NIS2 angehen: Was Microsoft Purview leisten kann (und was nicht)
NIS2 ist nichts mehr, worauf Sie sich nur vorbereiten. In vielen EU-Ländern ist die Richtlinie in nationales Recht überführt, und die Aufsichtsbehörden beginnen, ihre Befugnisse zu nutzen. Deutschland ist ein gutes Beispiel. Ein Blick auf die Zahlen des Bundesamts für Sicherheit in der Informationstechnik (BSI):
- Rund 29.500 Unternehmen müssen sich voraussichtlich registrieren.
- Die gesetzliche Frist lief am 6. März 2026 ab.
- Zu diesem Zeitpunkt hatten sich etwa 11.500 registriert.
- Bis zum 30. Juni war die Zahl auf 17.729 gestiegen.
Das BSI forderte die übrigen Unternehmen auf, ihre Registrierung bis zum 31. Juli 2026 abzuschließen. Es stellte zugleich klar, dass es sich um eine vorübergehende Aussetzung der Durchsetzung handelte und nicht um eine neue gesetzliche Frist. Unternehmen, die den 6. März verpasst hatten, waren bereits nicht mehr konform.
Damit bleiben rund 12.000 Unternehmen, die nicht einmal das grundlegende Registrierungsformular ausgefüllt hatten, und zwar in einem Land, in dem die Aufsichtsbehörde unmittelbar nach Fristablauf Bußgelder verhängen und Aufsichtsverfahren einleiten kann.
Das endet nicht in Deutschland. Das belgische Centre for Cybersecurity Belgium (CCB) verlangte von NIS2-Einrichtungen eine Registrierung bis zum 18. März 2025, während wesentliche Einrichtungen einen späteren Nachweisstichtag am 18. April 2026 einhalten mussten. Die italienische Agenzia per la Cybersicurezza Nazionale (ACN) betreibt NIS2 als Jahreszyklus, bei dem Registrierung oder Verlängerung in der Regel zwischen dem 1. Januar und dem 28. Februar erfolgen. Frankreich zeigt das andere Extrem. Die Agence nationale de la sécurité des systèmes d’information (ANSSI) ist die französische nationale Cybersicherheitsbehörde. Der Senat verabschiedete den Umsetzungsentwurf im März 2025, und ein parlamentarischer Ausschuss billigte den Text im September 2025, doch es kam bis heute nicht zur Abstimmung im Plenum. Am 8. Juli 2026 verklagte die Europäische Kommission Frankreich vor dem Gerichtshof, weil das Land keine vollständigen Umsetzungsmaßnahmen gemeldet hatte. Die ANSSI veröffentlichte im März 2026 das Référentiel Cyber France, das aber bis zur Verabschiedung des Gesetzes ein Arbeitsdokument bleibt.
Eine weitere Entwicklung ist erwähnenswert. Am 20. Januar 2026 schlug die Kommission gezielte Änderungen an NIS2 selbst vor. Einige Länder setzen also noch einen Text um, der bereits überarbeitet wird. Prüfen Sie den aktuellen Stand, bevor Sie etwas in einen Projektplan schreiben.
Große Bußgelder haben wir bisher nicht gesehen, doch das Muster kommt uns von der DSGVO sehr bekannt vor. Zuerst konzentrieren sich die Behörden auf Registrierung und Governance. Dann sehen sie sich die tatsächlichen Sicherheitsmaßnahmen an, und Bußgelder folgen in der Regel erst bei Unternehmen, die die Regeln dauerhaft ignorieren. Anders gesagt: früh im Prozess zu sein bedeutet nicht, aus dem Risiko heraus zu sein.
Microsoft Purview kann bei bestimmten Teilen der NIS2-Reife helfen, etwa beim Strukturieren einer Microsoft 365 Compliance-Bewertung, beim Sammeln von Audit-Nachweisen, beim Klassifizieren sensibler Daten, bei der Unterstützung von DLP-Untersuchungen und beim Erkennen von Insider-Risikosignalen. Bevor wir uns die Werkzeuge ansehen, betrachten wir zunächst die tatsächlichen NIS2-Anforderungen.
