NIS-2 und KRITIS-Compliance: Was Sicherheitsverantwortliche in Rechenzentren nachweisen müssen 

NIS-2 und KRITIS werden häufig vor allem als Cybersicherheitsvorgaben verstanden, und ein großer Teil der Berichterstattung stellt sie auch genauso dar. Für Teams, die ein Rechenzentrum betreiben, erstrecken sich beide Regelwerke jedoch auch auf die physische Ebene: Wer darf welche Bereiche betreten, wie wird dieser Zutritt dokumentiert und wer trägt die Verantwortung dafür?  

Dieser Beitrag erläutert, was in diesen Anwendungsbereich fällt, was die Vorgaben tatsächlich verlangen und warum physische Sicherheit überhaupt ein Teil dieser Diskussion ist. 

Zentrale Erkenntnisse  

• NIS-2 stuft Organisationen je nach Branche und Größe als wesentliche oder wichtige Einrichtungen ein. Rechenzentren werden in Anhang I ausdrücklich genannt und durch die EU-Durchführungsverordnung 2024/2690 weiter konkretisiert. 
• Diese vier Anforderungen sind bewusst breit angelegt. NIS-2 beschreibt die Ergebnisse, die eine Organisation erreichen soll, anstatt für jedes Szenario eine konkrete technische Kontrollmaßnahme vorzuschreiben. 
• Der All-Hazards-Ansatz von NIS-2 bedeutet, dass physische und umweltbezogene Risiken unter dieselbe Risikomanagementpflicht fallen wie Cyberrisiken und nicht als separate Kategorie behandelt werden. 
• Über Risikomanagement, Lieferkettensicherheit, Incident Reporting und Governance hinweg ist der gemeinsame Nenner ein dokumentierter Nachweis, nicht nur eine behauptete Kontrolle. 
• Die Dokumentation physischer Sicherheit ist kein separates Compliance-Projekt. Sie ist Teil derselben vier Pflichten, die jede eingestufte Organisation ohnehin erfüllen muss, und sollte daher nicht als eigener, losgelöster Punkt erscheinen. 

Die Einstufung von NIS-2 und KRITIS und deren Geltungsbereiche. 

NIS-2 stuft Organisationen je nach Branche und Größe entweder als „wesentliche“ oder „wichtige“ Einrichtungen ein. Rechenzentrumsdienste werden dabei im Bereich der digitalen Infrastruktur in Anhang I ausdrücklich genannt. Die Durchführungsverordnung 2024/2690 der Europäischen Kommission ergänzt die allgemeinen NIS-2-Anforderungen um branchenspezifische Details für Anbieter digitaler Infrastruktur, darunter auch Rechenzentren. KRITIS, der deutsche Parallelrahmen für kritische Infrastrukturen, arbeitet zusätzlich zu den EU-weiten Vorgaben mit eigenen Schwellenwerten. Diese richten sich in der Regel danach, in welchem Umfang ein Betreiber Dienstleistungen für die breite Öffentlichkeit oder die Wirtschaft bereitstellt. Die Einstufung ist daher kein einmaliges Formular, das lediglich ausgefüllt werden muss. Sie bestimmt, welche konkreten Pflichten, Meldefristen und Prüfungsmaßstäbe für eine Organisation tatsächlich gelten. Für Verantwortliche in Sicherheits- oder Betriebsfunktionen ist es deshalb der Ausgangspunkt für alle weiteren Schritte, zu verstehen, wie eine Einrichtung einzuordnen ist. Denn die Details, die im weiteren Verlauf relevant werden, hängen genau von dieser Einstufung ab. 

