NIS2 und SASE: Compliance mit einer Plattform erfüllen

Die pragmatische Frage, die jeder IT- und Sicherheitsverantwortliche gerade stellt, lautet: Wie erfüllen wir die technischen Verpflichtungen, ohne ein separates Compliance-Projekt auf eine bereits komplexe Sicherheitslandschaft zu setzen? Die Antwort, zu der viele Unternehmen kommen, ist SASE. Nicht weil SASE als Compliance-Produkt verkauft wird, sondern weil die technischen Fähigkeiten, die NIS2 verlangt, genau das sind, was eine ausgereifte SASE-Plattform standardmäßig liefert.

Dieser Artikel erklärt, welche Verpflichtungen gelten, wie SASE sie auf technischer Ebene adressiert, und warum eine konvergierte Plattform wie Cato Networks Compliance als Nebenprodukt liefert statt als separaten Workstream. Für den breiteren strategischen Kontext siehe unseren SASE-Leitfaden für internationale Unternehmen.

Fällt Ihr Unternehmen unter die NIS2-Umsetzung?

NIS2 gilt für zwei Kategorien von Unternehmen: wesentliche und wichtige Einrichtungen. Beide haben ähnliche technische Verpflichtungen; der Hauptunterschied liegt in der Aufsichtsebene und der Höhe möglicher Bußgelder.

Wesentliche Einrichtungen umfassen Sektoren wie Energie, Transport, Banken, Gesundheitswesen, Trinkwasser und digitale Infrastruktur. Wichtige Einrichtungen umfassen Post- und Kurierdienste, Abfallwirtschaft, Hersteller kritischer Produkte, digitale Anbieter und Forschungsorganisationen. Für beide Kategorien beginnt die Größenschwelle typischerweise bei 50 Mitarbeitern und 10 Millionen Euro Jahresumsatz, wobei sektorspezifische Ausnahmen gelten.

Eine pragmatische erste Prüfung: Wenn Ihr Unternehmen kritisch für den Betrieb wesentlicher Dienste ist, mehr als 50 Mitarbeiter beschäftigt und an mehreren Standorten operiert, fallen Sie mit hoher Wahrscheinlichkeit unter den Anwendungsbereich. Selbst wenn Sie nicht direkt im Anwendungsbereich sind, können die Supply-Chain-Verpflichtungen Ihrer Kunden Sie über vertragliche Weitergabe effektiv einbeziehen.

Die drei Hauptverpflichtungen von NIS2

NIS2 erlegt wesentlichen und wichtigen Einrichtungen drei übergreifende Verpflichtungen auf. Sie zu verstehen ist der Ausgangspunkt jeder technischen Compliance-Strategie.

Sorgfaltspflicht. Das Unternehmen muss angemessene technische und organisatorische Maßnahmen ergreifen, um Cyber-Risiken zu managen. Die Richtlinie listet zehn Mindestkategorien auf, darunter Incident Handling, Business Continuity, Supply-Chain-Sicherheit, Verschlüsselung und Zugangskontrolle. Diese sind nicht optional; die Aufsichtsbehörde erwartet Nachweise.

Meldepflicht. Erhebliche Vorfälle müssen der nationalen Aufsichtsbehörde innerhalb strenger Fristen gemeldet werden: 24 Stunden für eine Erstwarnung, 72 Stunden für eine Vorfallsmeldung und ein Monat für einen Abschlussbericht. Die Uhr beginnt bei der Erkennung, nicht bei der Eindämmung.

Registrierungspflicht. Das Unternehmen muss sich bei der nationalen Behörde registrieren. Die Registrierung umfasst die Benennung einer Kontaktperson, die Auflistung relevanter Sektoren und die Bereitstellung technischer Kontaktinformationen.

"NIS2 ist kein Tooling-Problem. Die technischen Maßnahmen, die es erfordert, Zugangskontrolle, Logging, Verschlüsselung, Monitoring, sind Dinge, die jede ausgereifte SASE-Plattform liefert, ohne über NIS2 nachzudenken. Der schwierige Teil ist die Governance: Wer besitzt die Richtlinien, wer unterzeichnet den Audit-Trail, wer meldet den Vorfall innerhalb von 24 Stunden. Dort macht der richtige Implementierungspartner den Unterschied."

Momentum EMEA, EMEAs führender Cato Networks Implementierungspartner

Wie SASE die technischen NIS2-Maßnahmen abdeckt: das Compliance-Mapping

Artikel 21 von NIS2 listet zehn Kategorien technischer und organisatorischer Maßnahmen auf. Die interessante Beobachtung beim Mapping auf eine ausgereifte SASE-Plattform wie Cato ist, dass sieben der zehn als Standardkonfiguration adressiert werden.

Zugangskontrolle und Identitätsmanagement. ZTNA auf der SASE-Plattform liefert identitätsgesteuerten Zugriff nach dem Least-Privilege-Prinzip mit kontinuierlicher Verifizierung. Jede Zugriffsentscheidung wird mit Benutzer-, Geräte-, Anwendungs- und Policy-Kontext protokolliert, genau die Nachweise, die ein Auditor sehen möchte.

