Einhaltung der Cybersicherheitsrichtlinie NIS 2
BlueCat-Lösungen: Unified DDI, schützende DNS-Lösungen sowie Netzwerküberwachung und -zustandsüberwachung
Die wichtigsten ErkenntnisseDiese Kernaussage wurde dadurch generiert, dass große Sprachmodelle die Seite durchsuchten und einen Überblick über den Inhalt erstellten.Der Artikel erklärt, wie die EU-NIS‑2‑Richtlinie höhere Anforderungen an Cyberrisikomanagement, Governance, Vorfallmeldung und Geschäftskontinuität stellt und welche operativen Auswirkungen dies auf mittlere und große Organisationen sowie bestimmte kleinere, kritische Anbieter hat. Er beschreibt DNS als zentrales Element für Netzstabilität und zeigt, dass ein konsolidierter, automatisierter DDI‑Ansatz kombiniert mit schützenden DNS‑Lösungen sowie Netzwerküberwachung viele NIS‑2‑Anforderungen abdeckt. Abschließend werden drei BlueCat-Produkte — Integrity, Edge und Infrastructure Assurance — sowie ihre konkreten Funktionen und Zuordnungen zu NIS‑2-Artikeln dargestellt, die Unternehmen bei Risikomanagement, Incident‑Handling, Betriebssicherheit und Berichtspflichten unterstützen können.
Für welche Organisationen gilt die NIS‑2‑Richtlinie zwingend und wie unterscheidet sie zwischen "wesentlichen" und "wichtigen" Einrichtungen?
NIS‑2 gilt primär für mittelgroße und große öffentliche und private Einrichtungen in kritischen Sektoren; sie teilt betroffene Einrichtungen in "wesentliche" und "wichtige" ein. Wesentliche Einrichtungen sind typischerweise große Organisationen (etwa ≥250 Mitarbeiter und ≥€50 Mio. Jahresumsatz oder ≥€43 Mio. Bilanzsumme) in Sektoren mit hoher Kritikalität wie Energie, Transport, Bankwesen, Trinkwasser, digitale Infrastruktur und ICT‑Service‑Management. Wichtige Einrichtungen sind mindestens mittelgroße Organisationen (etwa ≥50 Mitarbeiter und ≥€10 Mio. Umsatz oder Bilanzsumme) in weiteren kritischen Sektoren wie Fertigung, Lebensmittel, Forschung und digitalen Anbietern. Bestimmte Dienste (z. B. DNS‑Dienstanbieter, Registrierungsstellen für TLDs, Anbieter öffentlicher elektronischer Kommunikationsnetze) unterliegen unabhängig von der Größe zwingend der NIS‑2-Anwendbarkeit.
Welche Rolle spielt DNS nach NIS‑2 und welche technischen Maßnahmen empfiehlt der Artikel zur Erfüllung der Richtlinie?
NIS‑2 betont, dass ein zuverlässiges, widerstandsfähiges und sicheres DNS für die Integrität des Internets und den stabilen Betrieb digitaler Dienste entscheidend ist. Da DNS jedoch selbst als Angriffsvektor genutzt werden kann, empfiehlt der Artikel einen konsolidierten, automatisierten DDI‑Ansatz (DNS, DHCP, IPAM) kombiniert mit schützenden DNS‑Lösungen (Protective DNS, DNS‑Filtering, Threat‑Feeds) und Tools zur Netzwerküberwachung und Zustandsüberwachung. Diese Maßnahmen verbessern Transparenz, automatisieren fehleranfällige Prozesse, ermöglichen Bedrohungserkennung und -abwehr, unterstützen Incident‑Forensik und liefern Protokollierung und Reporting, die für NIS‑2‑Meldungen und Audits erforderlich sind.
Wie unterstützen die BlueCat‑Produkte Integrity, Edge und Infrastructure Assurance spezifische NIS‑2‑Anforderungen in der Praxis?
Integrity liefert eine zentralisierte DDI‑Plattform (Address Manager, BDDS) mit RESTful‑APIs, Cloud Discovery & Visibility und konsistentem IP‑Adressmanagement, was Transparenz, automatisierte Asset‑Erfassung, Forward/Reverse‑Auflösung und Audit‑Logs bereitstellt — relevant für IP‑Meldungen, Risikomanagement, Business‑Continuity und Incident‑Forensik. Edge ist eine cloudverwaltete, randnahe Lösung für intelligente Weiterleitung, schützendes DNS, Threat‑Feeds, DNS‑Firewalling und Cloud Resolver‑Funktionen, die Bedrohungen blockiert, Richtlinien durchsetzt und DNS‑Forensik ermöglicht. Infrastructure Assurance bietet proaktive Überwachung, Auto‑Triage, Root‑Cause‑Analyse, Health‑Checks, automatisierte Backups und empfohlene Korrekturmaßnahmen zur schnellen Fehlerbehebung, Redundanzprüfung und Nachweisdokumentation — damit unterstützen die drei Produkte gemeinsame NIS‑2‑Anforderungen zu Risikomanagement, Incident‑Handling, Betriebssicherheit und Berichtspflichten.
Zusammenfassung
So wie sich Cybersicherheitsbedrohungen und -risiken weiterentwickeln, so verändert sich auch das regulatorische Umfeld. Die zweite Fassung der Richtlinie der Europäischen Union über Netz- und Informationssicherheit, bekannt als NIS 2, ist ein aktualisierter Rechtsrahmen für Cybersicherheit, der im Oktober 2024 in das Recht der Mitgliedstaaten umgesetzt werden soll.
Die NIS-2-Verordnung wurde entwickelt, um den eskalierenden Herausforderungen im Bereich der Cybersicherheit und den Schwachstellen entgegenzuwirken, mit denen die Mitgliedstaaten konfrontiert sind, und wird Auswirkungen auf viele Organisationen haben. Die NIS-2-Richtlinie legt die Anforderungen an mittlere bis große öffentliche und private Einrichtungen fest, die kritische Infrastrukturen oder Dienste bereitstellen, die für die Wirtschaft und Gesellschaft der Europäischen Union von entscheidender Bedeutung sind. Die betroffenen Einrichtungen werden in zwei Kategorien unterteilt: wesentliche und wichtige.
