NIS2 – Beweise bei Cybersicherheitsvorfällen: Vollständiger Compliance-Leitfaden 2026

NIS2 im Jahr 2026: warum der Einsatz gerade gestiegen ist

Die NIS2-Richtlinie ((EU) 2022/2555) ist in die Phase eingetreten, die jede Cybersicherheitsrichtlinie schließlich erreicht – die Phase, in der die Vorbereitung endet und die Durchsetzung beginnt. Die Mitgliedstaaten waren verpflichtet, sie bis zum 17. Oktober 2024 in nationales Recht umzusetzen. Die meisten verpassten diese Frist. Bis März 2026 haben jedoch 21 der 27 EU-Mitgliedstaaten die Umsetzung abgeschlossen, und die Europäische Kommission hat die vergangenen zwölf Monate damit verbracht, systematisch Druck auf die verbleibenden Nachzügler auszuüben.

Im Mai 2025 richtete die Kommission mit Gründen versehene Stellungnahmen an neunzehn Mitgliedstaaten, die noch keine vollständige Umsetzung mitgeteilt hatten – darunter Deutschland, Frankreich, Spanien, Polen, Irland und die Niederlande. Eine mit Gründen versehene Stellungnahme ist der letzte formelle Schritt, bevor die Kommission einen Fall an den Gerichtshof der Europäischen Union verweist, wo finanzielle Sanktionen möglich werden. Die Botschaft an die Hauptstädte war unmissverständlich: Bringen Sie dies zum Abschluss oder zahlen Sie dafür.

Im späten Jahr 2025 und den ersten Monaten des Jahres 2026 zeitigte dieser Druck Ergebnisse. Deutschland schloss sein nationales NIS2-Gesetz im Dezember 2025 ab. Schwedens Cybersicherheitsgesetz trat im Januar 2026 in Kraft. Das tschechische Zákon o kybernetické bezpečnosti gilt seit dem 1. November 2025. Österreich, Italien, Portugal, die Niederlande und andere sind entweder in Kraft getreten oder befinden sich 2026 in den letzten Zügen dazu. Die Schonfrist – das stillschweigende Einvernehmen, dass niemand belangt wird, solange die Umsetzung noch unvollständig ist – ist vorbei.

Am 20. Januar 2026 schlug die Kommission zudem gezielte Änderungen an NIS2 selbst vor, mit dem Ziel, die Compliance für schätzungsweise 28.700 Einrichtungen zu vereinfachen. Diese Änderungen lockern die Kernpflichten nicht; sie präzisieren die Formulierungen und verringern den Verwaltungsaufwand. Sie sind ein Eingeständnis, dass NIS2 nun langfristig durchgesetzt wird und dass der Rahmen für schätzungsweise 160.000 in den Anwendungsbereich fallende Einrichtungen in der gesamten Union in großem Maßstab praktikabel sein muss.

Für Organisationen, die NIS2 unterliegen, bedeutet dies eines: Der operative Test ist da. Cybersicherheitsrichtlinien, die auf dem Papier gut aussehen, müssen nun unter der Vier-Stunden-Uhr – der 24-Stunden-Uhr der Erstmeldung – funktionieren. Risikomanagementrahmen müssen Beweise erzeugen, die ein nationales CSIRT akzeptiert. Leitungsorgane müssen eine aktive Aufsicht unter Androhung persönlicher Haftung nachweisen. Und unter den praktischen Engpässen, die selbst gut vorbereitete Organisationen überraschen, sticht einer hervor: Sobald ein Vorfall beginnt, verschwinden Beweise, und die Einrichtung muss sie erfassen, bevor sie weg sind. Dieser Leitfaden konzentriert sich auf diesen Engpass – was zu sichern ist, warum es rechtlich von Bedeutung ist und wie man es so tut, dass es einer aufsichtsrechtlichen Prüfung in der gesamten EU standhält.

Wen NIS2 erfasst: wesentliche und wichtige Einrichtungen

NIS2 unterteilt die in den Anwendungsbereich fallenden Organisationen in zwei Kategorien – wesentliche Einrichtungen und wichtige Einrichtungen – auf Grundlage der Kritikalität ihres Sektors und der Größe der Organisation. Beide Kategorien müssen dieselben zehn Cybersicherheits-Risikomanagementmaßnahmen nach Artikel 21 umsetzen und denselben Vorfallmeldepflichten nach Artikel 23 nachkommen. Der Unterschied liegt im Aufsichtsregime, das auf jede Kategorie angewandt wird, und in den Höchststrafen, die verhängt werden können.

Wesentliche Einrichtungen (Anhang I, große Unternehmen)

Wesentliche Einrichtungen sind Organisationen, die in Sektoren mit hoher Kritikalität (Anhang I) tätig sind und als große Unternehmen gelten – im Allgemeinen mindestens 250 Beschäftigte oder ein Jahresumsatz von über 50 Mio. EUR und eine Bilanzsumme von über 43 Mio. EUR. Die Liste umfasst Energie (Strom, Gas, Öl, Fernwärme, Wasserstoff), Verkehr (Luft, Schiene, Wasser, Straße), Bankwesen, Finanzmarktinfrastrukturen, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur (DNS, TLD, IXPs, Rechenzentren, Cloud, CDN, Vertrauensdiensteanbieter), IKT-Dienstleistungsmanagement für B2B, öffentliche Verwaltung auf zentraler und regionaler Ebene sowie Weltraum.

Wichtige Einrichtungen (Anhang II, mittlere Unternehmen und unterhalb der Schwelle für wesentliche Einrichtungen)

Wichtige Einrichtungen sind Organisationen in anderen kritischen Sektoren (Anhang II) oder in Anhang-I-Sektoren, die unter die Größenschwelle für die Einstufung als wesentlich fallen. Anhang II umfasst Post- und Kurierdienste, Abfallbewirtschaftung, Herstellung und Vertrieb von Chemikalien, Produktion, Verarbeitung und Vertrieb von Lebensmitteln, verarbeitendes Gewerbe (Medizinprodukte, Datenverarbeitungs- und elektronische Produkte, elektrische Ausrüstungen, Maschinen, Kraftfahrzeuge, sonstige Fahrzeuge), Anbieter digitaler Dienste (Online-Marktplätze, Online-Suchmaschinen, Plattformen sozialer Netzwerke) und Forschungseinrichtungen.

Aufsichtsregime: Artikel 32 versus Artikel 33

Die beiden Kategorien unterliegen unterschiedlichen Aufsichtsregimen. Wesentliche Einrichtungen unterliegen Artikel 32 – einer proaktiven Ex-ante-Aufsicht, die regelmäßige Vor-Ort-Kontrollen, Fernprüfungen, Anforderungen von Dokumentation sowie von der Aufsichtsbehörde angeordnete Sicherheitsprüfungen und Penetrationstests umfasst. Wichtige Einrichtungen fallen unter Artikel 33 – eine Ex-post-Aufsicht, die nur ausgelöst wird, wenn die Behörden Hinweise auf einen Verstoß haben. Die praktische Folge ist, dass wesentliche Einrichtungen mit ständiger regulatorischer Präsenz leben; wichtige Einrichtungen haben es mit der Aufsichtsbehörde vorrangig dann zu tun, nachdem etwas schiefgelaufen ist.

Ausnahmen für Klein- und Kleinstunternehmen und der Ermessensspielraum der Mitgliedstaaten

Organisationen mit weniger als 50 Beschäftigten und einem Jahresumsatz oder einer Bilanzsumme von höchstens 10 Mio. EUR sind im Allgemeinen vom verpflichtenden Anwendungsbereich ausgenommen. Die Mitgliedstaaten behalten jedoch das Ermessen, kleinere Einrichtungen in den Anwendungsbereich einzubeziehen, wenn die Einrichtung der einzige Anbieter eines Dienstes in einer Region ist, wenn ihr Ausfall ein systemisches Risiko schaffen würde oder wenn sie in bestimmten Teilsektoren tätig ist. Italien und Slowenien haben ihren nationalen Anwendungsbereich bemerkenswert über die Anhänge der Richtlinie hinaus erweitert; Belgien hat erweiterte Governance-Pflichten hinzugefügt. Die Erkenntnis: Selbst wenn Ihre Organisation unterhalb der Schwelle zu liegen scheint, ist die nationale Umsetzung das Dokument, das bestimmt, ob NIS2 für Sie gilt.

