Nach Artikel 21(2) NIS2 müssen die Risikomanagementmaßnahmen im Bereich der Cybersicherheit auf einem gefahrenübergreifenden Ansatz beruhen, der darauf abzielt, die Netz- und Informationssysteme und die physische Umwelt dieser Systeme zu schützen. Erwägungsgrund 79 nennt Beispiele: Diebstahl, Feuer, Überschwemmungen, Telekommunikations- oder Stromausfälle und unbefugten physischen Zugang. Physische und umweltbezogene Sicherheit ist Teil von NIS2, kein optionales Extra.
Dieser Leitfaden erklärt, was der gefahrenübergreifende Ansatz bedeutet, welche Gefahren die Erwägungsgründe nennen, wo die physische Sicherheit in den zehn Maßnahmen steht, welche detaillierten Regeln für digitale Anbieter gelten und wie NIS2 mit der CER-Richtlinie zusammenhängt. Dazu kommen eine verhältnismäßige Basis für KMU und eine Checkliste.
Die Zuordnung in der Tabelle beruht auf der Praxis, sie ist keine offizielle Tabelle.
| Gefahr | Anknüpfung in NIS2 | Typische Maßnahme |
|---|---|---|
| Brand | Erwägungsgrund 79; Art. 21(2)(c) | Branderkennung in Technikräumen, Backups an einem anderen Ort |
| Überschwemmung oder Wasseraustritt | Erwägungsgrund 79; Art. 21(2)(c) | Geräte nicht auf dem Boden, Leckagesensoren, getestete Wiederherstellung |
| Stromausfall | Erwägungsgrund 79; Art. 21(2)(c); DVO 2024/2690 Abschn. 13.1 | USV mit geordnetem Herunterfahren, Notstromaggregat, wo der Dienst es erfordert |
| Telekommunikations- oder Internetausfall | Erwägungsgrund 79; Art. 21(2)(c) und (j) | Zweite Anbindung, Notfallkanal außerhalb des Hauptnetzes |
| Ausfall der Kühlung | DVO 2024/2690 Erwägungsgrund 29, Abschn. 13.2 | Temperatur- und Feuchtigkeitsalarme, redundante Kühlung |
| Diebstahl von Geräten | Erwägungsgrund 79; Art. 21(2)(h) und (i) | Asset-Inventar, Festplattenverschlüsselung, Fernlöschung |
| Unbefugter Zutritt, Manipulation, Sabotage | Erwägungsgrund 79; Art. 21(2)(i); DVO 2024/2690 Abschn. 13.3 | Verschlossene Räume, Schlüssel- und Ausweisregister, Austrittsprozess |
| Ausfall eines Anbieterstandorts | Art. 21(2)(c) und (d) | Nachweise des Anbieters, getesteter Plan für den Verlust eines Standorts oder einer Region |
Was ist der gefahrenübergreifende Ansatz (Allgefahrenansatz) nach NIS2?
Artikel 21(2) beginnt so: „Die in Absatz 1 genannten Maßnahmen müssen auf einem gefahrenübergreifenden Ansatz beruhen, der darauf abzielt, die Netz- und Informationssysteme und die physische Umwelt dieser Systeme vor Sicherheitsvorfällen zu schützen, und zumindest Folgendes umfassen“. Danach folgen die zehn Maßnahmen.
- Er gilt für jede wesentliche und wichtige Einrichtung, nicht nur für Rechenzentren oder kritische Infrastrukturen.
- Er ist keine elfte Maßnahme. Er ist die Grundlage aller zehn.
- Schutzgegenstand sind die Netz- und Informationssysteme. Erwägungsgrund 79 beschreibt die Gefahren danach, was sie beeinträchtigen könnten: die „Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit gespeicherter, übermittelter oder verarbeiteter Daten“ oder der Dienste, die diese Systeme erbringen.
In der Praxis zieht das die Grenze. Ein undichtes Dach über der Kantine ist ein Fall für das Facility Management. Ein undichtes Dach über dem Netzwerkraum ist ein NIS2-Thema.
Eine Überschwemmung im Serverraum zerstört Hardware schneller als Ransomware, und ein Stromausfall legt einen Dienst ebenso sicher lahm wie ein Denial-of-Service-Angriff.
Welche Gefahren meint NIS2?