Im Vergleich zu ihrer Vorgängerin stellt die aktualisierte NIS-2-Richtlinie strengere Anforderungen an das Cybersicherheits-Risikomanagement und die Meldung von Vorfällen, erweitert den Geltungsbereich der betroffenen Einrichtungen und sieht strengere Strafen bei Nichteinhaltung vor.
Die NIS-2-Richtlinie zielt darauf ab, die Cybersicherheit durch Anforderungen in vier Schlüsselbereichen zu stärken: Risikomanagement, Unternehmensführung, Meldung von Vorfällen und Geschäftskontinuität. Zur Unterstützung dieser vier übergeordneten Bereiche legt die Richtlinie 10 grundlegende Sicherheitsmaßnahmen fest, die Unternehmen zur Risikosteuerung umsetzen müssen. Zu den Sanktionen bei Nichteinhaltung zählen nichtfinanzielle Abhilfemaßnahmen, Bußgelder und strafrechtliche Sanktionen für die Leitungsorgane.
Gemäß der NIS-2-Richtlinie ist die Aufrechterhaltung und Sicherung eines zuverlässigen, widerstandsfähigen und sicheren DNS entscheidend für die Wahrung der Integrität des Internets und unerlässlich für dessen kontinuierlichen und stabilen Betrieb. Doch da Netzwerke immer komplexer werden und sich in die Cloud ausweiten, wird es zu einer noch größeren Herausforderung, eine einzige verlässliche Informationsquelle für das DNS aufrechtzuerhalten.
Ein konsolidierter, automatisierter und optimierter Ansatz zur Verwaltung der zentralen Netzwerkdienste DNS, DHCP und IP-Adressverwaltung (zusammen als DDI bezeichnet), insbesondere in Kombination mit Schutzlösungen und Tools zur Netzwerküberwachung, bietet eine solide Lösung zur Erfüllung der Anforderungen der NIS-2-Richtlinie. Zusammen decken diese Lösungen viele Aspekte der Richtlinie ab, darunter Risikomanagement, Vorfallbearbeitung, Betriebssicherheit und Meldepflichten.
Drei Produkte von BlueCat – Integrity, Edge und Infrastructure Assurance – bieten zentrale Funktionen und Merkmale, die Unternehmen dabei unterstützen können, die Anforderungen der NIS-2-Richtlinie zu erfüllen. Eine Zuordnungstabelle enthält detaillierte Beschreibungen dazu, wie BlueCat-Produkte zur Erfüllung spezifischer Vorgaben in den Artikeln der NIS-2-Richtlinie beitragen können.
Mit Unterstützung der BlueCat-Lösungen für einheitliches DDI, schützendes DNS sowie Netzwerküberwachung und -zustand können Unternehmen die Anforderungen von NIS 2 leichter erfüllen.
Einführung in die NIS-2-Richtlinie
Die Richtlinie über Netz- und Informationssicherheit (NIS) war ein wegweisender Rechtsrahmen für Cybersicherheit, der 2016 in der Europäischen Union (EU) verabschiedet wurde.
Die EU hat kürzlich eine zweite Fassung, die Richtlinie (EU) 2022/2555, bekannt als NIS 2, eingeführt, um die eskalierenden Herausforderungen und Schwachstellen im Bereich der Cybersicherheit anzugehen, mit denen ihre Mitgliedstaaten konfrontiert sind, insbesondere im Zusammenhang mit kritischen Infrastrukturen und Diensten. Die NIS 2 trat im Januar 2023 in Kraft, und jeder Mitgliedstaat muss diese aktualisierte Richtlinie bis zum 17. Oktober 2024 in nationales Recht umsetzen.
Mit unserer zunehmenden Abhängigkeit von digitalen Systemen wachsen auch die damit verbundenen Risiken. Das Risiko der Ausnutzung durch böswillige Akteure und die potenziellen Auswirkungen von Cyberangriffen auf kritische Sektoren auf die Gesellschaft erfordern verstärkte Sicherheitsmaßnahmen. NIS 2 zielt darauf ab, alle Aspekte der Netzwerk- und Informationssicherheit zu stärken und eine bessere Grundlage dafür zu schaffen – von der koordinierten Reaktion auf Vorfälle und deren Meldung bis hin zur Stärkung der Cybersicherheitsmaßnahmen und -praktiken. Unsere zunehmende Vernetzung bedeutet auch, dass wir unseren kritischen Lieferketten vertrauen und uns auf sie verlassen können müssen, da sie Netzwerke auf organisatorischer, nationaler und regionaler Ebene bilden.
Gemäß der NIS-2-Richtlinie sind die Mitgliedstaaten verpflichtet, folgende Maßnahmen zu ergreifen oder zu verbessern:
- Nationale Rahmenwerke für Cybersicherheit
- Zuständige Behörden
- Rahmenwerke für das Krisenmanagement
- Teams zur Reaktion auf Computersicherheitsvorfälle
- Schwachstellendatenbanken
- Zusammenarbeit
- Risikobewertungen
- Berichterstattung
- Zertifizierungssysteme
Im Vergleich zu ihrer Vorgängerin enthält die aktualisierte NIS-2-Richtlinie strengere Anforderungen an das Cybersicherheits-Risikomanagement und die Meldung von Vorfällen, erweitert den Geltungsbereich der betroffenen Einrichtungen und sieht strengere Strafen bei Nichteinhaltung vor.
Gilt die NIS-2-Richtlinie für meine Organisation?
Ein Großteil der NIS-2-Richtlinie befasst sich mit den Verantwortlichkeiten und Anforderungen, die mittelgroßen bis großen öffentlichen und privaten Einrichtungen auferlegt werden, die kritische Infrastrukturen oder Dienste bereitstellen, die für die Wirtschaft und Gesellschaft der EU von entscheidender Bedeutung sind. NIS 2 erweitert die Liste der erfassten Sektoren gegenüber der ursprünglichen Richtlinie, in der nur sieben Sektoren aufgeführt waren, erheblich. In der NIS-2-Richtlinie werden die betroffenen Einrichtungen in zwei Kategorien unterteilt – „wesentliche“ und „wichtige“ –, die anhand ihrer Größe und Art definiert werden.