Die 18 Sektoren und die Größenschwellen-Regel

NIS2 erweitert den sektoralen Anwendungsbereich gegenüber seinem Vorgänger dramatisch. Während NIS1 für sieben Sektoren galt, gilt NIS2 für achtzehn, gegliedert über zwei Anhänge. Die Erweiterung spiegelt wider, wie abhängig die moderne Gesellschaft von digitalen Diensten und Lieferketten geworden ist – und wie ein Cybersicherheitsvorfall in einem dieser Sektoren binnen Stunden grenzüberschreitend kaskadieren kann.

Anhang I: Sektoren mit hoher Kritikalität

Die Anhang-I-Sektoren sind jene, deren Störung unmittelbare, gesamtgesellschaftliche Folgen erzeugt. Sie umfassen Energie in ihren verschiedenen Formen, Verkehr, Bankwesen und Finanzmarktinfrastruktur, Gesundheit, Trinkwasser und Abwasser, digitale Infrastruktur (die DNS-Anbieter, TLD-Registrierungsstellen, Internet-Knoten, Cloud-Computing-Anbieter, Anbieter von Rechenzentrumsdiensten, Content-Delivery-Netzwerke, Vertrauensdiensteanbieter und Anbieter elektronischer Kommunikation abdeckt), B2B-IKT-Dienstleistungsmanagement, öffentliche Verwaltung auf zentraler und regionaler Ebene sowie Weltraum. Jeder dieser Bereiche hat in der Umsetzung durch die Mitgliedstaaten seine eigenen sektoralen Besonderheiten, doch die Cybersicherheits-Basislinie ist harmonisiert.

Anhang II: sonstige kritische Sektoren

Anhang II umfasst Sektoren, die kritisch sind, bei denen eine Störung aber im Allgemeinen weniger unmittelbar katastrophal ist – auch wenn sie dennoch erheblichen Schaden erzeugen kann. Er umfasst Post- und Kurierdienste, Abfallbewirtschaftung, Chemikalien (Herstellung, Vertrieb), Lebensmittelproduktion, Herstellung von Medizinprodukten und wichtigen Industriegütern, Anbieter digitaler Dienste einschließlich Online-Marktplätzen, Suchmaschinen und Diensten sozialer Netzwerke sowie Forschungseinrichtungen. Die Durchführungsverordnung (EU) 2024/2690 der Kommission liefert spezifische technische Regeln und Regeln zur Vorfalleinstufung für mehrere Anhang-II-Teilsektoren, darunter Cloud, DNS, Marktplätze, Suche und soziale Netzwerke.

Die Größenschwellen-Regel

Innerhalb dieser Sektoren wendet NIS2 eine Größenschwellen-Regel an: Organisationen fallen in den Anwendungsbereich, wenn sie mindestens 50 Beschäftigte UND einen Jahresumsatz oder eine Bilanzsumme von über 10 Mio. EUR haben. Große Unternehmen (250+ Beschäftigte oder 50+ Mio. EUR Umsatz und 43+ Mio. EUR Bilanzsumme) in Anhang-I-Sektoren werden als wesentliche Einrichtungen eingestuft. Mittlere Unternehmen (50–249 Beschäftigte, 10–50 Mio. EUR Umsatz) in Anhang I sowie jedes mittlere oder große Unternehmen in Anhang II werden als wichtige Einrichtungen eingestuft. Die Schwelle ist bewusst großzügig – NIS2 will kleinere Unternehmen nicht mit unverhältnismäßigen Pflichten erdrücken –, erfasst aber im Wesentlichen jeden bedeutsamen Akteur in den regulierten Sektoren.

Ausnahmen, Reichweite in die Lieferkette und der De-facto-Effekt des regulierten Abnehmers

Über den formalen Anwendungsbereich hinaus hat NIS2 eine praktische Reichweite, die weit darüber hinausgeht. Artikel 21 verlangt von wesentlichen und wichtigen Einrichtungen, die Cybersicherheit der Lieferkette zu steuern – das heißt, die Einrichtung muss angemessene Sicherheitsmaßnahmen bei ihren unmittelbaren Zulieferern und Dienstleistern bewerten und durchsetzen. Die Folge ist, dass Organisationen, die nicht unmittelbar in den Anwendungsbereich von NIS2 fallen, zunehmend eine NIS2-konforme Sicherheit gegenüber ihren regulierten Kunden nachweisen müssen, allein um in der Beschaffungskette zu bleiben. Wenn Ihr Kunde im Anwendungsbereich ist, ist Ihr Vertrag im Anwendungsbereich. Dieser indirekte Effekt verdoppelt oder verdreifacht die De-facto-Population NIS2-relevanter Einrichtungen in der gesamten EU-Wirtschaft.

Artikel 23 im Detail: die dreistufige Meldezeitleiste

Artikel 23 ist das operative Herzstück von NIS2 für die Vorfallreaktion. Er begründet eine dreistufige Meldekaskade mit strikten Fristen und fügt in bestimmten Fällen eine Pflicht zur Benachrichtigung der Dienstempfänger hinzu. Die Uhr beginnt zu laufen, wenn die Einrichtung Kenntnis davon erlangt, dass ein schwerwiegender Vorfall eingetreten ist – eine Definition, die selbst in der Praxis umstritten ist –, und sie hält nicht an, bis der Abschlussbericht bis zu einem Monat später eingereicht ist. Jede Stufe zu verpassen, ist ein Compliance-Versagen, und die Aufsichtsbehörden haben klar erklärt, dass sie es als solches behandeln werden.

Stufe 1 – Erstmeldung binnen 24 Stunden

Binnen 24 Stunden nach Kenntnis eines schwerwiegenden Vorfalls muss die Einrichtung eine Erstmeldung (Frühwarnung) an ihr nationales CSIRT oder die zuständige Behörde übermitteln. Die Erstmeldung muss, soweit Informationen verfügbar sind, angeben, ob der Verdacht besteht, dass der Vorfall durch rechtswidrige oder böswillige Handlungen verursacht wurde, und ob er grenzüberschreitende Auswirkungen haben könnte. Dies ist kein vollständiger Bericht – ihr Zweck ist es, die Behörden zu alarmieren, damit sie sich auf eine koordinierte Reaktion vorbereiten und andere betroffene Mitgliedstaaten informieren können. Häufige Versäumnisse in dieser Stufe sind das Fehlen vorab eingerichteter CSIRT-Kommunikationskanäle, keine vorbereitete Vorlage und Unsicherheit darüber, ob das Ereignis bereits die Schwelle des schwerwiegenden Vorfalls erreicht.

Stufe 2 – Vorfallmeldung binnen 72 Stunden

Binnen 72 Stunden nach Kenntnis muss die Einrichtung eine substanziellere Vorfallmeldung übermitteln. Diese Aktualisierung muss eine erste Bewertung des Vorfalls enthalten – Schwere, Umfang, Auswirkung – und, entscheidend, soweit verfügbar, Kompromittierungsindikatoren (IoCs). Die 72-Stunden-Meldung ist der Punkt, an dem die Beweissicherung verbindlich wird: Sie können keine IoCs beschreiben, deren Überschreibung Sie zugelassen haben. Phishing-Seiten, gefälschte Anmeldeoberflächen, bösartige URLs, verunstaltete Webangebote und andere webbasierte Angriffsartefakte müssen erfasst werden, bevor sie während der Behebung der Vorfallreaktion verschwinden.