Erwägungsgrund 79 nennt den Schutz vor Ereignissen „wie Diebstahl, Feuer, Überschwemmungen und Telekommunikations- oder Stromausfällen oder vor unbefugtem physischen Zugang zu Informationen und Datenverarbeitungsanlagen einer wesentlichen oder wichtigen Einrichtung und vor der Schädigung dieser Informationen und Anlagen und den entsprechenden Eingriffen“. Die Maßnahmen sollen die Systeme schützen, und zwar „vor Systemfehlern, menschlichen Fehlern, böswilligen Handlungen oder natürlichen Phänomenen im Einklang mit europäischen und internationalen Normen, wie denen der Reihe ISO/IEC 27000“. Der Erwägungsgrund bezieht außerdem die Sicherheit des Personals und Konzepte für die Zugangskontrolle ein und verlangt Kohärenz mit der CER-Richtlinie.
Für die digitalen Anbieter, die unter die Durchführungsverordnung (EU) 2024/2690 fallen, nennt deren Erwägungsgrund 28 zusätzlich Bedrohungen aus „Erdbeben, Explosionen, Sabotage, Insider-Bedrohungen, Unruhen, giftigen Abfällen und Umweltemissionen“.
Das sind Beispiele, keine abschließende Liste, und Erwägungsgründe erläutern den Artikel, statt für sich genommen verbindlich zu sein. Ihre Risikoanalyse entscheidet, welche davon zutreffen.
Wo steht die physische Sicherheit in den zehn Maßnahmen nach Artikel 21?
Kein Buchstabe von Artikel 21(2) trägt die Überschrift „physische Sicherheit“. Sie zieht sich durch fünf davon:
- (a) Risikoanalyse: Physische Gefahren gehören in dasselbe Register wie Cyberbedrohungen.
- (c) Aufrechterhaltung des Betriebs, Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement: Sie müssen einen Brand, eine Überschwemmung oder einen langen Stromausfall überstehen.
- (d) Sicherheit der Lieferkette: Ein Colocation-Standort oder eine Cloud-Region ist Ihre physische Umwelt, nur dass jemand anderes sie betreibt.
- (i) Sicherheit des Personals, Zugriffskontrolle und Management von Anlagen: der physische Zutritt zu Räumen und das Wissen, wo sich Assets befinden.
- (j) „Gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung“: eine Möglichkeit zur Abstimmung, wenn das Büronetz ausgefallen ist.
Alle zehn Maßnahmen beschreibt NIS2 Artikel 21: die Maßnahmen erklärt.
Was verlangt die Durchführungsverordnung 2024/2690?
Für die in Artikel 21(5) genannten digitalen Anbieter, von DNS und Cloud über Rechenzentren, Anbieter verwalteter Dienste und Online-Plattformen bis zu Vertrauensdiensteanbietern, konkretisiert die Durchführungsverordnung (EU) 2024/2690 den Artikel 21. Abschnitt 13 ihres Anhangs, „Sicherheit des Umfelds und physische Sicherheit“, hat drei Teile:
- 13.1 Unterstützende Versorgungsleistungen. Erwägungsgrund 28: Die Verhinderung von Verlusten oder Betriebsunterbrechungen „infolge des Ausfalls und der Störung unterstützender Versorgungsleistungen“ sollte zur Betriebskontinuität beitragen.
- 13.2 Schutz vor physischen Bedrohungen und Bedrohungen des Umfelds. Erwägungsgrund 29: Schutzmaßnahmen konzipieren, Mindest- und Höchstkontrollwerte festlegen und Umweltparameter überwachen.
- 13.3 Perimeter und physische Zutrittskontrolle.
Erwägungsgrund 29 nennt Maßnahmen, die Anbieter „in Erwägung ziehen“ sollten: Früherkennung von Überschwemmungen, einen separaten Brandabschnitt für das Rechenzentrum, feuerbeständige Materialien, Sensoren für Temperatur und Feuchtigkeit, eine Brandmeldeanlage mit automatischer Benachrichtigung der örtlichen Feuerwehr sowie Überspannungsschutz mit Notstromversorgung. Brandschutzübungen und Brandschutzinspektionen „sollten“ sie durchführen; redundante Klimaanlagen „könnten“ sie in Erwägung ziehen.
