Was ist die NIS2-Richtlinie und warum ist sie für ERP-Systeme in Unternehmen von Bedeutung?
Die Richtlinie (EU) 2022/2555 (NIS2) verpflichtet wesentliche und wichtige Einrichtungen in 18 kritischen Sektoren gesetzlich dazu, Maßnahmen zum kontinuierlichen Cybersicherheits-Risikomanagement, strenge Fristen für die Meldung von Vorfällen sowie eine direkte Rechenschaftspflicht der Führungskräfte umzusetzen. Geschäftskritische ERP-Systeme, die Finanz-, Fertigungs- und Lieferkettenprozesse steuern, fallen unmittelbar in den Geltungsbereich dieser Verordnung. Die Absicherung dieser zentralen Anwendungsumgebungen ist unerlässlich, um schwerwiegende Betriebsstörungen, Bußgelder wegen Nichteinhaltung von Vorschriften und die persönliche Haftung der Führungskräfte zu vermeiden.
Nach Ablauf der offiziellen Umsetzungsfrist der Europäischen Union Ende 2024 setzen die zuständigen nationalen Behörden die Maßnahmen zur Einhaltung der NIS2-Richtlinie aktiv durch. ERP-Plattformen (darunter SAP S/4HANA, SAP ECC, RISE with SAP und SAP Business Technology Platform) verarbeiten die Betriebsdaten, deren Schutz die Richtlinie ausdrücklich zum Ziel hat.
Die Behandlung von SAP-Umgebungen als isolierte IT-Verwaltungssilos, die unabhängig vom Security Operations Center (SOC) verwaltet werden, ist nach dem Recht der Europäischen Union rechtlich nicht mehr vertretbar. Wenn ein Unternehmen es versäumt, seine SAP-Anwendungsschicht zu sichern, sieht sich die Organisation erheblichen finanziellen Risiken und einem Betriebsstillstand ausgesetzt. Die Ausrichtung an modernen SAP-Grundsätzen für Governance, Risiko und Compliance erfordert von den Sicherheitsverantwortlichen in Unternehmen den Einsatz kontinuierlicher, anwendungsorientierter Sicherheitskontrollen, die technische ERP-Risiken in verwertbare Nachweise zur Einhaltung gesetzlicher Vorschriften umwandeln.
Wesentliche vs. wichtige Unternehmen: Geltungsbereich, Sanktionen und Meldefristen
Die NIS2-Richtlinie unterteilt die betroffenen Organisationen je nach kritischer Bedeutung des Sektors und Größe der Organisation in „wesentliche Stellen“, die einer proaktiven Ex-ante-Aufsicht unterliegen, und „wichtige Stellen“, die einer reaktiven Ex-post-Aufsicht unterliegen. Bei Nichteinhaltung drohen Unternehmensstrafen in Höhe von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes sowie eine direkte Haftung der Geschäftsführung. Die Erfüllung der regulatorischen Verpflichtungen erfordert die Einhaltung einer strengen, mehrstufigen Meldefolge bei Vorfällen.
Die NIS2-Richtlinie erweitert den durch die ursprüngliche NIS-Richtlinie von 2016 festgelegten Regelungsbereich erheblich. Die Richtlinie gilt für mittlere und große Unternehmen mit mindestens 50 Beschäftigten oder einem Jahresumsatz von mehr als 10 Millionen Euro.
| NIS2-Klassifizierung | Aufsichtsregelung | Berücksichtigte Branchen | Geldstrafen für Unternehmen |
| Anhang I: Wesentliche Einheiten (EE) | Präventive (Ex-ante-)Aufsicht: Regelmäßige vorgeschriebene Prüfungen und Inspektionen. | Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, IKT-Dienstleistungsmanagement, öffentliche Verwaltung, Raumfahrt. | Bis zu 10.000.000 € oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. |
| Anhang II: Wichtige Einrichtungen (IE) | Reaktive (Ex-post-)Aufsicht: Prüfungen, die durch Sicherheitsvorfälle oder Hinweise auf Verstöße ausgelöst werden. | Post- und Kurierdienste, Abfallwirtschaft, chemische Industrie, Lebensmittelverarbeitung, allgemeine Fertigungsindustrie, digitale Dienstleister, Forschungseinrichtungen. | Bis zu 7.000.000 € oder 1,4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. |
Artikel 20 der NIS2-Richtlinie legt die persönliche Verantwortung der Leitungsorgane fest. Vorstände und CISOs müssen die Maßnahmen zum Cybersicherheits-Risikomanagement des Unternehmens formell genehmigen, deren Umsetzung überwachen und an den vorgeschriebenen Cybersicherheitsschulungen teilnehmen. Die Mitgliedstaaten sind gesetzlich befugt, nach schwerwiegenden Sicherheitsmängeln vorübergehende Verbote zu verhängen, die fahrlässig handelnden Führungskräften die Ausübung von Führungspositionen in kritischen Einrichtungen untersagen.
