Was die frühe NIS2-Durchsetzung über Audit-Trails verrät

Die meisten Compliance-Vorgaben beginnen als Abhakübung. Jemand bestätigt, dass die Protokollierung aktiviert ist, setzt den Haken, und das Team macht weiter. Doch NIS2 ändert das. Aufsichtsbehörden verlangen jetzt Nachweise für Ihre Kontrollen. Sie fragen, ob Sie rekonstruieren können, was passiert ist, und ob man Ihrer Aufzeichnung trauen kann. Denn wenn Sie nicht zeigen können, wer was wann getan hat, könnten diese Kontrollen genauso gut nicht existieren.

Aufsichtsbehörden wollen Nachweise

Die Höhe der Bußgelder lässt sich schwer beziffern. Die im Netz kursierenden Zahlen unterscheiden sich je nach Quelle, und die EU hat noch kein zentrales Register der Bußgelder geschaffen. Das jüngste Durchsetzungsmuster verrät jedoch mehr.

Das deutsche BSI hat Dutzende förmliche Bescheide erlassen. Die französische ANSSI hat Anordnungen zur Behebung von Mängeln in den Bereichen Energie und Verkehr erlassen und bevorzugt Abhilfe gegenüber Sanktionen. In den Niederlanden ergab eine Prüfung von Unternehmen wesentlicher digitaler Infrastruktur, dass mehr als ein Drittel schwache Verfahren zur Meldung von Vorfällen hatte und mehr als die Hälfte keine von der Geschäftsleitung genehmigte Sicherheitsrichtlinie vorweisen konnte.

Jeder dieser Befunde läuft auf fehlende Nachweise hinaus.

Wo die eigentlichen Anforderungen stehen

Die meiste Berichterstattung endet bei Artikel 21, dem Teil von NIS2, der zehn allgemeine Sicherheitsmaßnahmen aufführt. Dieser Artikel ist jedoch bewusst allgemein gehalten. Die Details, die Sie brauchen, stehen in der Durchführungsverordnung (EU) 2024/2690 der Kommission, die seit November 2024 gilt. Sie macht aus diesen zehn Maßnahmen mehr als 150 konkrete Kontrollen. Protokollierung und Überwachung, die Kontrollen hinter Ihrem Audit-Trail, werden in Anhang Abschnitt 3.2 behandelt.

Die Verordnung gilt unmittelbar für eine definierte Gruppe von Unternehmen, darunter Cloud- und Rechenzentrumsanbieter, DNS-Anbieter, Anbieter verwalteter Dienste und Online-Marktplätze. Unternehmen außerhalb dieser Liste sind formal nicht gebunden, doch sie ist weiterhin der Maßstab, den eine Aufsichtsbehörde am ehesten anlegen wird. (Unsere Übersicht zur NIS2-Compliance erläutert die Kriterien, ob NIS2 auf Sie zutrifft.)

Die Vorschriften enthalten oft Formulierungen wie „soweit angemessen“ oder „soweit machbar“, was nach Spielraum klingt. Aber es gibt einen Haken: Wenn Sie entscheiden, dass eine Anforderung für Sie nicht gilt, müssen Sie die Begründung schriftlich festhalten. Auf die Protokollierung eines Systems zu verzichten ist in Ordnung, wenn Sie die Begründung dokumentiert haben. Andernfalls ist es eine Feststellung.

Die Nachweise verschwinden oft, bevor jemand nachsieht

Windows-Sicherheitsprotokolle auf Domänencontrollern überschreiben sich systembedingt selbst. Sobald ein Protokoll eine Größenbegrenzung erreicht, weichen die ältesten Ereignisse den neuen. Diese Grenze, vermutlich vor Jahren von jemandem gesetzt, um Speicherplatz zu sparen, berücksichtigt keine Nachweise. Auf einem stark ausgelasteten Server kann sich das Protokoll innerhalb von Minuten komplett erneuern.

Doch weil die Protokollierung aktiv ist und laufend neue Einträge hinzukommen, bemerkt niemand den Verlust. Wenn eine Aufsichtsbehörde nach etwas fragt, das vor vier Monaten geschah, hilft der Hinweis „Die Protokollierung war aktiv“ nicht weiter.

Zwei schnelle Maßnahmen:

• Prüfen Sie, wie lange Ihre Domänencontroller und kritischen Server Protokolle heute aufbewahren. Die tatsächliche Einstellung zählt mehr als das Richtliniendokument.
• Finden Sie heraus, wie viel Ihres erforderlichen Nachweiszeitraums Ihre Audit-Plattform direkt durchsuchen kann. Aktuelle Daten lassen sich meist schnell durchsuchen, während ältere in einem Archiv liegen, das möglicherweise wiederhergestellt werden muss. Testen Sie diesen Abruf jetzt. Artikel 23 der NIS2 gibt Ihnen 24 Stunden für eine Frühwarnung. Das ist ein schlechter Zeitpunkt, um zu erfahren, dass das Heraussuchen von sechs Monate alten Aktivitäten Tage dauert.

Protokolle, die ein Administrator bearbeiten kann, sind keine Nachweise

NIS2 erwartet, dass Sie Ihre Protokolle vor unbefugtem Zugriff und Änderungen schützen.

Überlegen Sie, gegen wen Sie ermitteln würden: meist gegen ein Konto mit Administratorrechten. Liegen Ihre Audit-Daten auf Systemen, die dieses Konto kontrolliert, kann einer seiner ersten Schritte das Löschen der Protokolle sein. Und obwohl Windows festhält, dass ein Protokoll gelöscht wurde, schreibt es diesen Eintrag in genau das Protokoll, das gerade geleert wurde. Sie erfahren, dass der Verlauf gelöscht wurde, aber nicht, was er enthielt.