Wesentliche und wichtige Entitäten
Im Rahmen von NIS 2 gilt als „wesentliche Einrichtung“ eine große Organisation, die in einem Sektor mit hoher Kritikalität tätig ist (siehe die Liste der Sektoren mit hoher Kritikalität weiter unten). Auch wenn es je nach Sektor leichte Abweichungen geben kann, definiert die NIS-2-Richtlinie die Schwelle für eine große Organisation im Allgemeinen als eine Organisation mit mindestens 250 Mitarbeitern und einem Jahresumsatz von mindestens 50 Millionen Euro oder einer Jahresbilanzsumme von mindestens 43 Millionen Euro.
Zu den Sektoren mit hoher Kritikalität für wesentliche Einrichtungen gehören:
- Energie
- Transport
- Bankwesen und Finanzmarktinfrastruktur
- Zustand
- Trinkwasser und Abwasser
- Digitale Infrastruktur
- Service-Management im Bereich der Informations- und Kommunikationstechnologie (IKT) (Business-to-Business-Managed-Service-Provider und Managed-Security-Service-Provider)
- Öffentliche Verwaltung
- Leerzeichen
Unter digitaler Infrastruktur versteht man Dienste, die für den Netzwerkbetrieb von entscheidender Bedeutung sind. Dazu gehören Anbieter von Internet-Knotenpunkten, DNS-Dienstanbieter, Registrierungsstellen für Top-Level-Domains, Cloud-Computing-Dienste, Rechenzentrumsdienstleister, Content-Delivery-Netzwerke, Vertrauensdienste, öffentliche elektronische Kommunikationsnetze und öffentlich zugängliche elektronische Kommunikationsdienste.
Unterdessen gilt als wichtige Einrichtung eine Organisation, die mindestens mittelgroß ist und in anderen kritischen Sektoren tätig ist, die nicht unter die Kategorie „systemrelevant“ fallen. Auch hier kann die Definition je nach Sektor leicht variieren, doch gilt als Schwellenwert für eine mittelgroße Organisation eine Mitarbeiterzahl von mindestens 50 sowie ein Jahresumsatz von mindestens 10 Millionen Euro oder eine Bilanzsumme von 10 Millionen Euro.
Weitere kritische Sektoren für wichtige Einrichtungen sind:
- Post- und Kurierdienste
- Abfallwirtschaft
- Herstellung, Produktion und Vertrieb von Chemikalien
- Produktion, Verarbeitung und Vertrieb von Lebensmitteln
- Fertigung
- Digitale Anbieter (Suchmaschinen, Online-Marktplätze und soziale Netzwerke)
- Forschung
Es ist wichtig zu beachten, dass Organisationen in kritischen Sektoren, die die Mindestgrößenanforderungen der Kategorie „wesentlich“ nicht erfüllen, dennoch als „wichtige“ Einrichtungen gelten.
Wesentliche vs. wichtige Entitäten gemäß NIS 2
| Sector | Headcount | Annual turnover | oR | Balance sheet total | |
|---|---|---|---|---|---|
| Essential entity |
Essential entity
| 250 employees | €50 million | €43 million | |
| Important entity |
Important entity
Plus, all sectors that fall under essential but are within the size threshold for important entities. | 50 employees | €10 million | €10 million |
Verbindliche Anwendbarkeit unabhängig von der Unternehmensgröße
Die NIS 2 gilt für bestimmte Organisationen unabhängig von ihrer Größe zwingend. Dazu gehören:
- Anbieter öffentlicher elektronischer Kommunikationsnetze oder öffentlich zugänglicher elektronischer Kommunikationsdienste
- Vertrauenswürdige Dienstanbieter
- Registrierungsstellen für Top-Level-Domains und DNS-Dienstanbieter
Die Anwendbarkeit ist auch für kleinere Organisationen zwingend vorgeschrieben, beispielsweise wenn die Organisation der einzige Anbieter eines Dienstes in einem Mitgliedstaat ist, der für die Aufrechterhaltung kritischer gesellschaftlicher oder wirtschaftlicher Aktivitäten unerlässlich ist, oder wenn eine Störung der Dienste der Organisation ein systemisches Risiko hervorrufen oder erhebliche Auswirkungen auf die öffentliche Sicherheit oder Gesundheit haben würde. Mitgliedstaaten können ein Unternehmen auch aufgrund seiner besonderen Bedeutung auf nationaler oder regionaler Ebene als kritisch einstufen.
Feststellung der Zuständigkeit
Gemäß NIS 2 unterliegen wesentliche und wichtige Unternehmen der Zuständigkeit des Mitgliedstaats, in dem sie niedergelassen sind. Erbringen Unternehmen Dienstleistungen in mehr als einem Mitgliedstaat, unterliegen sie der getrennten und konkurrierenden Zuständigkeit jedes einzelnen Mitgliedstaats.
Die NIS-2-Richtlinie berücksichtigt jedoch auch den gewissermaßen grenzenlosen Charakter digitaler Einheiten. Öffentliche elektronische Kommunikationsnetze oder öffentlich zugängliche elektronische Kommunikationsdienste fallen unter die Zuständigkeit des Mitgliedstaats, in dem sie ihre Dienste erbringen.