Artikel 23 schreibt ein verkürztes Verfahren zur Meldung von Vorfällen für alle schwerwiegenden Vorfälle vor, die zu erheblichen Betriebsstörungen oder finanziellen Schäden führen können:
- 24-Stunden-Frühwarnung: Betroffene Stellen müssen innerhalb von 24 Stunden nach Feststellung eines schwerwiegenden Vorfalls eine Erstmeldung an das nationale Computer Security Incident Response Team (CSIRT) oder die zuständige Behörde übermitteln.
- 72-Stunden-Meldepflicht bei Vorfällen: Die betroffenen Stellen müssen innerhalb von 72 Stunden einen formellen Bericht vorlegen, der eine erste Einschätzung des Schweregrads des Vorfalls, der betrieblichen Auswirkungen sowie der bekannten Indikatoren für eine Kompromittierung (IoCs) enthält.
- 30-Tage-Abschlussbericht: Die Organisationen müssen innerhalb eines Monats einen umfassenden Abschlussbericht vorlegen, in dem die nachgewiesene Grundursache, die ergriffenen Abhilfemaßnahmen und die grenzüberschreitenden betrieblichen Auswirkungen detailliert dargelegt werden.
Warum geschäftskritische SAP-Systeme direkt unter die Aufsicht der NIS2 fallen
SAP S/4HANA, ECC, RISE with SAP und SAP Business Technology Platform (BTP) verarbeiten zentrale Finanz-, Logistik- und Fertigungsdaten über wesentliche Einheiten hinweg. Ein vollständiger Ausfall oder eine Sicherheitsverletzung des SAP-Systems überschreitet unmittelbar die in den Vorschriften festgelegten Schwellenwerte für schwerwiegende Betriebsstörungen und erfordert gemäß Artikel 23 die unverzügliche Benachrichtigung der nationalen Behörden. Zur Absicherung dieser Plattformen müssen Schwachstellen auf Anwendungsebene behoben werden, die von herkömmlichen IT-Sicherheitstools übersehen werden.
In kritischen Infrastruktursektoren steuern SAP-Anwendungen die Logistik, verwalten Hauptbücher, beherbergen geistiges Eigentum und sind direkt mit Operational-Technology-Netzwerken (OT) verbunden. Branchenkennzahlen zeigen, dass Ausfallzeiten der Unternehmens-IT Organisationen durchschnittlich 5.600 US-Dollar pro Minute kosten. Diese finanziellen Auswirkungen sind deutlich höher, wenn Kernsysteme wie SAP ausfallen. Ein ungebremster SAP-Sicherheitsverstoß führt schnell zu Umsatzverlusten in Millionenhöhe und erfüllt damit die NIS2-Kriterien für eine vorgeschriebene Meldung an die Aufsichtsbehörden.
Allgemeine Netzwerkscanner überwachen Betriebssysteme und Datenbanken zwar effektiv, sind jedoch nicht in der Lage, proprietäre SAP-Protokolle, komplexe Berechtigungsschemata und benutzerdefinierten ABAP-Code zu analysieren. Um eine wirksame Sicherheitsstrategie zu etablieren, ist es erforderlich, die SAP-Sicherheit auf Anwendungsebene zu verstehen, um gefährliche operative blinde Flecken zu beseitigen:
- Fehlende Autorisierungsprüfungen: Angreifer nutzen fehlende Autorisierungsprüfungen aus, um Sicherheitskontrollen zu umgehen, sensible Daten zu entwenden und Berechtigungen zu erweitern. Fehlende Autorisierungsprüfungen stellen nach wie vor einen der wichtigsten Angriffsvektoren dar und machen fast ein Drittel aller im Jahr 2025 gemeldeten Schwachstellen aus.
- Sicherheitslücken in benutzerdefiniertem Code: Großunternehmen schaffen risikoreiche Sicherheitslücken (darunter ABAP-Code-Injektionen, SQL-Injektionen und nicht authentifizierte Remote-Funktionsaufrufe) durch ungeprüfte kundenspezifische Entwicklungen und Transportanfragen von Drittanbietern.