Was NIS-2 von Organisationen tatsächlich verlangt 

Auf übergeordneter Ebene verlangt NIS-2 von eingestuften Organisationen vier miteinander verbundene Maßnahmen. Erstens müssen sie einen Risikomanagementprozess etablieren, der die tatsächlichen operativen Risiken der Organisation abdeckt, statt lediglich auf einer allgemeinen Vorlage zu beruhen. Zweitens müssen sie die Sicherheit der Lieferkette steuern. Das bedeutet: Sie benötigen Transparenz darüber, welche Risiken von Lieferanten und Dienstleistern ausgehen, auf die die Organisation angewiesen ist. Drittens müssen sie Meldepflichten bei Sicherheitsvorfällen erfüllen. Dazu gehören Anforderungen an Frühwarnungen und vollständige Meldungen, deren Fristen ab dem Zeitpunkt laufen, an dem ein Vorfall erkannt wird. Viertens muss die Verantwortung auf Managementebene sichergestellt sein. Leitungsorgane sollen die Risikomanagementmaßnahmen der Organisation direkt genehmigen und überwachen, anstatt das Thema vollständig an ein technisches Team zu delegieren. Diese vier Anforderungen sind bewusst breit angelegt. NIS-2 beschreibt die Ergebnisse, die eine Organisation erreichen soll, anstatt für jedes Szenario eine konkrete technische Kontrollmaßnahme vorzuschreiben. Genau diese Breite ist der Grund, warum die Verordnung auf den ersten Blick so wirken kann, als gehe es ausschließlich um IT-Systeme, aber deutlich weiter reicht. 

Warum eine „Cyber”-Regulierung bis auf die physische Ebene reicht 

NIS-2 verfolgt einen sogenannten „All-Hazards“-Ansatz. Das bedeutet, dass der geforderte Risikomanagementprozess neben Cyberrisiken auch physische und umweltbezogene Bedrohungen berücksichtigen muss, anstatt diese als getrennte Kategorien zu behandeln. Für ein Rechenzentrum heißt das: Dieselbe Risikomanagementpflicht, die die Netzwerksicherheit umfasst, betrifft auch die Frage, wer einen Serverraum physisch betreten darf, wie dieser Zugriff gewährt wird und wie er dokumentiert ist. Ein gesicherter Netzwerkanschluss und eine verschlossene Tür sind unter diesem Ansatz zwei Ausprägungen derselben grundlegenden Frage: Wurde der Zugriff kontrolliert, und lässt sich nachweisen, dass diese Kontrolle funktioniert hat? Genau an dieser Stelle ergänzen KRITIS und die EU-Durchführungsverordnung für Rechenzentren die Anforderungen um weitere Details. Beide erweitern die Erwartungen an Risikomanagement und Dokumentation ausdrücklich auf die physische Sicherheit von Einrichtungen, anstatt diese lediglich als vorausgesetzte, aber nicht konkret benannte Anforderung zu behandeln. 

Was „dokumentiert“ in der Praxis bedeutet 

Über alle vier Kernanforderungen von NIS-2 hinweg wiederholt sich eine zentrale Erwartung: Organisationen müssen nachweisen können, dass eine Kontrolle tatsächlich angewendet wurde, und nicht nur erklären, dass sie existiert. Im Risikomanagement bedeutet das typischerweise eine dokumentierte Bewertung sowie eine nachvollziehbare Entscheidungsgrundlage für die daraus abgeleiteten Maßnahmen. Bei der Meldung von Sicherheitsvorfällen bedeutet es, belegen zu können, dass Erkennung und Benachrichtigung tatsächlich innerhalb der vorgeschriebenen Fristen erfolgt sind. Für die physische Sicherheit heißt das in der Regel, dass auf Anfrage nachvollziehbar gemacht werden kann, wer zu einem bestimmten Bereich Zugang hatte, wann dieser Zugang bestand und auf welcher Grundlage er gewährt wurde. Entscheidend ist, dass diese Informationen verfügbar sind, ohne erst nachträglich einen langwierigen Rekonstruktionsprozess starten zu müssen. Die Regulierung interessiert sich weniger dafür, welches konkrete Tool oder welchen Prozess eine Organisation einsetzt. Wichtiger ist, ob die Organisation im Bedarfsfall belastbare Nachweise vorlegen kann. Genau darin liegt der rote Faden, der ein Netzwerkzugriffsprotokoll, eine Risikobewertung von Lieferanten und einen physischen Zutrittsnachweis miteinander verbindet: Aus Sicht von NIS-2 handelt es sich jeweils um Belege dafür, dass eine Kontrolle wirksam funktioniert hat. 