Die folgenden Einrichtungen unterliegen der Zuständigkeit des EU-Mitgliedstaats, in dem sie ihren Hauptsitz haben. Die NIS-2-Richtlinie definiert einen Hauptsitz als den Ort, an dem Entscheidungen im Zusammenhang mit Maßnahmen zum Cybersicherheits-Risikomanagement überwiegend getroffen werden, an dem Cybersicherheitsmaßnahmen durchgeführt werden oder an dem die meisten in der EU ansässigen Mitarbeiter beschäftigt sind. Dies gilt für:
- DNS-Dienstanbieter
- Registrierungsstellen für Top-Level-Domains
- Anbieter von Domainnamen-Registrierungsdiensten
- Anbieter von Cloud-Computing-Diensten
- Rechenzentrumsdienstleister
- Content-Delivery-Netzwerke
- Managed-Service-Anbieter und Managed-Security-Service-Anbieter
- Online-Marktplätze
- Suchmaschinen
- Soziale Netzwerke
Anwendbarkeit auf Lieferketten
Die Lieferkette eines Unternehmens und seine Lieferanten, wie beispielsweise Anbieter von Datenspeicher- und -verarbeitungsdiensten, spielen eine wichtige Rolle für die Cybersicherheit. Immer wieder sind Unternehmen Opfer von Cyberangriffen geworden, bei denen böswillige Angreifer die Sicherheit des Netzwerks und der Informationssysteme eines Unternehmens kompromittierten, indem sie Schwachstellen ausnutzten, die Produkte und Dienste von Drittanbietern betrafen. Gemäß der NIS 2 müssen wesentliche und wichtige Unternehmen die Gesamtqualität und Widerstandsfähigkeit der von ihnen beschafften Produkte und Dienste, die darin integrierten Maßnahmen zum Cybersicherheits-Risikomanagement sowie die Cybersicherheitspraktiken ihrer Lieferanten und Dienstleister, einschließlich deren Verfahren zur sicheren Entwicklung, bewerten und berücksichtigen. Unternehmen werden dazu angehalten, Maßnahmen zum Cybersicherheits-Risikomanagement in ihre vertraglichen Vereinbarungen mit ihren direkten Lieferanten und Dienstleistern aufzunehmen.
Festlegung der unter den Geltungsbereich von NIS 2 fallenden Einrichtungen
Bis zum 17. April 2025 müssen die Mitgliedstaaten die wesentlichen und wichtigen Einrichtungen in ihrem Hoheitsgebiet identifizieren, die in den Anwendungsbereich von NIS 2 fallen. Organisationen müssen feststellen, ob sie unter den Anwendungsbereich von NIS 2 fallen, ermitteln, in welchen Mitgliedstaaten sie entsprechende Dienste anbieten, und sich vor Ablauf der Frist registrieren lassen.
Es ist wichtig, dass Ihr Unternehmen den Wortlaut der NIS-2-Richtlinie sorgfältig prüft, um die spezifischen Kriterien und Schwellenwerte zu verstehen und festzustellen, ob Sie in deren Geltungsbereich fallen.
Abbildung 1. NIS-2-Zeitplan mit wichtigen Terminen
Wichtige Anforderungen und Auswirkungen der NIS-2-Richtlinie
Die NIS-2-Richtlinie zielt darauf ab, die Cybersicherheit durch Anforderungen in vier Schlüsselbereichen zu stärken: Risikomanagement, Unternehmensführung, Meldung von Vorfällen und Geschäftskontinuität.
Vier Schwerpunkte zur Stärkung der Cybersicherheit
Risikomanagement
Unternehmen sind verpflichtet, umfassende Risikomanagementstrategien zu implementieren, um Cyberbedrohungen zu minimieren. Sie müssen regelmäßige Risikobewertungen durchführen, Sicherheitsrichtlinien festlegen und Maßnahmen zum Schutz der Integrität, Vertraulichkeit und Verfügbarkeit ihrer Systeme umsetzen. Unternehmen sind zudem verpflichtet, ihre Sicherheitspraktiken kontinuierlich zu überwachen und zu dokumentieren, um sicherzustellen, dass sie aufkommende Bedrohungen schnell erkennen und bekämpfen können.
Unternehmensführung
Die Leitungsgremien sind dafür verantwortlich, die Protokolle ihrer jeweiligen Einrichtungen zum Management von Cybersicherheitsrisiken zu überwachen und zu genehmigen. Sie müssen zudem sicherstellen, dass diese effektiv umgesetzt werden. Die Leitungsgremien sind außerdem verpflichtet, an Cybersicherheitsschulungen teilzunehmen, und sollten ihren Mitarbeitern ähnliche Schulungen anbieten.
Meldung von Vorfällen
Betroffene Unternehmen müssen schwerwiegende Vorfälle unverzüglich den zuständigen Behörden melden und dabei detaillierte Informationen über die Art des Vorfalls und die ergriffenen Abhilfemaßnahmen bereitstellen. Die Unternehmen müssen spätestens 24 Stunden nach Bekanntwerden eines Cybervorfalls eine Erstmeldung, spätestens 72 Stunden danach einen vollständigen Bericht und einen Monat später einen Abschlussbericht vorlegen.
Geschäftskontinuität
Unternehmen sind verpflichtet, eine Strategie zu entwickeln, in der detailliert beschrieben wird, wie sie auf Vorfälle reagieren und sich davon erholen, mit dem Ziel, Störungen zu minimieren und die Geschäftskontinuität nach einem Angriff sicherzustellen.
Grundlegende Sicherheitsmaßnahmen, die Unternehmen umsetzen müssen
Zur Unterstützung dieser vier übergeordneten Bereiche legt die Richtlinie 10 grundlegende Sicherheitsmaßnahmen fest, die Organisationen zur Risikosteuerung umsetzen müssen. Dazu gehören:
- Richtlinien zur Risikoanalyse und zur Sicherheit von Informationssystemen
- Incident-Handling
- Geschäftskontinuität, wie z. B. Backup-Management und Notfallwiederherstellung sowie Krisenmanagement
- Sicherheit der Lieferkette, einschließlich sicherheitsrelevanter Aspekte hinsichtlich der Beziehungen zwischen jedem Unternehmen und seinen direkten Lieferanten oder Dienstleistern
- Sicherheit bei der Beschaffung, Entwicklung und Wartung von Netzwerk- und Informationssystemen, einschließlich des Umgangs mit Schwachstellen und deren Offenlegung
- Richtlinien und Verfahren zur Bewertung der Wirksamkeit von Maßnahmen zum Cybersicherheits-Risikomanagement
- Grundlegende Maßnahmen zur Cyberhygiene und Schulungen zur Cybersicherheit
- Richtlinien und Verfahren bezüglich der Verwendung von Kryptografie und, sofern angemessen, Verschlüsselung
- Sicherheit im Personalwesen, Zugriffskontrollrichtlinien und Anlagenverwaltung
- Der Einsatz von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung; gesicherte Sprach-, Video- und Textkommunikation; sowie gesicherte Notfallkommunikationssysteme innerhalb der Organisation, sofern angemessen
Sanktionen bei Nichteinhaltung
Die NIS-2-Richtlinie sieht bei Nichteinhaltung wesentlich strengere Strafen vor als ihre Vorgängerin, darunter nichtmonetäre Abhilfemaßnahmen, Bußgelder und strafrechtliche Sanktionen für die Geschäftsführung.
