Die NIS2-Richtlinie ist seit Oktober 2024 in deutsches Recht überführt und betrifft deutlich mehr Unternehmen als die Vorgängerversion. Schätzungen zufolge fallen in Deutschland rund 30.000 Unternehmen unter die erweiterten Anforderungen — darunter viele mittelständische Betriebe, die bisher nicht reguliert waren. Besonders betroffen: Unternehmen in den Sektoren Energie, Transport, Gesundheit, digitale Infrastruktur, Abfallwirtschaft, Lebensmittel, Chemie und verarbeitendes Gewerbe.
Die gute Nachricht: Wenn Sie bereits Microsoft 365 im Einsatz haben, decken die integrierten Security- und Compliance-Funktionen einen erheblichen Teil der NIS2-Anforderungen ab. In diesem Artikel zeigen wir, welche Anforderungen Sie mit Bordmitteln erfüllen können — und wo Sie zusätzliche Maßnahmen brauchen.
NIS2 im Überblick: Was wird gefordert?
Die NIS2-Richtlinie fordert von betroffenen Unternehmen im Wesentlichen fünf Dinge: ein Risikomanagement für die Cybersicherheit, technische und organisatorische Sicherheitsmaßnahmen, Meldepflichten bei Sicherheitsvorfällen, Verantwortung der Geschäftsleitung und Sicherheit in der Lieferkette.
Schauen wir uns an, wie Microsoft 365 und Purview bei jeder dieser Anforderungen helfen können.
Risikomanagement mit Microsoft-Bordmitteln
NIS2 fordert ein systematisches Risikomanagement. Microsoft bietet dafür zwei zentrale Werkzeuge.
Microsoft Purview Compliance Manager bewertet Ihre M365-Konfiguration automatisch gegen regulatorische Frameworks. Für NIS2 gibt es ein vordefiniertes Assessment, das Ihre aktuelle Konfiguration gegen die NIS2-Anforderungen abgleicht und konkrete Verbesserungsvorschläge liefert. Der Compliance Score gibt Ihnen einen messbaren Überblick, wo Sie stehen.
Microsoft Defender for Cloud bietet ein Security Dashboard mit dem Secure Score, der Ihre Sicherheitskonfiguration bewertet. Beide Scores zusammen — Compliance Score und Secure Score — geben Ihnen ein Lagebild, das Sie der Geschäftsleitung und im Falle einer Prüfung den Behörden vorlegen können.
Technische Sicherheitsmaßnahmen
Zugriffsschutz und Identitätsmanagement
NIS2 fordert Maßnahmen zur Zugriffskontrolle und Identitätsverwaltung. Microsoft Entra ID (ehemals Azure Active Directory) liefert hier die Basis: Multi-Faktor-Authentifizierung für alle Benutzer, Conditional Access Policies (z.B. Zugriff nur von verwalteten Geräten oder aus dem Firmennetzwerk), Privileged Identity Management für die zeitlich begrenzte Vergabe von Admin-Rechten und Identity Protection mit risikobasierter Erkennung kompromittierter Accounts.
Datenschutz und Informationssicherheit
NIS2 fordert den Schutz sensibler Daten. Hier kommt Microsoft Purview ins Spiel. Sensitivity Labels klassifizieren und verschlüsseln sensible Dokumente. DLP-Richtlinien verhindern den unkontrollierten Datenabfluss. Auto-Labeling stellt sicher, dass die Klassifizierung flächendeckend greift und Information Barriers trennen Informationsflüsse zwischen Abteilungen, wenn nötig (z.B. Chinese Walls in der Finanzbranche).
Bedrohungserkennung und -abwehr
NIS2 fordert Maßnahmen zur Erkennung und Abwehr von Cyberangriffen. Microsoft Defender for Office 365 schützt vor Phishing, Malware und Business Email Compromise. Microsoft Defender for Endpoint erkennt und reagiert auf Bedrohungen auf Endgeräten. Microsoft Sentinel (SIEM) korreliert Sicherheitsereignisse aus allen Quellen und ermöglicht automatisierte Reaktionen.
Backup und Wiederherstellung
NIS2 fordert Maßnahmen zur Sicherung und Wiederherstellung von Daten und Systemen. Microsoft 365 bietet integrierte Aufbewahrungsrichtlinien (Retention Policies) für E-Mails und Dokumente, Versionierung in SharePoint und OneDrive, Papierkorb mit mehrstufiger Wiederherstellung und Exchange Online-Archivierung.
Allerdings: Die nativen Backup-Funktionen von Microsoft 365 sind begrenzt. Für eine vollständige Backup-Strategie, die auch vor Ransomware und versehentlicher Löschung schützt, empfehlen wir eine Drittanbieter-Backup-Lösung wie Veeam oder AvePoint.
Meldepflichten
NIS2 führt strenge Meldepflichten ein. Sicherheitsvorfälle müssen innerhalb von 24 Stunden als Frühwarnung und innerhalb von 72 Stunden als vollständige Meldung an das BSI gemeldet werden. Das erfordert eine funktionierende Incident-Response-Kette.
Microsoft 365 unterstützt hier mit automatisierten Alerts in Microsoft Defender, Incident-Management in Microsoft Sentinel, Audit-Logs, die die Forensik unterstützen, und dem Service Health Dashboard für Microsoft-seitige Vorfälle.