Stufe 3 – Abschlussbericht binnen eines Monats

Spätestens einen Monat nach der Vorfallmeldung muss die Einrichtung einen Abschlussbericht einreichen. Dieser enthält eine ausführliche Beschreibung des Vorfalls einschließlich seiner Schwere und Auswirkung, die Art der Bedrohung oder der Grundursache, die ihn wahrscheinlich ausgelöst hat, angewandte und laufende Abhilfemaßnahmen und, sofern zutreffend, die grenzüberschreitende Auswirkung. Der Abschlussbericht ist das Dokument, auf das die Aufsichtsbehörden bei jeder späteren Kontrolle oder Prüfung zurückgreifen. Seine Qualität bestimmt, ob Ihre Organisation als jemand angesehen wird, der den Vorfall professionell gehandhabt hat – oder als jemand, der die Grundlagen verpasst hat.

Zwischenberichte auf CSIRT-Anfrage und Fortschrittsberichte für laufende Vorfälle

Das CSIRT oder die zuständige Behörde kann während der Reaktionsphase jederzeit Zwischenaktualisierungen anfordern. Wenn der Vorfall zum Zeitpunkt eines Monats noch andauert, reicht die Einrichtung anstelle eines Abschlussberichts einen Fortschrittsbericht ein, wobei ein weiterer Abschlussbericht binnen eines Monats nach dem tatsächlichen Ende des Vorfalls fällig ist. Der Zwischenmechanismus schafft einen fortlaufenden Dialog zwischen der Einrichtung und der Behörde – und bedeutet, dass die Fähigkeit der Einrichtung, auf Anforderung glaubwürdige, beweisgestützte Aktualisierungen zu liefern, eine dauerhafte Fähigkeit ist, kein einmaliger Kraftakt.

Benachrichtigung der Dienstempfänger (Artikel 23 Absatz 2)

Wenn ein schwerwiegender Vorfall die Erbringung von Diensten an Empfänger voraussichtlich beeinträchtigt, muss die Einrichtung diese Empfänger unverzüglich informieren. Dies umfasst die Beschreibung, was geschehen ist, welche Dienste betroffen sind und welche Abhilfemaßnahmen die Empfänger ergreifen sollten. Für B2B-Anbieter bedeutet dies die Benachrichtigung ihres Kundenstamms; für verbraucherorientierte Anbieter kann es öffentliche Kommunikation bedeuten. Die Benachrichtigung selbst wird Teil der Beweisaufzeichnung – und sobald sie veröffentlicht wurde, ist sie das, woran die Aufsichtsbehörde die Einrichtung festhält.

Was als schwerwiegender Vorfall gilt

Artikel 23 wird nur ausgelöst, wenn ein Vorfall schwerwiegend ist. Die Definition der Richtlinie ist weit gefasst: Ein Vorfall ist schwerwiegend, wenn er eine schwere Betriebsstörung der Dienste der Einrichtung oder einen finanziellen Verlust für die Einrichtung verursacht hat oder verursachen kann oder wenn er andere natürliche oder juristische Personen durch die Verursachung erheblicher materieller oder immaterieller Schäden beeinträchtigt hat oder beeinträchtigen kann. Die Formulierung „verursachen kann“ ist entscheidend – Einrichtungen können nicht warten, bis der Schaden eintritt, um mit der Meldung zu beginnen. Eine vernünftige Vorhersehbarkeit genügt.

Schwellenwerte der Durchführungsverordnung 2024/2690 der Kommission

Für bestimmte Einrichtungen des digitalen Sektors (DNS-Anbieter, TLD-Registrierungsstellen, Cloud-Anbieter, Rechenzentren, CDNs, MSPs, MSSPs, Online-Marktplätze, Suchmaschinen, soziale Netzwerke und Vertrauensdiensteanbieter) legt die Durchführungsverordnung (EU) 2024/2690 der Kommission vom 17. Oktober 2024 konkrete Schwellenwerte fest. Ein Vorfall ist unter anderem schwerwiegend, wenn er einen finanziellen Verlust von über 100.000 EUR oder 5 % des Jahresumsatzes (je nachdem, welcher Wert niedriger ist) verursacht oder verursachen kann oder wenn er einen erfolgreichen, mutmaßlich böswilligen unbefugten Zugriff auf Netz- und Informationssysteme umfasst oder wenn er erheblichen Reputationsschaden verursacht. Die Verordnung gilt unmittelbar für ihre benannten Sektoren; für andere Einrichtungen dient sie als nützlicher Auslegungsmaßstab.

Reputationsschaden und Medienaufmerksamkeit als Faktoren

Das Kriterium des erheblichen Reputationsschadens ist nicht subjektiv. Die Aufsichtsbehörden betrachten konkrete Indikatoren: ob über den Vorfall in den Mainstream-Medien berichtet wurde, ob die Einrichtung wahrscheinlich Kunden in für ihr Geschäft wesentlicher Zahl verlieren wird, ob sie infolgedessen regulatorische Anforderungen nicht erfüllen kann und ob das Ansehen der Einrichtung bei Partnern und Aufsichtsbehörden messbar geschädigt wurde. Markengezielte Angriffe – Phishing-Seiten, die Ihre Dienste imitieren, gefälschte Anmeldeoberflächen auf ähnlich aussehenden Domains – fallen genau in diese Kategorie und erzeugen webbasierte Artefakte, die als Beweise gesichert werden müssen.

Erfolgreicher unbefugter Zugriff als automatischer Auslöser

Eine der operativ folgenreichsten Bestimmungen der DVO 2024/2690 ist, dass jeder erfolgreiche, mutmaßlich böswillige unbefugte Zugriff auf Netz- und Informationssysteme für Einrichtungen im Anwendungsbereich der Verordnung per se schwerwiegend ist. Dies beseitigt die Debatte über Schwellenwerte: Wenn ein Angreifer eingedrungen ist und der Zugriff im Verdacht steht, böswillig zu sein, ist er schwerwiegend, und die 24-Stunden-Uhr beginnt. Der weitere Umfang der Schwere aus der Richtlinie – finanzieller Verlust, Reputationsschaden, Betriebsstörung – gilt zusätzlich zu dieser Basislinie.

Wiederkehrende Vorfälle und die aggregierte Schwelle

Eine Reihe kleinerer Vorfälle kann gemeinsam die Schwelle des schwerwiegenden Vorfalls erreichen, selbst wenn jedes einzelne Ereignis dies nicht täte. Die Erwägungsgründe der Durchführungstexte machen deutlich, dass die Behörden von den Einrichtungen erwarten, wiederkehrende Vorfälle in ihrer Gesamtheit zu bewerten, nicht isoliert. Dies ist besonders relevant für Sektoren, die anhaltenden kampagnenartigen Angriffen ausgesetzt sind: eine Folge von Credential-Stuffing-Versuchen, eine Reihe von DDoS-Ausbrüchen geringen Volumens oder koordinierte Phishing-Wellen können zusammen die Schwelle überschreiten. Die Verbindung zwischen Vorfällen zu dokumentieren, ist selbst eine Beweisherausforderung – eine, die von einer konsistenten Protokollaufbewahrung und forensischen Erfassung über die Kampagnenzeitleiste hinweg abhängt.

Warum Beweissicherung gleich NIS2-Compliance ist

Unter neu von NIS2 regulierten Organisationen besteht die Neigung, die Vorfallmeldung als Papierkram-Problem zu behandeln – Vorlage ausfüllen, absenden, weitermachen. Diese Sichtweise verkennt grundlegend, was die 72-Stunden-Meldung tatsächlich verlangt und was die Aufsichtsbehörden bei Kontrollen prüfen werden. Die 72-Stunden-Vorfallmeldung schreibt die Aufnahme von Kompromittierungsindikatoren vor, soweit verfügbar. Der Abschlussbericht binnen eines Monats schreibt eine Beschreibung der Grundursache und der Bedrohungsart vor. Keines von beiden ist ohne gesicherte forensische Beweise erreichbar – und diese Beweise müssen im Moment der Entdeckung erfasst werden, nicht Wochen später rekonstruiert.

