NIS2 erklärt: Anforderungen, Fristen und LogTotal-Anwendungsfälle in ganz Europa

Was ist NIS2?

NIS2 ist die Richtlinie (EU) 2022/2555, das grundlegende Cybersicherheitsgesetz der EU für Organisationen, die Energienetze, Wassersysteme, Krankenhäuser, Logistikketten, Lebensmittelversorgung und digitale Infrastruktur betreiben. Sie ersetzte die ursprüngliche NIS-Richtlinie (EU) 2016/1148 und wandelte ein locker angewandtes, branchenspezifisches Regime in einen einheitlichen Rahmen mit gemeinsamen Verpflichtungen, gemeinsamen Meldefristen und echten Durchsetzungsbefugnissen um.

Was bedeutet NIS2 praktisch für ein Sicherheitsteam? Drei Dinge. Erstens, es definiert, wer im Anwendungsbereich ist, durch Größenschwellen und zwei Sektoranhänge, die abgedeckte Organisationen in wesentliche und wichtige Einrichtungen unterteilen. Zweitens schreibt es in Artikel 21 einen Mindestkatalog an Risikomanagement-Kontrollen vor, von der Vorfallbearbeitung und Protokollierung bis hin zu Lieferkettensicherheit und Kryptographie. Drittens wird in Artikel 23 ein gestufter Vorfallbenachrichtigungsprozess festgelegt, wobei das erste Signal innerhalb von 24 Stunden nach Bekanntwerden eines erheblichen Vorfalls an das nationale CSIRT oder die zuständige Behörde gesendet werden muss.

Da NIS2 eine Richtlinie und keine Verordnung ist, schreibt jeder Mitgliedstaat sein eigenes nationales Gesetz. Die Kernverpflichtungen sind geteilt, aber Registrierungsportale, Aufsichtsbehörden und Meldeformulare unterscheiden sich von Rom bis Warschau, was genau der Grund ist, warum eine länderweise Betrachtung von Bedeutung ist.

Probieren Sie LogTotal kostenlos aus

NIS2 Veröffentlichungsdatum und der Weg zur Compliance

Die Richtlinie wurde am 27. Dezember 2022 im Amtsblatt veröffentlicht und trat am 16. Januar 2023 in Kraft. Die Mitgliedstaaten hatten bis zum 17. Oktober 2024 Zeit, sie umzusetzen, wobei nationale Maßnahmen ab dem 18. Oktober 2024 anwendbar sind. Wenige schafften es: Italien und Belgien gehörten zu den wenigen, die rechtzeitig Gesetze in Kraft hatten.

Die Kommission reagierte mit Mahnschreiben im November 2024, begründeten Stellungnahmen im Mai 2025 und verwies am 8. Juli 2026 die verbleibenden Nachzügler an den Gerichtshof der Europäischen Union. Laut dem nisd2.eu-Umsetzungstracker, ist seit dem 16. Oktober 2026 in 24 der 27 Mitgliedstaaten ein nationales Gesetz in Kraft. Frankreich, Irland und Spanien haben noch keins.

Für die Einhaltung von NIS2 ist die Erkenntnis, dass die Uhr national und nicht europäisch läuft. Die Änderungen des BSIG in Deutschland sind seit dem 6. Dezember 2025 anwendbar, das geänderte KSC-Gesetz in Polen seit dem 3. April 2026, das niederländische Cyberbeveiligingswet seit dem 15. August 2026 und das österreichische NISG 2026 seit dem 1. Oktober 2026. Jedes bringt sein eigenes Registrierungsfenster mit sich, sodass ein multinationaler Betreiber in Mailand compliant sein kann, während er in Danzig bereits zu spät ist.

Was die NIS2-Richtlinie fordert

Die NIS2-Richtlinie teilt Verpflichtungen in drei Kategorien ein: Governance, technische Kontrollen und Berichterstattung.

Governance steht in Artikel 20. Leitungsorgane müssen die Maßnahmen zum Management von Cybersicherheitsrisiken genehmigen, deren Umsetzung überwachen und regelmäßige Schulungen absolvieren. Verantwortlichkeit endet nicht mehr beim CISO.

