NIS2-Evidenz, Vorfallmeldung und Lieferkettenkontrollen — automatisiert.
NIS2 verlangt Verantwortung auf Vorstandsebene, 24-Stunden-Vorfallmeldungen und nachweisbare Lieferkettensicherheit. Lojycal verwandelt jede Anforderung in einen live signierten Evidenz-Stream — keine Tabellen, keine Last-Minute-Panik vor ENISA oder dem nationalen CSIRT.
Was NIS2 wirklich verlangt
NIS2 (Richtlinie (EU) 2022/2555) hebt die Latte: breiterer Anwendungsbereich, harte Fristen, persönliche Haftung des Managements. Vier Dinge müssen täglich stimmen — nicht nur zum Jahresende.
Vom Vorstand verabschiedetes Cyber-Risikomanagement
Artikel 21 fordert ein dokumentiertes Set technischer, operativer und organisatorischer Maßnahmen — vom Management verantwortet und unterzeichnet.
Vorfallmeldung 24/72 Stunden
Erheblicher Vorfall: Frühwarnung binnen 24 h, vollständige Meldung binnen 72 h, Abschlussbericht binnen eines Monats.
Lieferkettensicherheit
Direkte Lieferanten und Dienstleister müssen auf Cyber-Risiko geprüft werden — mit Nachweis vertraglicher Kontrollen und laufender Überwachung.
Kontinuierlich nachweisbare Evidenz
Nationale Behörden können jederzeit Nachweise verlangen. Audits sind nicht mehr der Worst Case — beaufsichtigte Inspektionen schon.
Die Lojycal NIS2-Engine
Vier verbundene Workspaces erzeugen jedes Artefakt, das die zuständige Behörde — oder der Vorstand — verlangt.
Risiko- & Maßnahmenregister
Jede Artikel-21-Maßnahme mit Owner, Status und Management-Freigabe. Verknüpft mit dem operativen Control in Lojycal.
Trust Center
Vorfall-Timeline
Erkennungen aus SIEM/EDR fließen in ein WORM-Vorfall-Ledger. Vorlagen für Frühwarnung, Vollmeldung und Abschlussbericht füllen sich automatisch.
SIEM Egress + Audit-Log
Lieferketten-Ledger
Lieferanten-Inventar mit Cyber-Risikoklasse, Vertragsklauseln und letztem Attestierungsdatum. Drift löst automatische Re-Review aus.
Vendor Governance + SaaS
Evidence Pack
Signierte Exporte für Inspektoren: Maßnahmen, Vorfallprotokolle, Lieferantenattestierungen und Management-Review-Protokolle — unabhängig verifizierbar.
Trust Center → Evidence Pack
Artikel-21-Maßnahmen → Lojycal-Controls
Lojycal erzeugt automatisch Evidenz für die Mehrheit der Artikel-21-Maßnahmen. Eine Auswahl:
| Art.-21-Maßnahme | Beispiel-Pflicht | Lojycal-Quelle |
|---|---|---|
| (a) Risikoanalyse & IS-Sicherheit | Dokumentiertes Risikoregister mit Behandlung | Trust Center → Risk |
| (b) Vorfallbearbeitung | Erkennung, Reaktion, 24/72-h-Meldung | SIEM + Incident Ledger |
| (c) Geschäftskontinuität | Backup, Recovery, Krisenmanagement | Asset Lifecycle + Backup-Evidenz |
| (d) Lieferkettensicherheit | Lieferantenbewertung & Monitoring | Vendor Governance + SaaS SSPM |
| (e) Sichere Beschaffung & Entwicklung | Schwachstellenhandling, sicherer SDLC | Workflows + Change-Audit |
| (f) Wirksamkeitsprüfung | Interne Überprüfung der Cyber-Maßnahmen | Trust Center → Access Reviews |
| (g) Cyber-Hygiene & Schulung | Awareness-Training, Grundhygiene | HR Automation |
| (h) Kryptographie | Richtlinien & Schlüsselverwaltung | KMS + Crypto Posture |
| (i) Personalsicherheit & Zugriffskontrolle | Joiner/Mover/Leaver, RBAC, MFA | RBAC + HR Automation |
| (j) MFA & sichere Kommunikation | MFA für jeden privilegierten Zugriff | AAL2-Erzwingung |
Stichprobe — nicht vollständig. Abdeckung hängt von aktivierten Modulen und Konnektoren ab.
Inspektoren akzeptieren keine Screenshots
Unter NIS2 können nationale Behörden Vor-Ort-Inspektionen, Fern-Aufsicht, Ad-hoc-Audits und Sicherheits-Scans durchführen. Das Artefakt, das unter diesem Druck zuerst zerbricht, ist der statische Screenshot.