Fallen Sie in den Anwendungsbereich, und was müssen Sie tun?
Bevor wir uns ansehen, was Microsoft Purview für Sie tun kann, sind zwei Fragen zu klären: Gilt NIS2 für Sie, und was verlangt die Richtlinie eigentlich?
Fallen Sie in den Anwendungsbereich?
NIS2 verwendet zwei Kategorien, wesentliche Einrichtungen und wichtige Einrichtungen. Ihre Branche und die Größe Ihres Unternehmens entscheiden, welche für Sie gilt. Die folgende Tabelle gibt einen Überblick:
| Kategorie | Wer | Aufsicht |
|---|---|---|
| Wesentliche Einrichtungen | Große Unternehmen in den 11 Sektoren mit hoher Kritikalität nach Anhang I. Dazu gehören Energie, Verkehr, Bankwesen, Finanzmarktinfrastruktur, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten, öffentliche Verwaltung und Weltraum. Grob gesagt bedeutet das 250 oder mehr Beschäftigte oder mehr als 50 Millionen Euro Umsatz. | Proaktiv. Audits und Inspektionen ohne Anlass. |
| Wichtige Einrichtungen | Mittlere und große Unternehmen aus Anhang I und Anhang II, die nicht wesentlich sind. Anhang II ergänzt Postdienste, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Anbieter und Forschung. | Reaktiv. Die Aufsicht folgt Hinweisen auf ein Problem. |
Die allgemeine Größenschwelle liegt bei 50 oder mehr Beschäftigten oder einem Jahresumsatz über 10 Millionen Euro. Einige Einrichtungen fallen unabhängig von ihrer Größe in den Anwendungsbereich, darunter DNS-Diensteanbieter, TLD-Registries, Vertrauensdiensteanbieter und bestimmte Stellen der öffentlichen Verwaltung.
Zur Beachtung: Finanzunternehmen, die unter den Digital Operational Resilience Act (DORA) fallen, folgen bei den sich überschneidenden Regeln zu Cybersicherheits-Risikomanagement und Vorfallmeldung in der Regel DORA, weil NIS2 sektorspezifischen EU-Vorschriften Vorrang gibt, wenn diese in ihrer Wirkung mindestens gleichwertig sind. Das ist der Grundsatz lex specialis.
Was müssen Sie tun?
Die Formulierungen unterscheiden sich je Land, die Pflichten sind aber im Kern dieselben. Niederländische Leser kennen sie als registratieplicht, zorgplicht und meldplicht. In Deutschland wird dieselbe Diskussion üblicherweise über Registrierungspflicht, Risikomanagementmaßnahmen und Meldepflicht geführt.
Registrierung
Unternehmen müssen sich bei ihrer nationalen Behörde registrieren und dabei Angaben wie Name, Kontaktdaten, Sektor und die Mitgliedstaaten machen, in denen sie tätig sind. Das ist eine Meldepflicht mit Frist, und kein Werkzeug wird Sie daran erinnern.
Sorgfaltspflicht
Artikel 21 der NIS2-Richtlinie legt zehn Mindestmaßnahmen fest. Dazu gehören Risikoanalyse und Sicherheitsrichtlinien, Bewältigung von Sicherheitsvorfällen, Betriebskontinuität und Krisenmanagement, Sicherheit der Lieferkette, sichere Beschaffung und Entwicklung, Überprüfung der Wirksamkeit von Maßnahmen, Cyberhygiene und Schulungen, Kryptografie und Verschlüsselung, Personalsicherheit und Zugriffskontrolle sowie Multi-Faktor-Authentifizierung.
Fällt Ihnen auf, worum es in dieser Liste überwiegend geht? Es ist eine Cybersicherheitsliste, keine Liste zur Data Governance.
