Die NIS2-Compliance-Checkliste zur Cloud-Architektur ist eine kostenlose Selbstbewertung mit 35 Punkten für wesentliche und wichtige Einrichtungen, die der NIS2-Richtlinie der EU unterliegen. Sie misst Cloud- und Plattformarchitektur an den Risikomanagementmaßnahmen nach Art. 21 in zehn Bereichen, an den Meldefristen nach Art. 23 (Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht binnen eines Monats) sowie an Lieferkettensicherheit, Business Continuity (RTO/RPO), MFA, Verschlüsselung und Schwachstellenmanagement. Sie richtet sich an Security-, Compliance- und Plattform-Teams in NIS2-regulierten Organisationen und bei den IKT-Dienstleistern, die diese bedienen. Ænix setzt die Checkliste in an NIS2 ausgerichteten Readiness-Projekten ein. Die Ænix Private Cloud Platform auf Basis des CNCF-Sandbox-Projekts Cozystack unterstützt diese Kontrollen mit Netzwerksegmentierung über die Tenant-CRD, durchgesetzt von Cilium, mit optionaler Volume-Verschlüsselung und mit API-Audit-Logs mit konfigurierbarer Aufbewahrung, die sich in Ihren eigenen Speicher ausleiten lassen. Ænix beansprucht keine NIS2-Zertifizierung: Die Compliance liegt bei der regulierten Einrichtung.
Eine Checkliste mit 35 Punkten für wesentliche und wichtige Einrichtungen unter NIS2. Sie deckt die Risikomanagementmaßnahmen nach Art. 21 (10 Bereiche), die Meldefristen nach Art. 23, Transparenz in der Lieferkette, Business Continuity, MFA, Verschlüsselung und Kontrollen auf Architekturebene ab. Ænix setzt sie in an NIS2 ausgerichteten Readiness-Projekten ein.
Passt zu: Ænix Private Cloud Platform — darauf ausgelegt, die plattformseitigen Kontrollen zu liefern, auf die sich NIS2-Programme stützen: Tenant-CRD mit Cilium-NetworkPolicy für die Segmentierung, optionale Volume-Verschlüsselung (LUKS auf LINSTOR) und Audit-Logs mit konfigurierbarer Aufbewahrung, die sich in Ihren eigenen unveränderlichen (WORM-)Speicher ausleiten lassen.
Was die Checkliste enthält
Fünf Abschnitte mit 35 Kontrollpunkten auf Architekturebene:
- Risikomanagement (10 Punkte) — die Risikomanagementmaßnahmen im Bereich der Cybersicherheit nach Art. 21 Abs. 2 lit. a–j sowie die Verantwortung der Leitungsorgane nach Art. 20
- Behandlung und Meldung von Vorfällen (6 Punkte) — Bereitschaft für Art. 23 Abs. 4: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht binnen eines Monats
- Business Continuity und Schwachstellenmanagement (7 Punkte) — dokumentierte und getestete RTO/RPO, Patch-SLA, SAST/DAST in der CI, ein veröffentlichter Prozess zur Offenlegung von Schwachstellen (siehe Art. 12)
- Lieferkette und Kryptografie (6 Punkte) — Sicherheit der Zulieferer bis zur zweiten Stufe nach Art. 21 Abs. 2 lit. d, Kryptografie und Stand der Verschlüsselung nach Art. 21 Abs. 2 lit. h
- Zugriffskontrolle und Audit (6 Punkte) — Zugriffskontrolle und MFA nach Art. 21 Abs. 2 lit. i–j sowie Bewertung der Wirksamkeit nach Art. 21 Abs. 2 lit. f
Wer sie nutzt
- Wesentliche und wichtige Einrichtungen in den Sektoren von Anhang I (Energie, Verkehr, Bankwesen, Gesundheit, digitale Infrastruktur, Verwaltung von IKT-Diensten, öffentliche Verwaltung)
- Wichtige Einrichtungen in den Sektoren von Anhang II (Post, Herstellung kritischer Produkte, Anbieter digitaler Dienste, Forschung)
- Zulieferer und IKT-Dienstleister, die diese Einrichtungen bedienen, nach Art. 21 Abs. 2 lit. d
Nach dem Download
Mit der Checkliste bewerten Sie Ihre Architektur anhand der NIS2-Anforderungen. Für ein tiefergehendes Projekt siehe NIS2-Compliance.
