareinventare.
Bewerten, ob Cybersicherheitskontrollen weiterhin wie vorgesehen funktionieren.
Nachweise zu erstellen, die belegen, wie Sicherheitskontrollen angewendet werden.
Für Unternehmen, die bereits ausgereifte Cybersicherheitspraktiken befolgen, kann NIS2 viele bestehende Prozesse zusätzlich untermauern. Die Herausforderung besteht darin, sicherzustellen, dass diese Prozesse in der gesamten Umgebung konsistent funktionieren und bei Bedarf nachgewiesen werden können.
NIS2-Umsetzung in der Europäischen Union
NIS2 schafft einen gemeinsamen Cybersicherheitsrahmen in der Europäischen Union, aber jeder Mitgliedstaat setzt die Richtlinie durch seine eigene nationale Gesetzgebung um.
Daher sollten Organisationen die spezifischen Anforderungen prüfen, die in jedem Land gelten, in dem sie tätig sind. Dazu können nationale Vorschriften in Bezug auf die Registrierung von Einrichtungen, Cybersecurity-Risikomanagement, Vorfallsmeldung, Aufsichtsbehörden und Durchsetzung gehören.
Während die Details der Umsetzung je nach Land variieren, bleiben die zugrunde liegenden Cybersicherheitsziele von NIS2 in der EU weitgehend einheitlich.
Wie Splashtop NIS2-Compliance angeht
Splashtop erfüllt die geltenden NIS2-Anforderungen und hat mehr als 150 Kontrollen implementiert, die den für Cloud-Service-Provider geltenden Anforderungen zugeordnet sind. Diese Kontrollen helfen dabei, einen strukturierten Ansatz für das Management der Cybersicherheitsverantwortlichkeiten im Zusammenhang mit der Bereitstellung cloudbasierter Dienste zu etablieren.
Da NIS2 durch nationale Gesetzgebung umgesetzt wird, sind einige Verpflichtungen länderspezifisch. Beispielsweise hat sich Splashtop gemäß den geltenden niederländischen Anforderungen beim National Cyber Security Centre der Niederlande (NCSC-NL) registriert.
Für Unternehmen, die im Rahmen ihrer eigenen NIS2-Programme Technologieanbieter bewerten, können auch die Cybersicherheitspraktiken und die regulatorische Aufstellung eines Anbieters in umfassendere Risikobewertungen von Lieferanten und der Lieferkette einfließen.
Wie Splashtop die Cybersecurity-Anforderungen von NIS2 unterstützen kann
Organisationen können Splashtop Funktionen auch nutzen, um mehrere der technischen Maßnahmen zu unterstützen, die für die Aufrechterhaltung eines NIS2-Compliance-Programms erforderlich sind.
1. Sicherer Fernzugriff und Authentifizierung
Fernzugriff muss streng kontrolliert werden, wenn Mitarbeitende, IT-Administratoren, Anbieter und Support-Techniker von verschiedenen Standorten aus eine Verbindung zu Geschäftssystemen herstellen können.
Splashtop bietet Sicherheits- und Verwaltungsfunktionen, darunter verschlüsselte Fernverbindungen, Multi-Faktor-Authentifizierung, SSO/SAML-Integration, granulare Berechtigungen und zentrale Verwaltung.
Diese Kontrollen helfen Organisationen dabei, zu verwalten, wer per Fernzugriff auf Systeme zugreifen kann, und eine stärkere Authentifizierung für Remote-Workflows anzuwenden.
2. Zugriffskontrolle und geringstmögliche Rechte
Benutzer sollten das für ihre Aufgaben erforderliche Zugriffsniveau erhalten, ohne unnötig weitreichenden Zugriff auf Systeme zu haben.
Splashtop ermöglicht Administratoren die zentrale Verwaltung von Benutzern, Gruppen, Computern und Berechtigungen. Organisationen können diese Kontrollen nutzen, um festzulegen, welche Benutzer auf bestimmte Systeme zugreifen können, und den Zugriff anpassen, wenn sich Verantwortlichkeiten ändern.
Die Zentralisierung dieser Kontrollen erleichtert es IT-Teams außerdem, Fernzugriffsberechtigungen zu prüfen und Zugriffe zu entfernen, wenn sie nicht mehr erforderlich sind.