Meldung von Sicherheitsvorfällen
Sobald Sie Kenntnis von einem erheblichen Sicherheitsvorfall erlangen, beginnen die Meldefristen zu laufen.
| Frist | Was Sie einreichen müssen |
|---|---|
| 24 Stunden | Frühwarnung an Ihr CSIRT und die zuständige Behörde |
| 72 Stunden | Meldung des Vorfalls einschließlich einer ersten Bewertung von Schwere und Auswirkungen |
| 1 Monat | Abschlussbericht mit Beschreibung des Vorfalls, seiner Ursache und der getroffenen Gegenmaßnahmen |
Vierundzwanzig Stunden sind nicht viel. Das ist der Teil von NIS2, der in der Praxis am ehesten scheitert, weil er von Erkennung, Eskalation und einer benannten Person abhängt, die weiß, was zu tun ist. Jeder Mitgliedstaat regelt den Weg anders, über sein eigenes CSIRT, Portal oder Formular. Finden Sie heraus, welcher Weg für Ihr Unternehmen gilt, bevor Sie ihn brauchen.
NIS2 mit Microsoft Purview steuern
Machen wir klar, wo Purview innerhalb von NIS2 seinen Platz hat. NIS2 ist eine Cybersicherheitsrichtlinie. Purview ist ein Werkzeugkasten für Datensicherheit und Data Governance. Diese Bereiche überschneiden sich, sie sind aber nicht dasselbe. Ein großer Teil von Artikel 21 wird von Microsoft Defender, Microsoft Sentinel, Microsoft Entra und Microsoft Intune abgedeckt und nicht von Purview. Vier Purview-Funktionen sind für Ihr Unternehmen dennoch ausgesprochen hilfreich.
Compliance Manager: die NIS2-Bewertungsvorlage
Der Compliance Manager enthält eine eigene NIS2-Bewertungsvorlage. Sie ordnet die Anforderungen der Richtlinie technischen und organisatorischen Maßnahmen in Microsoft 365 zu. Das ist ein nützlicher Ausgangspunkt, weil aus einer langen und umfangreichen Richtlinie eine Liste von Controls, Verantwortlichen und Nachweisen wird.
Die Einrichtung funktioniert genau wie bei der EU-KI-Verordnung, die wir im Compliance Manager durchgegangen sind. Die Regulierung steht im Compliance Manager bereit:
Zur Beachtung: Die NIS2-Vorlage ist eine Premium-Regulierungsvorlage. Unternehmen mit einer E5-Lizenz können bis zu drei Premium-Vorlagen ohne Zusatzkosten auswählen.
Nach dem Klick auf die Regulierung sehen Sie eine Übersicht aller Controls:
Audit: die Nachweise hinter Ihrem 72-Stunden-Bericht
Ihre Vorfallmeldung muss beschreiben, was passiert ist und wie schwerwiegend die Auswirkungen waren. Im einheitlichen Überwachungsprotokoll liegen diese Nachweise: wer wann und von wo auf was zugegriffen hat.
Auf dieselbe Gefahr haben wir schon in unserem Beitrag zur EU-KI-Verordnung hingewiesen: Die Audit-Aufbewahrung ist oft kürzer, als die Leute denken, und eine Änderung der Einstellung holt keine bereits abgelaufenen Datensätze zurück. Wenn eine Untersuchung ältere Datensätze braucht, können diese weg sein.
Vertraulichkeitsbezeichnungen und DLP: wissen, was tatsächlich offengelegt wurde
Bei einem Sicherheitsvorfall lautet eine der ersten Fragen: Welche Daten wurden tatsächlich offengelegt? Nicht wie viele Dateien, sondern welche Art von Dateien. Diese Antwort entscheidet, wie schwerwiegend Ihre NIS2-Meldung ausfallen muss und ob Sie zusätzlich den Prozess zur Meldung einer Datenschutzverletzung nach DSGVO starten müssen.
Vertraulichkeitsbezeichnungen (Sensitivity Labels) liefern die erste Hälfte der Antwort. Sie zeigen, wie sensibel eine Datei ist und wo diese gekennzeichneten Dateien in Ihrer Microsoft 365-Umgebung liegen. Zum Beispiel:
Es gibt einen zweiten Vorteil, der bei einem Vorfall mehr zählt, als die meisten erwarten würden. Vertraulichkeitsbezeichnungen können Verschlüsselung anwenden, und die Verschlüsselung bleibt an der Datei. Wenn ein Angreifer eine gekennzeichnete und verschlüsselte Datei stiehlt, hat er die Datei, der Inhalt bleibt aber geschützt.
