Was NIS2 für Sicherheitsarchitekturen bedeutet Mit Security-by-Design zu mehr Cyberresilienz

Anbieter zum Thema

Fujitsu Technology Solutions GmbH

FAST LTA GmbH

FTAPI Software GmbH

NIS2 zwingt Unternehmen zum Umdenken: Sicherheit darf kein Add-on mehr sein. Der Ansatz Security-by-Design hilft, Angriffe früh zu stoppen, Resilienz zu stärken und regulatorische Anforderungen strategisch zu nutzen.

Ein Mitarbeiter gibt seine Zugangsdaten auf einer gefälschten Login-Seite ein. Einige Minuten später bewegen sich Angreifer lateral durch das Unternehmensnetz, eskalieren Privilegien über einen kompromittierten Service-Account und löschen Backup-Snapshots – noch bevor die Ran­somware die Produktionssysteme verschlüsselt.

Solche Vorfälle zeigen ein strukturelles Problem vieler IT-Landschaften: Sicherheitskontrollen entstehen häufig nachträglich, während Architekturentscheidungen be­reits gefallen sind. Erlangen Angreifer Zugriff auf Identitäten oder Administrationsrechte, erreichen sie dadurch oft auch Backup-Systeme, Management-Netze oder Produktionsumgebungen.

Genau hier setzt der Ansatz Security-by-Design an. Sicherheitsanforderungen entstehen bereits bei der Planung von Infrastruktur, Anwendungen und Betriebsprozessen. Mit der NIS2-Richtlinie erhält dieser Architekturansatz erstmals einen klaren regulatorischen Rahmen: Die europäische Vorgabe definiert einen Mindeststandard für Cybersicherheit und zwingt Organi­sa­tio­nen dazu, Sicherheitsarchitektur und Resilienz systematisch mitzudenken.

Security-Insider Podcast – Folge 108

Das Jahr der NIS-2-Richtlinie beginnt

Wen NIS2 betrifft und welche Pflichten bereits gelten

In Deutschland fallen rund 29.500 Unternehmen unter NIS2. Die Umsetzungspflichten gelten bereits seit Dezember 2025 und die Registrierungspflicht beim BSI ist seit März abgelaufen. Betroffene Organisationen müssen technische und organisatorische Sicherheitsmaßnahmen nun vollständig erfüllen.

Im Fokus stehen vor allem belastbare Sicherheitsprozesse und Architekturen: Risiko- und Schwach­stellenmanagement, Incident-Response-Prozesse, Business Continuity sowie die Absicherung von Lieferketten. Bestehende ISMS-Strukturen, etwa nach ISO 27001, bilden dafür häufig die Grundlage. Gleichzeitig verankert NIS2 Cybersicherheit verbindlich auf Leitungs­ebe­ne und stärkt so die Durchsetzungskraft von Security-Teams.

Zudem steht NIS2 in einem breiteren regulatorischen Kontext: Meldepflichten greifen parallel in mehreren Regimen, etwa beim BSI innerhalb von 24 Stunden und bei Datenschutzbehörden innerhalb von 72 Stunden. Mit DORA und dem KRITIS-Dachgesetz steigt der regulatorische Druck weiter. Verstöße können dabei erhebliche Konsequenzen haben: Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des Jahresumsatzes.

Kurz vor Fristende am 6. März 2026

Run auf BSI-Registrierungsportal

Sicherheit über alle Ebenen hinweg

Regulatorische Compliance allein schafft jedoch noch keine Sicherheit. Entscheidend ist die technische Umsetzung und wie IT-Architekturen gestaltet sind. Die zentrale Konsequenz aus NIS2 lautet: Sicherheitskontrollen müssen von Beginn an Teil der Systemarchitektur sein. Genau hier setzt Security-by-Design an. Sicherheitsanforderungen fließen bereits in die Planung von Infrastruktur, Anwendungen und Betriebsprozessen ein.

Angriffsbewegungen begrenzen: Wie das eingangs beschriebene Szenario zeigt, können sich Angreifer in unzureichend segmentierten Umgebungen schnell lateral ausbreiten und kritische Systeme wie Backups erreichen. Resiliente Architekturen verhindern diesen Dominoeffekt. Getrennte Identitätsdomänen für Backups, dedizierte Management-Netze für administrative Zugriffe und Firewalls zwischen IT- und OT-Segmenten. Zugriffskontrollen nach dem Least-Privilege-Prinzip beschränken Identitäten auf die notwendigen Ressourcen.

Cloud-Sicherheit neu denken: Managed Service Provider und Cloud-Anbieter gelten unter NIS2 als besonders wichtige Einrichtungen. Ein zentraler Hebel ist die Ablösung statischer Zugangs­da­ten: Wo heute noch langlebige API-Keys in Konfigurationsdateien stehen, setzen resiliente Architekturen auf kurzlebige, automatisch rotierende Tokens, etwa über Workload Identity Federation oder IAM Roles for Service Accounts. Wird ein Token kompromittiert, läuft es in­ner­halb von Minuten ab, statt Angreifern über Wochen oder Monate persistente Zugriffe zu er­mög­lichen.

Security-Insider Podcast – Folge 110

Wer haftet bei Verstößen gegen NIS2?

Gleichzeitig verlagert sich Sicherheit in die Bereitstellungsschicht. Infrastructure-as-Code definiert Sicherheitsvorgaben verbindlich mit, etwa indem Storage standardmäßig ver­schlüs­selt wird, Public Access blockiert ist oder Netzwerksegmente nur explizit freigegebene Ver­bindungen erlauben. Fehlkonfigurationen lassen sich so bereits vor dem Deployment erkennen und verhindern. Logging wird dabei von Anfang an mitgedacht, indem Zugriffe auf Identitäten, Ressourcen und APIs standardmäßig protokolliert und zentral korreliert werden, sodass sicher­heitsrelevante Aktivitäten auch in dynamischen Cloud-Umgebungen nachvollziehbar bleiben.

