NIS2

So funktioniert es

NIS2 ersetzt die NIS-Richtlinie von 2016. Weil es eine Richtlinie und keine Verordnung ist, bindet Sie das nationale Umsetzungsgesetz, überwacht von einer nationalen Behörde: dem BSI in Deutschland, der ANSSI in Frankreich, INCIBE und CCN in Spanien. Die meisten Mitgliedstaaten haben erst nach der Frist im Oktober 2024 geliefert, weshalb Anwendungsbereich und Meldewege von Land zu Land noch leicht abweichen.

Die Richtlinie unterscheidet wesentliche und wichtige Einrichtungen, nach Sektor und Größe. Energie, Verkehr, Bankwesen, Gesundheit, Trinkwasser, digitale Infrastruktur, öffentliche Verwaltung und Post fallen hinein, dazu ein großer Teil des verarbeitenden Gewerbes und der Abfallwirtschaft, die NIS1 ausgelassen hatte. Ein Unternehmen mit mehr als 50 Beschäftigten oder 10 Millionen Euro Umsatz kann betroffen sein, ohne sich je als kritische Infrastruktur verstanden zu haben.

Zwei Artikel tragen die Hauptlast. Artikel 21 zählt die erwarteten Maßnahmen auf: Bestandsverzeichnis und Zugriffskontrolle, Mehr-Faktor-Authentifizierung, Kryptografie, Patch-Management, Sicherheit der Lieferkette, Behandlung von Vorfällen. Artikel 23 setzt die Uhr: Frühwarnung innerhalb von 24 Stunden nach Kenntnis eines erheblichen Sicherheitsvorfalls, vollständige Meldung nach 72 Stunden, Abschlussbericht nach einem Monat. Bußgelder reichen bis 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes bei wesentlichen Einrichtungen, und die Leitungsorgane haften persönlich für die Maßnahmen, die sie billigen.

Warum es für eine Flotte wichtig ist

Auf Telefonen und Tablets lesen die meisten Ihrer Beschäftigten ihre Post und öffnen Anhänge, und Artikel 21 nimmt sie nirgends heraus. Ein Prüfer, der nach der Zugriffskontrolle auf Unternehmensdaten fragt, erwartet für das Android-Tablet im Lager dieselbe Antwort wie für einen Laptop: bekannter Gerätebestand, erzwungene Verschlüsselung, aktuelles Betriebssystem und die Möglichkeit, den Zugriff schnell zu kappen.

Die 24-Stunden-Frist unterschätzen Teams regelmäßig. Ein Gerät verschwindet am Freitagabend, und Sie müssen binnen Stunden wissen, ob es regulierte Daten enthielt, ob der Speicher verschlüsselt war und ob die Löschung angekommen ist. Das ist zuerst eine Frage von Inventar und Nachweis, danach eine von Sicherheit. Eine Flotte, die Sie nur per Tabelle beschreiben können, antwortet nicht rechtzeitig.

Ein offenes Wort dazu: NIS2 erwähnt MDM nirgends. Die Richtlinie verlangt Ergebnisse, und Gerätekontrolle ist einer der Wege dorthin.

So handhabt es Appaloosa

Appaloosa hält keine Zertifizierung und macht Sie nicht NIS2-konform. Die Pflicht bleibt bei Ihrer Organisation. Was die Plattform liefert, sind die Kontrollen und Nachweise, die Artikel 21 auf der mobilen Seite erwartet: Gerätebestand mit OS-Version und letztem Check-in, erzwungener Sperrcode und Speicherverschlüsselung, Compliance-Regeln, die ein Gerät außerhalb der Vorgaben melden, selektive oder vollständige Fernlöschung und ein Export dieses Zustands für Prüfer oder das BSI.

Das Hosting gehört in dasselbe Gespräch. Appaloosa läuft auf einer Infrastruktur in Frankreich mit der SecNumCloud-Qualifizierung der ANSSI (Referenzrahmen Version 3.2, der die Immunität gegen außereuropäische Gesetze abdeckt), und Kundendaten werden nicht außerhalb der EU verarbeitet. Für ein Unternehmen, das seine Lieferanten nach Artikel 21 dokumentiert, fällt damit eine Frage weg. Der mobile Teil Ihrer Maßnahmen liegt dann dort, wo auch Ihre Konfiguration für Mobile Device Management liegt, und nicht in einem separaten Bericht, den Sie jedes Jahr neu zusammensuchen.