Das verändert Ihre Folgenabschätzung erheblich. In einer 72-Stunden-Meldung besteht ein großer Unterschied zwischen “die Datei wurde gestohlen” und “die Datei wurde gestohlen, der Inhalt war aber weiterhin verschlüsselt”.
DLP liefert die zweite Hälfte: was nach einer ausgelösten DLP-Regel tatsächlich geschah. Der Aktivitätsexplorer zeigt jede Übereinstimmung mit einer DLP-Regel, und im Detailbereich stehen der Name der Richtlinie, der betroffene Typ sensibler Informationen und der Ort der Aktivität. Zum Beispiel:
Insider Risk Management: die Gefahr von innen
Artikel 21 umfasst Personalsicherheit und Zugriffskontrolle. Insider Risk Management erkennt die Muster, die einem internen Vorfall vorausgehen, etwa Massendownloads vor einer Kündigung. Microsoft Purview enthält Insider Risk Management mit einer Reihe nützlicher Richtlinien. Zum Beispiel:
Zur Beachtung: Nach unserer Erfahrung arbeiten relativ wenige Unternehmen mit Microsoft Purview Insider Risk Management. Wenn das auf Sie zutrifft, gelten die Maßnahmen zu Personalsicherheit und Zugriffskontrolle aus Artikel 21 trotzdem. Sie beantworten sie dann mit Prozessen zum Zugriffslebenszyklus von Beschäftigten, mit Zugriffsüberprüfungen und mit Conditional Access.
Die Grenzen von Microsoft Purview
Hier wird der Unterschied zwischen Werkzeug und Compliance wirklich entscheidend. Microsoft Purview kann Teile von NIS2 unterstützen, besonders rund um Datenschutz, Nachweise und Meldung. Dieser Abschnitt zeigt aber, warum es die Pflicht nicht vollständig tragen kann. Der größte Teil von Artikel 21 liegt in breiteren Cybersicherheits-Controls, Ihr NIS2-Anwendungsbereich ist weiter als Microsoft 365, und mehrere Anforderungen hängen von Verantwortlichkeit, Prozessen und Nachweisen außerhalb des Tenants ab.
Der größte Teil von Artikel 21 liegt außerhalb von Purview
Multi-Faktor-Authentifizierung ist Teil von Microsoft Entra. Endgeräte werden mit Intune und Defender verwaltet. Netzwerksegmentierung, Schwachstellenmanagement und Bedrohungserkennung laufen überwiegend über Defender und Sentinel. Backup und Disaster Recovery liegen in Ihrer weiteren Infrastruktur. Purview hilft beim Datenschutz, nicht bei allen zehn Maßnahmen.
Zur Beachtung: Wenn ein Anbieter Ihnen erzählt, ein Produkt liefere NIS2-Compliance, fragen Sie, welche der zehn Maßnahmen aus Artikel 21 es tatsächlich abdeckt. Die Antwort kann nicht “alle” sein.
Dieselbe Vorsicht gilt für Zertifizierungen. Viele Unternehmen gehen davon aus, ein ISO 27001-Zertifikat kläre die Frage. Frankreich macht die Lücke messbar: Die ANSSI hat erklärt, dass ISO 27001 nicht automatisch NIS2-Compliance bedeutet und für sich genommen nur 2 der 20 Ziele im französischen Rahmenwerk abdeckt. Ein Zertifikat ist ein nützlicher Nachweis für einen Teil der Arbeit. Es ist nicht die Arbeit.
Die Bewertung im Compliance Manager deckt nur Microsoft 365 ab
Das ist die Grenze, die am meisten zählt. Die NIS2-Vorlage bewertet Ihre Microsoft 365-Konfiguration. Ihr NIS2-Anwendungsbereich ist Ihr ganzes Unternehmen. Dazu können die Produktionshalle gehören, das OT-Netz, das Lieferantenportal und der Server, den seit 2019 niemand gepatcht hat.
Eine grüne NIS2-Bewertung im Compliance Manager sagt Ihnen, dass ein Teil Ihrer Microsoft-Umgebung gut konfiguriert ist. Über den Rest Ihres Bestands sagt sie wenig, und dort beginnen viele Vorfälle.