- Patches und Konfigurationsabweichungen: Angreifer nutzen ungepatchte SAP-Sicherheitslücken bereits 72 Stunden nach Veröffentlichung eines Patches aktiv aus. Neu bereitgestellte SAP-Instanzen in Infrastructure-as-a-Service-Umgebungen (IaaS) werden innerhalb von drei Stunden nach der Bereitstellung aktiv gescannt, sofern die Standardeinstellungen nicht abgesichert wurden.
- Lücken in der SOC-Transparenz: SAP-Anwendungsprotokolle (einschließlich des SAP-Sicherheitsauditprotokolls und der Gateway-Protokolle) verbleiben häufig isoliert innerhalb der SAP-Basis-Teams, anstatt direkt in die unternehmensweiten SIEM-Systeme (Security Information and Event Management) eingespeist zu werden.
| Ebene / Domäne | Verantwortlichkeiten des SAP-/ Cloud -Anbieters (Infrastrukturebene) | Rechtliche Verantwortung des Kunden (Anwendungsschicht – Geltungsbereich der NIS2-Richtlinie) |
| Hardware und physische Komponenten | Physische Sicherheit im Rechenzentrum, Server-Hardware, Stromversorgung und Kühlung | k. A. (wird vom Anbieter verwaltet) |
| Netzwerk & Betriebssystem | Netzwerkarchitektur, Basis-Hypervisoren, Betriebssystem- und Datenbankverwaltung | Konfigurationen für die Netzwerkkonnektivität und „Outbound“- Cloud -Konnektoren |
| Anwendungsschicht | Verfügbarkeit des Kern-ERP- Platform s, Installation von Infrastruktur-Patches | • Benutzerzugriff, Rollen und Berechtigungen • Entwicklung von benutzerdefiniertem ABAP- und BTP-Code • Konfigurationen und Absicherung der Anwendungsebene • API- und Drittanbieter-Integrationen • Transportsicherheit und Änderungsmanagement • Überwachung von Anwendungsbedrohungen und Protokollerfassung • Einhaltung von Compliance-Vorgaben und kontinuierliche Control Audits |
Unternehmen, die auf „ cloud “-Transformationen umstellen, arbeiten nach einem strengen Modell der geteilten Verantwortung. Der „ cloud “-Anbieter verwaltet die zugrunde liegende Infrastruktur, die Hypervisoren und die physischen Einrichtungen, doch der Kunde trägt gemäß NIS2 die alleinige rechtliche Verantwortung für die Sicherung von Anwendungskonfigurationen, Benutzerberechtigungen, benutzerdefiniertem Code und API-Verbindungen von Drittanbietern.
Technische Zuordnung: Anforderungen gemäß Artikel 21 im Vergleich zu den SAP-Anwendungskontrollen
Um die Vorgaben von Artikel 21 zu erfüllen, müssen die gesetzlichen Anforderungen an das Cybersicherheits-Risikomanagement direkt mit speziellen technischen SAP-Kontrollen auf Anwendungsebene abgeglichen werden. Unternehmen müssen die manuelle Prüfung der allgemeinen IT-Kontrollen durch eine kontinuierliche, automatisierte Transparenz über Systemkonfigurationen, die Entwicklung von benutzerdefiniertem ABAP-Code, Benutzerberechtigungen und die Überwachung von Sicherheitsprotokollen in Echtzeit ersetzen.
Gemäß Artikel 21 Absatz 1 sind Unternehmen verpflichtet, verhältnismäßige technische und betriebliche Maßnahmen durchzusetzen, die auf das organisatorische Risiko abgestimmt sind. Die Anpassung der SAP-Landschaften an die Anforderungen der NIS2 erfordert die Umsetzung spezifischer Teilmaßnahmen, die in Artikel 21 Absatz 2 näher beschrieben sind:
- Artikel 21 Absatz 2 Buchstabe a – Risikoanalyse und Sicherheit des Informationssystems: Organisationen müssen ein automatisiertes Angriffsflächenmanagement durchführen, um SAP-Web-Dispatcher, RFC-Schnittstellen und „ cloud “-Konnektoren zu erfassen und dabei exponierte Schnittstellen und Fehlkonfigurationen zu identifizieren.
