.png){kind=logo}
NIS2 und BSIG stellen hohe Anforderungen an Sicherheitsmaßnahmen und Risikomanagement. enclaive erweitert bestehende Sicherheitskontrollen um den Schutz sensibler Workloads während der Verarbeitung, sodass unbefugte Zugriffe konsequent verhindert werden, selbst aus der darunterliegenden Infrastruktur. Remote Attestation liefert den technischen Nachweis für Audits und Aufsichtsbehörden.
ENTWICKELT UND BETRIEBEN IN DEUTSCHLAND. IM EINSATZ IN EUROPÄISCHEN PROJEKTEN FÜR DEN ÖFFENTLICHEN SEKTOR UND KRITISCHE INFRASTRUKTUREN.
NIS2 ist in Deutschland im BSI-Gesetz (BSIG) umgesetzt. Besonders wichtige und wichtige Einrichtungen müssen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen zum Risikomanagement ergreifen. Zugleich verpflichtet das BSIG die Geschäftsleitung, diese Maßnahmen umzusetzen und ihre Umsetzung zu überwachen.
Drei Punkte, auf die Unternehmen achten sollten:
§ 30 BSIG umfasst ein breites Spektrum an Risikomanagementmaßnahmen – von Risikoanalyse und Kryptografie über Zugriffskontrolle bis zur Sicherheit der Lieferkette. Vieles davon ist bereit bei Unternehmen im Einsatz. Anspruchsvoll wird es beim Schutz von Daten während der Verarbeitung – und dort, wo Policies und Prozesse allein nicht ausreichen, sondern die Wirksamkeit von Schutzmaßnahmen nachvollziehbar werden muss.
enclaive verbindet drei Mechanismen: Schutz von Data in Use durch Confidential Computing, kundenseitig kontrollierte Schlüssel mit attestationsgebundener Freigabe sowie technische Evidenz aus dem laufenden Betrieb. Damit lassen sich mehrere Anforderungen aus § 30 BSIG technisch unterstützen – von Kryptografie und Zugriffskontrolle bis zur Bewertung der Wirksamkeit von Sicherheitsmaßnahmen.
Confidential Computing ergänzt den Schutz von Data at Rest und Data in Transit um Data in Use: Workloads laufen hardwareisoliert, ihr Arbeitsspeicher bleibt gegenüber der Infrastruktur verschlüsselt.
Attestation-Daten zeigen, welche Workloads in der vorgesehenen geschützten Laufzeitumgebung ausgeführt werden.
Attestierte Workload-Identitäten und attestationsgebundene Schlüsselfreigabe begrenzen den Klartextzugriff aus der Infrastruktur. Administratorrechte allein reichen nicht für den Zugriff auf geschützte Daten.
Attestation- und Key-Release-Protokolle dokumentieren, welchen verifizierten Workloads Schlüssel freigegeben wurden.
Remote Attestation überprüft den gemessenen Zustand einer Workload und ihrer Laufzeitumgebung gegen definierte Referenzwerte und Policies – unabhängig davon, wer die Infrastruktur betreibt.
Kryptografisch überprüfbare Attestation Reports können autorisierten Dritten als technische Evidenz dienen.
Attestierte CI/CD-Umgebungen können Signing Keys und Pipeline-Secrets nur erhalten, wenn der jeweilige Build-Zustand den festgelegten Policies entspricht.
Release-, Key-Release- und Attestation-Daten machen Build- und Deployment-Schritte nachvollziehbar.
Evidence Packs bündeln technische Daten aus dem laufenden Betrieb – etwa Attestation-Status, Key Release und Policy Enforcement.
Aktuelle Evidenzpakete unterstützen Audits und Prüfungen, ohne Nachweise erst aus Tickets, Screenshots und Tabellen zusammensuchen zu müssen.