Die Grenze sehen Sie beim Anlegen der Bewertung. Zum Beispiel:
Es wird Ihnen nicht sagen, was Sie haben
Artikel 21 beginnt mit einer Risikoanalyse. Sie können kein Risiko über Systeme analysieren, die Sie nicht erfasst haben. Purview kann Ihnen viel über Daten sagen. Es liefert Ihnen kein vollständiges Verzeichnis aller SharePoint-Sites, Teams, Power Platform-Umgebungen und Anwendungen, wer sie jeweils verantwortet und welche nicht mehr genutzt werden.
Die organisatorischen Pflichten sind Ihre
Vier Pflichten liegen vollständig außerhalb jedes Produkts. Sie werden am ehesten vergessen, weil keine davon nach Sicherheitsarbeit aussieht:
- Registrierung: eine Meldepflicht bei der nationalen Behörde. Nichts in Ihrem Tenant wird Sie daran erinnern.
- Schulung der Leitungsebene: Artikel 20 verpflichtet Mitglieder von Leitungsorganen zur Teilnahme an Schulungen. Das ist ein Kalendereintrag, keine Konfiguration.
- Lieferantenbewertung: Sie müssen die Cyberrisiken Ihrer Lieferanten bewerten und dokumentieren. Das ist ein Einkaufs- und Vertragsprozess.
- Vorfallmeldung: Purview und Defender erzeugen die Nachweise. Sie innerhalb von 24 Stunden beim richtigen CSIRT einzureichen ist ein Runbook mit Namen darin.
Business Case und Szenarien für NIS2
Eine der Herausforderungen bei NIS2 ist, einen belastbaren Business Case für die Menschen zu bauen, die Ihr NIS2-Projekt finanzieren müssen. “Das Gesetz schreibt es vor” reicht nicht immer, um Budget freizugeben. Ein stärkerer Business Case zeigt, dass NIS2 nicht nur der Vermeidung von Bußgeldern dient. Es geht auch um die Verantwortung der Leitungsebene, um Kundenvertrauen und um Handlungsfähigkeit beim ersten Vorfall.
Zwei Artikel leisten in diesen Gesprächen die meiste Arbeit. Artikel 20 legt die Rechenschaftspflicht auf die Leitungsorgane. Artikel 21 legt die Maßnahmen selbst fest. Beide haben wir oben behandelt; hier steht, warum sie für die Budgetverantwortlichen wichtig sind.
Die Leitungsebene kann Cyberrisiko nicht länger als IT-Thema behandeln
Unternehmen drohen Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Wichtigen Einrichtungen drohen bis zu 7 Millionen Euro oder 1,4 Prozent. Diese Zahlen zählen, doch Artikel 20 ist das, was das Gespräch im Vorstand verändert. Die Leitungsebene muss die Cybersicherheitsmaßnahmen genehmigen, deren Wirksamkeit überwachen und selbst an Schulungen teilnehmen. Damit wird NIS2 zu einem Governance-Thema und nicht nur zu einem Sicherheitsprojekt.
Ihre Kunden fragen möglicherweise vor der Aufsichtsbehörde
NIS2 betrachtet auch das Risiko in der Lieferkette. Unternehmen im Anwendungsbereich müssen die Cyberrisiken ihrer Lieferanten verstehen und steuern. Das heißt, Ihre Kunden verlangen möglicherweise Nachweise, selbst wenn Ihr eigenes Unternehmen nicht direkt erfasst ist.
Für viele Lieferanten wird der erste NIS2-Moment kein Schreiben einer Behörde sein. Es wird ein Kundenfragebogen, eine Lieferantenbewertung oder ein Security Review sein, in dem nach Incident Response, Zugriffskontrolle, Backup-Tests, Lieferantenrisiko und Sicherheitsüberwachung gefragt wird. Unternehmen, die mit Nachweisen antworten können, kommen schneller voran. Unternehmen, die das nicht können, verlangsamen unter Umständen Vertrieb, Verlängerungen oder Beschaffung.
