NIS2 erklärt: Warum jeder Sicherheitsverantwortliche eine Kryptografie-Strategie braucht

Jahrelang wurde Kryptografie als „Best Practice“ betrachtet: etwas, von dem Sicherheitsteams wussten, dass sie es gut beherrschen sollten, das aber von den Aufsichtsbehörden selten Zeile für Zeile geprüft wurde. Das ist nun nicht mehr der Fall, da Vorschriften wie die Richtlinie über Netz- und Informationssicherheit (NIS) die Kryptografie in ihren Geltungsbereich aufnehmen. Tatsächlich ist NIS2, die neueste Version der NIS-Richtlinie, das erste EU-Gesetz zur Cybersicherheit, das die Kryptografie ausdrücklich nennt und sie damit von einem internen Bestreben zu einer gesetzlichen Anforderung macht, deren Konsequenzen bis in die Führungsetage reichen.

Diese Veränderung ist für jeden Sicherheitsverantwortlichen von Bedeutung, dessen Organisation ein Interesse an der Einhaltung der Vorschriften hat. Im Rahmen von NIS2 ist eine dokumentierte Kryptografie-Richtlinie kein „Nice-to-have“, dessen Erstellung man auf später verschieben kann. Es handelt sich um etwas, das man möglicherweise vorlegen und nachweisen muss – gestützt durch Durchsetzungsbefugnisse, die erhebliche Geldbußen und die persönliche Haftung der Führungskräfte umfassen. Zu verstehen, was die Richtlinie verlangt, und eine Strategie zu entwickeln, die darauf abgestimmt ist, gehört nun zum Aufgabenbereich.

Was NIS2 ist und welchen Geltungsbereich es hat

NIS2 (Richtlinie (EU) 2022/2555) ist die aktualisierte Cybersicherheitsrichtlinie der Europäischen Union. Sie ersetzt die ursprüngliche NIS-Richtlinie und zeichnet sich durch einen deutlich breiteren Anwendungsbereich, eine Meldepflicht für Sicherheitsvorfälle sowie eine direkte Rechenschaftspflicht der Unternehmensleitung aus. In der Praxis unterwirft sie einen wesentlich größeren Teil der EU-Wirtschaft gemeinsamen Cybersicherheitsverpflichtungen.

Der Geltungsbereich ist beträchtlich. NIS2 umfasst schätzungsweise 160.000 Einrichtungen in 18 kritischen Sektoren und unterteilt diese Organisationen in zwei Stufen:

• Systemrelevante Einrichtungen sind in Sektoren mit hoher Kritikalität tätig, wie beispielsweise Energie, Verkehr, Bankwesen, Gesundheitswesen, Wasserversorgung, digitale Infrastruktur und öffentliche Verwaltung.
• Wichtige Unternehmen sind in anderen regulierten Branchen tätig, darunter Postdienste, Abfallwirtschaft, Chemie, Lebensmittelproduktion und digitale Dienstleister.

Beide Ebenen bringen Verpflichtungen mit sich. Die Umsetzung in nationales Recht ist seit Ablauf der Frist im Oktober 2024 uneinheitlich vorangeschritten, doch die Durchsetzungsbefugnisse und die unmittelbare Wirkung nehmen weiter zu, während die Mitgliedstaaten ihre Umsetzungsgesetze fertigstellen. Das Warten auf vollständige Klarheit in allen Rechtsordnungen ist keine sichere Strategie, wenn die zugrunde liegenden Verpflichtungen bereits gelten.

Artikel 21 Absatz 2 Buchstabe h: das Kryptografie-Mandat

Der Kern der Kryptografie-Verpflichtung ist in Artikel 21 verankert. Er verpflichtet die betroffenen Unternehmen zur Umsetzung von zehn Kategorien von Maßnahmen zum Cybersicherheits-Risikomanagement, wobei in einer davon Kryptografie ausdrücklich genannt wird: dokumentierte Richtlinien und Verfahren für den Einsatz von Kryptografie, die entsprechend der Größe und dem Risikoprofil des Unternehmens anzuwenden sind. Diese Anforderung wird durch übergeordnete Sicherheitsmaßnahmen wie die Multi-Faktor-Authentifizierung und gesicherte Kommunikation gemäß Artikel 21 Absatz 2 Buchstabe j untermauert.