Technische Kontrollen sind in Artikel 21(2) aufgeführt, der zehn Mindestmaßnahmen listet: Risikobewertung und Informationssicherheitspolitik; Vorfallbearbeitung; Geschäftskontinuität, Backup und Krisenmanagement; Lieferkettensicherheit; sichere Beschaffung, Entwicklung und Wartung, einschließlich Umgang mit Schwachstellen; Bewertung der Kontrollwirksamkeit; Cyber-Hygiene und Schulungen; Kryptographie; HR-Sicherheit, Zugangskontrolle und Asset-Management; und MFA plus gesicherte Kommunikation. Für digitale Infrastrukturen und IKT-Dienstleister spezifiziert die Durchführungsverordnung (EU) 2024/2690 diese im Detail, einschließlich expliziter Überwachungs- und Protokollanforderungen.

Berichterstattung fällt unter Artikel 23, wobei SOC-Teams hier den Druck spüren:

• 24 Stunden: Frühwarnung, einschließlich der Frage, ob der Vorfall mutmaßlich bösartig ist oder grenzüberschreitende Auswirkungen haben könnte
• 72 Stunden: Vorfallmeldung mit einer ersten Einschätzung der Schwere und Auswirkungen und verfügbaren Indikatoren für Kompromisse
• Ein Monat: Abschlussbericht mit Ursachenanalyse, Minderung und grenzüberschreitenden Auswirkungen

Eine Frühwarnung innerhalb von 24 Stunden ist nur glaubwürdig, wenn das Team tatsächlich in der Lage ist, seine Protokolle innerhalb von Stunden, nicht Tagen, zu lesen.

Warum die EU NIS1 durch NIS2 ersetzt hat

NIS1 scheiterte an der Konsistenz. Jeder Mitgliedstaat entschied selbst, welche Unternehmen als Betreiber wesentlicher Dienste zählten, sodass zwei Krankenhäuser derselben Größe in benachbarten Ländern völlig unterschiedliche Verpflichtungen haben konnten. Bußgelder waren niedrig und wurden selten verhängt, und die Schwellenwerte für Vorfallmeldungen variierten so stark, dass eine grenzüberschreitende Situationsbewusstheit kaum bestand.

Die Bedrohung entwickelte sich schneller als das Gesetz. Zwischen dem Vorschlag der Kommission im Dezember 2020 und dem finalen Text erlebte Europa, dass Ransomware Krankenhaus-IT lahmlegte, SolarWinds und Kaseya Lieferkettenkompromisse Tausenden von Downstream-Kunden erreichten und der Februar 2022 Angriff auf das Viasat KA-SAT-Netzwerk das Fernmonitoring für etwa 5.800 Enercon-Windturbinen in Deutschland unterbrochen hat. Dieser letzte Fall machte sehr deutlich: Ein Angriff auf einen IT-Dienstleister kann physische, OT-Ebene Konsequenzen in einem anderen Sektor und einem anderen Land haben.

NIS2 antwortet mit einem breiteren Anwendungsbereich, harmonisierten Mindestkontrollen, expliziten Pflichten in der Lieferkette, persönlicher Verantwortlichkeit für das Management und einem gemeinsamen Vorfallszeitplan. Es formalisierte auch die Zusammenarbeit durch EU-CyCLONe und das CSIRTs-Netzwerk, sodass ein bedeutender Vorfall in Lyon kein rein französisches Problem mehr ist.

NIS2-Strafen und Managementhaftung

Artikel 34 setzt die Mindestsätze fest, die nationale Gesetze erreichen müssen:

Der Umsatzbezug bezieht sich auf das gesamte Unternehmen, nicht auf die lokale Tochtergesellschaft, weshalb CFOs auf Gruppenebene jetzt NIS2-Briefings lesen.