- Artikel 21 Absatz 2 Buchstabe b – Vorfallbearbeitung: Sicherheitsoperationszentren müssen das SAP Security Audit Log (SAL) und die Gateway-Protokolle direkt in die SIEM-Plattformen des Unternehmens (wie Splunk oder Microsoft Sentinel) integrieren, um Bedrohungen zu erkennen und die Vorschrift zur Frühwarnung innerhalb von 24 Stunden zu erfüllen.
- Artikel 21 Absatz 2 Buchstabe d – Sicherheit der Lieferkette: Entwicklungsteams müssen automatisierte statische Anwendungssicherheitstests (SAST) durchführen, um benutzerdefinierten ABAP-Code, BTP-Erweiterungen und Transportaufträge von Drittanbietern vor dem Import in die Produktionsumgebung zu prüfen.
- Artikel 21 Absatz 2 Buchstabe e – Systemwartung und Umgang mit Sicherheitslücken: Die Betriebsteams müssen das SAP-Sicherheitslückenmanagement einsetzen, um die Anwendungskonfigurationen kontinuierlich zu überprüfen und die vollständige Umsetzung der monatlichen SAP-Sicherheitshinweise systematisch zu validieren.
- Artikel 21 Absatz 2 Buchstabe f – Wirksamkeitsprüfung: Compliance-Beauftragte müssen von manuellen Stichprobenprüfungen der allgemeinen IT-Kontrollen (ITGC) auf eine kontinuierliche Überwachung der IT-Kontrollen ( control , CCM) umstellen, um für externe Wirtschaftsprüfer mit Zeitstempel versehene Nachweisdokumente zu erstellen.
- Artikel 21 Absatz 2 Buchstabe i – Governance im Bereich des Zugriffs Control s: Sicherheitsteams müssen die Aufgabentrennung (Segregation of Duties, SoD) durchsetzen, rollenbasierte Zugriffskontrollen (Role-Based Access Controls, RBAC) verwalten und privilegierte Profile (wie z. B. SAP_ALL) kontinuierlich überwachen, um eine unbefugte Erweiterung von Berechtigungen zu verhindern.
Prioritäten der Geschäftsleitung: Überbrückung der operativen Kluft zwischen Sicherheits- und Basis-Teams
Um die SAP-Abläufe im Unternehmen mit der NIS2-Richtlinie in Einklang zu bringen, müssen bestimmte operative Reibungspunkte zwischen CISOs, Compliance-Verantwortlichen und SOC-Analysten beseitigt werden. Die Einführung einer automatisierten Anwendungs-Governance liefert der Geschäftsleitung Risikokennzahlen in Echtzeit und erspart den Basis-Ingenieuren gleichzeitig die manuelle Vorbereitung von Audits.
| Führungsposition | Regulatorische Schwerpunkte und Herausforderungen im Zusammenhang mit NIS2 | Onapsis-Werttreiber |
| CISO | Persönliche Haftung (Artikel 20): Erfordert eine dokumentierte Überwachung der Cybersicherheitsmaßnahmen. Problem: SAP bleibt ein undurchsichtiger blinder Fleck, was eine genaue Risikoberichterstattung an den Vorstand nahezu unmöglich macht. | Echtzeit-Risikokennzahlen: Wandelt hochtechnische Anwendungsschwachstellen in klare geschäftliche Risikokennzahlen um, um den Aufsichtsbehörden die Wirksamkeit von „ control “ nachzuweisen. |
| Leiter für IT-Compliance und SAP-Basis | Überprüfung der Wirksamkeit (Artikel 21): Schreibt die kontinuierliche Validierung von Sicherheitskontrollen vor. Problem: Chronische Audit-Ermüdung durch das manuelle Erstellen von System-Screenshots und das Sammeln von Protokollnachweisen in globalen Systemlandschaften. | Automatisierte Nachweise: Ersetzt die manuelle Probenahme durch eine automatisierte kontinuierliche Überwachung ( control , CCM), gleicht Personalengpässe aus und beseitigt Verzögerungen bei der Prüfungsvorbereitung. |
| SOC-Leiter und Analysten | 24-Stunden-Frühwarnung (Artikel 23): Erfordert die rasche Meldung schwerwiegender Vorfälle. Problem: Den Analysten fehlt die spezielle Schulung, um native SAP-Transaktionsprotokolle auszuwerten oder Anzeichen für eine Kompromittierung zu erkennen. | Normalisierte SIEM-Warnmeldungen: Leitet vorab analysierte Anwendungswarnmeldungen an bestehende SOC-Playbooks weiter und ermöglicht es Analysten so, Bedrohungen sofort zu erkennen, ohne dass eine manuelle Extraktion von Basis-Protokollen erforderlich ist. |