Nichtmonetäre Rechtsbehelfe
Die NIS 2 räumt den Aufsichtsbehörden der Mitgliedstaaten die Befugnis ein, nichtfinanzielle Abhilfemaßnahmen gegen nicht konforme Unternehmen zu verhängen, darunter Anordnungen zur Einhaltung der Vorschriften, verbindliche Anweisungen, Anordnungen zur Durchführung von Sicherheitsaudits sowie Anordnungen zur Benachrichtigung der Kunden dieser Unternehmen über Bedrohungen.
Verwaltungsstrafen
Die Bußgelder können je nach Mitgliedstaat variieren, doch die NIS-2-Richtlinie legt Höchstbeträge für wesentliche und wichtige Einrichtungen fest.
Geldbußen für wesentliche Einrichtungen im Vergleich zu wichtigen Einrichtungen
| Fines for essential entities | Fines for important entities |
|---|---|
| A maximum fine of up to €10,000,000 or 2% of global annual revenue, whichever is higher. | A maximum fine of up to €7,000,000 or 1.4% of global annual revenue, whichever is higher. |
Strafrechtliche Sanktionen für Leitungsorgane
Um den Druck auf IT- und Sicherheitsteams zu verringern, enthält die NIS-2-Richtlinie Maßnahmen, die die oberste Führungsebene persönlich haftbar machen können, wenn nach einem Cybersicherheitsvorfall grobe Fahrlässigkeit nachgewiesen wird. Aufsichtsbehörden können Organisationen anweisen, Verstöße öffentlich bekannt zu geben oder öffentliche Erklärungen abzugeben, in denen die für den Vorfall verantwortliche(n) Person(en) genannt wird (werden). Handelt es sich bei der Organisation um eine systemrelevante Einrichtung, kann eine Behörde Führungskräften vorübergehend die Ausübung von Führungspositionen untersagen.
DNS: Ein Kernelement eines sicheren Netzwerks gemäß NIS 2
Das Domain Name System (DNS) ist ein hierarchisches Namenssystem, das die Kommunikation zwischen Geräten in einem Netzwerk ermöglicht. In der Regel übersetzt es für Menschen lesbare Domainnamen (wie bluecatnetworks.com) in computerlesbare IP-Adressen (wie 104.239.197.100). Im Wesentlichen ermöglicht es uns, eine Verbindung zu Websites herzustellen, ohne uns eine Zahlenfolge merken zu müssen. Dank DNS müssen wir beim Öffnen eines Webbrowsers lediglich die Namen der Websites kennen.
Gemäß der NIS-2-Richtlinie „sind die Aufrechterhaltung und der Erhalt eines zuverlässigen, widerstandsfähigen und sicheren Domain Name Systems (DNS) Schlüsselfaktoren für die Wahrung der Integrität des Internets und unerlässlich für dessen kontinuierlichen und stabilen Betrieb, von dem die digitale Wirtschaft und Gesellschaft abhängen.“
Das DNS wurde in erster Linie entwickelt, um Anfragen korrekt und effizient zu beantworten, nicht um deren Absicht zu hinterfragen. Daher weist das DNS inhärente Einschränkungen auf und birgt das Potenzial, als Vektor für Cyberangriffe genutzt zu werden. Bei einem DNS-Angriff versucht ein Angreifer entweder, die Infrastruktur zu kompromittieren, die DNS-Dienste bereitstellt, oder nutzt deren von Natur aus offene Eigenschaften aus, um einen umfassenderen Angriff durchzuführen. Ein gut koordinierter DNS-Angriff auf ein ungeschütztes Netzwerk kann eine Organisation in die Knie zwingen.
Da Netzwerke immer komplexer werden und sich auf Hybrid- und Multi-Cloud-Umgebungen ausweiten, wird es zu einer noch größeren Herausforderung, eine einzige zuverlässige Informationsquelle für das DNS aufrechtzuerhalten.
Ein konsolidierter, automatisierter und optimierter Ansatz für die Verwaltung von DNS, dem Dynamic Host Configuration Protocol (DHCP) und der IP-Adressverwaltung (zusammen als DDI bezeichnet), insbesondere in Kombination mit Tools für sicheres DNS und Netzwerküberwachung, bietet eine solide Lösung zur Erfüllung der Anforderungen von NIS 2.
Abbildung 2. DNS, DHCP und die Verwaltung von IP-Adressen bilden das Herzstück des digitalen Unternehmens
Einheitliches DDI
Unified-DDI-Lösungen integrieren DNS-, DHCP- und IP-Adressverwaltungsfunktionen (IPAM) in einer einzigen Plattform und bieten so zentralisierte Transparenz und Kontrolle über IP-Ressourcen und zentrale Netzwerkdienste. Unified DDI unterstützt die NIS-2-Anforderungen durch folgende Funktionen:
- Verbesserte Netzwerktransparenz: Eine zentralisierte und einheitliche Ansicht Ihrer DDI-Daten bietet umfassenden Einblick in Netzwerkressourcen, deren Konfigurationen und deren Interaktionen. Dies ist unerlässlich, um Schwachstellen zu identifizieren und eine robuste Netzwerksicherheit zu gewährleisten.
- Automatisiertes Netzwerkmanagement: Automatisierung verringert das Risiko menschlicher Fehler und steigert die Effizienz bei der Verwaltung von Namensräumen, IP-Adressen und zugehörigen Diensten, wodurch sichergestellt wird, dass Konfigurationen konsistent und sicher sind.