Geld ist nur ein Teil der Exposition. Für wesentliche Einheiten erlaubt Artikel 32 Behörden, Zertifizierungen oder Genehmigungen auszusetzen und einen CEO oder gesetzlichen Vertreter vorübergehend von Führungsfunktionen auszuschließen, bis Mängel behoben sind. Behörden können einem Unternehmen auch anordnen, seine Nichteinhaltung öffentlich bekannt zu geben.

In der Praxis suchen Regulierungsbehörden nach Belegen. Eine Organisation, die zeigen kann, wann sie einen Vorfall entdeckt hat, welche Protokolle sie untersucht hat und wie sie zu ihren 24-Stunden- und 72-Stunden-Schlussfolgerungen gelangt ist, ist in einer weitaus stärkeren Position als eine, die die Zeitleiste im Nachhinein rekonstruiert. Dokumentierte, wiederholbare Protokollanalysen sind die günstigste Versicherung gegen das obere Ende dieser Sanktionen.

NIS2 vs. DORA: Welches gilt?

Eine kurze Zusammenfassung der NIS2-Richtlinie: horizontale Cybersicherheitsregeln für 18 kritische Sektoren, national umgesetzt. DORA, das Gesetz über digitale operationale Resilienz (Verordnung (EU) 2022/2554), ist das Gegenstück in beiden Aspekten. Es ist sektorspezifisch und umfasst Banken, Versicherungen, Wertpapierfirmen, Zahlungsinstitute, Dienstleister für Krypto-Assets und deren kritische IKT-Drittanbieter und gilt als Verordnung seit dem 17. Januar 2025 direkt in jedem Mitgliedstaat.

Die beiden verbinden sich über Artikel 4 von NIS2. Wenn ein sektorspezifisches EU-Gesetz Anforderungen verhängt, die mindestens gleichwertig zu NIS2 sind, hat dieses Gesetz Vorrang. DORA ist das lex specialis für Finanzunternehmen, daher folgen Banken DORAs IKT-Risiko-, Test- und Berichterstattungsregeln anstelle der NIS2-Versionen.

Die Überlappung ist für Anbieter wichtig. Ein gemanagtes SOC oder Cloud-Anbieter kann gleichzeitig eine wichtige Einheit nach NIS2 und ein vertraglicher IKT-Anbieter nach DORA sein, und muss sich daher zwei Sorten von Protokollanforderungen stellen.

NIS2 vs. DSGVO: Dienstkontinuität trifft Datenschutz

Die DSGVO schützt die persönlichen Daten der Menschen. NIS2 schützt die Kontinuität der Dienste, auf die die Gesellschaft angewiesen ist. Der Unterschied zeigt sich daran, was einen Bericht auslöst: nach der DSGVO ist es eine Verletzung personenbezogener Daten, die wahrscheinlich ein Risiko für Einzelpersonen darstellt und die innerhalb von 72 Stunden der Datenschutzbehörde gemeldet wird. Nach NIS2 ist es ein erheblicher Vorfall, der die Dienstbereitstellung betrifft und ab 24 Stunden dem CSIRT oder der zuständigen Behörde gemeldet wird, unabhängig davon, ob personenbezogene Daten betroffen waren oder nicht.

Ein Ransomware-Angriff auf ein Krankenhaus löst in der Regel beides aus. Artikel 35 von NIS2 verlangt, dass die Cybersicherheitsbehörde die Datenschutzbehörde informiert, wenn ein Vorfall möglicherweise eine Datenpanne betrifft, und verhindert eine doppelte Geldstrafe für dasselbe Verhalten, wenn bereits eine DSGVO-Strafe verhängt wurde. Das DSGVO-Höchstmaß bleibt höher: 20 Millionen € oder 4 % des weltweiten Umsatzes.

Der Reibungspunkt für SOC-Teams sind die Protokolle selbst. Sicherheitstelemetrie ist voll von personenbezogenen Daten: Benutzernamen, IP-Adressen, E-Mail-Header, Hostnamen, die mit namentlich genannten Mitarbeitern verknüpft sind. Das Senden von Rohprotokollen an einen externen Analysten, einen MSSP oder einen KI-Dienst, um eine NIS2-Frist einzuhalten, kann eine DSGVO-Frage über Datenminimierung und Transfers aufwerfen. Das Pseudonymisieren von Kennungen, bevor Protokolle die Organisation verlassen, während der Schlüssel im Haus bleibt, ist, wie Teams beide Regimes gleichzeitig zufriedenstellen.