| Leiter SAP/ERP & AppDev | Sicherheit der Lieferkette (Artikel 21): Erfordert einen kontinuierlichen Umgang mit Schwachstellen und sichere Entwicklungspraktiken. Problem: Externe Auftragnehmer stellen Schnelligkeit über Sicherheit und führen dadurch anfälligen benutzerdefinierten Code in die Produktion ein. | DevSecOps-Automatisierung: Integriert statische Anwendungssicherheitstests direkt in die Entwicklungspipeline, um anfällige Transportanfragen vor der Übernahme in die Produktion automatisch zu blockieren. |
Aus der Sicht des CISO: Minderung der persönlichen Haftung von Führungskräften
Artikel 20 zur persönlichen Haftung von Führungskräften verpflichtet CISOs und Unternehmensvorstände dazu, die Sicherheitslage der Anwendungen dokumentiert zu überwachen. Solange SAP eine isolierte IT-Verwaltungsfunktion bleibt, fehlen den CISOs die verifizierten Kennzahlen, die erforderlich sind, um den Aufsichtsbehörden die Wirksamkeit der „ control “ nachzuweisen. Die Onapsis-Lösung „ Platform “ bietet ein zentralisiertes Berichtswesen für Führungskräfte, das komplexe technische Anwendungsschwachstellen in den Kontext geschäftlicher Risiken übersetzt.
Verantwortliche für Compliance und Steuergrundlagen: Die Vermeidung von Audit-Ermüdung
IT-Compliance- und SAP-Basis-Teams leiden unter chronischer Audit-Ermüdung, da sie manuell System-Screenshots erstellen und Protokollnachweise in globalen SAP-Landschaften sammeln müssen. Die manuelle Stichprobenentnahme birgt das Risiko menschlicher Fehler und unerwarteter Mängel bei der Prüfung. Der Einsatz von Onapsis Comply Packs ersetzt die manuelle Stichprobenentnahme durch eine wiederholbare, automatisierte Nachweiserfassung, gleicht Personalengpässe im Bereich Cybersicherheit aus und beseitigt Verzögerungen bei der Prüfungsvorbereitung.
SOC-Analysten: Die SAP-Wissenslücke schließen
Analysten in Security Operations Centern (SOCs) der Stufen 1 und 2 verfügen häufig nicht über die erforderliche Fachausbildung, um native SAP-Transaktionsprotokolle auszuwerten oder routinemäßige Verwaltungsaufgaben von aktiven Angriffsversuchen zu unterscheiden. Durch die Einbindung vorab analysierter Onapsis- Defend -Warnmeldungen in bestehende SOC-Playbooks sind Sicherheitsanalysten in der Lage, Indikatoren für Kompromittierungen sofort zu erkennen. Diese Integration ermöglicht es dem SOC, die Anforderung einer 24-Stunden-Frühwarnung zu erfüllen, ohne dass eine manuelle Extraktion von Basis-Protokollen erforderlich ist. Unternehmen, die kontinuierliche Kontrollen über geschäftskritische Plattformen hinweg einrichten, erfüllen zudem damit verbundene regulatorische Rahmenbedingungen, wie beispielsweise die DORA-Konformität.
NIS2-Checkliste zur SAP-Bereitschaft
Um die Bereitschaft eines Unternehmens zur Einhaltung der NIS2-Vorschriften zu bewerten, müssen technische Kontrollmaßnahmen, die Transparenz der Protokolle, die Transportsicherheit und die Arbeitsabläufe zur Reaktion auf Vorfälle für alle SAP-Systeme überprüft werden. Unternehmen können diese zusammenfassende Checkliste nutzen, um den Sicherheitsstatus auf Anwendungsebene vor behördlichen Kontrollen zu überprüfen:
- [ ] Bestandsaufnahme der Angriffsfläche: Automatisierte Schwachstellensuche, die für alle lokalen, RISE with SAP- und BTP-Unterkonten aktiv ist, um exponierte Schnittstellen zu erfassen.
- [ ] Automatische Überprüfung von Sicherheitshinweisen: Das System ist so konfiguriert, dass es automatisch überprüft, ob die monatlichen SAP-Sicherheitshinweise vollständig umgesetzt und die manuellen Schritte nach der Installation durchgeführt wurden.