Die technischen Leitlinien der ENISA zu den NIS2-Risikomanagementmaßnahmen, veröffentlicht im November 2024 zusammen mit der Durchführungsverordnung (EU) 2024/2690 der Kommission, betonen die Beweissicherung als integralen Bestandteil der Vorfallbearbeitung. Die Leitlinien stellen die Pflicht neben Erkennung, Eindämmung und Wiederherstellung – nicht als optionale Ergänzung. Protokolle müssen mit ausreichender Integrität und Dauer aufbewahrt werden, um eine Rekonstruktion nach dem Vorfall zu unterstützen. Zwölf Monate manipulationssicherer Protokollierung sind eine weithin akzeptierte Basislinie; einige sektorspezifische Umsetzungen verlangen mehr.

Doch die kniffligere Beweiskategorie sind nicht die Protokolldaten – es sind die webbasierten Artefakte des Angriffs selbst. Wenn der Angriffsvektor eine Phishing-Seite umfasst, die Ihre Dienste imitiert, eine gefälschte Anmeldeoberfläche, die die Zugangsdaten Ihrer Kunden erfasst hat, eine verunstaltete Unternehmenswebsite oder eine Ransomware-Leak-Seite, die Ihre gestohlenen Daten veröffentlicht, wird der Beweis auf einer Infrastruktur gehostet, die Sie nicht kontrollieren. Der Hosting-Anbieter nimmt sie innerhalb von Stunden oder Tagen offline. Der Angreifer gibt sie auf. Der DNS-Eintrag wird in ein Sinkhole geleitet. Bis Sie die 72-Stunden-Meldung schreiben, ist der Beweis verschwunden, es sei denn, Sie haben ihn während der ersten Reaktion erfasst.

Genau diese Lücke sollen forensische Web-Beweisplattformen wie GetProofAnchor füllen. Eine im Moment der Vorfallentdeckung erstellte Erfassung erzeugt ein manipulationssicheres Paket – vollständiges HTML, gerenderter Screenshot, extrahierter Inhalt, Netzwerk-Metadaten, TLS-Kette –, zusammengebunden durch einen qualifizierten elektronischen Zeitstempel nach Artikel 42 eIDAS, unabhängig über OpenTimestamps in die Bitcoin-Blockchain verankert und über eine Append-Only-Kryptokette verknüpft. Wenn die Aufsichtsbehörde zwei Monate später einen Nachweis dafür verlangt, dass die Phishing-Seite existierte und so aussah, wie Sie es beschrieben haben, liefert das Beweis-ZIP die Antwort mit mathematischer Gewissheit.

Der Punkt ist nicht, dass jede NIS2-Einrichtung ein bestimmtes Werkzeug einsetzen muss. Der Punkt ist, dass die Beweissicherung während der Vorfallreaktionsphase eine erstrangige Compliance-Pflicht unter NIS2 ist – und dass Organisationen, die diese Fähigkeit nicht aufgebaut haben, bevor ein Vorfall eintritt, zu spät feststellen werden, dass das Fehlen gesicherter Beweise zu einem eigenen meldepflichtigen Versagen wird.

Webbasierte Angriffsbeweise forensisch erfassen

Viele der häufigsten NIS2-schwerwiegenden Vorfälle hinterlassen ihre primäre forensische Spur im öffentlichen Internet. Zu verstehen, welche Artefakte zu erfassen sind und wie man sie in einer Weise erfasst, die den Erwartungen der Aufsichtsbehörde genügt, ist eine der wirkungsvollsten operativen Fähigkeiten, die eine NIS2-regulierte Einrichtung entwickeln kann. Der Rest dieses Abschnitts geht fünf Kategorien webbasierter Vorfallbeweise durch und zeigt, wie die forensische Erfassung für jede aussieht.

Phishing-Seiten, die Ihre Dienste imitieren

Wenn ein Angreifer eine Phishing-Seite auf einer ähnlich aussehenden Domain errichtet, um Zugangsdaten Ihrer Kunden abzufangen, ist die Seite selbst der Beweis. Sie belegt die Ausrichtung des Angreifers auf Ihre Marke, die technische Ausgereiftheit der Kampagne und den Umfang der Kundengefährdung. Die forensische Erfassung muss das vollständige HTML, die visuelle Darstellung (mehrere Viewports, falls mobilspezifische Varianten existieren), die Netzwerkmitschnitte (HAR, DNS, TLS-Zertifikatskette, die die ähnlich aussehende Domain zeigt) und den Erfassungszeitstempel umfassen, der kryptografisch an alle Artefakte gebunden ist. Ein einfacher Screenshot reicht nicht – die Aufsichtsbehörde und jede spätere Weiterleitung an die Strafverfolgung werden das zugrunde liegende DOM und die Netzwerkidentität der bösartigen Infrastruktur verlangen.

Verunstaltete Unternehmenswebsites und unbefugte Inhaltsänderungen

Verunstaltungsvorfälle – bei denen Angreifer den sichtbaren Inhalt Ihrer öffentlichen Website ändern, um Propaganda, Lösegeldforderungen oder schlicht Spott anzuzeigen – dauern typischerweise Stunden bis zur Behebung. Der Behebungsprozess selbst zerstört Beweise: Die geänderten Seiten werden mit dem wiederhergestellten Inhalt überschrieben, Serverprotokolle können rotiert werden und forensisch relevante Artefakte verschwinden im Sicherungszyklus. Bevor die Behebung beginnt, sollte der verunstaltete Zustand forensisch erfasst werden. Dasselbe gilt für subtile unbefugte Änderungen – ein einzelner eingeschleuster JavaScript-Schnipsel, der Formulardaten exfiltriert, ein verstecktes iframe, ein geänderter Zahlungsendpunkt –, die nicht nur die Erfassung der sichtbaren Seite, sondern auch der zugrunde liegenden Skripte und Netzwerkaufrufe erfordern.

Ransomware-Leak-Seiten und Datenveröffentlichungen im Darknet

Wenn ein Angreifer Daten exfiltriert und sie auf einer Leak-Seite veröffentlicht, um eine Zahlung zu erpressen, ist die Leak-Seite selbst ein Beweis. Sie belegt die Materialisierung des Exfiltrationsrisikos, den Umfang der Daten, die der Angreifer zu besitzen behauptet, und die Verhandlungszeitleiste. Die meisten Ransomware-Gruppen betreiben Tor-Hidden-Services, und diese Dienste kommen und gehen schnell. Eine forensische Erfassung der Angebotsseite, der Struktur der Datei mit Datenproben, des Countdowns und der Anweisungen zur Lösegeldzahlung wird zu einem entscheidenden Beweis für den Abschlussbericht – und für jede spätere Einbindung der Strafverfolgung, jeden Versicherungsanspruch oder jeden nachgelagerten Zivilrechtsstreit.

Markenimitierende Social-Media-Konten und gefälschte Support-Seiten

Angrenzend an Phishing im engeren Sinne sind Markenimitationskampagnen in sozialen Medien und über gefälschte Support-Seiten. Diese sind besonders schädlich, weil sie oft parallel zu einem primären Eindringen laufen – der Social-Media-Imitator lenkt Verkehr auf die anderswo gehostete Phishing-Seite – und weil sie den Umfang des betroffenen Kundenstamms erweitern. Die Erfassung sollte das Imitatorprofil, alle Beiträge, Follower-Zahlen, die verknüpfte Phishing-Infrastruktur und die Zeitleiste der Takedown-Versuche und Plattformreaktionen umfassen.

Indikatoren für Lieferkettenkompromittierung auf Angeboten Dritter

Viele NIS2-Vorfälle entstehen nicht auf einer Infrastruktur, die die Einrichtung besitzt, sondern auf einem Drittdienst, den die Einrichtung nutzt. Ein kompromittierter SaaS-Anbieter, ein gekaperter CDN-Endpunkt, ein manipuliertes Software-Update auf der Website eines Anbieters – jedes davon verlangt von der Einrichtung, Beweise für den Zustand des Dritten im Moment der Entdeckung zu erfassen, bevor der Dritte behebt und die Spur verloren geht. Dies ist eines der wirklich neuartigen Beweisprobleme, die NIS2 einführt, weil die Einrichtung etwas nachweisen muss, das sie nicht kontrolliert hat. Die einzige Lösung ist, den Zustand des Dritten als forensischen Schnappschuss im Moment der Kenntnisnahme zu erfassen – mit einem glaubwürdigen Zeitstempel, der beweist, wann die Erfassung erfolgte – und diese Erfassung unabhängig vom Dritten zu bewahren.