Die Vorfallmeldung muss funktionieren, bevor der Vorfall eintritt
NIS2 gibt Unternehmen sehr wenig Zeit, sobald ein erheblicher Vorfall bekannt ist. Eine Frühwarnung kann innerhalb von 24 Stunden fällig sein, gefolgt von einer detaillierten Meldung innerhalb von 72 Stunden. Das kann nicht der Moment sein, in dem Sie erst herausfinden müssen, wer den Prozess verantwortet, welche Behörde zu kontaktieren ist, ob Ihre Protokolle noch existieren oder wer außerhalb der Bürozeiten erreichbar ist.
Diese drei Szenarien zeigen, dass es bei NIS2 um mehr geht als um das Bestehen eines Audits. Zusammen ergeben sie den stärkeren Fall für die Finanzierung der Arbeit: Verantwortung der Leitungsebene, Kundenvertrauen und Handlungsfähigkeit im Vorfall.
Adoption und Schulung
NIS2 ist etwas ungewöhnlich, weil Schulung nicht optional ist. Artikel 20 verlangt, dass die Leitungsebene eine Schulung absolviert. Artikel 21 verlangt zusätzlich Cyberhygiene-Praktiken und Cybersicherheitsschulungen als Teil der Risikomanagementmaßnahmen.
Wir empfehlen, das in zwei Spuren zu organisieren. Für Beschäftigte nutzen Sie Phishing-Simulationen, Schulungskampagnen und Lernpfade, die in Microsoft 365 bereits verfügbar sind. Für die Leitungsebene organisieren Sie eine richtige NIS2-Schulung und dokumentieren die Teilnahme. Dieser Nachweis belegt eine Pflicht, die diese Personen persönlich trifft.
Microsoft stellt für die Schulungsspur der Beschäftigten mehrere nützliche Ressourcen bereit. Sie ersetzen keine formale NIS2-Schulung für Leitungsorgane, und sie sind kein vollständiges NIS2-Adoptionsprogramm. Sie sind nützliche Bausteine für die Anforderung aus Artikel 21 rund um Cyberhygiene und Cybersicherheitsschulung, vor allem weil sie Ihnen helfen zu zeigen, wer eine Schulung zugewiesen bekam, wer sie abgeschlossen hat und wo nachgefasst werden muss. Hier eine Übersicht nützlicher Ressourcen:
- Attack Simulation Training
- Schulungskampagnen
- Schulungsmodule und Benachrichtigungen
- Microsoft Learn Security Fundamentals
- Microsoft Security Adoption-Ressourcen
Zur Beachtung: Verwechseln Sie Microsoft-Schulungsressourcen nicht mit vollständiger NIS2-Reife. Sie helfen bei Bildung, Bewusstsein und Nachweisen, doch Verantwortung der Leitungsebene, Schulung des Vorstands, Lieferanten-Governance und Vorfallmeldung brauchen weiterhin ein organisatorisches Programm.
Eine Anmerkung von Rencore
Artikel 21 beginnt mit einer Risikoanalyse, und der Abschnitt oben hat den Punkt schon gemacht: Sie können kein Risiko über Systeme analysieren, die Sie nicht erfasst haben. Diese Lücke ist kein Purview-Problem im Besonderen. Es ist ein Microsoft 365-Problem. Die native Werkzeuglandschaft sagt Ihnen etwas über Daten. Sie gibt Ihnen kein Verzeichnis jeder Site, jedes Teams, jeder Gruppe und jeder App, wer sie verantwortet und ob sie noch jemand nutzt.
Genau dort steht Rencore bewusst neben Purview und nicht davor. Purview klassifiziert und schützt die Daten. Rencore baut das Inventar auf und hält es aktuell, von dem die Risikoanalyse aus Artikel 21 abhängt: jede SharePoint-Site, jedes Team, jede Power App, jeder Flow, jede Gruppe und jeder Benutzer, mit Nutzung, Zustand und Lebenszyklusstatus daran, sodass “wer verantwortet das und ist es noch aktiv” eine Antwort hat und keine Suchmannschaft braucht. Zugriffs- und Freigabekonfigurationen werden gegen die Richtlinien geprüft, die Sie aktivieren, sodass Oversharing und verwaiste Sites auffallen, bevor eine Prüfung oder ein Vorfall sie für Sie findet.