- [ ] Transport Guard Enforcement: Automatisierte statische Codeanalyse zur Überprüfung benutzerdefinierter ABAP-, UI5- und BTP-Transportaufträge vor der Freigabe in die Produktion.
- [ ] Echtzeit-SIEM-Integration: Native SAP-Auditprotokolle und Anwendungsereignisse werden normalisiert und kontinuierlich in die SIEM-Playbooks des Unternehmens gestreamt.
- [ ] Kontinuierliche Nachverfolgung von ITGC-Nachweisen: Die kontinuierliche Überwachung der „ Control “ ist aktiviert, um zeitgestempelte Berichte zu erstellen, die den Anforderungen von Artikel 21 entsprechen.
- [ ] 24-Stunden-Frühwarn-Leitfäden: Die Leitfäden zur Reaktion auf Vorfälle wurden um Indikatoren für Kompromittierungen auf Anwendungsebene ergänzt, um die in Artikel 23 festgelegten Meldefristen einzuhalten.
Häufig gestellte Fragen
Welche Sanktionen drohen bei Nichteinhaltung der NIS2-Richtlinie ( comply )?
Die zuständigen nationalen Behörden sind gesetzlich befugt, gegen Organisationen, die die Vorschriften nicht einhalten, hohe Geldbußen zu verhängen. Für wesentliche Unternehmen gemäß Anhang I betragen die Geldbußen bis zu 10.000.000 Euro oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Für wichtige Unternehmen gemäß Anhang II betragen die Geldbußen bis zu 7.000.000 Euro oder 1,4 Prozent des weltweiten Umsatzes. Darüber hinaus führt Artikel 20 der Richtlinie eine direkte persönliche Haftung für die Geschäftsleitung ein und räumt den Behörden die Befugnis ein, fahrlässig handelnden Unternehmensleitern vorübergehende Führungsverbote aufzuerlegen.
Warum fallen SAP-Systeme ausdrücklich in den Geltungsbereich der NIS2-Prüfungen?
ERP-Plattformen wie SAP S/4HANA und SAP ECC steuern die zentralen Lieferketten-, Fertigungs- und Finanzprozesse in kritischen Infrastruktursektoren. Die NIS2-Richtlinie schreibt eine strenge Meldepflicht für alle Vorfälle vor, die zu „schwerwiegenden Betriebsstörungen“ führen. Da Ausfallzeiten von ERP-Systemen Unternehmen durchschnittlich 5.600 US-Dollar pro Minute kosten, löst ein nicht abgewehrter SAP-Sicherheitsverstoß oder ein Ransomware-Vorfall sofort diese Schwellenwerte für schwerwiegende Störungen aus, wodurch die Anwendungsebene zu einem Hauptziel für behördliche Überprüfungen wird.
Wie wirkt sich das Modell der geteilten Verantwortung auf RISE with SAP im Rahmen von NIS2 aus?
Unternehmen, die im Rahmen von „RISE with SAP“ auf „ cloud “-Transformationen umstellen, unterliegen einem strengen Modell der geteilten Sicherheitsverantwortung. Der „ cloud “-Anbieter sorgt für die Sicherheit der zugrunde liegenden Infrastruktur, der Hypervisoren und der physischen Rechenzentren. Der Kunde trägt jedoch gemäß NIS2 die alleinige rechtliche Verantwortung für die Sicherheit der Konfigurationen auf Anwendungsebene, des kundenspezifischen ABAP-Codes, der Integrationen von Drittanbietern sowie der Benutzerzugriffsberechtigungen. Die Nichtgewährleistung der Sicherheit dieser kundeneigenen Anwendungselemente stellt einen direkten Verstoß gegen die Risikomanagementvorschriften der NIS2 dar.
Was ist die 24-Stunden-Frühwarnpflicht gemäß Artikel 23 der NIS2-Richtlinie?
Artikel 23 legt einen sehr straffen Zeitplan für die Meldung schwerwiegender Cybersicherheitsvorfälle fest: 24-72-30. Betroffene Unternehmen müssen innerhalb von 24 Stunden nach Feststellung eines schwerwiegenden Vorfalls eine erste Frühwarnmeldung an ihr nationales Computer Security Incident Response Team (CSIRT) übermitteln. Um diesen straffen Zeitplan einzuhalten, müssen Unternehmen die SAP-Anwendungsprotokolle direkt in ihre unternehmensweiten SIEM-Plattformen (Security Information and Event Management) integrieren, um eine Echtzeit-Erkennung von Bedrohungen und Transparenz zu gewährleisten.
Über den Autor