Für Betreiber digitaler Infrastrukturen und Vertrauensdienste gehen die Erwartungen durch eine unmittelbar anwendbare Durchführungsverordnung noch weiter. Diese detaillierten Anforderungen beschreiben, was eine ausgereifte Kryptografie-Richtlinie tatsächlich beinhaltet, und es lohnt sich, sie genau zu lesen, da sie den Maßstab festlegen, an dem Prüfer die Einhaltung messen werden.

Im Kern dient die Richtlinie dem Schutz der Vertraulichkeit, Authentizität und Integrität von Daten, wobei der Geltungsbereich durch die unternehmensinterne Klassifizierung der Vermögenswerte und die Risikobewertung festgelegt wird. Aus dieser Klassifizierung müssen sich zwei Aspekte ableiten lassen:

1. Art, Stärke und Qualität des für jede Anlageklasse erforderlichen kryptografischen Schutzes, der sowohl gespeicherte als auch übertragene Daten umfasst.
2. Die daraus resultierende konkrete genehmigte Liste: Welche Protokolle, welche Algorithmen, welche Verschlüsselungsstärke sowie welche Lösungen und Anwendungspraktiken sind zugelassen?

Dies ist zudem die einzige Stelle im NIS2-Stack, an der kryptografische Flexibilität als ausdrücklich genannte Anforderung genannt wird. Soweit angemessen, sollte die Richtlinie einem Ansatz der kryptografischen Flexibilität folgen, damit Algorithmen entsprechend dem Stand der Technik angepasst werden können.

Das dritte Element ist die Schlüsselverwaltung, die den gesamten Lebenszyklus umfasst. Eine konforme Richtlinie regelt die Generierung, die Ausstellung und den Erhalt von Zertifikaten für öffentliche Schlüssel, die Verteilung und Aktivierung, die Speicherung und den autorisierten Zugriff, die Rotation, den Umgang mit Kompromittierungen, die Sperrung, die Wiederherstellung, die Sicherung und Archivierung, die Vernichtung, die Protokollierung und Prüfung sowie die Aktivierungs- und Deaktivierungsdaten, die die Schlüssel für einen definierten kryptografischen Zeitraum festlegen. Schließlich muss die Richtlinie in geplanten Abständen im Hinblick auf den aktuellen Stand der Kryptografie überprüft werden, damit sie nicht unbemerkt veraltet.

Warum dies eine der am besten überprüfbaren Anforderungen der Richtlinie ist

Die Kryptografie sticht im Rahmen von NIS2 besonders hervor, da sie konkret ist. Viele Maßnahmen des Risikomanagements lassen Raum für Interpretationen, doch eine schriftliche Kryptografie-Richtlinie ist entweder vorhanden und wird durchgesetzt oder sie existiert überhaupt nicht. Hier gibt es keinen Spielraum. Das macht Artikel 21 Absatz 2 Buchstabe h zu einer der am besten überprüfbaren Anforderungen der Richtlinie und zu einer derjenigen, die für eine Aufsichtsbehörde am einfachsten zu prüfen sind.

Bei diesem Test steht viel auf dem Spiel. Bei Nichteinhaltung drohen Geldbußen von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes für wesentliche Unternehmen – je nachdem, welcher Betrag höher ist – sowie bis zu 7 Millionen Euro oder 1,4 % für wichtige Unternehmen. Über die finanziellen Risiken hinaus können einige nationale Behörden die Geschäftsführung persönlich haftbar machen und sogar Führungsaufgaben aussetzen. Mit anderen Worten: Die Rechenschaftspflicht endet nicht beim Sicherheitsteam, sondern erstreckt sich auch auf die Personen, die die Risikomanagementmaßnahmen genehmigen und überwachen.

Entwicklung einer Kryptografie-Strategie, die den Anforderungen von NIS2 entspricht

Eine wirksame Reaktion auf NIS2 besteht nicht aus einer einzigen Kontrollmaßnahme. Es handelt sich vielmehr um eine Strategie, die die Bereiche abdeckt, in denen die Richtlinie direkt die Kryptografie betrifft. Sechs Kontrollbereiche übernehmen dabei den Großteil der Arbeit:

• Kryptografie und Verschlüsselungsrichtlinie. Eine dokumentierte Richtlinie, die zugelassene Algorithmen und Mindestschlüssellängen umfasst, mit Nachweisen dafür, dass sie im gesamten Unternehmensnetzwerk durchgesetzt wird.
• Vertraulichkeit der Daten im Ruhezustand und während der Übertragung. Modernste Verschlüsselung für gespeicherte und übertragene Daten, gestützt durch eine interne oder verwaltete PKI, die die Zertifikate ausstellt.
• Mehrfaktor- und kontinuierliche Authentifizierung. Kontinuierliche Authentifizierung für kritische Systeme und Administratorzugriff, die in der Regel über eine zertifikatsbasierte Authentifizierung umgesetzt wird.
• Sichere Kommunikation. Authentifizierte, verschlüsselte Kanäle für die interne Kommunikation und die Notfallkommunikation, einschließlich signierter Nachrichten und Anhänge.
• Kryptografische Sicherheit in der Lieferkette. Bewertung der Lieferanten hinsichtlich der Sicherheit ihrer kryptografischen Verfahren und ihrer Vorkehrungen zur Schlüsselverwahrung gemäß Artikel 21 Absatz 2 Buchstabe d.
• Schlüsselverwaltung und -rotation. Dokumentierte Schlüsselgenerierung, -rotation und -speicherung, gegebenenfalls unter Einsatz von Sicherheitsmodulen nach dem „ hardware “-Standard, sowie Vernichtungsverfahren mit lückenlosem Prüfpfad.

Zusammen verwandeln diese Bereiche eine gesetzliche Vorgabe in ein Betriebsmodell. Jeder einzelne liefert genau die Art von Nachweisen, nach denen bei einer aufsichtsrechtlichen Prüfung gesucht wird.

Von der Theorie auf dem Papier zur praktischen Umsetzung

Hier liegt der Punkt, den Sicherheitsverantwortliche am häufigsten übersehen: Ein Richtliniendokument ist nur die halbe Miete. Bei den NIS2-Aufsichtsprüfungen stehen dokumentierte Richtlinien sowie operative Nachweise im Mittelpunkt – nicht die Absicht allein. Ein Ordner, der bewährte Praktiken beschreibt, aber nie getestet wurde, trägt kaum dazu bei, das Risiko zu verringern. Unternehmen müssen Richtlinien und Verfahren festlegen, umsetzen und anwenden, um zu beurteilen, ob die Risikomanagementmaßnahmen wirksam umgesetzt und aufrechterhalten werden. Die Kontrollmaßnahmen müssen in der Praxis greifen, und Sie müssen dies nachweisen können.

Vorbereitung auf eine NIS2-Aufsichtsprüfung

NIS2-Prüfungen können proaktiv oder durch einen Vorfall ausgelöst werden, daher darf die Vorbereitung nicht erst in letzter Minute erfolgen. Der zuverlässigste Weg, sich vorzubereiten, besteht darin, die Fragen der Prüfer in eine feste Checkliste umzuwandeln:

• Dokumentation der Kryptografie-Richtlinien: Eine schriftliche Richtlinie zu Kryptografie und Verschlüsselung, die zugelassene Algorithmen, Schlüssellängen und Kriterien für die Ausmusterung von Algorithmen umfasst.
• Nachweis der Verschlüsselungsabdeckung: Nachweis, dass sensible Daten sowohl im Ruhezustand als auch während der Übertragung verschlüsselt sind, einschließlich interner Systeme und nicht nur der nach außen gerichteten.
• Zertifikats- und Schlüsselverzeichnis: Alle Zertifikate und kryptografischen Schlüssel sind mit den Namen der Inhaber und den Ablaufdaten erfasst.
• Durchsetzung der MFA: Für alle Zugriffe auf Verwaltungs- und kritische Systeme ist eine Multi-Faktor- oder kontinuierliche Authentifizierung vorgeschrieben.
• Kryptografische Bewertung von Lieferanten: Direkte Lieferanten und Dienstleister werden hinsichtlich der Sicherheit ihrer kryptografischen Verfahren und der Schlüsselverwaltung bewertet.
• Genehmigung durch das Leitungsgremium: formelle Genehmigung und Überwachung der Maßnahmen zum Kryptografie-Risikomanagement durch das Leitungsgremium.

Zudem muss geprüft werden, ob andere Vorschriften, die durch NIS2 verbindlich werden, für Ihre Organisation gelten, und ob die Erfassung von Zertifikaten, die Zertifikatsverwaltung und die kryptografische Flexibilität in ein und dasselbe Programm integriert werden können. Am besten schneiden diejenigen Unternehmen ab, die ihr Bestandsverzeichnis, ihre Abdeckung und ihre Lieferantenbewertungen so führen, dass sie diese bereits morgen einem Prüfer vorlegen könnten – und nicht erst an dem Tag, an dem ein Vorfallbericht fällig ist.