Seien Sie klar darüber, was das löst und was nicht. Es registriert Sie nicht bei Ihrer nationalen Behörde, setzt Ihr Leitungsorgan nicht in die Schulung nach Artikel 20 und schreibt Ihr 24-Stunden-Runbook nicht. Das bleibt organisatorische Arbeit, genau wie der Rest dieses Beitrags argumentiert. Was es leistet, ist das Verzeichnis, das die Risikoanalyse aus Artikel 21 bereits voraussetzt, und eine Antwort auf “wer verantwortet jedes Einzelne, und welche werden nicht mehr genutzt”, die nicht davon abhängt, dass sich jemand erinnert.
Fazit
NIS2 ist kein Zukunftsthema mehr. In der ganzen EU wird die Richtlinie nationales Recht, Registrierungsfristen laufen ab, und die Aufsichtsbehörden gehen von der Vorbereitung zur Durchsetzung über. Zehntausende Unternehmen fallen direkt in den Anwendungsbereich, und viele weitere spüren die Wirkung über Kundenfragebögen, Lieferantenbewertungen und Vertragsanforderungen.
Microsoft Purview gibt Ihnen einen nützlichen Ausgangspunkt. Der Purview Compliance Manager hilft Ihnen, eine NIS2-Bewertung für Microsoft 365 zu strukturieren, Purview Audit liefert Ihnen Nachweise für Vorfallmeldungen, und Vertraulichkeitsbezeichnungen, DLP und Insider Risk Management unterstützen Teile von Artikel 21. Das ist wertvoll, aber es ist nicht dasselbe wie NIS2-Compliance.
Die größere Arbeit liegt rund um die Werkzeuge. Sie brauchen die Verantwortung der Leitungsebene nach Artikel 20, Risikomanagementmaßnahmen für Cybersicherheit nach Artikel 21, einen funktionierenden Prozess zur Vorfallmeldung, Lieferanten-Governance, Schulungsnachweise und ein Inventar der Systeme und Dienste, die tatsächlich im Anwendungsbereich liegen. Ihr Microsoft 365-Tenant ist nur ein Teil dieses Bildes. Wir helfen gerne, und wir empfehlen Ihnen dringend, diese Schritte zu gehen:
- Prüfen Sie, ob Sie nach Ihrem nationalen Recht in den Anwendungsbereich fallen. Beginnen Sie mit Sektor und Größe, prüfen Sie aber die lokale Umsetzung und verlassen Sie sich nicht allein auf die Richtlinie.
- Registrieren Sie sich bei Ihrer nationalen Behörde. Das ist eine gesetzliche Pflicht mit Frist und keine technische Konfiguration.
- Bauen Sie ein Verzeichnis der Dienste, Systeme, Lieferanten und Verantwortlichen auf, die tatsächlich im Anwendungsbereich liegen. Artikel 21 beginnt mit der Risikoanalyse, und die Risikoanalyse beginnt damit zu wissen, was Sie betreiben.
- Legen Sie die NIS2-Bewertung im Compliance Manager an. Nutzen Sie sie, um zu verstehen, wo Microsoft 365 hilft und wo Sie weiterhin zusätzliche Controls, Verantwortliche und Nachweise brauchen.
- Prüfen Sie Ihre Audit-Aufbewahrung. Ihre Vorfallnachweise sind nur so lange verfügbar, wie Ihre Aufbewahrung es zulässt.
- Schreiben und testen Sie das 24-Stunden-Runbook für Vorfälle, mit Namen darin. Vierundzwanzig Stunden sind kurz, besonders außerhalb der Bürozeiten.
- Organisieren und dokumentieren Sie Cybersicherheitsschulungen für Leitungsebene und Beschäftigte. Unter NIS2 ist Schulung Teil der Pflicht, und Teilnahmenachweise werden zum Beleg.
Beginnen Sie mit Purview, aber hören Sie dort nicht auf. NIS2-Reife ist eine Verantwortung des gesamten Unternehmens.
Zuletzt aktualisiert am 10. September 2026
