Die NIS2-Richtlinie (EU 2022/2555) musste bis zum 17. Oktober 2024 in nationales Recht umgesetzt werden; einige Mitgliedstaaten haben verspätet umgesetzt, prüfen Sie daher Ihr nationales Recht. Für wesentliche und wichtige Einrichtungen — Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, digitale Infrastruktur, öffentliche Verwaltung, Postdienste, Abfallwirtschaft, IKT-Dienste und mehrere weitere Sektoren — schreibt NIS2 konkrete Anforderungen an Cybersicherheit und Vorfallsmanagement vor, die sich unmittelbar auf die Cloud-Architektur auswirken.
Ænix führt an NIS2 ausgerichtete Platform-Readiness-Projekte für betroffene Einrichtungen und die IKT-Drittanbieter durch, die sie bedienen. Ergebnis: eine Übersicht auf Kontrollebene, die zeigt, wo Sie heute stehen, wo die Lücken liegen und wie ein Maßnahmenplan auf Architekturebene aussieht.
Passt zu: Ænix Private Cloud Platform — darauf ausgelegt, die NIS2-Arbeit zu unterstützen (Risikomanagementmaßnahmen nach Art. 21, Meldung von Vorfällen nach Art. 23 und ein veröffentlichter Prozess zur Offenlegung von Schwachstellen — siehe Art. 12). Tenant-Isolation mit Segmentierung über NetworkPolicy und Cilium, optionale Volume-Verschlüsselung, Audit-Logging mit konfigurierbarer Aufbewahrung. Kostenlose NIS2-Compliance-Checkliste →.
Wer unter NIS2 fällt
Die gemessenen Nachweise hinter diesen Kontrollen — vollständige Ergebnisse des CIS Kubernetes Benchmark, Kubernetes-Conformance-Einträge und eine klare Aussage, was Ænix zusagt und was nicht — finden Sie auf den Compliance-Nachweisseiten. Dort stehen echte Prüfergebnisse und ihre Begründung, veröffentlicht, damit ein Prüfer sie nachvollziehen kann. Die AENIX s.r.o. ist für ihr eigenes ISMS nach ISO/IEC 27001:2022 zertifiziert (Zertifikat).
Sie lesen als CISO? Der CISO-Leitfaden fasst zusammen, was die Plattform bietet und was nicht.
NIS2 gilt in großer Breite für:
- Wesentliche Einrichtungen — Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur (IXPs, DNS, TLD, Cloud-Anbieter, Rechenzentrumsbetreiber, CDN, MSPs, MSSPs, öffentliche elektronische Kommunikation), öffentliche Verwaltung, Weltraum.
- Wichtige Einrichtungen — Postdienste, Abfallwirtschaft, Chemie, Lebensmittel, Herstellung kritischer Produkte, Anbieter digitaler Dienste (Online-Marktplätze, Suchmaschinen, soziale Netzwerke), Forschung und Entwicklung.
- IKT-Drittanbieter, die betroffene Einrichtungen bedienen.
Fällt Ihr Sektor oder fallen Ihre Kunden unter NIS2, gelten die architektonischen Anforderungen von NIS2 auch für Sie.
Was NIS2 von der Cloud-Architektur verlangt
1. Risikomanagementmaßnahmen (Artikel 21) Dokumentierte Verfahren für das Cybersicherheits-Risikomanagement mit Konzepten für Risikoanalyse, Verwaltung der IKT-Assets, Bewältigung von Sicherheitsvorfällen, Betriebskontinuität, Sicherheit der Lieferkette, Umgang mit Schwachstellen und Sicherheit beim Erwerb von Netz- und Informationssystemen.
2. Meldung von Vorfällen (Artikel 23) Vorfälle werden dem CSIRT bzw. der zuständigen Behörde innerhalb von 24 Stunden (Frühwarnung), 72 Stunden (Meldung des Vorfalls) und einem Monat (Abschlussbericht) gemeldet. Die Architektur muss Erkennung und Meldung innerhalb dieser Fristen ermöglichen.
3. Sicherheit der Lieferkette (Artikel 21(2)(d)) Die Risikomanagementmaßnahmen müssen die Sicherheit der Lieferkette abdecken, einschließlich der Beziehungen zwischen der Einrichtung und ihren unmittelbaren Anbietern und Dienstleistern. In der Praxis heißt das: Lieferanten erfassen, den Ausstieg vorbereiten und Lieferanten überwachen — nicht nur einen ausgefüllten Fragebogen ablegen.
4. Verantwortung der Leitungsorgane (Artikel 20) Die Leitungsorgane müssen die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und an Cybersicherheitsschulungen teilnehmen — und können bei Verstößen haftbar gemacht werden. Compliance lässt sich nicht vollständig an technische Teams delegieren.
Eine Checkliste auf Kontrollebene finden Sie in der NIS2-Compliance-Checkliste.
