NIS2 erklärt: Anforderungen, Fristen und LogTotal-Anwendungsfälle in ganz Europa

Was ist NIS2?

NIS2 ist die Richtlinie (EU) 2022/2555, das grundlegende Cybersicherheitsgesetz der EU für Organisationen, die Energieversorgungsnetze, Wassersysteme, Krankenhäuser, Logistikketten, Lebensmittelversorgung und digitale Infrastrukturen betreiben. Sie ersetzte die ursprüngliche NIS-Richtlinie (EU) 2016/1148 und verwandelte ein locker angewendetes, sektorweise System in ein einziges Rahmenwerk mit gemeinsamen Verpflichtungen, gemeinsamen Berichtsfristen und echten Durchsetzungsmitteln.

Was bedeutet NIS2 praktisch für ein Sicherheitsteam? Drei Dinge. Erstens definiert es, wer durch Größenuntergrenzen und zwei Sektor-Anhänge in den Anwendungsbereich fällt, indem betroffene Organisationen in essenzielle und wichtige Einrichtungen aufgeteilt werden. Zweitens schreibt es eine Mindestanforderung an Risikomanagement-Kontrollen in Artikel 21 vor, von der Vorfallsbearbeitung und Protokollierung bis hin zur Lieferketten-Sicherheit und Kryptografie. Drittens erlegt es einen gestaffelten Vorfallberichtsprozess in Artikel 23 auf, bei dem das erste Signal innerhalb von 24 Stunden nach Bekanntwerden eines bedeutenden Vorfalls an das nationale CSIRT oder die zuständige Behörde gesendet werden muss.

Da NIS2 eine Richtlinie und keine Verordnung ist, schreibt jeder Mitgliedstaat sein eigenes nationales Gesetz. Die Kernverpflichtungen sind gleich, aber Registrierungsportale, Aufsichtsbehörden und Meldeformulare unterscheiden sich von Rom bis Warschau, weshalb eine länderspezifische Betrachtungsweise wichtig ist.

Kostenlos loslegen

NIS2-Veröffentlichungsdatum und der Weg zur Konformität

Die Richtlinie wurde am 27. Dezember 2022 im Amtsblatt veröffentlicht und trat am 16. Januar 2023 in Kraft. Die Mitgliedstaaten hatten bis zum 17. Oktober 2024 Zeit, sie umzusetzen, wobei nationale Maßnahmen ab dem 18. Oktober 2024 gelten. Nur wenige schafften es: Italien und Belgien gehörten zu den wenigen Ländern, die rechtzeitig Gesetze in Kraft hatten.

Die Kommission reagierte mit Mahnschreiben im November 2024, begründeten Stellungnahmen im Mai 2025 und am 8. Juli 2026 mit Überweisungen an den Gerichtshof der EU für die verbleibenden Nachzügler. Laut dem nisd2.eu Transpositionstracker gilt ab dem 16. Oktober 2026 in 24 der 27 Mitgliedstaaten ein nationales Gesetz. Frankreich, Irland und Spanien sind weiterhin ohne eines.

Für die NIS2-Konformität ist das Wichtigste, dass die Uhr national und nicht europäisch tickt. Deutschlands BSIG-Änderungen gelten seit dem 6. Dezember 2025, Polens geändertes KSC-Gesetz seit dem 3. April 2026, das niederländische Cyberbeveiligingswet seit dem 15. August 2026 und Österreichs NISG 2026 seit dem 1. Oktober 2026. Jedes bringt sein eigenes Registrierungsfenster mit sich, sodass ein Betreiber in mehreren Ländern in Mailand konform sein kann, während er in Gdańsk bereits spät dran ist.

Was die NIS2-Richtlinie verlangt

Die NIS2-Richtlinie teilt Verpflichtungen in drei Kategorien ein: Governance, technische Kontrollen und Berichterstattung.

Governance ist in Artikel 20 geregelt. Managementgremien müssen die Cybersicherheitsrisikomanagement-Maßnahmen genehmigen, deren Umsetzung überwachen und regelmäßig Schulungen absolvieren. Die Verantwortung endet nicht mehr beim CISO.