Deshalb ist „Wie lange bewahren wir es auf?“ die falsche erste Frage. Ein siebenjähriges Archiv, das ein Administrator bearbeiten kann, ist schwächer als ein sechsmonatiges Archiv, das er nicht anrühren kann. Eine vertrauenswürdige Aufzeichnung braucht drei Dinge:

1. Ein System außerhalb der überwachten Umgebung sammelt und speichert die Daten.
2. Die Personen, die diese Systeme betreiben, können den gespeicherten Verlauf nicht ändern.
3. Der Audit-Speicher protokolliert jede Änderung, die an ihm vorgenommen wird.

An der zweiten Anforderung scheitern Unternehmen am häufigsten. Das Konto, das Audit-Daten sammelt, ist oft ein Domänenadministrator, weil sich das am einfachsten einrichten ließ. So gelangt ein Angreifer, der eine Administrator-Anmeldung übernimmt, auch an die Nachweise. Prüfen Sie heute, wer Schreibzugriff auf Ihre Audit-Datenbank und Ihr Archiv hat.

Die dritte Anforderung wird am leichtesten übersehen. Ihre Plattform sollte Ihnen sagen, wann Audit-Protokolle gelöscht wurden, wann sich Audit-Einstellungen geändert haben und wer den Speicher eingesehen hat. Kann sie das nicht, stehen hinter Ihren Nachweisen keine Nachweise.

Sechs Tests, die Sie durchführen sollten, bevor es eine Aufsichtsbehörde tut

Planen Sie zwei Stunden ein, nehmen Sie eine Stoppuhr und versuchen Sie, in Ihrer realen Umgebung für jeden dieser Fälle einen Nachweis zu erbringen:

1. Ein privilegiertes Konto wird kompromittiert. Können Sie alles sehen, was es getan hat, über alle Systeme hinweg und in der richtigen Reihenfolge?
2. Jemand erhält Berechtigungen, die er nicht haben sollte. Können Sie sagen, wer sie wann vergeben hat, auch über verschachtelte Gruppen?
3. Eine kritische Einstellung ändert sich. Können Sie zeigen, wie sie vorher war und wie sie jetzt ist?
4. Ein verdächtiges Konto taucht auf. Können Sie sagen, wer es angelegt hat und was es danach getan hat?
5. Ein Vorfall betrifft mehrere Systeme. Können Sie schnell genug eine klare Zeitleiste erstellen, um die 24-Stunden-Frühwarnung nach Artikel 23 zu stützen?
6. Jemand hat letzten Dienstag ein Sicherheitsprotokoll gelöscht. Würden Sie es merken, und könnten Sie belegen, woher Sie es wissen?

Bewerten Sie sich selbst und notieren Sie den getesteten Zeitraum. Teams bestehen oft für die letzte Woche, scheitern aber beim letzten Quartal. Dieser Unterschied ist es, den die Übung sichtbar macht. Und „Ja, aber es hat drei Tage und fünf Teams gebraucht“ ist durchgefallen. Die 24-Stunden-Uhr interessiert sich nicht dafür, wie viele Personen Sie dafür brauchten.

Wo Netwrix Auditor ins Spiel kommt

Alle sechs Tests laufen auf eine einzige Fähigkeit hinaus: einen vertrauenswürdigen Verlauf darüber, wer was wann geändert hat und wie es vorher war, gespeichert an einem Ort, den die überwachte Umgebung nicht unbemerkt umschreiben kann.

Netwrix Auditor sammelt Änderungs-, Zugriffs- und Administratoraktivitäten aus Active Directory, Entra ID, Microsoft 365, Dateiservern, SQL Server und mehr in einem eigenen Audit-Speicher. Ihr Verlauf hängt nicht mehr davon ab, wie lange ein Domänencontroller seine Protokolle aufbewahrt.

Es gibt außerdem ein NIS2-Berichtspaket, das sich eng an den sechs Tests orientiert. Zum Beispiel deckt Administrative Group Membership Changes Test 1 ab, und Account Permissions Reports decken Test 2 ab. Audit Log Clearing und Local Audit Policy Changes decken Test 6 ab, und Access to Archive Data zeigt, wer die Nachweise selbst eingesehen hat. Ein Leitfaden zur Zuordnung der NIS2-Anforderungen hilft Ihnen, einer Aufsichtsbehörde die Linie von jeder Anforderung zu einem Bericht zu zeigen.

Kein Audit-Tool macht Sie allein NIS2-konform. Artikel 21 umfasst weit mehr als Überwachung, aber jede seiner Maßnahmen muss letztlich belegt werden, und der Beleg stammt aus Audit-Nachweisen. Ohne sie sehen eine funktionierende und eine fehlende Kontrolle für eine Aufsichtsbehörde gleich aus.

Das Fazit

Die frühe Durchsetzung ist ein Signal dafür, wohin sich die europäischen Aufsichtsbehörden bewegen. Compliance verlagert sich von dem, was Ihre Richtlinie sagt, zu dem, was Sie belegen können.

Führen Sie also die sechs Tests durch und richten Sie sie auf ein Datum vor vier Monaten. Fällt einer durch, machen Sie seine Behebung zur Priorität dieser Woche, bevor eine Aufsichtsbehörde dieselbe Behebung teurer macht.