NIS2
Alle 18 isidaten-Artikel zum Thema NIS2, die neuesten zuerst.
Die erste Post vom BSI ist eine Anhörung
Das BSI hat angekündigt, noch im vierten Quartal 2026 mit der Durchsetzung von NIS2 zu beginnen. Zuerst trifft es Einrichtungen, die sich offensichtlich hätten registrieren müssen, und zuerst kommt eine Anhörung, kein Bußgeld. Was das BSIG dafür vorsieht, was ab 2027 folgt und was im Haus vorbereitet sein sollte, bevor der Brief kommt.
Weiterlesen
Eine Befundliste ist noch keine Priorität
Der Scanner meldet viertausend Schwachstellen, der Pentest vierzig Feststellungen, die Angriffsflächenanalyse ein Dutzend offene Dienste. Jede Liste stimmt, zusammen sind sie nicht abzuarbeiten. Das BSIG verlangt kein Abarbeiten, sondern ein Management von Schwachstellen und eine Bewertung der Wirksamkeit. Warum eine Sortierung nach CVSS dafür nicht reicht und was Continuous Threat Exposure Management anders macht.
Weiterlesen
Ein PUE aus dem Datenblatt ist keine Messung
Maschinenraum, Folge 1: Ab dem 1. Juli 2027 gilt für bestehende Rechenzentren ein gesetzlicher PUE-Grenzwert, im Jahresdurchschnitt. Viele haben einen PUE, aber oft aus dem Datenblatt, aus Nennleistungen oder von einem kühlen Tag im Februar. Was das Energieeffizienzgesetz unter der Kennzahl versteht, wo sie sich schönrechnen lässt, und warum die Novelle daran nichts ändert.
Weiterlesen
Die Praxis sieht man von außen
NIS2 verlangt, bei der Lieferkette die Cybersicherheitspraxis der Anbieter zu berücksichtigen. Ein Fragebogen liefert dafür eine Selbstauskunft. Ob ein Lieferant seine Mail-Domain absichert, Zertifikate erneuert oder Fernwartung offen ins Internet stellt, sieht man dagegen von außen, ohne zu fragen. Was eine Außennote belegt, was sie nicht belegt, und warum „nicht gemessen“ nie „sauber“ heißen darf.
Weiterlesen
Installiert ist nicht wirksam
Dass ein Endpunktschutz läuft, steht im Inventar. Ob er anschlägt, wenn auf einem Rechner tausend Dateien in einer Minute verschlüsselt werden, steht nirgends, bis es passiert. § 30 BSIG verlangt Verfahren zur Bewertung der Wirksamkeit. Wie man die prüft, ohne Schadsoftware ins Haus zu holen.
Weiterlesen
Hoch mal mittel ist keine Zahl
NIS2 verlangt Maßnahmen, die „unter Berücksichtigung der Kosten der Umsetzung“ dem Risiko angemessen sind. Eine Risikomatrix kann diese Rechnung nicht liefern, weil auf beiden Seiten keine Zahl steht. Was eine Dreipunktschätzung und 10.000 simulierte Jahre daraus machen, und warum der Seed wichtiger ist als die Kommastelle.
Weiterlesen
Ein Niveau, sieben Zahlen
„Welchen Security Level hat Ihre Produktion?“ Die ehrliche Antwort ist weder 2 noch 3. IEC 62443 kennt vier Stufen, sieben Grundanforderungen und drei Buchstaben, und erst zusammen ergeben sie eine Aussage. Was hinter dem Vektor steckt und warum die Steuerung bisher auf keiner Schwachstellenliste stand.
Weiterlesen
Ein Vorfall, zwei Uhren
Seit März hat ein Betreiber kritischer Anlagen zwei Aufsichtsakten: die für Cybersicherheit beim BSI und die für physischen Schutz beim BBK. Beide verlangen Meldungen binnen 24 Stunden. Danach zählen sie verschieden, und wer beide von einem Kalendereintrag aus führt, verpasst eine.
Weiterlesen
Was genau haben Sie gebilligt?
§ 38 BSIG nimmt die Geschäftsleitung persönlich in die Pflicht. Die Billigung der Maßnahmen wird meist als Beschluss protokolliert: Datum, Gegenstand, fertig. Zwei Jahre später ist genau das die Frage, die sich nicht mehr beantworten lässt.