Verschlüsselung. Sämtlicher Datenverkehr über den SASE-Backbone ist während der Übertragung verschlüsselt. Die Single-Pass-Engine entschlüsselt nur innerhalb des Cloud-Sicherheitsstacks zur Inspektion und verschlüsselt vor der Weiterleitung erneut. Kein Klartext-Datenverkehr passiert öffentliche Infrastruktur.

Logging und Incident Detection. Das einheitliche Logging der Plattform erzeugt einen einzigen Audit-Trail, der Netzwerk- und Sicherheitsereignisse umfasst. Erkennungsfähigkeiten umfassen Verhaltensanomalie-Erkennung, Threat-Intelligence-Korrelation und KI-gestützte Analyse über Cato CTRL.

Business Continuity. Das standardmäßige 4G/5G-Backup im Cato Socket, kombiniert mit dem globalen Private Backbone, bietet Konnektivitätsresilienz ohne manuellen Failover.

Supply-Chain-Sicherheit. Drittanbieterzugriff über ZTNA ist identitätsgebunden und zeitlich begrenzt. Lieferanten und Auftragnehmer erhalten genau den Zugriff, den sie benötigen, solange sie ihn benötigen, vollständig protokolliert.

Die drei Kategorien, die SASE nicht direkt adressiert (Governance, Asset-Management, sichere Entwicklungspraktiken), erfordern Prozessarbeit neben der Plattform. Wir dokumentieren das in unserem Implementierungsleitfaden Cato Networks Implementierung von der Aufnahme bis zum Live-Netzwerk.

Supply-Chain-Sicherheit: die vergessene NIS2-Verpflichtung

Artikel 21(2)(d) verlangt explizit Supply-Chain-Sicherheit: die Sicherung der Beziehungen zu direkten Lieferanten und Dienstleistern. In der Praxis ist hier, wo viele Unternehmen zu kurz kommen. Die klassische Lösung, Lieferanten und Auftragnehmern VPN-Zugriff zu gewähren, ist genau das, was NIS2 zwingt zu überdenken.

ZTNA auf der SASE-Plattform ändert das grundlegend. Jede Lieferantensitzung ist identitätsgebunden, auf spezifische Anwendungen begrenzt, zeitlich befristet und kontinuierlich protokolliert. Posture-Checks auf dem Gerät des Lieferanten verifizieren die Endpunkt-Hygiene, bevor Zugriff gewährt wird. Widerruf ist sofort: Den Zugang eines abgereisten Auftragnehmers zu schließen, ist ein Konsolen-Klick, kein Firewall-Regel-Update.

Für Unternehmen mit Dutzenden von Drittanbieter-Zugriffsbeziehungen ist das der Unterschied zwischen "wir haben Richtlinien" und "wir können nachweisen, dass die Richtlinien durchgesetzt werden". Letzteres erwarten NIS2-Aufsichtsbehörden.

Nachweisbar konform: ein Audit-Trail für alle Verpflichtungen

Compliance-Auditing handelt nicht davon, die richtige Technologie zu haben; es handelt davon, beweisen zu können, dass Sie es tun. Die klassische Compliance-Herausforderung ist, dass die Nachweise in zwölf verschiedenen Tools liegen (Firewall-Logs, VPN-Logs, SIEM-Events, Identity-Provider-Audit-Trails usw.) und die Zusammenstellung einer kohärenten Erzählung für einen Auditor wochenlange manuelle Arbeit erfordert.

Der Plattform-Ansatz kehrt das um. Sämtlicher Datenverkehr fließt durch die Cato Single-Pass-Engine, alle Entscheidungen werden mit vollständigem Kontext protokolliert, alle Ereignisse fließen in eine Datenschicht. Eine Auditor-Abfrage, die zuvor SQL über mehrere Log-Stores erforderte, wird zu einem Konsolen-Filter. Berichte, deren Erstellung Wochen dauerte, werden zu Standardexporten.

Das meinen wir, wenn wir sagen, Compliance wird zum Nebenprodukt der Architektur statt zu einem separaten Workstream.

Momentum EMEA als NIS2-Implementierungspartner

Die technische Plattform ist die eine Hälfte der Antwort; die Implementierungspartnerschaft ist die andere. Als EMEAs führender spezialisierter Cato-Implementierungspartner kombiniert Momentum EMEA carrier-neutrales Underlay (die Internetkonnektivität selbst) und Cato SASE Overlay (die Sicherheit und Zugangskontrolle) aus einem Vertrag, einer SLA und einem Team.

Speziell für NIS2-Compliance bedeutet das einen einzigen verantwortlichen Partner für die technische Umgebung, die die Audit-Nachweise produziert. Unsere vierteljährlichen Reviews umfassen Compliance-Posture-Berichte; unsere Incident-Response-Verfahren sind auf die NIS2-Meldefristen von 24/72 Stunden abgestimmt.