Technische Kontrollen sind in Artikel 21(2) festgelegt, der zehn Mindestmaßnahmen aufzählt: Risikoanalyse- und Informationssicherheitsrichtlinien; Vorfallbearbeitung; Geschäftskontinuität, Backup und Krisenmanagement; Sicherheitsvorkehrungen in der Lieferkette; sichere Akquisition, Entwicklung und Wartung, einschließlich Schwachstellenbehandlung; Beurteilung der Kontrolleffizienz; Cyber-Hygiene und Schulung; Kryptografie; HR-Sicherheit, Zugriffskontrolle und Asset-Management; und MFA plus gesicherte Kommunikation. Für digitale Infrastrukturen und ICT-Dienstleister erläutert die Durchführungsverordnung (EU) 2024/2690 diese ausführlich, einschließlich expliziter Überwachungs- und Protokollierungsanforderungen.

Berichterstattung ist in Artikel 23 geregelt, und hier fühlen SOC-Teams den Druck:

• 24 Stunden: Frühwarnung, einschließlich ob der Vorfall mutmaßlich bösartig ist oder grenzüberschreitende Auswirkungen hat
• 72 Stunden: Vorfallmeldung mit einer ersten Schweregrad- und Wirkungsanalyse und verfügbaren Indikatoren für Kompromisse
• Ein Monat: Abschlussbericht mit Ursachenanalyse, Abhilfemaßnahmen und grenzüberschreitenden Auswirkungen

Eine 24-Stunden-Frühwarnung ist nur glaubwürdig, wenn das Team seine Protokolle tatsächlich innerhalb von Stunden und nicht Tagen lesen kann.

Warum die EU NIS1 durch NIS2 ersetzt hat

NIS1 scheiterte an der Konsistenz. Jeder Mitgliedstaat entschied selbst, welche Unternehmen als Betreiber wesentlicher Dienste zählen, sodass zwei Krankenhäuser gleicher Größe in Nachbarländern völlig unterschiedliche Verpflichtungen auferlegt bekommen konnten. Die Strafen waren gering und wurden selten angewendet, und die Schwellenwerte für Vorfallmeldungen variierten so stark, dass grenzüberschreitendes Lagebewusstsein kaum existierte.

Das Bedrohungsbild entwickelte sich schneller als das Gesetz. Zwischen dem Vorschlag der Kommission im Dezember 2020 und dem endgültigen Text sah Europa, wie Ransomware Krankenhaus-IT lahmlegte, die Lieferkettenkompromisse von SolarWinds und Kaseya Tausende von Endkunden erreichten und der Angriff auf das KA-SAT-Netzwerk von Viasat im Februar 2022 das Fernüberwachungsnetz für etwa 5.800 Enercon-Windkraftanlagen in Deutschland lahmlegte. Dieser letzte Fall machte eines sehr deutlich: Ein Angriff auf einen IT-Dienstleister kann physische, operationstechnische Konsequenzen in einem anderen Sektor und einem anderen Land verursachen.

NIS2 antwortet mit einem erweiterten Anwendungsbereich, harmonisierten Mindestkontrollen, expliziten Pflichten in der Lieferkette, persönlicher Verantwortlichkeit für das Management und einer gemeinsamen Vorfallsuhr. Es formalisiert auch die Zusammenarbeit über EU-CyCLONe und das CSIRTs-Netzwerk, sodass ein bedeutender Vorfall in Lyon nicht mehr nur ein rein französisches Problem ist.

NIS2-Bußgelder und Managementhaftung

Artikel 34 setzt die Mindesthöchstgrenzen fest, die nationale Gesetze erreichen müssen:

Die Umsatzreferenz bezieht sich auf das gesamte Unternehmen, nicht auf die lokale Tochtergesellschaft, weshalb CFOs auf Gruppenebene nun NIS2-Briefings lesen.

Geld ist nur ein Teil der Exposition. Für essenzielle Einheiten erlaubt Artikel 32 den Behörden, Zertifizierungen oder Genehmigungen auszusetzen und einen CEO oder gesetzlichen Vertreter zeitweise von Führungsaufgaben auszuschließen, bis Mängel behoben sind. Behörden können auch von einer Einheit verlangen, ihre Nichteinhaltung öffentlich bekannt zu machen.