Beweiskette: ISO 27037 trifft NIS2

NIS2 selbst schreibt keine bestimmte Methodik für die Beweiskette vor. Artikel 21 verlangt angemessene und verhältnismäßige Maßnahmen, und die Erwägungsgründe der Richtlinie verweisen auf europäische und internationale Standards als praktischen Bezugspunkt dafür, was angemessen bedeutet. Im Bereich der digitalen Beweise ist dieser Bezugspunkt ISO/IEC 27037:2012 – der internationale Standard für die Identifizierung, Sammlung, Erfassung und Aufbewahrung digitaler Beweise. Einrichtungen, die ihre Vorfallbearbeitungsverfahren an ISO 27037 ausrichten, werden feststellen, dass sie die beweisbezogenen Erwartungen von NIS2 auf natürliche Weise erfüllen.

ISO 27037 definiert vier Phasen für den Umgang mit digitalen Beweisen: Identifizierung (erkennen, welche Datenelemente Beweise sind), Sammlung (sie physisch zusammentragen), Erfassung (forensisch einwandfreie Kopien erstellen) und Aufbewahrung (die Integrität im Laufe der Zeit wahren). Für webbasierte Beweise bilden sich die vier Phasen sauber auf einen einzigen forensischen Erfassungsvorgang ab – vorausgesetzt, die Erfassung ist so konstruiert, dass sie in einem atomaren Schritt ein Artefakt erzeugt, das identifizierbar, gesammelt, erfasst und aufbewahrungsbereit ist. Dies ist das Konstruktionsziel jeder ernsthaften forensischen Web-Beweisplattform: den Ablauf zu einem einzigen verteidigungsfähigen Vorgang zusammenzuziehen, jeden Parameter zu dokumentieren und ein Paket zu erzeugen, dessen Integrität unabhängig überprüft werden kann.

Das Integritätsprimitiv ist der kryptografische Hash. Jedes Artefakt im Beweispaket – der Screenshot, das HTML, der extrahierte Text, die Netzwerkmitschnitte, die Metadaten – wird mit SHA-256 gehasht, und die Hashes werden in einem Manifest festgehalten. Das Manifest selbst wird gehasht, und dieser finale Hash ist die Eingabe für einen qualifizierten elektronischen eIDAS-Zeitstempel nach Artikel 42 der Verordnung (EU) 910/2014. Der qualifizierte Zeitstempel bindet das gesamte Paket an einen bestimmten Zeitpunkt, mit derselben Rechtswirkung in allen 27 EU-Mitgliedstaaten wie eine notarielle Datumsbescheinigung. Jede spätere Veränderung an irgendeinem Byte irgendeines Artefakts bricht die Kette und ist bei der Verifikation innerhalb von Sekunden erkennbar.

Die Verankerung in der Bitcoin-Blockchain über OpenTimestamps liefert eine zweite, unabhängige Ebene, die nicht von der Einrichtung, dem Vertrauensdiensteanbieter oder irgendeiner zentralisierten Infrastruktur abhängt. Dies ist wichtig für grenzüberschreitende Vorfälle, bei denen die Einrichtung möglicherweise die Beweisintegrität gegenüber Behörden in einem Mitgliedstaat nachweisen muss, mit dessen nationaler EU-Vertrauensliste die Einrichtung nur begrenzt vertraut ist. Der Blockchain-Anker kann von jedem mit Zugang zu Bitcoin-Block-Headern verifiziert werden – global, ohne Koordination.

Das dritte Element, eine Append-Only-Kryptokette über alle Erfassungen hinweg, verhindert, dass eine Einrichtung die Historie klammheimlich bearbeitet. Selbst mit vollem administrativem Zugriff auf ihre eigenen Systeme kann die Einrichtung keinen rückdatierten Eintrag einfügen – jedes Glied der Kette hängt vom Hash des vorherigen ab, und jede Veränderung kaskadiert durch jeden nachfolgenden Datensatz. Für Aufsichtsbehörden verwandelt dies die Integrität von Vorfallbeweisen von einer Frage des Vertrauens in die regulierte Einrichtung in eine Frage der Mathematik. Dieser Wandel ist es, was verteidigungsfähig tatsächlich bedeutet.

Grenzüberschreitende Vorfälle und das EU-CSIRT-Netzwerk

Wenige schwerwiegende Cybervorfälle achten nationale Grenzen. NIS2 nimmt dies vorweg, indem sie eine unionsweite Koordinationsarchitektur begründet: Jeder Mitgliedstaat benennt ein oder mehrere CSIRTs (Computer Security Incident Response Teams) und eine zentrale Anlaufstelle für grenzüberschreitende Angelegenheiten, die alle neben der ENISA am EU-CSIRT-Netzwerk teilnehmen. Das European Cyber Crisis Liaison Organisation Network – EU-CyCLONe – koordiniert die Reaktion auf strategischer Ebene bei groß angelegten Vorfällen. Für regulierte Einrichtungen bedeutet dies, dass eine dem nationalen CSIRT übermittelte Vorfallmeldung schnell Reichweite in mehrere Mitgliedstaaten und in die ENISA selbst entfalten kann.

Artikel 23 Absatz 6 sieht vor, dass, wenn ein schwerwiegender Vorfall zwei oder mehr Mitgliedstaaten betrifft, das empfangende CSIRT oder die zuständige Behörde die anderen betroffenen Mitgliedstaaten und die ENISA unverzüglich informieren muss. Artikel 23 Absatz 9 verlangt von den zentralen Anlaufstellen, der ENISA alle drei Monate anonymisierte aggregierte Berichte zu übermitteln, und die ENISA berichtet der Kooperationsgruppe und dem CSIRT-Netzwerk alle sechs Monate zurück. Die praktische Wirkung ist, dass eine in mehreren Mitgliedstaaten tätige Einrichtung nicht erwarten kann, einen Vorfall auf die Aufsichtsbehörde einer Rechtsordnung beschränkt zu halten – die Architektur ist darauf ausgelegt, Informationen unionsweit zu teilen.

Für die regulierte Einrichtung folgen daraus zwei operative Konsequenzen. Erstens müssen die Beweise, die die ursprüngliche Meldung stützen, über Rechtsordnungen hinweg portabel sein. Ein CSIRT eines Mitgliedstaats kann zusätzliche Informationen anfordern, weitere CSIRTs von Mitgliedstaaten können parallele Anfragen stellen, und die ENISA kann um Beiträge für ihre zusammenfassenden Berichte bitten. Ein Beweispaket, das eine Aufsichtsbehörde zufriedenstellt, muss alle zufriedenstellen, was bedeutet, dass es in sich geschlossen, unabhängig überprüfbar und nicht von der fortgesetzten Verfügbarkeit oder Bereitschaft der Einrichtung abhängig sein muss, ergänzende Informationen zu erstellen. Zweitens muss die Einrichtung verstehen, welches nationale CSIRT die geeignete erste Anlaufstelle ist – im Allgemeinen das CSIRT des Mitgliedstaats der Hauptniederlassung der Einrichtung in der Union, jedoch mit sektorspezifischen Abweichungen.

Die grenzüberschreitende Koordination reicht auch über die eigene Architektur der NIS2 hinaus. CSIRTs sind verpflichtet, für als kritische Einrichtungen identifizierte Einrichtungen Informationen mit den zuständigen Behörden nach der CER-Richtlinie ((EU) 2022/2557) zu teilen, und die Beziehung zwischen NIS2 und der DSGVO (Verordnung (EU) 2016/679) bedeutet, dass Meldungen von Verletzungen des Schutzes personenbezogener Daten nach Artikel 33 DSGVO auf einem parallelen Gleis laufen können. Mit überprüfbarer Integrität gesicherte Beweise erfüllen all dies gleichzeitig; aus dem Gedächtnis rekonstruierte Beweise erfüllen keines davon.