- Compliance und Auditing: Einheitliche DDI-Plattformen verfügen häufig über Audit- und Protokollierungsfunktionen, die Unternehmen dabei helfen, detaillierte Aufzeichnungen über Netzwerkkonfigurationen und -änderungen zu führen. Dies erleichtert die Einhaltung der NIS-2-Anforderungen hinsichtlich Dokumentation, Berichterstattung und Rechenschaftspflicht.
Schutzlösungen für das DNS
Schutzorientierte DNS-Lösungen verbessern die Netzwerksicherheit, indem sie den DNS-Datenverkehr überwachen und filtern, um böswillige Abfragen zu blockieren und den Zugriff auf schädliche Websites oder die Command-and-Control-Kanäle von Angreifern zu verhindern. Im Hinblick auf die NIS-2-Anforderungen helfen schutzorientierte DNS-Lösungen bei folgenden Aufgaben:
- Erkennung und Abwehr von Bedrohungen: DNS-Sicherheitslösungen bieten häufig sogenanntes „Protective DNS“ an: einen Dienst, der DNS-Abfragen analysiert und Verbindungen zu bösartigen Domains abwehrt oder blockiert. Durch die Blockierung des Zugriffs auf bekannte bösartige Domains und Einträge trägt „Protective DNS“ zur frühzeitigen Erkennung und Abwehr von Cyberbedrohungen bei und verringert so das Risiko von Sicherheitsvorfällen.
- Reaktion auf Vorfälle: Schutzorientierte DNS-Lösungen bieten umfassende Transparenz über den DNS-Datenverkehr und ermöglichen so eine schnellere Erkennung von Anomalien und potenziellen Bedrohungen sowie eine zügige Reaktion auf Vorfälle.
- Compliance und Berichterstattung: Die Protokollierung und Überwachung von DNS-Abfragen und -Antworten hilft bei der Führung der für die Einhaltung der NIS-2-Vorschriften erforderlichen Aufzeichnungen und erleichtert die Berichterstattung an die Aufsichtsbehörden.
Netzwerküberwachung und -zustand
Lösungen für Netzwerküberwachung und -zustand konzentrieren sich darauf, sicherzustellen, dass Ihre Netzwerkinfrastruktur sicher, zuverlässig und widerstandsfähig ist. Zu den Funktionen für Netzwerküberwachung und -zustand, die zur Erfüllung der NIS-2-Anforderungen beitragen können, gehören:
- Kontinuierliche Überwachung und Bewertung: Diese Tools überwachen das Netzwerk kontinuierlich auf Schwachstellen und die Einhaltung von Sicherheitsrichtlinien und helfen so, Probleme zu identifizieren und zu beheben, bevor sie ausgenutzt werden können.
- Ausfallsicherheit und Redundanz: Lösungen für die Netzwerküberwachung und den Systemzustand helfen Ihnen dabei, eine ausfallsichere Netzwerkinfrastruktur mit ausreichender Redundanz zu entwerfen und aufrechtzuerhalten, sodass kritische Dienste auch bei Vorfällen oder Ausfällen verfügbar bleiben.
- Reaktion auf Vorfälle und Wiederherstellung: Diese Lösungen bieten Tools und Prozesse für eine effektive Reaktion auf Vorfälle und Wiederherstellung und stellen sicher, dass Unternehmen nach einem Betriebs- oder Sicherheitsvorfall den normalen Betrieb schnell wiederherstellen können.
Zusammen decken diese Arten von Lösungen und Funktionen viele Aspekte der NIS-2-Richtlinie ab. Sie bieten einen umsetzbaren und nachweisbaren Nutzen für:
- Risikomanagement: Einheitliche DDI-, schützende DNS- sowie Netzwerküberwachungs- und -zustandslösungen helfen dabei, Risiken durch verbesserte Transparenz, Bedrohungserkennung und automatisierte Prävention zu identifizieren und zu mindern.
- Incident-Handling: Diese Lösungen bieten Tools zur schnellen Erkennung, Reaktion und Meldung von Cybersicherheitsvorfällen, was ein effektives Incident-Handling unterstützt und die durchschnittliche Wiederherstellungszeit verkürzt.
- Betriebssicherheit: Durch die Automatisierung und Zentralisierung des Netzwerkmanagements gewährleisten diese Lösungen konsistente, aktuelle und sichere Konfigurationen, wodurch Schwachstellen reduziert und die Betriebssicherheit erhöht werden.
- Berichtspflichten: Die Protokollierungs- und Überwachungsfunktionen dieser Lösungen tragen zur Erfüllung der Berichtspflichten gemäß NIS 2 bei und stellen sicher, dass Organisationen den Behörden bei Bedarf die erforderlichen Informationen zur Verfügung stellen können.
BlueCat-Produkte, die zur Erfüllung der NIS-2-Richtlinie beitragen
Drei Produkte von BlueCat – Integrity, Edge und Infrastructure Assurance – bieten zentrale Funktionen und Merkmale, die Unternehmen dabei unterstützen können, die Anforderungen von NIS 2 zu erfüllen.
Integrität
„Integrity“ ist die Plattform von BlueCat für das integrierte DDI-Management in großen Unternehmen. Sie vereinfacht und konsolidiert die Transparenz und Kontrolle im Bereich DDI in den komplexesten Netzwerkinfrastrukturen. Basierend auf RESTful-APIs automatisiert „Integrity“ alle Aspekte des DDI-Managements. Integrity besteht aus dem BlueCat Address Manager und dem BlueCat DNS/DHCP-Server (BDDS). Der Address Manager übernimmt das IP-Adressmanagement und fungiert als zentrale DNS- und DHCP-Verwaltungsplattform (als Cluster oder Einzelknoten). Je nach Ihren Anforderungen, Ihrer Architektur und Ihrer Infrastruktur bestehen BDDS-Instanzen aus Einzelinstanzen oder Clustern, die selektiv autoritative DNS- und/oder DHCP-Dienste bereitstellen. Jede Komponente ist flexibel und kann physisch oder virtuell bereitgestellt werden.
„Cloud Discovery & Visibility“, ein Anwendungs-Add-on für Integrity, erfasst Ihre gesamte On-Premises- und Multi-Cloud-Infrastruktur und überträgt diese Daten an den Address Manager, um stets aktuelle Informationen bereitzustellen.