Verbindlich ist der Anhang, und die technische Umsetzungsanleitung der ENISA vom Juni 2025 ergänzt Beispiele für Nachweise. Details für Anbieter finden Sie in NIS2 für Cloud, Rechenzentren und digitale Infrastruktur. Wenn Sie nicht zu diesen Anbietern gehören, bindet Sie die Verordnung nicht, sie ist aber ein sinnvoller Maßstab.
Wie hängen NIS2 und die CER-Richtlinie zusammen?
Die CER-Richtlinie, die Richtlinie (EU) 2022/2557 über die Resilienz kritischer Einrichtungen, betrifft die Resilienz von Einrichtungen, die die Mitgliedstaaten als kritische Einrichtungen ermitteln, auch gegenüber Risiken außerhalb des Cyberbereichs, und zwar in elf Sektoren von Energie und Verkehr bis zu digitaler Infrastruktur und Lebensmitteln. Die Mitgliedstaaten mussten ihre kritischen Einrichtungen bis zum 17. Juli 2026 ermitteln. Erwägungsgrund 30 NIS2 verweist auf die „Zusammenhänge zwischen der Cybersicherheit und der physischen Sicherheit von Einrichtungen“.
- Eine kritische Einrichtung nach CER ist unabhängig von ihrer Größe eine wesentliche Einrichtung nach NIS2 (Artikel 2(3) und 3(1) NIS2).
- CER gilt nicht für Angelegenheiten, die unter NIS2 fallen, und beide Richtlinien sind koordiniert umzusetzen (Artikel 1(2) CER).
- Kritische Einrichtungen bewerten ihre Risiken innerhalb von neun Monaten nach Erhalt der Mitteilung und danach mindestens alle vier Jahre (Artikel 12 CER). Sie gewährleisten den physischen Schutz ihrer Räumlichkeiten, „unter gebührender Berücksichtigung zum Beispiel von dem Aufstellen von Zäunen und Sperren, Instrumenten und Verfahren für die Überwachung der Umgebung, Detektionsgeräten und Zugangskontrollen“ (Artikel 13(1)(b)).
- In den Sektoren Bankwesen, Finanzmarktinfrastruktur und digitale Infrastruktur gelten Artikel 11 und die Kapitel III, IV und VI der CER-Richtlinie, die diese Resilienzpflichten enthalten, nicht (Artikel 8). Für die digitale Infrastruktur hält CER-Erwägungsgrund 20 fest, dass NIS2 einen gefahrenübergreifenden Ansatz anwendet, „der die Resilienz von Netz- und Informationssystemen sowie die physischen Komponenten und das physische Umfeld dieser Systeme umfasst“. Zum Finanzsektor siehe NIS2, DORA und der Finanzsektor.
- NIS2- und CER-Behörden tauschen regelmäßig Informationen aus, und die NIS2-Behörden informieren die CER-Behörden, wenn sie eine kritische Einrichtung beaufsichtigen (Artikel 13(5) und 32(9) NIS2).
In der Praxis unterliegt eine kritische Einrichtung in Energie, Verkehr, Gesundheit oder Wasser beiden Regelwerken. Sinnvoll ist eine einzige Risikobewertung, die beiden Regelwerken zugeordnet ist, statt zweier Register, die sich über dasselbe Umspannwerk widersprechen. Die Sektorsicht finden Sie in NIS2 für den Energiesektor.
Wie sieht verhältnismäßige physische Sicherheit für KMU aus?
Artikel 21(1) bemisst die Verhältnismäßigkeit nach dem Ausmaß der Risikoexposition der Einrichtung, ihrer Größe sowie der Wahrscheinlichkeit des Eintretens von Sicherheitsvorfällen und deren Schwere, einschließlich ihrer gesellschaftlichen und wirtschaftlichen Auswirkungen. Die Verhältnismäßigkeit entscheidet, wie weit Sie gehen, nicht ob.
Die meisten betroffenen KMU betreiben kein Rechenzentrum. Ihre physische Umwelt ist ein Netzwerkschrank im Büro, Laptops, die täglich das Gebäude verlassen, und Cloud- oder Colocation-Anbieter. Eine verhältnismäßige Basis in der Praxis:
- Erfassen Sie im Asset-Inventar, wo Systeme physisch laufen, einschließlich Cloud-Regionen.