Was Microsoft nicht liefert: den Prozess. Sie brauchen einen dokumentierten Incident-Response-Plan, der definiert, wer bei einem Vorfall welche Rolle hat, wie die Bewertung "meldepflichtig oder nicht" erfolgt, wer die Meldung an das BSI absetzt, wie die interne Kommunikation abläuft und wie die Nachbereitung dokumentiert wird.
Verantwortung der Geschäftsleitung
NIS2 macht die Geschäftsleitung persönlich verantwortlich für die Cybersicherheit. Geschäftsführer müssen an Schulungen teilnehmen und die Risikomanagement-Maßnahmen genehmigen. Bei Verstößen drohen persönliche Haftung und Bußgelder.
Microsoft 365 unterstützt hier indirekt: Der Compliance Score und der Secure Score liefern messbare Kennzahlen, die in regelmäßigen Management-Reviews vorgestellt werden können. Purview Compliance Manager dokumentiert, welche Maßnahmen umgesetzt sind und welche noch ausstehen. Diese Dokumentation kann die Geschäftsleitung nutzen, um ihre Sorgfaltspflichten nachzuweisen.
Lieferkettensicherheit
NIS2 fordert, dass Unternehmen die Cybersicherheitsrisiken in ihrer Lieferkette bewerten und managen. Das ist wahrscheinlich die Anforderung, bei der Microsoft 365 am wenigsten direkt hilft — Lieferkettensicherheit ist primär ein organisatorischer und vertraglicher Prozess.
Was Microsoft 365 beitragen kann: Sensitivity Labels und DLP stellen sicher, dass sensible Daten, die mit Lieferanten geteilt werden, geschützt sind. Conditional Access kann den Zugriff externer Partner auf bestimmte Ressourcen beschränken. Azure B2B Collaboration ermöglicht die kontrollierte Zusammenarbeit mit externen Partnern innerhalb der M365-Umgebung.
Was Microsoft 365 nicht abdeckt
Ehrlichkeit ist wichtig: Microsoft 365 ist kein NIS2-Compliance-Tool. Es ist eine Produktivitäts- und Sicherheitsplattform, die viele NIS2-Anforderungen technisch unterstützt. Aber es gibt Bereiche, die zusätzliche Maßnahmen erfordern.
ISMS-Framework: NIS2 fordert ein systematisches Risikomanagement. Microsoft 365 liefert die Werkzeuge, aber nicht das Framework. Dafür brauchen Sie ein Informationssicherheits-Managementsystem — idealerweise nach ISO 27001, das die NIS2-Anforderungen vollständig abdeckt.
Incident-Response-Plan: Die technische Erkennung liefert Microsoft. Den Prozess — wer tut was innerhalb von 24 Stunden — müssen Sie selbst definieren und üben.
Physische Sicherheit: NIS2 umfasst auch physische Sicherheitsmaßnahmen. Zutrittskontrolle, Serverraum-Sicherheit und Business Continuity sind nicht Bestandteil von Microsoft 365.
Schulung und Awareness: NIS2 fordert regelmäßige Cybersicherheitsschulungen für alle Mitarbeitenden, einschließlich der Geschäftsleitung. Microsoft bietet Attack Simulation Training in Defender for Office 365 Plan 2, aber ein vollständiges Awareness-Programm geht darüber hinaus.
NIS2-Roadmap mit Microsoft 365
Für mittelständische Unternehmen, die unter NIS2 fallen und bereits Microsoft 365 einsetzen, empfehlen wir folgende Roadmap.
Phase 1 — Bestandsaufnahme (Monat 1-2): Purview Compliance Manager aktivieren und NIS2-Assessment durchführen. Secure Score prüfen und Quick Wins umsetzen. Gap-Analyse erstellen.
Phase 2 — Grundschutz (Monat 3-4): MFA für alle Nutzer aktivieren. Sensitivity Labels und DLP einführen. Conditional Access Policies konfigurieren. Aufbewahrungsrichtlinien definieren.
Phase 3 — Erweiterter Schutz (Monat 5-8): Auto-Labeling aktivieren. Endpoint DLP einführen. Incident-Response-Plan erstellen und testen. Backup-Strategie mit Drittanbieter-Lösung umsetzen.
Phase 4 — ISMS aufbauen (Monat 6-12): Risikomanagement-Framework implementieren (ISO 27001 empfohlen). Lieferkettenbewertung durchführen. Awareness-Programm starten. Management-Review-Prozess etablieren.
Fazit
Microsoft 365 deckt einen erheblichen Teil der NIS2-Anforderungen ab — wenn die vorhandenen Funktionen auch tatsächlich konfiguriert und genutzt werden. In vielen Unternehmen sind Purview, Defender und Entra ID Teil der Lizenz, aber nicht oder nur teilweise aktiviert. Das ist verschenktes Potenzial.
Gleichzeitig ist Microsoft 365 kein Ersatz für ein ISMS. Die Technologie liefert die Werkzeuge, aber den Rahmen — Prozesse, Verantwortlichkeiten, Dokumentation — müssen Sie selbst schaffen. Die Kombination aus Microsoft-365-Bordmitteln und einem strukturierten ISMS-Ansatz ist der effizienteste Weg, NIS2-Compliance zu erreichen, ohne das Budget zu sprengen.
Sie wollen wissen, wie weit Ihre Microsoft-365-Umgebung die NIS2-Anforderungen bereits erfüllt? Unser Reifegrad-Assessment gibt Ihnen innerhalb von zwei Wochen ein klares Bild — und einen konkreten Fahrplan für die Lücken.