Umsetzungsstand in den 27 Mitgliedstaaten (Mai 2026)

Achtzehn Monate nach der formellen Umsetzungsfrist vom 17. Oktober 2024 hat sich das Bild in der Union erheblich geklärt. Laut dem Umsetzungs-Tracker der European Cyber Security Organisation (ECSO) haben mit Stand März 2026 einundzwanzig der siebenundzwanzig Mitgliedstaaten die Umsetzung abgeschlossen. Die übrigen – Frankreich, Irland, Luxemburg, Polen, Spanien und Bulgarien – befinden sich in verschiedenen fortgeschrittenen Stadien des Gesetzgebungsverfahrens, wobei die Annahme im Laufe des Jahres 2026 erwartet wird.

Unter den jüngsten Abschlüssen verdienen mehrere besondere Aufmerksamkeit für Organisationen, die über mehrere Rechtsordnungen hinweg tätig sind. Deutschlands NIS2-Umsetzungsgesetz wurde im Dezember 2025 abgeschlossen und wird über das BSI als zuständige Behörde angewandt. Schwedens Cybersicherheitsgesetz und die begleitende Verordnung traten am 1. Januar 2026 in Kraft. Das tschechische Zákon o kybernetické bezpečnosti gilt seit dem 1. November 2025, beaufsichtigt vom NÚKIB. Österreichs NISG-2026-Gesetz tritt am 1. Oktober 2026 in Kraft, obwohl die Umsetzung bereits formell abgeschlossen ist. Portugals endgültiger Entwurf tritt im April 2026 in Kraft.

Am 7. Mai 2025 richtete die Europäische Kommission mit Gründen versehene Stellungnahmen an neunzehn Mitgliedstaaten und warnte sie förmlich, dass die Verweisung an den Gerichtshof der nächste Schritt sei. Bis Mai 2026 haben die meisten dieser neunzehn Staaten entweder umgesetzt oder stehen kurz davor, doch für die verbleibenden Nachzügler hat sich der rechtliche Druck verschärft. Die Änderungen der Kommission an der NIS2 selbst vom Januar 2026 – die eine Vereinfachung der Compliance-Formulierungen für rund 28.700 Einrichtungen, darunter 6.200 Kleinst- und Kleinunternehmen, vorschlagen – begleiten die Durchsetzungsanstrengung, statt sie zu verdrängen. Die Änderungen machen die Compliance erreichbarer; sie verzögern sie nicht.

Für Einrichtungen mit mehreren Rechtsordnungen bedeutet die praktische Konsequenz, dass umgesetzte Mitgliedstaaten vollständig auf Grundlage ihrer nationalen NIS2-Gesetze arbeiten, während noch nicht umgesetzte Mitgliedstaaten in bestimmter Hinsicht der unmittelbaren Wirkung der Richtlinie und dem anhängigen Verfahren der Kommission nach Artikel 258 AEUV unterliegen. Eine Einrichtung, die gleichzeitig in beiden Gruppen tätig ist, benötigt eine Vorfallreaktionshaltung, die der strengsten anwendbaren Umsetzung genügt und zugleich an jede in den übrigen Rechtsordnungen entstehende Umsetzung anpassbar ist. Die Grundannahme sollte sein, dass alle 27 Mitgliedstaaten spätestens bis Ende 2026 vollständig einsatzbereit sein werden.

Es ist auch erwähnenswert, dass mehrere Mitgliedstaaten die nationale Umsetzung genutzt haben, um NIS2 über ihren Mindestanwendungsbereich hinaus zu erweitern. Italien und Slowenien haben Sektoren hinzugefügt. Belgien hat verschärfte Governance- und Aufsichtspflichten hinzugefügt. Frankreichs anhängiger Gesetzentwurf enthält sektorspezifische Ereignisauslöser für Energie und Bankwesen mit kürzeren Meldefristen als der 24-Stunden-Grundlinie. Einrichtungen mit mehreren Rechtsordnungen sollten nicht davon ausgehen, dass der Text der Richtlinie allein ausreichende Orientierung bietet – die nationale Umsetzung ist das maßgebliche Dokument, und die Unterschiede zwischen Mitgliedstaaten können material sein.

Sanktionen und persönliche Haftung des Managements

Die finanziellen Sanktionen nach NIS2 sind so kalibriert, dass sie auf Vorstandsebene folgenreich sind und nicht als Geschäftskosten absorbiert werden können. Für wesentliche Einrichtungen legt Artikel 34 die maximale Geldbuße auf 10 Mio. EUR oder 2 % des gesamten weltweiten Jahresumsatzes der Einrichtung im vorangegangenen Geschäftsjahr fest, je nachdem, welcher Betrag höher ist. Für wichtige Einrichtungen liegt die Obergrenze bei 7 Mio. EUR oder 1,4 % des weltweiten Umsatzes, je nachdem, welcher Betrag höher ist. Die Mitgliedstaaten können – und mehrere haben es getan – zusätzlich zu diesen EU-Mindestwerten nationale Sanktionen hinzufügen.

Diese Zahlen stehen neben anderen Regulierungsregimen, die auf denselben Vorfall Anwendung finden können. Die Sanktionen der zweiten Stufe der DSGVO erreichen 20 Mio. EUR oder 4 % des weltweiten Umsatzes. DORA, anwendbar auf Finanzunternehmen, umfasst Zwangsgelder von bis zu 1 % des durchschnittlichen weltweiten Tagesumsatzes der Einrichtung. Ein einzelner Ransomware-Vorfall, der eine wesentliche Einrichtung betrifft, die personenbezogene Daten verarbeitet, könnte plausibel Sanktionen nach NIS2, DSGVO und (für Einrichtungen des Finanzsektors) DORA gleichzeitig auslösen – wobei jeder Regulierer seine eigene Komponente unabhängig bewertet.

Auffälliger als die finanziellen Sanktionen ist das persönliche Haftungsregime nach Artikel 20. Mitglieder der Leitungsorgane wesentlicher und wichtiger Einrichtungen sind verpflichtet, die zur Erfüllung von Artikel 21 ergriffenen Cybersicherheits-Risikomanagementmaßnahmen zu billigen, ihre Umsetzung zu überwachen und eine spezifische Schulung zur Cybersicherheit zu absolvieren. Wenn Leitungsorgane bei diesen Pflichten versagen – insbesondere durch grobe Fahrlässigkeit –, sind die Mitgliedstaaten verpflichtet, die Möglichkeit vorzusehen, einzelne Leitungsmitglieder haftbar zu machen. Mehrere nationale Umsetzungen haben dies als Geldbußen gegen einzelne Führungskräfte umgesetzt; andere haben vorübergehende Verbote von Leitungsfunktionen umgesetzt.

Reputationsfolgen reichen über förmliche Sanktionen hinaus. Der Mechanismus der mit Gründen versehenen Stellungnahme, die vierteljährliche aggregierte Berichterstattung der EU an die ENISA und die Bestimmungen zur Benachrichtigung im öffentlichen Interesse nach Artikel 23 Absatz 7 bedeuten, dass schwerwiegende Vorfälle – insbesondere schlecht gehandhabte – zu Angelegenheiten des öffentlichen Protokolls werden. Die Cyberversicherungsmärkte haben reagiert, indem sie die Zeichnungsbedingungen für NIS2-regulierte Einrichtungen verschärft haben: Versicherer verlangen zunehmend eine dokumentierte Vorfallreaktionsfähigkeit, einschließlich forensischer Beweissicherung, als Voraussetzung für die Deckung.

Die kombinierte Wirkung ist, dass NIS2 die Cybersicherheit von der technischen Funktion zur Governance-Funktion verschoben hat. Das Leitungsorgan ist nun aus demselben Grund verantwortlich, aus dem es für die Finanzberichterstattung verantwortlich ist: Regulierer haben es so bestimmt. Und wie bei der Finanzberichterstattung ist der Beweismaßstab dokumentarisch. Mündliche Zusicherungen des CISO sind nicht der Maßstab; dokumentierte, datierte, integritätsgesicherte Beweise sind es.