Wie Keyfactor helfen Keyfactor

KeyfactorDie Plattform des Unternehmens wurde entwickelt, um die kryptografischen Vorgaben der NIS2 in verbindliche, nachweisbare Kontrollmaßnahmen umzusetzen – und nicht nur als bloße Absichtserklärungen auf dem Papier zu belassen.

• Sichere, signierte Kommunikation. SignServer Unterstützt authentifizierte, verschlüsselte Kanäle, einschließlich signierter Nachrichten und Anhänge, für die interne Kommunikation und die Notfallkommunikation.
• PKI-gestützte Verschlüsselung und zertifikatsbasierte Authentifizierung. EJBCA Bietet modernste Verschlüsselung für ruhende und übertragene Daten, gestützt auf eine interne oder verwaltete PKI, die die Zertifikate für die Vertraulichkeit und die zertifikatsbasierte Authentifizierung ausstellt.
• Dokumentierte und durchgesetzte Kryptografie-Richtlinie sowie Schlüsselverwaltung. Keyfactor Command bietet eine dokumentierte Kryptografie-Richtlinie, die zugelassene Algorithmen und Mindestschlüssellängen umfasst, sowie Verfahren zur Schlüsselgenerierung, -rotation und -vernichtung, die durch einen lückenlosen Prüfpfad abgesichert sind und unternehmensweit durchgesetzt werden.

Um einen detaillierteren Überblick darüber zu erhalten, wie sich diese Kontrollmaßnahmen auf die wichtigsten Vorschriften für Hersteller auswirken, laden Sie den „Cryptographic Compliance Guide for Manufacturing“ von Keyfactorherunter.

Handeln Sie und machen Sie sich bereit

NIS2 hat die Grenze zwischen guter Sicherheitspraxis und gesetzlicher Verpflichtung neu gezogen, und die Kryptografie befindet sich nun eindeutig auf der rechtlichen Seite dieser Grenze. Angesichts von Geldstrafen in Millionenhöhe und der drohenden persönlichen Haftung für Führungskräfte können Sicherheitsverantwortliche eine Kryptografie-Strategie nicht länger als Zukunftsaufgabe betrachten.

Die praktischen Ansatzpunkte sind klar: Bringen Sie Ihr Zertifikats- und Schlüsselinventar, Ihre Verschlüsselungsabdeckung sowie die kryptografischen Bewertungen Ihrer Lieferanten in einen auditfähigen Zustand, sichern Sie sich die formelle Freigabe durch die Geschäftsleitung und überprüfen Sie das gesamte Programm regelmäßig im Hinblick auf den aktuellen Stand der Technik. Wenn Sie eine strukturierte Vorlage als Grundlage benötigen, laden Sie den „Cryptographic Compliance Guide for Manufacturing“ herunter und fordern Sie eine Demo an, um zu erfahren, wie „ Keyfactor “ Ihnen bei der Umsetzung helfen kann.

Haben Sie Fragen zu NIS2? Wir haben die Antworten.

What is the NIS2 Directive?
NIS2 (Directive (EU) 2022/2555) is the EU’s updated cybersecurity directive. It replaces the original NIS Directive with broader scope, mandatory incident reporting, and direct management accountability across 18 sectors.

Does NIS2 require encryption?
Article 21(2)(h) requires documented policies and procedures for the use of cryptography and, where appropriate, encryption, applied according to the entity’s size and risk profile. It is the first EU cybersecurity law to name cryptography outright.

Who must comply with NIS2?
Essential entities in high-criticality sectors such as energy, transport, banking, health, and digital infrastructure must comply, along with important entities in other regulated sectors such as postal services, waste management, chemicals, and food production.

What are the penalties under NIS2?
Essential entities face fines up to EUR 10 million or 2% of global annual turnover, whichever is higher. Important entities face up to EUR 7 million or 1.4%.

Can executives be held personally liable under NIS2?
Yes. Some national authorities can hold management personally liable for failing to oversee cybersecurity measures, and they can even suspend management functions.

What does a NIS2 cryptography policy need to include?
It needs asset classification, approved algorithms and protocols, minimum key lengths, deprecation triggers, and evidence of enforcement across the estate. That is supported by a documented key management and rotation process spanning the full key lifecycle.

How does NIS2 treat supply chain security?
Article 21(2)(d) requires entities to assess their suppliers, including the strength of those suppliers’ cryptographic practices and their key custody arrangements.

What should security leaders do first to prepare for NIS2?
Produce a written cryptography and encryption policy, inventory all certificates and keys with named owners and expiry dates, and secure formal management sign-off on the risk-management measures.