Die Paragraphenverweise dienen der Orientierung innerhalb des BSIG und ersetzen keine Rechtsberatung.
enclaive unterstützt gezielt dort, wo sich Sicherheitsanforderungen technisch durchsetzen und überprüfen lassen. Confidential Computing schützt sensible Workloads während der Verarbeitung, attestationsgebundene Schlüsselfreigabe begrenzt privilegierte Zugriffe und Remote Attestation liefert technische Evidenz über den laufenden Zustand. Evidence Packs können diese Nachweise aus dem Betrieb bündeln und damit die Vorbereitung auf Prüfungen und Audits vereinfachen. Sie ersetzen jedoch weder das übergreifende Risikomanagement noch die organisatorische Dokumentation oder rechtliche Bewertung.
Was GRC-Verantwortliche wissen wollen
Macht der Einsatz von enclaive uns NIS2-konform?
Nein. NIS2-Compliance umfasst Governance, Risikomanagement, Incident Response, Schulungen, Meldepflichten und technische Maßnahmen. enclaive kann konkrete technische Anforderungen unterstützen und dafür überprüfbare Evidenz liefern – die Verantwortung für die Gesamtumsetzung bleibt bei Ihnen und Ihrer Geschäftsleitung.
Fallen wir überhaupt unter NIS2?
Das richtet sich in Deutschland nach § 28 BSIG sowie den Anlagen 1 und 2. Entscheidend sind unter anderem Einrichtungsart, Branche und Unternehmensgröße. Für bestimmte Einrichtungen gelten Sonderregeln. Die konkrete Einordnung sollte rechtlich geprüft werden.
Wie hilft enclaive bei den 24- und 72-Stunden-Meldepflichten?
Die Meldepflicht bleibt bei Ihrer Organisation. Attestation-, Key-Release- und weitere technische Betriebsdaten können jedoch helfen, einen Sicherheitsvorfall schneller einzugrenzen und seinen möglichen Umfang zu bewerten. Das BSIG verlangt eine Erstmeldung spätestens nach 24 Stunden und eine weitergehende Meldung spätestens nach 72 Stunden nach Kenntniserlangung eines erheblichen Sicherheitsvorfalls.
Wir sind ein Finanzunternehmen – gilt für uns DORA oder NIS2?
Für erfasste Finanzunternehmen gilt DORA in zentralen Bereichen als sektorspezifischer EU-Rechtsakt gegenüber NIS2. Das betrifft insbesondere IKT-Risikomanagement, Meldung von IKT-Vorfällen, Resilienztests und IKT-Drittparteienrisiken. Die Abgrenzung ist also differenzierter als ein einfaches „DORA statt NIS2“. Die konkrete Einordnung sollte rechtlich geprüft werden.
Wir sind ISO 27001 zertifiziert. Was bringt enclaive zusätzlich?
Eine ISO/IEC-27001-Zertifizierung bestätigt, dass ein Informationssicherheits-Managementsystem die Anforderungen des Standards im zertifizierten Umfang erfüllt. Sie ersetzt weder die NIS2-Einordnung noch den Nachweis der Wirksamkeit jeder einzelnen technischen Maßnahme. enclaive kann hier zusätzliche technische Evidenz aus dem laufenden Betrieb liefern.
Unser Cloud-Provider erfüllt NIS2. Reicht das nicht aus?
Nein. Die Pflichten des Providers ersetzen nicht die eigenen Pflichten einer ebenfalls erfassten Organisation. Zudem bleibt die Frage, welche privilegierten Zugriffe auf Workloads und Daten technisch möglich sind. Confidential Computing kann diese Vertrauensgrenze verkleinern, indem geschützte Workloads von der darunterliegenden Infrastruktur isoliert und Schlüssel nur an attestierte Zustände freigegeben werden.
Wo steht Ihre NIS2-Umsetzung?
Wir schauen uns mit Ihnen an, wo noch Lücken bestehen – und zeigen Ihnen, welche davon sich mit enclaive technisch adressieren und nachvollziehbar belegen lassen.