Weiterlesen
Die Frist von heute steht nicht im Gesetz
Am 31. Juli endet die Nachfrist des BSI für die NIS2-Registrierung. Die gesetzliche Frist war der 6. März. Warum das ein Unterschied ist, den man kennen sollte, und warum die eigentlichen Pflichten ohnehin nie an der Registrierung hingen.
Weiterlesen
Im Vertrag steht es. Geprüft hat es niemand.
Reaktionszeit, Zertifikat, Meldepflicht bei Vorfällen, Löschung am Vertragsende: Sicherheitsanforderungen werden einmal verhandelt und danach nie wieder angefasst. Warum jede Anforderung eine Richtung und eine Nachweisart braucht, und warum erbracht kein Dauerzustand ist.
Weiterlesen
Wo der Vorfall zuerst ankommt
Der erste Hinweis auf einen Sicherheitsvorfall ist selten ein Alarm. Es ist ein Ticket: Der Rechner ist langsam, das Postfach gesperrt, eine Mail war komisch. Ob daraus rechtzeitig ein Vorfall wird, entscheidet sich am Service-Desk, lange bevor ein Sicherheitswerkzeug anschlägt. Warum Helpdesk und Sicherheitsprozess auf eine Plattform gehören.
Weiterlesen
Die IT-Doku endet am Rack. Der Strom nicht.
Serverräume sind oft bis zur letzten Höheneinheit dokumentiert. Aber die Unterverteilung im Flur, an der das ganze Rack hängt, lebt in einer anderen Welt: im Elektro-Ordner. In der NetBox-Community wird die Hutschiene seit 2018 angefragt, zuletzt als außerhalb des Kern-Scope eingestuft. isidaten holt den Verteilerschrank jetzt ins Modell.
Weiterlesen
Registriert ist nicht umgesetzt
Zum 31. Juli zieht das BSI die letzte NIS2-Registrierungsfrist. Rund 29.500 Unternehmen sind betroffen, gut die Hälfte hat sich eingetragen, aber nur etwa ein Drittel hat die Richtlinie tatsächlich umgesetzt. Warum die Frist der Anmeldung gilt, nicht der Sicherheit, und was nach dem 31. Juli wirklich zählt.
Weiterlesen
Rechenzentrums-Doku, die nicht lügt: Warum statische Pläne scheitern
Jedes Rechenzentrum hat einen schönen Plan, der am Tag der Zeichnung stimmte und seitdem altert. Sobald jemand einen Server tauscht, neu patcht oder ein Gerät ausfällt, lügt die Doku. Warum statische Pläne systematisch scheitern, was lebende Dokumentation ändert, und warum das RZ-Inventar zugleich Compliance-Substanz ist.
Weiterlesen
Lieferketten-Risiko: Verantwortung endet nicht an der eigenen Firewall
Das eigene Sicherheitsniveau ist nur so hoch wie das der Dienstleister. Trotzdem behandeln viele Organisationen die Lieferantenprüfung als einmaligen Fragebogen, der ausgefüllt und vergessen wird. NIS2 macht daraus eine laufende Pflicht. isidaten führt Lieferanten, Verträge und Auftragsverarbeiter als nachverfolgbare Objekte statt als Excel-Silo.
Weiterlesen
Attack Surface Management: Was man nicht sieht, kann man nicht schützen
Der Weg in ein Netzwerk ist selten der spektakuläre Zero-Day. Häufiger ist es das vergessene Asset, das niemand mehr auf dem Schirm hatte. isidaten macht die Angriffsfläche von außen wie von innen kontinuierlich sichtbar und gleicht sie automatisch gegen aktuelle Hersteller-Warnungen ab.
Weiterlesen
NIS2: Der erste Audit-Nachweis ist fällig, und warum er kein Stichtag sein sollte
Zum 30. Juni 2026 wird für viele betroffene Einrichtungen der erste NIS2-Nachweis fällig. Wer Belege erst zum Stichtag zusammensucht, hat das eigentliche Problem nicht gelöst. Warum Nachweis ein Zustand sein sollte, kein Kraftakt.
Weiterlesen