senn-techNIS2 und der Eigenbetrieb: Compliance durch Kontrolle
NIS2 ist kein Zukunftsthema mehr. Die EU-Richtlinie gilt, die nationale Umsetzung läuft, und der Kreis der betroffenen Unternehmen ist deutlich grösser als bei der Vorgängerin NIS1. Wer IT-Infrastruktur selbst betreibt, hat einen Vorteil: Er weiss, wo seine Daten sind.
Wen NIS2 betrifft
NIS2 gilt nicht nur für KRITIS-Betriebe. Mittelgrosse und grosse Unternehmen aus Sektoren wie Energie, Transport, Gesundheit, digitale Infrastruktur, Abwasser, öffentliche Verwaltung und — neu — auch IT-Dienstleister fallen darunter.
Die Faustregel: ab 50 Mitarbeitern oder 10 Mio. € Umsatz ist Vorsicht geboten. Für KMU mit kritischen Dienstleistungen kann NIS2 ebenfalls greifen. In Deutschland regelt das NIS2-Umsetzungsgesetz (NIS2UmsuCG) die Details; in Österreich das Netz- und Informationssystemsicherheitsgesetz. Wer betroffen ist, muss sich zudem bei der zuständigen Behörde registrieren.
Was gefordert wird
Die Richtlinie verlangt Risikomanagement-Massnahmen und Meldepflichten:
- Technische Sicherheit: Zugriffskontrollen, Netzsegmentierung, Verschlüsselung, Patch-Management
- Vorfallerkennung: Monitoring, Logging, Alarmierung — genau das, was Uptime Kuma, Graylog und CrowdSec im Eigenbetrieb liefern
- Meldepflicht: erhebliche Sicherheitsvorfälle mit Frühwarnung binnen 24 Stunden, gefolgt von einer Meldung binnen 72 Stunden
- Lieferkettensicherheit: Sie haften für Sicherheitslücken bei Dienstleistern — und das ist der Punkt, an dem unkontrollierte SaaS-Nutzung zum Risiko wird
Die Geschäftsleitung haftet persönlich
Der schärfste Hebel von NIS2: Die Geschäftsleitung muss die Risikomassnahmen billigen, ihre Umsetzung überwachen — und haftet bei Versäumnissen persönlich. Cybersicherheit ist damit endgültig Chefsache und keine reine IT-Angelegenheit mehr. Auch Schulungspflichten erstrecken sich ausdrücklich auf die Leitungsebene.
Warum Self-Hosting die Compliance vereinfacht
Wer einen Dienst selbst betreibt, kann jede geforderte Massnahme umsetzen. Wer ihn als SaaS einkauft, ist auf die Zusicherungen des Anbieters angewiesen — und auf dessen Bereitschaft, im Ernstfall forensische Daten herauszurücken.
Ein Beispiel: NIS2 verlangt, dass Sie Sicherheitsvorfälle erkennen und dokumentieren können. Auf Ihrer eigenen Proxmox-Infrastruktur mit zentralem Monitoring haben Sie Logs, Metriken und Zugriffs-Audits. Bei einer SaaS-Plattform bekommen Sie — bestenfalls — ein Status-Dashboard.
Die Pflicht zur Sorgfalt
NIS2 ist kein Grund zur Panik, aber einer zur Bestandsaufnahme:
- Welche Dienste betreiben wir selbst? Welche sind SaaS?
- Haben wir für die selbst betriebenen Dienste ein funktionierendes Monitoring?
- Sind Meldeprozesse definiert — wer informiert wen innerhalb der 24-Stunden-Frist?
Was NIS2 nicht ist
Kein Zertifizierungswahn. Die Richtlinie schreibt kein bestimmtes Framework vor, kein ISO-27001-Zwang, kein BSI-Grundschutz per Gesetz. Sie schreibt Ergebnisse vor: Risiken managen, Vorfälle melden, Lieferkette im Griff haben. Wie Sie das erreichen, bleibt Ihnen überlassen.
Fazit
NIS2 belohnt, wer Infrastruktur versteht und kontrolliert. Eigenbetrieb mit sauberem Monitoring, Netzsegmentierung und dokumentierten Prozessen erfüllt die Anforderungen besser als ein Sammelsurium an SaaS-Diensten, deren Innereien Sie nicht kennen.
Betrifft NIS2 unser Unternehmen überhaupt?+
Wahrscheinlich eher, als Sie denken. NIS2 gilt nicht nur für KRITIS-Betriebe, sondern auch für mittelgroße und große Unternehmen aus Sektoren wie Energie, Transport, Gesundheit, digitaler Infrastruktur und — neu — IT-Dienstleister. Die Faustregel lautet: ab 50 Mitarbeitern oder 10 Mio. Euro Umsatz ist Vorsicht geboten, und für KMU mit kritischen Dienstleistungen kann NIS2 ebenfalls greifen. Betroffene müssen sich zudem registrieren.
Was passiert, wenn wir die Vorgaben nicht erfüllen?+
Die Geschäftsleitung haftet persönlich. NIS2 verlangt, dass die Leitungsebene die Risikomaßnahmen billigt, ihre Umsetzung überwacht und Schulungen durchläuft — Cybersicherheit ist damit Chefsache. Hinzu kommen Meldepflichten: erhebliche Vorfälle müssen mit Frühwarnung binnen 24 Stunden und einer Meldung binnen 72 Stunden gemeldet werden. Wer die Lieferkettensicherheit vernachlässigt, haftet auch für Lücken bei Dienstleistern.
Warum vereinfacht Eigenbetrieb die NIS2-Compliance?+
Weil Sie Kontrolle und Nachvollziehbarkeit haben. Auf der eigenen Proxmox-Infrastruktur mit zentralem Monitoring verfügen Sie über Logs, Metriken und Zugriffs-Audits und können jede geforderte Maßnahme selbst umsetzen. Bei einer SaaS-Plattform sind Sie auf die Zusicherungen des Anbieters angewiesen und bekommen im Ernstfall bestenfalls ein Status-Dashboard. Eigenbetrieb mit Netzsegmentierung und dokumentierten Prozessen erfüllt die Vorgaben besser.