- Schließen Sie den Netzwerkschrank oder Serverraum ab. Führen Sie ein Schlüssel- und Ausweisregister und holen Sie beides von ausscheidenden Mitarbeitenden zurück.
- Hängen Sie das Kernnetz und die Server vor Ort an eine USV, die für ein geordnetes Herunterfahren ausgelegt ist.
- Lassen Sie eine Person alarmieren, wenn die Temperatur in einem Technikraum den Sollbereich verlässt.
- Verschlüsseln Sie Laptop-Festplatten und aktivieren Sie die Fernlöschung, damit ein gestohlener Laptop ein Hardwareverlust ist und kein Datenabfluss.
- Bewahren Sie Backups getrennt von den Systemen auf, die sie schützen, und testen Sie eine Wiederherstellung.
- Geben Sie kritischen Standorten einen zweiten Internetzugang und einen Notfallkanal, der vom Büronetz unabhängig ist.
- Sammeln Sie Nachweise Ihrer Anbieter zur physischen Sicherheit, etwa ein ISO/IEC-27001-Zertifikat, das Ihren Standort abdeckt, und planen Sie für den Verlust dieses Standorts.
Eine Überschwemmung können Sie nicht verhindern. Sie können aber dafür sorgen, dass sie nicht den Dienst und die Backups gleich mit sich reißt.
Wenn Sie ISO 27001 betreiben, umfasst das physische Thema von Anhang A bereits 14 Controls, 7.1 bis 7.14, sortiert nach der Arbeit, die sie erfordern, in Controls aus Anhang A, gruppiert nach der tatsächlichen Arbeit.
Eine Registervorlage:
REGISTER PHYSISCHER UND UMWELTBEZOGENER GEFAHREN (eines pro Standort)
Standort oder Ort:
Systeme und Dienste an diesem Standort:
Anbieter (Colocation oder Cloud), vorliegender Nachweis, Ablaufdatum:
Gefahr Wahrsch. Auswirkung Ist-Maßnahme Eigentümer
Brand N/M/H N/M/H
Wasser: Überschwemmung oder Leck
Stromausfall über 1 Stunde
Internet- oder Telekomausfall
Ausfall der Kühlung
Diebstahl von Geräten
Unbefugter Zutritt, Manipulation
Verlust des gesamten Standorts
Letzter Wiederherstellungstest von außerhalb des Standorts (Datum, Ergebnis):
Akzeptierte Risiken und wer sie akzeptiert hat:
Nächster Überprüfungstermin:Was der gefahrenübergreifende Ansatz offenlässt und wie Sie die Lücke schließen
NIS2 sagt, was zu schützen ist und wovor. Die Richtlinie sagt nicht, wie viel genug ist oder was als Nachweis zählt. Die Lücke zeigt sich im Register: Überschwemmung als gering eingestuft für einen Netzwerkraum im Keller, und eine USV, die seit ihrer Installation niemand getestet hat.
Physische Nachweise liegen zudem außerhalb der IT-Systeme: Zutrittsprotokolle, USV-Selbsttests, Temperaturalarme, das Schlüsselregister, Zertifikate der Anbieter. Geprüft werden sie, wenn überhaupt, vor einem Audit.
Die Lücke zu schließen heißt, physische Maßnahmen wie alle anderen zu behandeln. Erheben Sie automatisch, was sich automatisch erheben lässt: Verschlüsselungsabdeckung, Ergebnisse von Backups und Wiederherstellungen, Umwelt- und USV-Alarme. Legen Sie den Rest mit einer verantwortlichen Person in einen festen Zeitplan, und lassen Sie die Ausnahmen von einem Menschen prüfen. So arbeitet die CloudSoul-Plattform: automatisiert, mit Human-in-the-Loop-Expertise. Ein Sicherheitsaudit anhand von Artikel 21 zeigt, wo Sie stehen, und das gesamte Programm finden Sie auf der Seite zur NIS2-Compliance.
Checkliste zum gefahrenübergreifenden Ansatz nach NIS2
- Nehmen Sie physische und umweltbezogene Gefahren pro Standort in das Risikoregister auf.
- Erfassen Sie, wo jedes System physisch läuft, einschließlich Cloud-Regionen.