In der Praxis suchen Regulierungsbehörden nach Beweisen. Eine Organisation, die zeigen kann, wann sie einen Vorfall entdeckt hat, welche Protokolle sie untersucht hat und wie sie zu ihren 24-Stunden und 72-Stunden-Schlüssen kam, steht weit stärker da als eine, die den Zeitplan im Nachhinein rekonstruiert. Dokumentierte, wiederholbare Protokollanalysen sind die billigste Versicherung gegen die oberen Enden dieser Strafen.

NIS2 vs. DORA: Was gilt?

Eine einzeilige Zusammenfassung der NIS2-Richtlinie: horizontale Cybersicherheitsvorschriften für 18 kritische Sektoren, national umgesetzt. DORA, das Digital Operational Resilience Act (Verordnung (EU) 2022/2554), ist das Gegenteil in beiderlei Hinsicht. Sie ist sektorspezifisch und umfasst Banken, Versicherer, Investmentfirmen, Zahlungsinstitute, Krypto-Asset-Dienstleister und deren kritische IKT-Drittanbieter und ist als Verordnung seit dem 17. Januar 2025 direkt in jedem Mitgliedstaat anwendbar.

Die beiden sind über Artikel 4 der NIS2 verbunden. Wo ein sektorspezifisches EU-Gesetz Anforderungen vorschreibt, die mindestens NIS2 entsprechen, hat dieses Gesetz Vorrang. DORA ist dieses lex specialis für Finanzinstitutionen, sodass eine Bank den IKT-Risiko-, Test- und Meldevorschriften von DORA folgt und nicht den NIS2-Versionen.

Die Überschneidung ist wichtig für Anbieter. Ein Managed SOC oder Cloud-Anbieter kann eine wichtige Einrichtung unter NIS2 sein und gleichzeitig ein vertraglicher IKT-Anbieter unter DORA, der zwei Sätze von Protokollevidenzanfragen gegenübersteht.

NIS2 vs. DSGVO: Dienstleistungs-Kontinuität trifft Datenschutz

Die DSGVO schützt personenbezogene Daten. NIS2 schützt die Kontinuität von Diensten, auf die die Gesellschaft angewiesen ist. Der Unterschied zeigt sich darin, was einen Bericht auslöst: Unter der DSGVO handelt es sich um eine Verletzung personenbezogener Daten, die ein Risiko für Einzelpersonen darstellen könnte und innerhalb von 72 Stunden der Datenschutzbehörde gemeldet werden muss. Unter NIS2 handelt es sich um einen bedeutenden Vorfall, der die Bereitstellung von Diensten betrifft und der innerhalb von 24 Stunden an das CSIRT oder die zuständige Behörde gemeldet werden muss, unabhängig davon, ob personenbezogene Daten berührt wurden oder nicht.

Ein Ransomware-Angriff auf ein Krankenhaus löst normalerweise beides aus. Artikel 35 der NIS2 verlangt von der Cybersicherheitsbehörde, die Datenschutzbehörde zu informieren, wenn ein Vorfall möglicherweise eine Verletzung personenbezogener Daten beinhaltet, und es verhindert eine doppelte Geldstrafe für dasselbe Verhalten, bei dem bereits eine Datenschutzverletzungsstrafe verhängt wurde. Die Obergrenze der DSGVO bleibt die höhere: 20 Millionen Euro oder 4 % des weltweiten Umsatzes.

Der Reibungspunkt für SOC-Teams sind die Protokolle selbst. Sicherheitstelmetrie ist voller personenbezogener Daten: Benutzernamen, IP-Adressen, E-Mail-Header, Hostnamen, die mit benannten Mitarbeitern verknüpft sind. Das Versenden roher Protokolle an einen externen Analysten, einen MSSP oder einen AI-Dienst zur Einhaltung einer NIS2-Frist kann eine DSGVO-Frage zur Datenminimierung und zu Übertragungen aufwerfen. Das Pseudonymisieren von Identifikatoren, bevor Protokolle die Organisation verlassen, während der Schlüssel im Haus bleibt, ist, wie Teams beide Regime gleichzeitig zufriedenstellen.

