# NIS2-Netzwerküberwachung: Checkliste

> Eine praktische Checkliste zur NIS2-Netzwerküberwachung für IT-Teams im Mittelstand: was Art. 21 und 23 verlangen, was zu überwachen und zu belegen ist.

Source page: https://netsenx.com/de/blog/2026-09-24_nis2-network-monitoring-checklist · NetSenX Team · 2026-11-06

NIS2 schreibt kein bestimmtes Überwachungswerkzeug vor, verlangt aber von wesentlichen und wichtigen Einrichtungen, Sicherheitsvorfälle zu bewältigen (Art. 21) und erhebliche Vorfälle binnen 24 Stunden, 72 Stunden und eines Monats zu melden (Art. 23). In der Praxis müssen Sie also sehen, was in Ihrem Netzwerk passiert, und Belege dafür aufbewahren. Diese Checkliste macht aus beiden Artikeln elf konkrete Schritte für ein IT-Team im Mittelstand.

## Für wen das gilt

NIS2, also die Richtlinie (EU) 2022/2555, erfasst mittlere und große Organisationen in den Sektoren ihrer Anhänge I und II (Energie, Verkehr, Gesundheit, digitale Infrastruktur, Herstellung bestimmter Waren, Lebensmittel, Abfallwirtschaft und weitere) sowie manche Einrichtungen unabhängig von ihrer Größe. Ein mittleres Unternehmen hat nach der EU-Definition mindestens 50 Beschäftigte oder mehr als 10 Mio. Euro Jahresumsatz bzw. Bilanzsumme.

Jeder Mitgliedstaat setzt NIS2 mit eigenem Recht um — zum Beispiel mit der Cyberbeveiligingswet in den Niederlanden und dem geänderten Gesetz über das nationale Cybersicherheitssystem (KSC) in Polen. Klären Sie Geltungsbereich, Registrierung und zuständiges CSIRT deshalb mit Ihrer nationalen Behörde.

## Was die Richtlinie wirklich verlangt

- **Art. 21** verlangt „geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen“. Auf der Liste stehen unter anderem die Bewältigung von Sicherheitsvorfällen, die Aufrechterhaltung des Betriebs, die Sicherheit der Lieferkette und Konzepte, um die Wirksamkeit der Maßnahmen zu bewerten.
- **Art. 23** verlangt eine **Frühwarnung binnen 24 Stunden**, nachdem ein erheblicher Vorfall bekannt wurde, eine **Meldung binnen 72 Stunden** und einen **Abschlussbericht binnen eines Monats** nach der Meldung.

Eine 24-Stunden-Frist lässt sich für einen Vorfall, den man nicht erkannt hat, nicht einhalten. Hier kommt die Netzwerküberwachung ins Spiel.

