NIS2 einfach erklärt: was »erkennen und reagieren« wirklich verlangt

Von André Beran · Cybersecurity Architect & Co-Founder, Graydaxe

NIS2 benutzt viele Worte für »angemessene Maßnahmen«. Wer die Richtlinie und die nationalen Umsetzungen liest, findet Risikomanagement, Governance, Lieferkette, Meldefristen. Das alles ist wichtig. Aber im Sicherheitsteam läuft das meiste auf eine praktische Sache hinaus: Sie müssen einen Vorfall erkennen, darauf reagieren und nachweisen können, dass Sie es getan haben.

Ich bewerte seit über 15 Jahren Security-Tools — SIEM, XDR, Schwachstellenmanagement. Wenn ich ein Setup gegen das halte, was NIS2 erwartet, taucht oft dieselbe stille Lücke auf. Die Logs fließen. Die Dashboards sehen beschäftigt aus. Das Tool wurde gekauft, ausgerollt und dann laufen gelassen. Stellt man die einfache Frage — würde das einen echten Angriff erkennen, und rechtzeitig? — lautet die ehrliche Antwort oft: »Wir sind uns nicht sicher.«

Genau auf diese Unsicherheit zielt NIS2. Hier sind die drei Fragen, zu denen ich immer wieder zurückkomme. Keine davon dreht sich um den Kauf weiterer Tools.

Ein SIEM erkennt das, wofür es Regeln und Daten hat. Die eigentliche Frage ist, ob diese Regeln die Techniken abdecken, die ein Angreifer tatsächlich gegen Sie einsetzen würde — und ob die richtigen Logquellen überhaupt beim Collector ankommen. In vielen Bewertungen hat die Abdeckungskarte Lücken, die niemand geplant hat: ein kritisches System, das nirgends loggt, ein Identity-Provider, der nicht beobachtet wird, eine Erkennungsregel, die in einer lauten Woche abgeschaltet und nie wieder aktiviert wurde. Abdeckung heißt nicht »haben wir ein SIEM«. Sie heißt »sehen wir die Dinge, die uns schaden würden«.

Eine Plattform, die tausend Alarme am Tag auslöst, ist nicht dasselbe wie eine Plattform, die Ihnen beim Reagieren hilft. Wenn alles ein Alarm ist, ist nichts mehr einer. Der praktische Test: Wenn heute Nacht ein echter Vorfall passierte, würde er sich über das tägliche Rauschen erheben — oder bis Montag in einer Warteschlange mit fünfhundert belanglosen Meldungen liegen bleiben? Alarmqualität zu schärfen, weniger und präziser und priorisiert, ist undankbare Arbeit. Und genau diese Arbeit entscheidet, ob Sie es rechtzeitig bemerken.

NIS2 ist bei Verantwortlichkeiten deutlich. Wenn der Alarm um 2 Uhr losgeht, muss jemand handeln — und alle sollten vorher wissen, wer. Das ist der Teil, der am wenigsten mit Technik und am meisten mit Menschen zu tun hat. Teams, die Vorfälle gut bewältigen, haben die Rollen vorher festgelegt: wer triagiert, wer eskaliert, wer mit dem Management spricht, wer das Protokoll führt. Teams, die sich schwertun, finden es im Moment heraus, und das Fingerzeigen beginnt. Vorher festgelegt und dokumentiert ist keine Bürokratie. Es ist das, was Menschen unter Druck handlungsfähig macht.

Wie wissen Sie, wo Sie stehen?

Hier bleiben viele Teams hängen. Das Problem ist selten ein Mangel an Produkten. Es ist das Fehlen eines ehrlichen, belegten Bildes davon, wo das aktuelle Setup wirklich steht — gegenüber den Bedrohungen, denen Sie gegenüberstehen, und gegenüber dem, was NIS2 heute erwartet.

Diese Lücke schließen wir mit GrayCheck. Es ist eine anbieterneutrale Bewertung — wir verkaufen keine SIEMs, wir haben also keinen Grund, eines zu empfehlen — die Ihr Tool am laufenden System betrachtet, nicht per Selbsteinschätzung. Sie bewertet den Ist-Zustand anhand von 100+ Kriterien über 10 Domänen, aufgebaut auf 15+ Jahren praktischer Arbeit und abgebildet auf Rahmenwerke wie NIS2 und ISO 27001. Die Kriterien sind deterministisch und gewichtet; unsere KI-Engine GrayD unterstützt die Bewerter und prüft die Ergebnisse auf Widersprüche — KI-unterstützt, nicht KI-ersetzt. Was Sie zurückbekommen, ist ein Reifegrad-Bild: Ihre größten Lücken und die nächsten Schritte, um sie zu schließen.

Sehen → Bewerten → Verbessern. Das ist die ganze Idee: klar sehen, ehrlich bewerten, dort verbessern, wo es zählt.