Welche Organisationen sind von NIS2 betroffen

NIS2 nutzt eine Größenbeschränkungsregel: mittlere und große Organisationen, d.h. 50 oder mehr Mitarbeiter oder mehr als 10 Millionen Euro Jahresumsatz, die in einem der 18 Sektoren tätig sind.

• Anhang I, Sektoren von hoher Kritikalität (11): Energie, Transport, Bankwesen, Finanzmarktinfrastruktur, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, B2B-IKT-Dienstleistungsmanagement, öffentliche Verwaltung und Raumfahrt.
• Anhang II, andere kritische Sektoren (7): Post- und Kurierdienste, Abfallmanagement, Chemikalien, Lebensmittelproduktion und -verteilung, Produktion (medizinische Geräte, Elektronik, Elektroausrüstung, Maschinen, Kraftfahrzeuge und andere Transportmittel), digitale Anbieter und Forschung.

Große Organisationen im Anhang I, mit 250 oder mehr Mitarbeitern oder mehr als 50 Millionen Euro Umsatz, sind typischerweise essentiell. Die meisten anderen sind wichtig. Einige Anbieter sind unabhängig von der Größe abgedeckt, einschließlich DNS-Diensteanbieter, TLD-Register, qualifizierte Vertrauensdiensteanbieter und öffentliche elektronische Kommunikationsnetzwerke, und Mitgliedstaaten können kleine Organisationen benennen, die der einzige Anbieter eines kritischen Dienstes sind.

Die praktische Reichweite ist noch größer. Artikel 21 macht die Sicherheit der Lieferkette zur Verpflichtung, sodass in-scope-Einheiten vertragliche Sicherheitsanforderungen an Lieferanten weitergeben. Ein 30-Personen-Firmware-Integrator, der einem deutschen Autohersteller dient, oder ein Kältetechnik-Wartungsunternehmen, das eine Supermarktkette bedient, wird NIS2 durch Audit-Fragebögen weit vor einem Anruf der Behörde spüren.

LogTotal und OT-Logs: Der Motor vs. das Ökosystem

LogTotal, das SOC Prime am 15. Oktober 2026 vom öffentlichen Vorschau- in den allgemeinen Freigabestatus überging, wird für die Incident-Zeiten-Version des Protokollproblems entwickelt. Man wählt einen Protokollsatz aus, das Open-Source-Tool @socprime/logtotal-sanitizer ersetzt Anmeldedaten, IP-Adressen, Hostnamen und Benutzernamen durch stabile HMAC-Tokens im Browser, und nur die tokenisierten Ereignisse werden hochgeladen. Es verarbeitet bis zu 1,7 Millionen Ereignisse in weniger als einer Minute auf herkömmlicher Hardware, speichert nichts nach der Analyse, und die Organisation behält den Schlüssel, um Tokens intern wieder zurückzuführen.

Der Motor selbst ist formatunabhängig. Es erkennt automatisch EVTX, CEF, JSON/NDJSON und Syslog, sodass alles, was als Text ausgedrückt werden kann, untersucht werden kann: industrielle PC-Syslogs, SCADA-Historiker- und -HMI-Ereignisse, Protokolle von Arbeitsstationen in der Technik oder Modbus- und BACnet-Verkehr, sobald dieser in Textaufzeichnungen dekodiert wurde.

Länderkartierung: NIS2 und LogTotal Anwendungsfälle in 10 Märkten

NIS2 ist EU-Recht, aber seine Anziehungskraft erstreckt sich auf Lieferanten, Nachbarn und Beitrittskandidatenländer, die den europäischen Markt bedienen. Der gemeinsame Faden in allen zehn Märkten unten ist eine Berichterstattungsuhr, die in Stunden gemessen wird, was eine schnelle, datenschutzfreundliche Protokoll-Triage zu einer praktischen Notwendigkeit macht, anstatt ein „Schön-zu-haben“. Der Status bezieht sich auf Oktober 2026.