Sicherheit ab der ersten Codezeile: Organisationen sollten Sicherheitsanforderungen im Secure Development Lifecycle verankern und bereits in frühen Architekturphasen Threat Modeling durchführen. Bevor ein Team etwa eine neue API zu einem Zahlungsdienstleister implementiert, sollte es systematisch Bedrohungsszenarien analysieren. Authentifizierung via OAuth 2.0, TLS-1.3-Verschlüsselung und Audit-Logging sind dadurch fester Bestandteil des Designs. Diese Maßnahmen bilden das Fundament. Ihre volle Wirkung entfalten sie im operativen Betrieb.

Möge die Sicherheit mit dir sein

Was Sicherheitsverantwortliche von Star Wars lernen können

Wie Security-by-Design die operative Sicherheit stärkt

Im laufenden Betrieb zeigt Security-by-Design seinen größten Hebel. Sichere Standard­kon­fi­gu­ra­tio­nen sorgen dafür, dass Systeme bereits im Ausgangszustand gehärtet starten. Neue Ser­ver-Images enthalten automatisch deaktivierte Standardpasswörter, geschlossene Ports und aktivierte Audit-Logs. Mehrschichtige Architekturen nach dem Prinzip Defense-in-Depth kombinieren Segmentierung, Zugriffskontrollen und Anomalieerkennung.

Zentrale SIEM-Systeme korrelieren Login-Versuche, Administratoraktivitäten und Netz­werk­ereignisse in Echtzeit. Meldet sich ein Administratorkonto nachts von einer unbekannten IP-Adresse an und greift gleichzeitig auf Backup-Systeme zu, löst das SIEM automatisch einen Alert aus und sperrt den Zugang temporär. Die Mean Time to Detect wird zum zentralen Re­silienzindikator.

Tool-Overload überfordert SOC-Analysten

Zeitfaktor entscheidet über Schadens­begrenzung bei Cyberangriffen

Ebenso entscheidend sind belastbare Wiederanlaufmechanismen. Backup- und Restore-Strategien entstehen bereits in der Architekturphase und werden regelmäßig unter realistischen Bedingungen getestet. In vielen Ransomware-Vorfällen gelingt es Angreifern jedoch, Wiederherstellungspunkte zu löschen, weil Backup-Systeme über dieselben Administrationskonten oder Identitätsdienste erreichbar sind wie die Produktionssysteme.

Ein typisches Szenario, wie eingangs bereits beschrieben: Angreifer kompromittieren zunächst ein Administratorkonto, verschaffen sich darüber Zugriff auf das Backup-Managementsystem und löschen vorhandene Snapshots oder verkürzen die Aufbewahrungszeiten. Erst danach starten sie die eigentliche Verschlüsselung der Produktionssysteme, eine Wiederherstellung aus den Backups ist dann kaum noch möglich.

Resiliente Architekturen vermeiden diese Abhängigkeit durch getrennte Identitätsdomänen, isolierte Backup-Netze oder unveränderliche Backup-Speicher. Klare Recovery-Ziele (RPO und RTO) sorgen dafür, dass kritische Systeme auch nach erfolgreichen Angriffen innerhalb von Stunden wieder verfügbar sind.

Wiederherstellung von Identitäten

Recovery-Strategien für Identitätssysteme

Was Unternehmen jetzt erwartet

Cyberangriffe verlaufen keineswegs entlang von Checklisten. Sie nutzen komplexe Ketten aus technischen, organisatorischen und menschlichen Schwachstellen. Cyberresilienz beschreibt die Fähigkeit, Angriffe frühzeitig zu erkennen, deren Auswirkungen zu begrenzen und den Betrieb kontrolliert aufrechtzuerhalten.

Der regulatorische Druck wird weiter zunehmen. Ab Sommer 2026 ergänzt das KRITIS-Dach­gesetz die digitale Resilienz um physische Schutzanforderungen. Das BSI baut seine Durch­set­zungskapazitäten aus, die bislang zurückhaltende Linie dürfte sich verschärfen. Gleich­zeitig fordern Cyberversicherer und Geschäftspartner zunehmend belastbare Nachweise wirksamer Sicherheitsmaßnahmen.

Security-Insider Podcast – Folge 116

So ergänzt das KRITIS-Dachgesetz die NIS-2-Richtlinie

Unternehmen, die jetzt ihre Sicherheitsarchitektur auf Belastbarkeit prüfen, Security-by-Design verankern und Cyberresilienz als strategisches Ziel etablieren, schaffen die Grundlage für kommende Anforderungen. Wer NIS2 als Katalysator begreift, gewinnt weit mehr als Regelkonformität, sondern auch die Fähigkeit, Angriffe kontrolliert zu bewältigen und den Betrieb sicher wiederherzustellen.

Über den Autor: Okay Güler ist Gründer und CEO von Cloudyrion. Nachdem er im Banking und Automotive-Bereich Erfahrung als Ethical Hacker sammeln konnte, gründete Güler 2020 Cloudyrion. Seine Motivation: Unternehmen zu helfen, die neuen Herausforderungen im Cy­berspace zu bewältigen und Awareness für Secure-by-Design zu schaffen.

Cyber-Resilienz braucht Blick auf die ganze Systemarchitektur

Fünf Schichten für effektive Cyber-Resilienz

(ID:50833309)