Woran die meisten Cloud-Setups im NIS2-Audit scheitern
Vorfallserkennung zu langsam für die 24-Stunden-Frist Erkennung braucht Telemetrie und Monitoring, die auf die Art von Ereignissen abgestimmt sind, die NIS2 als meldepflichtig ansieht. Die meisten Cloud-Setups haben Observability für Performance, nicht für die Vorfallserkennung innerhalb der NIS2-Fristen.
IKT-Lieferkette nur bis zur ersten Stufe erfasst NIS2 verlangt Transparenz über die Lieferkette von IKT-Drittanbietern kritischer Funktionen. Die meisten Organisationen können über ihre direkten Lieferanten hinaus niemanden benennen.
Backup und BCP funktionieren auf dem Papier, nicht in der Übung NIS2 verlangt Betriebskontinuität. Die meisten BCP-Pläne sind Dokumente, die nie unter realistischen Ausfallszenarien erprobt wurden.
Schwachstellenmanagement ist reaktiv Patch-Zyklen laufen monatlich; kritische Schwachstellen bekommen Notfall-Patches. Für kritische Infrastruktur erwartet NIS2 einen vorausschauenderen Umgang mit Schwachstellen.
Wie Ænix hilft
Das NIS2-Projekt läuft als Teil unseres Platform Readiness Assessment, mit Schwerpunkt auf dem Arbeitsstrang Souveränität und regulatorische Lücken. Das 14- oder 28-tägige Projekt liefert:
- NIS2-Übersicht auf Kontrollebene — Kontrolle für Kontrolle, was Ihre Architektur nachweisen kann
- Lieferkettenanalyse — bis zur zweiten Stufe für IKT-Drittanbieter kritischer Funktionen
- Bewertung der Fähigkeit zur Erkennung und Meldung von Vorfällen — Telemetrie und Prozesse gemessen an den Fristen von 24/72 Stunden und einem Monat
- Stand von Betriebskontinuität und Schwachstellenmanagement
- Maßnahmenplan auf Architekturebene
Durchgeführt von Ænix-Engineers mit Erfahrung im Dialog mit Aufsichtsbehörden (Engineering-Teams in der EU und in Zentralasien; EU-Verträge über die AENIX s.r.o.). Dieselben Engineers betreuen auch DORA-Compliance — die 28-tägige Variante bildet beide Regelwerke in einem Projekt ab.
Warum gerade Ænix
- Engineers, die die Plattformen selbst bauen — Teams in der EU und in Zentralasien, mit Erfahrung in denselben regulatorischen Rahmenwerken wie Ihre Kunden.
- Keine Hyperscaler-Bindung. Die Empfehlungen richten sich nach technischer Eignung und regulatorischer Ausrichtung, nicht nach Partnerschaftsinteressen.
- Open-Source-Plattform als Fundament. Cozystack unterstützt Air-Gap-Installation, optionale Volume-Verschlüsselung und Audit-Logging; die Compliance-Nachweisseiten legen offen, was standardmäßig enthalten ist und was nicht.
- Regelwerksübergreifendes Projekt — DORA, NIS2 und DSGVO gemeinsam abgebildet in der 28-tägigen Variante.
| Wann | Was | Ergebnis |
|---|---|---|
| Tag 0 | 30-minütiges Discovery-Gespräch (kostenlos) | Passung bestätigen, NIS2-Umfang eingrenzen (welche Sektoren, welche Pflichten) |
| Tage 1–13 (oder 1–27) | Arbeitsstrang Souveränität und regulatorische Lücken | Tägliche Updates, drei Checkpoints |
| Tag 14 (oder 28) | Ergebnispräsentation für die Geschäftsleitung (60–90 Min.) | Schriftlicher Bericht: NIS2-Kontrollübersicht, Lieferkettenanalyse, Stand von BCP und Vorfallsmanagement, Maßnahmenplan |
Fallstudien
Die dokumentierten Projekte finden Sie auf der Seite mit den Fallstudien, anonymisiert, wo der Kunde es verlangt. Referenzgespräche vermitteln wir unter NDA, sofern der Kunde zustimmt.
"Running Nuvolos on sovereign bare metal meant we needed hyperscaler-grade multi-tenancy without the hyperscaler. Cozystack delivered exactly that — isolated tenants, shared GPUs, KubeVirt for legacy workloads — and it's why we can promise our customers infrastructure control, not just a workspace."
Alexandru PopescuCEO, Nuvolos
14 Tage (auf NIS2 fokussiert)
Auf Anfrage
28 Tage (NIS2 + DORA + DSGVO)
Auf Anfrage
- NIS2-Compliance-Checkliste — Checkliste auf Kontrollebene
- NIS2-Anforderungen an die Cloud-Infrastruktur — ausführlicher Fachartikel
- DORA-Compliance — Regelwerk für den Finanzsektor
- Datensouveränität — verwandter Auslöser
- Cozystack — Plattform mit Souveränität in der Architektur
Ænix hat Cozystack entwickelt — ein CNCF-Sandbox-Projekt und eine CNCF Certified Kubernetes Distribution — und pflegt es gemeinsam mit Maintainern anderer Unternehmen. Die AENIX s.r.o. ist nach ISO/IEC 27001:2022 zertifiziert.