3. Protokollierung und Audit-Nachweise
Für Sicherheitsuntersuchungen und Audit-Bereitschaft ist es wichtig nachzuvollziehen, wer wann auf ein System zugegriffen hat.
Splashtop bietet Funktionen zur Sitzungs- und Aktivitätsprotokollierung, die Organisationen dabei helfen können, Aufzeichnungen über Fernzugriffsaktivitäten zu führen. Je nach Splashtop-Lösung und Konfiguration können Organisationen auch zusätzliche Protokollierungs- und SIEM-Funktionen nutzen, um relevante Aktivitäten in umfassendere Workflows zur Sicherheitsüberwachung einzubinden.
Diese Aufzeichnungen stellen eine weitere Nachweisquelle dar, wenn IT-Teams Sicherheitsvorfälle untersuchen, Zugriffsaktivitäten überprüfen oder nachweisen, wie Kontrollen funktionieren.
4. Schwachstellen- und Patch-Management mit Splashtop AEM
Nicht gepatchte Schwachstellen können Endpunkte unnötig gefährden. Splashtop AEM unterstützt IT-Teams dabei, Schwachstellen- und Patch-Management kontinuierlicher zu gestalten, indem zentrale Transparenz und Automatisierung bereitgestellt werden.
Mit Splashtop AEM können IT-Teams:
Identifizieren Sie Schwachstellen, die verwaltete Endpunkte betreffen.
Nutzen Sie CVE-Erkenntnisse, um die Priorisierung von Abhilfemaßnahmen zu unterstützen.
Patchen Sie unterstützte Betriebssysteme und Anwendungen von Drittanbietern.
Patch-Richtlinien auf Gruppen von Endpunkten anwenden.
Patch-Status überwachen und Fehler identifizieren.
Führen Sie ein Inventar von Hardware und Software.
Nutzen Sie Automatisierung, um wiederkehrenden Behebungsaufwand zu reduzieren.
Statt sich hauptsächlich auf regelmäßige manuelle Prüfungen zu verlassen, können IT-Teams den Zustand von Endpunkten kontinuierlich überwachen und Maßnahmen ergreifen, wenn Schwachstellen oder fehlende Updates erkannt werden.
5. Endpunktüberwachung und Fehlerbehebung
Die Aufrechterhaltung von Cybersicherheitskontrollen erfordert außerdem, dass Teams erkennen, wenn Endpunktzustände außerhalb der erwarteten Richtlinien liegen, und angemessen reagieren.
Splashtop AEM bietet zentrale Transparenz über Endpunkte, proaktive Warnmeldungen, richtlinienbasiertes Management, Skripte, Aufgaben und Funktionen zur Problembehebung. Diese Tools können IT-Teams dabei helfen, Probleme zu identifizieren und Korrekturmaßnahmen auf verwalteten Endpunkten anzuwenden, ohne jedes Gerät einzeln bearbeiten zu müssen.
Automatisierung kann außerdem wiederkehrende Sicherheits- und Wartungsprozesse besser reproduzierbar machen und so dazu beitragen, Inkonsistenzen zu verringern, die entstehen, wenn Aufgaben stark von manuellen Eingriffen abhängen.
Schaffen Sie einen besser wiederholbaren Ansatz für die NIS2-Compliance
NIS2 erhöht die Bedeutung von Cybersicherheitskontrollen, die Organisationen konsistent anwenden, überwachen, dokumentieren und verbessern können. Sicherer Zugriff, starke Authentifizierung, Schwachstellenbehebung, Endpunkttransparenz und verlässliche Aktivitätsaufzeichnungen können alle zu dieser Grundlage beitragen.
Splashtop hilft IT-Teams, sicheren Fernzugriff und Fernsupport zu zentralisieren und erweitert gleichzeitig Transparenz, Patch-Management, Automatisierung und Endpunktmanagement durch Splashtop AEM. Die eigene NIS2-Compliance und NCSC-NL-Registrierung von Splashtop bieten Kunden außerdem zusätzliche Informationen, die sie bei der Bewertung der Sicherheitslage ihrer Technologieanbieter berücksichtigen können.
Erfahren Sie mehr darüber, wie Splashtop Ihrer Organisation helfen kann, sicheren Zugriff, Endpunktmanagement und die NIS2-Bereitschaft zu stärken.