Was das für Sicherheits- und Betriebsteams bedeutet 

Für Facility Manager, Leitungen kritischer Betriebsbereiche oder CISOs, die für die Sicherheit von Rechenzentren verantwortlich sind, ergibt sich daraus ein relativ klarer Ausgangspunkt, unabhängig von der konkreten Stellenbezeichnung: Zunächst gilt es zu bestätigen, wie die jeweilige Einrichtung unter NIS-2 und KRITIS eingestuft ist. Anschließend muss verstanden werden, welche der vier Kernpflichten im Detail greifen, und wo die Dokumentation zur physischen Sicherheit aktuell im Verhältnis zu dem steht, was in einem Audit tatsächlich abgefragt würde. Der Blick sollte sich über alle vier Pflichten hinweg erstrecken. Physische Sicherheit sollte dabei niemals als eigener, separater Punkt erscheinen, denn jede einzelne Pflicht geht bereits davon aus, dass Risiken, Lieferanten, Vorfälle und Governance dokumentiert werden. Diese Anforderungen in konkrete Maßnahmen auf der operativen Ebene zu übersetzen, statt lediglich eine weitere Richtlinie zu formulieren, ist der Punkt, an dem die praktische Arbeit tatsächlich beginnt. 

Machen Sie Ihre Nachweise auditbereit

Erfahren Sie, wie Sie fragmentierte Zutritts-, Alarm- und Identitätsdaten zu einer zentral gesteuerten, lückenlosen Nachweiskette zusammenführen können, die den Anforderungen von Aufsichtsbehörden, Mandanten und Auditoren gerecht wird.

Whitepaper herunterladen

Fazit

NIS-2 und KRITIS beginnen zwar in der Sprache der Cybersicherheit. Die daraus entstehenden Pflichten reichen jedoch deutlich weiter, als es auf den ersten Blick oft scheint. Risikomanagement, Überwachung der Lieferkette, Meldung von Sicherheitsvorfällen und Governance betreffen auch die Frage, wie physischer Zutritt kontrolliert und dokumentiert wird. Die zentrale Anschlussfrage für die meisten Sicherheits- und Betriebsteams lautet daher nicht, ob diese Anforderungen relevant sind, sondern ob die bestehende Dokumentation sie bereits erfüllt und an welchen Stellen noch Lücken bestehen.

Häufig gestellte Fragen

Gilt NIS-2 auch für physische Sicherheit oder nur für Cybersicherheit? 

NIS-2 verfolgt einen All-Hazards-Ansatz. Das bedeutet, dass die Anforderungen an das Risikomanagement ausdrücklich auch physische und umweltbezogene Bedrohungen neben Cyberrisiken berücksichtigen. Für Rechenzentren ergänzt die EU-Durchführungsverordnung 2024/2690 diese Anforderungen um weitere Details, die speziell die physische Sicherheit von Einrichtungen betreffen. 

Was sind die vier Kernanforderungen von NIS-2, einfach erklärt? 

Auf übergeordneter Ebene geht es um vier zentrale Anforderungen: einen Risikomanagementprozess, der die tatsächlichen operativen Risiken abdeckt, die Überwachung von Lieferketten- und Dienstleisterrisiken, die Meldung von Sicherheitsvorfällen innerhalb definierter Fristen sowie eine klare Verantwortung auf Managementebene für die Genehmigung und Überwachung dieser Maßnahmen. 

Wie verhält sich KRITIS zu NIS-2 für Rechenzentren in Deutschland? 

KRITIS ist Deutschlands nationaler Rahmen für kritische Infrastrukturen und besteht neben den EU-weiten Anforderungen von NIS-2. In der Regel gelten dabei eigene Schwellenwerte, die sich am Umfang der bereitgestellten Dienste orientieren. Für Rechenzentren überschneiden sich beide Rahmenwerke insbesondere bei den Erwartungen an Risikomanagement, Nachweisfähigkeit und dokumentierte Kontrollen. 

Was bedeutet „dokumentiert“ im Zusammenhang mit den verschiedenen NIS-2-Anforderungen? 

Es bedeutet, dass eine Organisation nachweisen kann, dass eine Kontrolle tatsächlich angewendet wurde, und nicht nur erklären kann, dass eine Richtlinie existiert. Das gilt gleichermaßen für eine dokumentierte Risikobewertung, eine Überprüfung der Lieferantensicherheit, eine Meldung zu einem Sicherheitsvorfall und einen Nachweis über physischen Zutritt.