NIS2 hebt die Baseline für Cybersicherheits-Risikomanagement, Incident-Meldung und Lieferkettenverantwortung für wesentliche und wichtige Einrichtungen in der EU.
Die Richtlinie ist bewusst ergebnisorientiert: Die Mitgliedstaaten setzen sie in nationales Recht um, während Artikel 21 die Risikomanagement-Maßnahmen definiert, die technische Teams belegen müssen. Wombat gibt diesen Maßnahmen eine konkrete Architektur-Baseline.
Eine praktische Lesart der Pflichten, die typischerweise in Architektur-, Betriebs- und Evidenzprüfungen landen.
Artikel 21 verlangt angemessene technische und organisatorische Maßnahmen: Risikoanalyse, Incident-Handling, Business Continuity, Lieferkettensicherheit, sichere Entwicklung, Zugriffskontrolle und Kryptografie.
Artikel 20 macht die Geschäftsleitung für die Freigabe und Überwachung der Maßnahmen verantwortlich — die Evidenz muss also auch außerhalb des Engineering-Teams verständlich sein.
Artikel 23 führt Frühwarnung, Incident-Meldung und Abschlussbericht mit definierten Fristen ein. Erkennung, Klassifizierung und Evidenz müssen vor dem Incident wiederholbar sein.
Artikel 21(2)(d) verlangt die Bewertung der Sicherheitspraktiken direkter Lieferanten und Dienstleister, einschließlich deren eigener Abhängigkeiten.
Jede Pflicht ist einer oder mehreren Säulen zugeordnet. Die Säulen-Seiten zeigen die Controls, Prinzipien und Evidenzerwartungen hinter dem Score.
Identität, Segmentierung, Schwachstellenmanagement und sichere Konfiguration bilden den Kern der Artikel-21-Maßnahmen.
Mehr zur Säule Sicherheit →Runbooks, Monitoring, Change Control und Evidenzsammlung machen Incident-Response und Reporting wiederholbar.
Mehr zur Säule Operative Exzellenz →Business Continuity, Backup und Recovery sind ausdrückliche Erwartungen, kein Nachgedanke.
Mehr zur Säule Zuverlässigkeit →Lieferanten-, Jurisdiktions- und Exit-Risiko sind Teil der Lieferkettenbewertung.
Mehr zur Säule Souverän →Das sind die Control-Themen, für die Teams üblicherweise Evidenz benötigen. Der Control-Katalog ist die maßgebliche Quelle für die exakte Zuordnung.
Starte die WOMBATpass-Scorecard, um eine Baseline über die relevanten Säulen zu erhalten.
Prüfe die NIS2-getaggten Control-Themen im Control-Katalog und ihre Evidenzerwartungen.
Überführe fehlgeschlagene Controls in einen Remediation-Plan mit Verantwortlichen, Terminen und Abnahmekriterien.
Exportiere das Evidenzpaket für Management-Review und Incident-Übungen.
Wombat-Controls tragen Tags für die untenstehenden Frameworks. So lässt sich die technische Baseline mit der Evidenz verbinden, die Auditor oder Beschaffung bereits erwarten.
Bewerte die aktuelle Architektur und nutze die zugeordneten Control-Themen, um einen belastbaren Remediation-Plan zu erstellen.
Wombat ist ein technisches Framework, keine Rechtsberatung. Diese Seiten ordnen relevante Wombat-Säulen und Control-Themen regulatorischen Pflichten zu; sie sind keine Rechtsberatung. Prüfe die Zuordnung gegen den offiziellen Text und mit deinem Auditor.
Dieselbe Control-Baseline muss meist mehr als eine Pflicht erfüllen. Wechsle zum angrenzenden Hub und nutze die Evidenz weiter.
DORA bündelt ICT-Risikomanagement, Incident-Meldung, Resilienztests und Dienstleisteraufsicht in einem Regime für die operationelle Resilienz von Finanzunternehmen und ihren kritischen Dienstleistern.
Zum DORA-Hub →Der BSI Cloud Computing Compliance Criteria Catalogue (C5) ist der deutsche Benchmark für Cloud-Sicherheit, Transparenz und Auditierbarkeit — und eine häufige Beschaffungsanforderung für Cloud-Provider und ihre Kunden.
Zum BSI C5-Hub →C3A ist der unverbindliche Kriterienkatalog des BSI für digitale Souveränität bei Cloud-Diensten. Er ist in sechs Souveränitätskategorien gegliedert: strategisch, rechtlich und jurisdiktional, Daten, Betrieb, Lieferkette und Technologie.
Zum BSI C3A-Hub →Residenz, Jurisdiktion, Schlüsselverwahrung, Lieferantenkonzentration und Exit-Pfade — als bewertbare Controls.
Zum Souveränitäts-Hub →