Verwandte Ressourcen
Ænix hat Cozystack (ein CNCF-Sandbox-Projekt) entwickelt und pflegt es gemeinsam mit Maintainern anderer Unternehmen. Darauf aufbauend bietet Ænix drei Plattformen an: Public Cloud, Private Cloud und AI.
Häufig gestellte Fragen
Wer muss NIS2 einhalten?
NIS2 gilt für mittlere und große Einrichtungen in den Sektoren von Anhang I (zum Beispiel Energie, Verkehr, Bankwesen, Gesundheit, digitale Infrastruktur, Verwaltung von IKT-Diensten einschließlich MSPs, öffentliche Verwaltung) und Anhang II (zum Beispiel Post, Herstellung kritischer Produkte, Anbieter digitaler Dienste, Forschung), eingestuft als wesentlich oder wichtig. Ihre Zulieferer spüren die Richtlinie über die Maßnahme zur Sicherheit der Lieferkette nach Art. 21 Abs. 2 lit. d. Die Checkliste deckt Einrichtungen und Zulieferer ab.
Welche Meldefristen gelten unter NIS2?
Nach Art. 23 müssen regulierte Einrichtungen binnen 24 Stunden nach Kenntnis eines erheblichen Sicherheitsvorfalls eine Frühwarnung abgeben, binnen 72 Stunden eine ausführlichere Meldung und binnen eines Monats einen Abschlussbericht. Mit der Checkliste prüfen Sie, ob Ihre Architektur und Ihre Prozesse jede dieser Fristen einhalten können.
Ist die Checkliste kostenlos, und was erhalte ich?
Ja. Sie ist ein kostenloses PDF mit 35 Punkten zu den Risikomanagementmaßnahmen nach Art. 21 in zehn Bereichen, den Meldefristen nach Art. 23, der Lieferkettensicherheit mindestens bis zur zweiten Stufe, Business Continuity mit dokumentierten RTO/RPO, MFA, dem Stand der Verschlüsselung und dem Schwachstellenmanagement.
Wie unterstützt Ænix bei NIS2?
Ænix setzt diese Checkliste in an NIS2 ausgerichteten Readiness-Projekten ein und bietet für tiefergehende Arbeit Leistungen zur NIS2-Compliance an. Die Plattform liefert Kontrollen, nicht die Compliance: Die NIS2-Pflichten liegen bei der wesentlichen oder wichtigen Einrichtung, keine Plattform kann sie übernehmen. Die Ænix Private Cloud Platform auf Basis des CNCF-Sandbox-Projekts Cozystack unterstützt die relevanten Kontrollen mit Segmentierung über die Tenant-CRD und Cilium-NetworkPolicy, optionaler Volume-Verschlüsselung und API-Audit-Logs mit konfigurierbarer Aufbewahrung (standardmäßig 30 Tage), die sich in Ihren eigenen unveränderlichen (WORM-)Speicher ausleiten lassen.
Was ist Cozystack, und wie hängt es mit dieser Checkliste zusammen?
Cozystack ist eine Open-Source-Cloud-Plattform unter der Apache-2.0-Lizenz und ein CNCF-Sandbox-Projekt. Es betreibt VMs über KubeVirt und Container auf einer Kubernetes-API, mit Cilium-Networking (eBPF) und LINSTOR/DRBD-Storage. Ænix hat Cozystack entwickelt und pflegt es gemeinsam mit Maintainern anderer Unternehmen; die Ænix Private Cloud Platform basiert darauf. Die Checkliste selbst ist plattformneutral.