Lojycal schreibt jeden Workflow-Lauf, jede Vier-Augen-Entscheidung, jede Policy-Änderung in ein WORM-Audit-Log (write-once, read-many). Das Trust Center bündelt gewählte Zeitfenster in ein signiertes Evidence Pack — JSON, CSV und PDF mit abgesetzter HMAC-Signatur je Organisation — das ein Inspektor unabhängig verifizieren kann, ohne sich je in Ihren Tenant einzuloggen.
Vom Scoping zur Inspektionsreife — 90-Tage-Pfad
Die meisten Teams behandeln NIS2 als Papierprojekt und reißen die Frist. Lojycal komprimiert es in ein Quartal — weil die Evidenz sich ab Tag eins selbst sammelt.
- Tag 0–30
Phase 1 — Scoping & Maßnahmen
Einordnung als wesentliche bzw. wichtige Einrichtung. Mapping der 10 Maßnahmengruppen aus Art. 21 auf bestehende Controls. Lojycal füllt das Maßnahmenregister vor.
- Tag 31–60
Phase 2 — Vorfälle & Lieferkette
SIEM/EDR-Egress anbinden, Lieferantenregister mit Cyber-Risikoklasse füllen, Verträge verknüpfen. Die Vorfall-Timeline sammelt ab Tag eins.
- Tag 61–90
Phase 3 — Management-Review & Probelauf
Den 24-h-/72-h-/1-Monat-Meldeflow proben. Management-Review durchführen. Ein signiertes Evidence Pack erzeugen, das auf Anforderung an das nationale CSIRT geht.
NIS2 Automation — häufige Fragen
Was ist NIS2 Automation?
NIS2 Automation bezeichnet die Praxis, Artikel-21-Maßnahmen-Evidenz, Vorfallmeldungen, Lieferantenattestierungen und Management-Review-Protokolle direkt aus den live betriebenen Systemen zu erzeugen — statt sie vor jeder Inspektion manuell zusammenzustellen. Lojycal automatisiert Maßnahmenregister, Vorfall-Timeline, Lieferketten-Ledger und das signierte Evidence Pack durchgängig.
Ersetzt Lojycal die Inspektion der nationalen Behörde?
Nein. NIS2-Inspektionen werden von nationalen Behörden durchgeführt (z. B. BSI in Deutschland, ANSSI in Frankreich, NCSC-NL in den Niederlanden). Lojycal automatisiert alles, was Sie bei dieser Inspektion vorlegen: Maßnahmenregister, Vorfallprotokolle, Lieferanten-Risikoregister und das signierte Evidence Pack. Inspektoren prüfen die Artefakte — wir erzeugen sie kontinuierlich.
Wie hält Lojycal die 24-h-/72-h-Meldefristen ein?
Erkennungen aus SIEM, EDR, MDM und SaaS-Konnektoren fließen in das Vorfall-Ledger. Erreicht ein Vorfall die Schwelle «erheblich», öffnet Lojycal automatisch einen 24-h-Frühwarn-Entwurf und einen 72-h-Vollmeldungs-Entwurf, vorgefüllt aus der bereits gesammelten Evidenz. Der Compliance-Owner bearbeitet und reicht ein — er startet nicht bei null.
Wie wird Lieferkettensicherheit nachgewiesen?
Lojycals Vendor Governance- und SaaS-SSPM-Module inventarisieren jeden Lieferanten mit Cyber-Risikoklasse, vertraglichen Sicherheitsklauseln, letztem Attestierungsdatum und beobachteter Posture (z. B. SSO, MFA-Erzwingung, Audit-Log-Retention). Drift — verpasstes Attest, herabgestufte Posture — löst automatisch eine Re-Review aus.
Wir sind «wichtige» und nicht «wesentliche» Einrichtung. Gilt das trotzdem?
Ja. Wesentliche und wichtige Einrichtungen unter NIS2 unterliegen denselben Artikel-21-Maßnahmen und denselben Meldefristen. Unterschied ist nur die Aufsichtsregime — wichtige Einrichtungen haben Ex-post-Aufsicht statt Ex-ante. Die von Lojycal erzeugte Evidenz ist für beide identisch.
Wie unterscheidet sich NIS2 von ISO 27001 in dem, was Lojycal automatisiert?
ISO 27001 ist freiwillig und zertifizierungsgetrieben (eine dritte Stelle stellt das Zertifikat aus). NIS2 ist verpflichtend und aufsichtsgetrieben (eine nationale Behörde kann jederzeit inspizieren). Die zugrundeliegende Evidenz von Lojycal ist weitgehend gemeinsam — ein ISO-27001-Annex-A.5.23-Control für Cloud-Lieferantensicherheit mappt direkt auf NIS2 Art. 21(d). Das Mapping ist im Trust Center bidirektional.
NIS2 als Live-System betreiben, nicht als Vorstandspapier.
Jede Artikel-21-Maßnahme. Jeder gemeldete Vorfall. Jede Lieferantenattestierung. Eine signierte Source of Truth.