NIS2, DORA, CER und DSGVO: überlappende Pflichten

NIS2 wirkt nicht isoliert. Sie steht innerhalb eines Regulierungsclusters – DORA, die CER-Richtlinie, DSGVO, der kommende Cyber Resilience Act –, von denen jedes überlappende Sachverhalte aus einem anderen Blickwinkel behandelt. Bei einem einzigen schwerwiegenden Vorfall kann eine Einrichtung gleichzeitig Pflichten nach zwei, drei oder sogar vier dieser Rahmen ausgesetzt sein. Zu verstehen, wie sie ineinandergreifen, ist entscheidend, um sowohl Lücken als auch doppelten Aufwand zu vermeiden.

DORA – Finanzdienstleistungen, lex specialis

Der Digital Operational Resilience Act (Verordnung (EU) 2022/2554) trat am 17. Januar 2025 in Anwendung und gilt für Finanzunternehmen einschließlich Banken, Wertpapierfirmen, Versicherer, Anbieter von Krypto-Dienstleistungen und ein breites Spektrum von IKT-Drittdienstleistern, die den Finanzsektor bedienen. DORA fungiert für die erfassten Finanzunternehmen als lex specialis zu NIS2, das heißt, wo DORA spezifischere Pflichten auferlegt, hat sie Vorrang. Die IKT-Vorfallmeldung nach DORA-Artikel 19 hat eigene Fristen und Schwellendefinitionen, die denen der NIS2 ähnlich, aber nicht identisch sind.

CER-Richtlinie – physische Resilienz kritischer Einrichtungen

Die Richtlinie über die Resilienz kritischer Einrichtungen (Richtlinie (EU) 2022/2557) ist das physische Pendant zur NIS2 – sie befasst sich mit der Resilienz kritischer Einrichtungen gegen alle Gefahren, nicht nur gegen Cyber. Die Mitgliedstaaten identifizieren kritische Einrichtungen in elf Sektoren, die sich weitgehend mit Anhang I der NIS2 überschneiden. Eine Einrichtung kann sowohl der NIS2 (Cybersicherheit) als auch der CER (physische und operative Resilienz) unterliegen, und die beiden Regulierungsregime teilen Informationen auf Ebene der zuständigen Behörden. Artikel 23 Absatz 10 NIS2 sieht vor, dass CSIRTs die zuständigen CER-Behörden über schwerwiegende Vorfälle informieren müssen, die als CER-kritisch identifizierte Einrichtungen betreffen.

DSGVO Artikel 33 – Verletzung des Schutzes personenbezogener Daten

Wenn ein NIS2-schwerwiegender Vorfall eine Verletzung des Schutzes personenbezogener Daten umfasst, läuft die Meldung nach Artikel 33 DSGVO – an die Datenschutzbehörde innerhalb von 72 Stunden nach Kenntniserlangung – parallel. Die Fristen sind ähnlich, doch die Auslöser sind verschieden: NIS2 löst bei erheblicher betrieblicher Auswirkung aus; die DSGVO löst bei Risiko für die Rechte und Freiheiten betroffener Personen aus. Eine Einrichtung muss möglicherweise beide einreichen, und die beide stützenden Beweise müssen in einer Form bewahrbar sein, die den strengsten anwendbaren Anforderungen genügt. Einige Mitgliedstaaten haben zentrale Anlaufstellen für beide Meldungen eingerichtet; dies ändert nichts an den materiellen Pflichten.

Cyber Resilience Act – Produkte mit digitalen Elementen

Der Cyber Resilience Act (Verordnung (EU) 2024/2847) trat am 10. Dezember 2024 in Kraft und gilt vollständig ab dem 11. Dezember 2027. Der CRA befasst sich mit der Cybersicherheit von Produkten mit digitalen Elementen – Hardware und Software, die auf dem EU-Markt in Verkehr gebracht werden – und umfasst Herstellerpflichten zur Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Vorfälle, die die Sicherheit ihrer Produkte betreffen. Hersteller erfasster Produkte, die zugleich NIS2-regulierte Einrichtungen sind, werden die CRA- und NIS2-Vorfallmeldung auf parallelen Gleisen steuern müssen, sobald der CRA vollständig anwendbar wird.

Prüfpfade aufbauen, die Ihre Aufsichtsbehörde akzeptiert

Eine Vorfallmeldung ist ein Dokument in einem viel größeren Beweiskorpus, den eine Aufsichtsbehörde bei NIS2-Kontrollen prüfen kann. Wesentliche Einrichtungen nach Artikel 32 unterliegen proaktiven Kontrollen – vor Ort und aus der Ferne –, und die Behörden sind ausdrücklich befugt, Sicherheitsaudits, Schwachstellenscans sowie Zugang zu relevanten Daten und Unterlagen zu verlangen. Wichtige Einrichtungen nach Artikel 33 unterliegen Kontrollen, die durch Anzeichen einer Nichteinhaltung ausgelöst werden, doch sobald sie ausgelöst sind, ist der Umfang ähnlich weit. Die Qualität des Prüfpfads einer Einrichtung bestimmt, wie diese Kontrollen ausgehen.

Behörden stellen typischerweise drei Kategorien von Fragen. Erstens Governance: Hat das Leitungsorgan die Artikel-21-Maßnahmen gebilligt, hat es die Umsetzung überwacht, hat es die erforderliche Schulung absolviert, sind die Sitzungsprotokolle dokumentiert und datiert? Zweitens Technik: Wurden die zehn Artikel-21-Risikomanagementmaßnahmen angemessen und verhältnismäßig umgesetzt, gibt es dokumentierte Kontrollen, wurden sie getestet, existieren Protokolle? Drittens vorfallspezifisch: Wurde für jeden schwerwiegenden Vorfall die 24-Stunden-Frühwarnung gesendet, die 72-Stunden-Meldung übermittelt, der Abschlussbericht nach einem Monat eingereicht, und kann die Einrichtung die jeder Stufe zugrunde liegenden Beweise erstellen?

Der wiederkehrende Versagensmodus bei NIS2-Kontrollen ist nicht das Fehlen von Dokumentation – die meisten regulierten Einrichtungen erstellen umfangreiche Richtlinien und Verfahren. Das Versagen ist das Fehlen integritätssichernder Beweise für ergriffene Handlungen. Willkürlich datierte Richtliniendokumente, abrufbare, aber trivial veränderbare Protokolldateien, eingereichte Vorfallberichte, deren zugrunde liegende Erfassungsartefakte längst überschrieben sind – dies sind die Muster, die die Aufmerksamkeit der Durchsetzung auf sich ziehen. Die Abhilfe ist nicht mehr Dokumentation, sondern Dokumentation, deren Integrität unabhängig überprüfbar ist.

Die unabhängige Überprüfbarkeit ist der höchste Maßstab. Sie bedeutet, dass jeder Dritte – eine Aufsichtsbehörde, ein gerichtlich bestellter Sachverständiger, ein Cyberversicherer, die Gegenseite in einem Rechtsstreit – die Integrität der Beweise der Einrichtung allein anhand der Beweise selbst und öffentlich verfügbarer Prüfwerkzeuge überprüfen kann. Dies ist das Gestaltungsprinzip hinter dem Beweis-ZIP-Format von GetProofAnchor und dem MIT-lizenzierten Kommandozeilenwerkzeug gpa-verify, das auf PyPI veröffentlicht ist: Die regulierte Einrichtung übergibt das ZIP, und der Empfänger kann es offline in seiner eigenen isolierten Python-Umgebung verifizieren, ohne jede Abhängigkeit von der Einrichtung oder von GetProofAnchor. Ob eine Einrichtung dieses konkrete Werkzeug einsetzt oder nicht, das zugrunde liegende Prinzip sollte lauten: Gestalten Sie Ihre Beweispipeline so, dass der Prüfer dem Erzeuger nicht vertrauen muss.