- Schließen Sie Technikräume und Schränke ab und halten Sie das Schlüssel- und Ausweisregister aktuell.
- Bewahren Sie Backups getrennt von den Systemen auf, die sie schützen, und testen Sie eine Wiederherstellung.
- Statten Sie Technikräume mit einer USV und Temperaturalarmen aus.
- Sammeln Sie Nachweise Ihrer Anbieter zur physischen Sicherheit und prüfen Sie deren Geltungsbereich.
- Wenn Sie eine kritische Einrichtung nach CER sind, führen Sie eine einzige Risikobewertung für beide Regelwerke durch.
Quellen
- Richtlinie (EU) 2022/2555 (NIS2), Artikel 2, 3, 13, 21 und 32, Erwägungsgründe 30 und 79, EUR-Lex.
- Durchführungsverordnung (EU) 2024/2690 der Kommission, Erwägungsgründe 28 und 29 und Anhang Abschnitt 13, EUR-Lex.
- Richtlinie (EU) 2022/2557 über die Resilienz kritischer Einrichtungen (CER), Artikel 1, 6, 8, 12 und 13 und Erwägungsgrund 20, EUR-Lex.
- Europäische Kommission, Resilienz kritischer Infrastrukturen, Migration und Inneres.
- ENISA, NIS2 Technical Implementation Guidance, Juni 2025, ENISA.
Häufige Fragen
Was ist der gefahrenübergreifende Ansatz nach NIS2?
Nach Artikel 21(2) NIS2 müssen die Risikomanagementmaßnahmen im Bereich der Cybersicherheit auf einem gefahrenübergreifenden Ansatz beruhen, der darauf abzielt, die Netz- und Informationssysteme und die physische Umwelt dieser Systeme vor Sicherheitsvorfällen zu schützen. Erfasst sind nicht nur Cyberangriffe, sondern auch physische und umweltbedingte Ereignisse wie Diebstahl, Feuer, Überschwemmung sowie Strom- oder Telekommunikationsausfälle.
Verlangt NIS2 physische Sicherheit?
Ja, als Teil von Artikel 21. Nach Erwägungsgrund 79 sollten die Maßnahmen auch die physische Sicherheit und die Sicherheit des Umfelds von Netz- und Informationssystemen berücksichtigen, einschließlich unbefugten physischen Zugangs, im Einklang mit Normen wie der Reihe ISO/IEC 27000. NIS2 nennt keine konkreten physischen Maßnahmen: Ihre Risikoanalyse und die Verhältnismäßigkeit entscheiden, wie weit Sie gehen.
Was sagt die Durchführungsverordnung 2024/2690 zur physischen Sicherheit?
Für Anbieter von Cloud-, Rechenzentrums-, DNS- und verwalteten Diensten sowie die anderen dort genannten digitalen Anbieter regelt Abschnitt 13 ihres Anhangs die Sicherheit des Umfelds und die physische Sicherheit in drei Teilen: unterstützende Versorgungsleistungen, Schutz vor physischen Bedrohungen und Bedrohungen des Umfelds sowie Perimeter und physische Zutrittskontrolle.
Was ist der Unterschied zwischen NIS2 und der CER-Richtlinie?
NIS2 betrifft die Cybersicherheit von Netz- und Informationssystemen einschließlich ihrer physischen Umwelt. Die Richtlinie (EU) 2022/2557 über die Resilienz kritischer Einrichtungen (CER) betrifft die Resilienz der Einrichtungen, die die Mitgliedstaaten als kritische Einrichtungen ermitteln, auch gegenüber Risiken außerhalb des Cyberbereichs. Eine kritische Einrichtung nach CER ist unabhängig von ihrer Größe eine wesentliche Einrichtung nach NIS2.
Verlangt NIS2 ein Notstromaggregat oder ein zweites Rechenzentrum?
Nein. NIS2 nennt keine konkrete physische Maßnahme. Artikel 21 verlangt geeignete und verhältnismäßige Maßnahmen nach Risikoexposition, Größe, Eintrittswahrscheinlichkeit und Schwere. In der Praxis bilden für die meisten KMU eine USV, die für ein geordnetes Herunterfahren ausgelegt ist, Backups getrennt von den Systemen, die sie schützen, und eine getestete Wiederherstellung die verhältnismäßige Basis.