Welche Organisationen NIS2 betrifft

NIS2 verwendet eine Größengrenze: mittlere und große Organisationen, die 50 oder mehr Mitarbeiter oder mehr als 10 Millionen € Jahresumsatz haben, die in einem der 18 Sektoren tätig sind.

• Anhang I, Sektoren von hoher Kritikalität (11): Energie, Verkehr, Banken, Finanzmarktinfrastruktur, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, B2B-ICT-Dienstmanagement, öffentliche Verwaltung und Raumfahrt.
• Anhang II, andere kritische Sektoren (7): Post- und Kurierdienste, Abfallwirtschaft, Chemikalien, Lebensmittelproduktion und -vertrieb, Herstellung (medizinische Geräte, Elektronik, Elektrogeräte, Maschinen, Kraftfahrzeuge und andere Transportgeräte), digitale Anbieter und Forschung.

Große Einheiten in Anhang I, mit 250 oder mehr Mitarbeitern oder mehr als 50 Millionen € Umsatz, sind typischerweise wesentlich. Der Großteil der anderen ist wichtig. Einige Anbieter sind unabhängig von der Größe abgedeckt, darunter DNS-Dienstanbieter, TLD-Register, qualifizierte Vertrauensdiensteanbieter und öffentliche elektronische Kommunikationsnetze, und Mitgliedstaaten können kleine Einheiten benennen, die der einzige Anbieter eines kritischen Dienstes sind.

Die praktische Reichweite ist noch breiter. Artikel 21 macht die Sicherheitsüberwachung der Lieferkette zur Pflicht, sodass unter diese Regelung fallende Einheiten vertragliche Sicherheitsanforderungen an die Lieferanten weitergeben. Ein 30-Personen-Firmware-Integrator, der einem deutschen Autohersteller dient, oder ein Kältetechnik-Wartungsdienstleister, der eine Supermarktkette bedient, wird NIS2 durch Auditfragebögen erleben, lange bevor ein Regulierer anruft.

LogTotal und OT-Logs: Der Motor vs. das Ökosystem

LogTotal, das SOC Prime am 15. Oktober 2026 vom öffentlichen Vorschau- in den allgemeinen Erscheinungsmodus versetzte, ist für die Version des Log-Problems zur Vorfallzeit gebaut. Sie wählen einen Protokollsatz aus, das Open-Source @socprime/logtotal-sanitizer ersetzt Anmeldedaten, IP-Adressen, Hostnamen und Benutzernamen durch stabile HMAC-Tokens im Browser und nur die tokenisierten Ereignisse werden hochgeladen. Es verarbeitet bis zu 1,7 Millionen Ereignisse innerhalb einer Minute auf gewöhnlicher Hardware, speichert nichts nach der Analyse, und die Organisation behält den Schlüssel, um Tokens intern wieder abzubilden.

Der Motor selbst ist formatunabhängig. Er erkennt automatisch EVTX, CEF, JSON/NDJSON und Syslog, sodass alles, was als Text ausgedrückt werden kann, untersucht werden kann: industrielle PC-Syslogs, SCADA-Historien- und HMI-Ereignisse, Ingenieur-Workstation-Logs oder Modbus- und BACnet-Verkehr, sobald er in Textaufzeichnungen dekodiert wurde.

Länderkartierung: NIS2 und LogTotal Anwendungsfälle in 10 Märkten

NIS2 ist EU-Recht, aber sein Einfluss erstreckt sich auf Lieferanten, Nachbarn und Beitrittskandidaten, die den europäischen Markt bedienen. Der gemeinsame Faden in allen zehn Märkten unten ist eine Meldeuhr, die in Stunden gemessen wird, was eine schnelle, datenschutzfreundliche Protokolltriage zu einer praktischen Notwendigkeit statt einem netten Extra macht. Status ab Oktober 2026.