Edge
Edge erweitert die Standard-DDI-Infrastruktur in drei Schlüsselbereichen – Netzwerk, Sicherheit und Cloud – um zusätzliche Funktionen für IP-Weiterleitung, Erkennung, Auflösung und Sicherheit. Edge ist eine schlanke, cloudverwaltete Softwarelösung, die über am Netzwerkrand bereitgestellte Servicepunkte erweiterte DNS-Funktionen bereitstellt.
Edge bietet eine intelligente Steuerungsebene, um Bedrohungen zu bekämpfen, Namensraumkollisionen zu lösen und die Latenz bei Abfrageantworten auf der Grundlage von Unternehmensrichtlinien zu optimieren. Durch die direkte Anbindung an diese Frameworks unterstützt Edge Anwender dabei, Sicherheits- und Compliance-Anforderungen zu erfüllen.
Infrastruktur-Sicherheit
Infrastructure Assurance bietet proaktive Überwachung, Fehlerbehebung und Korrekturmaßnahmen für die Netzwerk- und Sicherheitsinfrastruktur, einschließlich Integrity, Firewalls und Load Balancer. Es identifiziert verborgene Probleme, führt automatisierte Diagnosen durch und bietet von Experten empfohlene Korrekturmaßnahmen an.
Dank umfassender Transparenz und Automatisierung verhindert er Netzwerkstörungen und optimiert Aufgaben wie Wartung und Hochverfügbarkeitsprüfungen, wobei kritische Daten auf der Grundlage von Best Practices effizient analysiert werden. Zu den wichtigsten Funktionen gehören:
Abbildung 3. Einheitliche DDI-, schützende DNS- sowie Netzwerküberwachungs- und -zustandsüberwachungstools bieten eine robuste Lösung für die Anforderungen von NIS 2.
Zuordnung von NIS-2-Artikeln zu BlueCat-Produkten
Die NIS-2-Richtlinie ist in neun Kapitel unterteilt, die aus fortlaufend nummerierten Artikeln bestehen und Themen behandeln, die für Mitgliedstaaten sowie öffentliche und private Einrichtungen gelten.
| Chapter | Title | Articles |
| I | General Provisions | 1–6 |
| II | Coordinated Cybersecurity Frameworks | 7–13 |
| III | Cooperation at Union and International Level | 14–19 |
| IV | Cybersecurity Risk-Management Measures and Reporting Obligations | 20–25 |
| V | Jurisdiction and Registration | 26–28 |
| VI | Information Sharing | 29–30 |
| VII | Supervision and Enforcement | 31–37 |
| VIII | Delegated and Implementing Acts | 38–39 |
| IX | Final Provisions | 40–46 |
Die folgende Tabelle enthält detaillierte Beschreibungen dazu, wie BlueCat-Produkte bei der Erfüllung spezifischer Anforderungen in den Artikeln der NIS-2-Richtlinie helfen können.
| NIS 2 article | BlueCat product | How it helps |
| Chapter I, Article 3, Essential and Important Entities | ||
| 4. For the purpose of establishing the list referred to in paragraph 3, Member States shall require the entities referred to in that paragraph to submit at least the following information to the competent authorities: (b) the address and up-to-date contact details, including email addresses, IP ranges and telephone numbers; | Integrity | Visibility of full IP footprint and namespaces, including public and private clouds, automated network discovery, and a single source of truth that stretches across all network footprints. Cloud Discovery & Visibility removes the need for manually updating managed ranges. |
| Edge | Edge’s Cloud Resolver gives full visibility into any cloud changes related to zones, virtual private clouds, or delegations, no matter how much they churn. Changes are automatically synchronized to Integrity’s core IP address management functionality. | |
| Chapter IV, Article 20, Governance | ||
| 2. Member States shall ensure that the members of the management bodies of essential and important entities are required to follow training, and shall encourage essential and important entities to offer similar training to their employees on a regular basis, in order that they gain sufficient knowledge and skills to enable them to identify risks and assess cybersecurity risk- management practices and their impact on the services provided by the entity. | Infrastructure Assurance | Continuous measurement of security, performance, and configuration metrics, cross-referenced with benchmark data defined by internal policies or external standards. |
| Chapter IV, Article 21, Cybersecurity Risk-Management Measures | ||
| Member States shall ensure that essential and important entities take appropriate and proportionate technical, operational and organisational measures to manage the risks posed to the security of network and information systems which those entities use for their operations or for the provision of their services, and to prevent or minimise the impact of incidents on recipients of their services and on other services. | Integrity | Full operational management of DDI-related tasks and services across native and hybrid footprints. Cloud discovery and visibility, early detection, and prevention of threats. |
| Edge | Intelligent and protective DNS that incorporates threat feeds with enumeration and resolution across churning assets or ephemeral entities. | |
| Infrastructure Assurance | Auto-triage and root-level diagnosis of issues—like errors, misconfigurations, vulnerabilities, and downtime—as soon as they occur, with contextual awareness of related issues. | |
| 2. (b) incident handling | Integrity | Digital asset lookup (IP prefixes or namespaces, including user-defined fields for arbitrary assets or tags). Forward and reverse resolution, including event enrichment for manual or automated investigation (via APIs plus integrations with security information and event management (SIEM) tools). Blocking and policy enforcement. |
| Edge | Intelligent DNS, including DNS firewalling, threat feeds for real-time blocking, deep querying for identifying malicious or infected nodes, and protective policy enforcement. DNS forensics and investigation. | |
| Infrastructure Assurance | Performs auto-triage, issues alerts for detected anomalies, and provides recommended remediation steps that IT or security teams can follow to resolve identified issues. | |
| 2. (c) business continuity, such as back- up management and disaster recovery, and crisis management | Integrity | Application layer clustering, crossover high availability pairs, database replication, and, if required, manual system failover. |
| Edge | Cloud-based management service with as many service points as desired for architectural redundancy and resiliency. | |
| Infrastructure Assurance | Health and capacity checks, external critical services and dependencies checks, high availability readiness, automated configuration backups, and misconfiguration identification. | |