## Die Checkliste

1. **Status klären.** Stellen Sie fest, ob Sie eine wesentliche oder eine wichtige Einrichtung sind, welche nationale Behörde Sie beaufsichtigt und welches CSIRT Ihre Meldungen annimmt.
2. **Erfassen, was zu schützen ist.** Listen Sie die Netzwerksegmente und Assets auf, auf denen die betroffenen Dienste laufen — auch OT, Gebäudetechnik und Außenstandorte, nicht nur das Büro-LAN.
3. **Jedes Segment sichtbar machen.** Ein SPAN- oder TAP-Port oder ein Host-Sensor in jedem Segment. Beobachten Sie den Ost-West-Verkehr zwischen internen Hosts, nicht nur den Perimeter: Die meisten Angriffe bewegen sich nach dem ersten Fuß in der Tür lateral weiter.
4. **Auf Verhalten achten, das einem Vorfall vorausgeht.** C2-Beaconing, interne Scans, laterale Bewegung und ungewöhnliches ausgehendes Datenvolumen sind Schritte, die im Verkehr auftauchen, bevor Daten abfließen.
5. **Verschlüsselten Verkehr abdecken, ohne ihn aufzubrechen.** Zeitpunkte, Volumen, Ziele und der TLS-Handshake verraten Beaconing und Exfiltration, ohne dass etwas entschlüsselt wird — das macht auch die Überwachung selbst unter der DSGVO leichter begründbar.
6. **OT passiv überwachen.** Lesen Sie Industrieprotokolle über einen Spiegelport; fragen Sie SPS oder SCADA-Geräte nie aktiv ab.
7. **Festlegen, wer Alarme wann ansieht.** Schreiben Sie das Verfahren zur Vorfallbewältigung auf: wer triagiert, in welcher Zeit, und wer einen Vorfall als erheblich einstufen darf. Ein Alarm, der erklärt, warum er ausgelöst wurde, wird schneller bearbeitet als einer, der das nicht tut.
8. **Belege aufbewahren.** Für jeden Vorfall: die Alarme, die Entscheidungen der Analysten, eine Zeitleiste und die ergriffenen Maßnahmen — in einem Audit-Log, das Sie einem Prüfer oder einem CSIRT übergeben können.
9. **Die Meldefristen führen.** Starten Sie die Fristen aus Art. 23, sobald Ihnen ein erheblicher Vorfall bekannt wird, und üben Sie die 24-Stunden-Frühwarnung mindestens einmal, bevor Sie sie brauchen.
10. **Die Überwachungsdaten schützen.** Netzwerk-Metadaten enthalten IP-Adressen, die personenbezogene Daten sein können. Wissen Sie, wo Ihr Anbieter sie speichert, schließen Sie einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO und bewerten Sie den Anbieter als Teil Ihrer Lieferkette.
11. **Prüfen, ob es funktioniert.** Testen Sie Erkennung und Meldung regelmäßig und halten Sie das Ergebnis fest: Art. 21 verlangt Konzepte, um die Wirksamkeit Ihrer Maßnahmen zu bewerten.

## Wo NetSenX passt

NetSenX ist eine Network-Detection-and-Response-Plattform (NDR) für mittelständische Organisationen in der EU, die Angriffe anhand des Netzwerkverhaltens erkennt, jeden Alarm verständlich erklärt und Kundendaten in der EU hält. Von dieser Liste deckt sie die Schritte 3 bis 9 ab: Ein Agent an einem SPAN- oder TAP-Port beobachtet ein ganzes Segment, jeder Alarm nennt die Netzwerkmerkmale hinter seiner Bewertung, OT-Protokolle werden ab dem Pro-Plan passiv gelesen, und jeder Vorfall wird entlang der Fristen aus Art. 23 verfolgt. Die Pflichten aus NIS2 bleiben bei Ihrer Organisation — ein Werkzeug unterstützt sie, erfüllt sie aber nicht.

Der Free-Plan überwacht bis zu 3 Geräte kostenlos; Business deckt für 249 € im Monat bis zu 100 ab. Siehe [die Preise von NetSenX](/de/pricing), die Seite zur [NIS2-Netzwerküberwachung](/de/nis2-network-monitoring) oder [NetSenX im Vergleich mit anderen NDR-Anbietern](/de/compare).

## Quellen

- [Richtlinie (EU) 2022/2555 (NIS2), EUR-Lex](https://eur-lex.europa.eu/eli/dir/2022/2555/oj) — Art. 2, 21 und 23, Anhänge I und II
- [Empfehlung 2003/361/EG der Kommission zur KMU-Definition, EUR-Lex](https://eur-lex.europa.eu/eli/reco/2003/361/oj)
- [Europäische Kommission — Stand der NIS2-Umsetzung](https://digital-strategy.ec.europa.eu/en/policies/nis-transposition)
- [NCSC Niederlande — Cyberbeveiligingswet (NIS2)](https://www.ncsc.nl/cyberbeveiligingswet-nis2)
- [Biznes.gov.pl — NIS2 in Polen und das KSC-Gesetz](https://www.biznes.gov.pl/pl/portal/005120)

---

*Verfasst vom NetSenX Team bei TriStiX S.L. Dieser Artikel ist eine allgemeine Information und keine Rechtsberatung. Fragen: [info@netsenx.com](mailto:info@netsenx.com).*