Die langfristige Aufbewahrung ist die Folgerung. NIS2 schreibt keine bestimmte Aufbewahrungsfrist vor, doch die technische Leitlinie der ENISA und mehrere nationale Umsetzungen deuten darauf hin, dass zwölf Monate eine sinnvolle Grundlinie für routinemäßige Protokolle sind, mit sektorspezifischen Verlängerungen für höherriskante Beweiskategorien. Für forensische Erfassungen vorfallbezogener Web-Beweise sollte sich die Aufbewahrung auf die Verjährungsfrist für alle vernünftigerweise zu erwartenden nachgelagerten Verfahren erstrecken – verwaltungsrechtlich, zivilrechtlich oder strafrechtlich –, die sieben Jahre oder mehr betragen kann.

Checkliste für NIS2-Vorfallbeweise (15 Punkte)

Die folgende Checkliste fasst die praktischen Erkenntnisse aus diesem Leitfaden zusammen. Sie ist kein Ersatz für Rechtsberatung oder für die spezifische Anleitung Ihrer nationalen zuständigen Behörde, erfasst aber die operativen Prioritäten, die gut vorbereitete NIS2-Einrichtungen von jenen unterscheiden, die nur auf dem Papier existieren.

• Bestimmen Sie Ihre NIS2-Einstufung (wesentlich, wichtig oder außerhalb des Anwendungsbereichs) nach der Umsetzung Ihres Mitgliedstaats und dokumentieren Sie die Feststellung mit stützender Begründung.
• Identifizieren Sie Ihr nationales CSIRT und Ihre zuständige Behörde, richten Sie vorfallvorab Kommunikationskanäle ein und beschaffen Sie Vorlagen für die 24-Stunden-Frühwarnung, die 72-Stunden-Meldung und den Abschlussbericht nach einem Monat.
• Definieren Sie interne Klassifizierungskriterien für einen schwerwiegenden Vorfall im Einklang mit Artikel 23 Absatz 3 und, soweit anwendbar, den Schwellen der Durchführungsverordnung 2024/2690 der Kommission – und überprüfen Sie sie mindestens jährlich.
• Stellen Sie eine 24/7-Erkennungsfähigkeit sicher, damit die 24-Stunden-Uhr im Moment der Kenntniserlangung starten kann, unabhängig von Geschäftszeiten oder Wochenenden.
• Benennen Sie einen primären Vorfallmeldebeauftragten und mindestens einen Stellvertreter mit voller Befugnis zur Einreichung von Meldungen, um Einzelfehlerstellen in der Meldekette auszuschließen.
• Setzen Sie eine manipulationssichere Protokollierung mit dokumentierten Integritätsprimitiven (Hash-Ketten, qualifizierte Zeitstempel oder Gleichwertiges) und einer Aufbewahrung von mindestens 12 Monaten als Grundlinie um.
• Richten Sie für jedes web-seitige Vorfallartefakt – Phishing-Seiten, verunstaltete Seiten, Leak-Sites, gefälschte Login-Oberflächen – ein forensisches Erfassungsverfahren ein, das im Moment der Erkennung eIDAS-qualifiziert-zeitgestempelte Beweise erzeugt.
• Binden Sie Erfassungsartefakte durch kryptografische Manifeste zusammen (SHA-256 über alle Dateien) und übermitteln Sie den Manifest-Hash an einen qualifizierten eIDAS-Vertrauensdiensteanbieter für einen qualifizierten elektronischen Zeitstempel nach Artikel 42 der Verordnung (EU) 910/2014.
• Verankern Sie Beweispakete unabhängig – zum Beispiel über die Bitcoin-Blockchain via OpenTimestamps –, sodass die Integrität ohne Rückgriff auf die Einrichtung oder einen einzelnen Vertrauensdiensteanbieter überprüft werden kann.
• Dokumentieren Sie die Beweiskette im Einklang mit den Phasen von ISO/IEC 27037:2012 (Identifizierung, Sammlung, Erfassung, Aufbewahrung), wobei Rollen, Zeitstempel und Handlungen für jeden Schritt festgehalten werden.
• Schulen Sie das Leitungsorgan zu den Pflichten aus Artikel 20 NIS2, einschließlich der Billigung der Artikel-21-Maßnahmen und der Aufsicht über die Umsetzung; dokumentieren Sie die Schulung mit datierten Anwesenheitsnachweisen.
• Bilden Sie die Überschneidung zwischen NIS2 und anderen anwendbaren Vorschriften (DSGVO, DORA, CER-Richtlinie, sektorspezifische Rahmen) ab, um sowohl Lücken als auch doppelte Meldungen zu vermeiden, und dokumentieren Sie die Zuordnung.
• Richten Sie Beweisverfahren für die Lieferkette ein, sodass Vorfälle, die Drittanbieterdienste betreffen, gegen den Zustand des Dritten im Moment der Kenntniserlangung erfasst werden können, bevor der Dritte behebt.
• Führen Sie mindestens eine Tabletop-Übung pro Jahr durch, die den vollständigen Zeitverlauf nach Artikel 23 simuliert, einschließlich Beweiserfassung, interner Eskalation, CSIRT-Meldung und Kommunikation mit den Dienstempfängern.
• Machen Sie alle Beweispakete durch Dritte – Aufsichtsbehörden, Gerichte, Versicherer, Rechtsbeistände – unabhängig überprüfbar, unter Verwendung quelloffener Werkzeuge und ohne Abhängigkeit von der Infrastruktur der erzeugenden Einrichtung.

Häufig gestellte Fragen und Fazit

Die folgenden Antworten behandeln die Fragen, die am häufigsten auftreten, wenn Organisationen beginnen, ihre NIS2-Pflichten zur Beweisbehandlung operativ umzusetzen. Sie sind als praktische Orientierung gedacht, nicht als Rechtsberatung für eine konkrete Situation.

Die NIS2-Durchsetzung im Jahr 2026 ist nicht hypothetisch. Die Schonfrist ist vorbei, die Umsetzung ist weitgehend abgeschlossen, und die Aufsichtsbehörden in der gesamten Union bewegen sich von der Phase des Rahmenaufbaus in die Phase der Rahmenanwendung. Für regulierte Einrichtungen ist der praktische Test nicht länger, ob Richtliniendokumente existieren – fast jeder hat diese –, sondern ob Beweise unter der Artikel-23-Uhr erstellt und durch unabhängige Dritte überprüft werden können.

Die Fähigkeiten, die gut vorbereitete NIS2-Einrichtungen auszeichnen, sind nicht exotisch. Es sind Erkennung, Klassifizierung, forensische Sicherung von Vorfallartefakten, dokumentierte Beweiskette, integritätssichernde Protokollaufbewahrung und eine auf Vorstandsebene angesiedelte Governance-Haltung, die einem Aufseher gegenüber nachweisbar ist. Jede davon ist mit vorhandenen Werkzeugen und vorhandenen Standards erreichbar. Der entscheidende Faktor ist, ob sie vor dem Vorfall vorhanden sind – denn sobald die 24-Stunden-Uhr startet, ist die Zeit für den Fähigkeitsaufbau vorbei.

GetProofAnchor existiert, um die forensische Sicherungskomponente dieses Stapels – konkret die web-seitigen Artefakte, die in den Momenten nach der Erkennung am schnellsten verschwinden – unkompliziert, verteidigungsfähig und unabhängig überprüfbar zu machen. Wenn Ihre Organisation ihre NIS2-Beweisbehandlungsfähigkeit aufbaut und sehen möchte, wie sich die qualifiziert-zeitgestempelte forensische Web-Erfassung in Ihre Vorfallreaktionsverfahren einfügt, ist der direkteste Weg, einen Beispiel-Nachweis von einer beliebigen öffentlichen URL zu erstellen und das Beweis-ZIP zu prüfen. Die Verifikation ist quelloffen und läuft auf jedem Laptop. Der Standard ist reproduzierbar, weil er es sein muss.