| 2. (d) supply chain security, including security-related aspects concerning the relationships between each entity and its direct suppliers or service providers | Edge | Protection against an exploit’s payloads, particularly for command-and-control channels, leveraging threat feeds, block lists, and domain generation algorithm detection. |
| Infrastructure Assurance | Detection of anomalies and common vulnerabilities and exposures (CVEs) across multi-vendor environments, including auto-triage, reporting, and alerting. | |
| 2. (f) policies and procedures to assess the effectiveness of cybersecurity risk-management measures | Edge | Reporting on potential distributed denial- of-service attempts and ability to isolate potentially infected user endpoints due to types of DNS queries and related data. These reports and data bolster or highlight the efficacy of other security devices, policies, or procedures. |
| Infrastructure Assurance | Ongoing reporting and alerting on vulnerabilities and related proliferation across security infrastructure. Analysis using Mitre’s CVE database and NIST’s National Vulnerability Database. | |
| 2. (h) policies and procedures regarding the use of cryptography and, where appropriate, encryption; | Edge | Block DNS over HTTPS resolvers with threat feeds or custom block lists. |
| 2. (i) human resources security, access control policies and asset management | Integrity | Primary asset management for IP prefixes and addresses, namespaces, and zones, including role-based access control for managing DDI assets and services. |
| 2. (i) human resources security, access control policies and asset management | Integrity | Supports single sign-on (SSO) via SAML 2.0 and acts as a service provider for SSO. |
| Edge | Custom policy enforcement for intelligent DNS resolution based on source IP, site, or content. | |
| 2. (j) the use of multi-factor authentication or continuous authentication solutions, secured voice, video and text communications and secured emergency communication systems within the entity, where appropriate. | Edge | Supports configuration as a service provider in a SAML 2.0 federation, enabling an SSO user experience. |
| Chapter IV, Article 23, Reporting Obligations | ||
| 4. Member States shall ensure that, for the purpose of notification under paragraph 1, the entities concerned submit to the CSIRT or, where applicable, the competent authority | ||
| (d) a final report not later than one month after the submission of the incident notification under point (b), including the following: | ||
| 4. (d) (i) a detailed description of the incident, including its severity and impact; | Integrity | Provides the underlying IP, digital asset management, and service logs for incident investigation and event enrichment across multiple systems. Without an IP address management tool and related fresh DNS entries, incident logs lack context and meaning. |
| Edge | Intelligent DNS with extensive logging and deep querying allows for DNS forensics when rebuilding timelines and actions for digital events across an enterprise (including across private or public clouds). | |
| Infrastructure Assurance | Customizable dashboard for top 10 alerts to prioritize troubleshooting efforts based on the severity and frequency of identified issues. | |
| 4. (d) (ii) the type of threat or root cause that is likely to have triggered the incident; | Integrity | Provides core services and the context around netblocks, prefixes, namespaces, zones, and individual resource records to make sense of IPs, hostnames, and services throughout an organization. |
| Edge | With historical DNS query and response logging and deep DNS forensics capabilities, incident investigations can look deeper and further into what led to flows and connections being made. | |
| Infrastructure Assurance | Performs observability based on triggers like performance metrics, security flaws, or configuration drift. Once a trigger condition is met, auto-triage follows a root cause analysis workflow to surface related issues and determine the cause(s). | |
| 4. (d) (iii) applied and ongoing mitigation measures; | Integrity | Detect and block DNS-based threats and mitigate security risks associated with DNS hijacking and cache poisoning, DHCP snooping, and IP address conflicts. |
| Edge | Ongoing and intelligent mitigation delivered via DNS using ongoing threat intelligence feeds, automated blocking, SIEM integrations, policy enforcement, and machine learning (applied to evasion techniques like domain generation algorithms). | |
| Infrastructure Assurance | Codified domain expertise and community-contributed experience are used to auto-triage and recommend remediation steps, mitigating the risk of major outages for detected issues. | |
Der Ausblick
Digitale Dienste und deren sicherer Betrieb sind für das gesellschaftliche Gefüge von entscheidender Bedeutung. Doch mit zunehmender gegenseitiger Abhängigkeit steigen auch die Risiken. Unsere Verantwortung, wesentliche und wichtige Einrichtungen in kritischen Sektoren zu schützen, erfordert mehr Rechenschaftspflicht und Zusammenarbeit als je zuvor.
Mit Unterstützung der BlueCat-Lösungen für einheitliches DDI, schützendes DNS sowie Netzwerküberwachung und -zustand können Unternehmen die Anforderungen von NIS 2 erfüllen.
Da sich Bedrohungen weiterentwickeln und Vorschriften immer komplexer werden, müssen Unternehmen ihre Cybersicherheitsstrategien kontinuierlich anpassen. Die Integration fortschrittlicher Lösungen wie denen von BlueCat wird entscheidend sein, um die Sicherheit und die Einhaltung von NIS 2 sowie künftiger Vorschriften zu gewährleisten.
Erfahren Sie mehr darüber, wie BlueCat Ihnen dabei helfen kann, die NIS-2-Anforderungen zu erfüllen.
Dieses Dokument hat allgemeinen und zusammenfassenden Charakter, dient ausschließlich zu Informationszwecken und ist nicht als Ersatz für professionelle Beratung und eine detaillierte Analyse der Anforderungen der Richtlinie über Netz- und Informationssicherheit (NIS 2) gedacht. Wir erläutern zwar, wie BlueCat-Produkte bei umfassenderen Compliance-Bemühungen im Zusammenhang mit NIS 2 helfen können, doch liegt die Verantwortung für die Einhaltung aller geltenden Gesetze und Vorschriften weiterhin bei den Nutzern unserer Produkte. Bitte informieren Sie sich über den vollständigen Funktionsumfang der BlueCat-Produkte, den Sie auf unserem Produktdokumentationsportal finden, und konsultieren Sie Ihre internen und externen Fachberater hinsichtlich der Eignung der BlueCat-Produkte für Ihre beabsichtigten Zwecke, einschließlich der Einhaltung der NIS-2-Vorschriften.