Wo NIS-2-Umsetzung wirklich ansetzen muss Wenn Redundanz zur Illusion wird

Anbieter zum Thema

Jung Antriebstechnik u. Automation

Vertiv GmbH

DAXTEN GmbH

DeRZ - Deutsche Rechenzentren GmbH

NIS-2 fordert von Rechenzentren wirksame statt bloß dokumentierte Sicherheit: Risiken in IT, Infrastruktur und Organisation müssen bewertet, Notfallprozesse getestet und Redundanzen konsequent am tatsächlichen Geschäftsschaden ausgerichtet werden.

Wer ein mittelständisches Rechenzentrum betrachtet, erhält den Eindruck, dass alles vorhanden ist: eine USV-Anlage, Klimatisierung, Brandfrüherkennung, ein dokumentierter Notfallplan sowie ein ausgeklügeltes Backup-Konzept.

Bei näherer Betrachtung zeichnet sich allerdings oft ein völlig anderes Bild, bei dem zwischen Theorie und gelebter Praxis deutliche Unterschiede bestehen. Die USV wurde seit Jahren nicht mehr unter realer Last getestet, der Notfallplan stammt aus einer Zeit früherer Organisationsstrukturen und berücksichtigt weder aktuelle Geschäftsprozesse noch Verantwortlichkeiten. Das Backup existiert zwar technisch, aber ein echter Wiederherstellungstest wurde lange nicht durchgeführt.

Und exakt an diesen neuralgischen Punkten setzt die NIS-2-Richtlinie an. Sie rückt nicht mehr die bloße Existenz von Sicherheitsmaßnahmen in den Fokus, sondern fordert deren echte Wirksamkeit, Aktualität und regelmäßige Überprüfung.

Risiko ist struktureller und nicht punktueller Natur

Die fundierte Analyse eines Rechenzentrums sollte grundsätzlich sowohl die physische Infrastruktur als auch die organisatorische Ebene beinhalten. Stromversorgung, Kühlung und Zugangskontrollen müssen zwingend vor Ort und nicht nur auf dem Papier bewertet werden. Parallel dazu gilt es, die Existenz aktueller Netzwerkpläne, Konfigurationsdokumente und klar definierter Zuständigkeiten zu prüfen. Sind beide Bereiche unzureichend ausgeprägt, liegt kein isoliertes Defizit vor, sondern ein strukturelles Risiko. In solchen Fällen genügt kein Komponententausch. Es bedarf einer grundsätzlichen Überarbeitung des Betriebs- und Governance-Modells.

Die größten technischen Risiken finden sich erfahrungsgemäß nicht in den sichtbaren IT-Systemen, sondern in der Versorgungsinfrastruktur. Dazu zählen USV-Anlagen, die über Jahre hinweg keinem Lasttest unterzogen wurden, sowie Kühlsysteme ohne echte Redundanz, deren Ausfall im Sommer binnen Minuten zur Notabschaltung führen kann. Weit verbreitet ist zudem ein mangelndes Bewusstsein für Single Points of Failure. Viele Betreiber wiegen sich durch die bloße Existenz einer Komponente in Sicherheit, während eine zweite, unabhängige Instanz fehlt.

Fünf Schritte zur NIS-2-Konformität

NIS-2 ist Gesetz, die nächsten 18 Monate sind keine Schonfrist

Ein ähnliches Muster zeigt sich bei Backup-Strategien, die im Ernstfall selten an der Datensicherung selbst scheitern, sondern an nie realitätsnah getesteten Wiederherstellungsprozessen. Das Fazit lautet daher: Was nie unter realistischen Bedingungen geprobt wurde, darf im Notfall nicht als Sicherheitsnetz gelten. Genau diese Selbstverständlichkeit überführt NIS-2 nun in eine verbindliche regulatorische Form.

„Geschäftskritisch“ ist keine IT-Kategorie

Was als geschäftskritisch gilt, lässt sich nicht aus der IT heraus definieren. Diese Diskussion gehört in die Verantwortung der Geschäftsführung und in die angeschlossenen Fachabteilungen. Die entscheidende Fragestellung ist daher nicht, welches System aus technischer Sicht als besonders kritisch wahrgenommen wird, sondern welche konkreten Auswirkungen bereits eine Stunde Betriebsunterbrechung hat. Dazu gehören unter anderem finanzielle Verluste, vertragliche Verpflichtungen gegenüber Kunden sowie nachhaltige Reputationsschäden.

Erst wenn technische Kennzahlen wie RTO oder RPO in betriebswirtschaftliche Szenarien übersetzt wurden, entsteht im Management ein belastbares Problembewusstsein. So klingt ein Wiederanlaufziel von vier Stunden möglicherweise abstrakt, während vier Stunden Produktionsstillstand, die mit 80.000 bis 100.000 Euro Umsatzausfall hinterlegt sind, eine Entscheidungsgrundlage darstellen. Ohne diese ‚Übersetzungsleistung‘ bleibt jede Diskussion über Verfügbarkeit folgenlos.

Rechenzentren als hochkomplexe Infrastrukturprojekte

Rechtliche Anforderungen an Bau & Betrieb von Datacenter

Vor diesem Hintergrund ergibt sich auch die Antwort auf die Frage nach der richtigen Redundanz. So bedeutet mehr Technik automatisch mehr Komplexität. Letztere selbst stellt einen Risikofaktor dar, der im Mittelstand regelmäßig unterschätzt wird. Unsere Empfehlung ist daher ein strikt risikobasierter Ansatz. Dieser erfordert Redundanz, wo der Ausfall existenzbedrohend wäre, und bewusste Akzeptanz, wo die Ausfallkosten geringer als die Investition in eine zweite Instanz sind.

Bei der RZ-Verfügbarkeit kommt es auf das richtige Maß an. Während eine N+1-Auslegung der Stromversorgung betriebswirtschaftlich oft sinnvoll und notwendig ist, schießt ein vollständig redundanter Zweitstandort bei einem Unternehmen mit rund 80 Mitarbeitenden meist weit über das Ziel hinaus – das ist weder wirtschaftlich noch risikoadäquat. Die eigentliche Herausforderung lautet daher: Nicht pauschal alles redundant auslegen, nur weil es technisch möglich ist, sondern die wirklich kritischen Betriebs- und Abhängigkeitspfade identifizieren und gezielt absichern.

Zuvor getrennte Welten wachsen zusammen

Über Jahre hinweg wurden Cyberrisiken und physische Risiken in getrennten Zuständigkeiten behandelt. Es gab die IT-Sicherheit auf der einen Seite und das Gebäudemanagement auf der anderen. Hierbei handelt es sich um einen strukturellen blinden Fleck, da Angreifer heute beide Welten gleichzeitig treffen können. Die Bereiche gehören in der Realität fest zusammen.

So kann ein kompromittiertes Gebäudeleitsystem Klimaanlagen deaktivieren und ein Wasserschaden im falschen Verteilerraum Netzwerksegmente lahmlegen, die in keinem Notfallplan auftauchen. Eine integrierte Risikobetrachtung, die beide Dimensionen in einer gemeinsamen Schadensszenarien-Matrix zusammenführt, ist deshalb keine Kür mehr. Sie ist die Grundvoraussetzung dafür, Wechselwirkungen überhaupt zu erkennen. Mit NIS-2 begegnen sich physische und digitale Sicherheit erstmals regulatorisch auf Augenhöhe – und das ist überfällig.

Damit verbundene Notfallpläne bestehen diese Prüfung nur, wenn sie erprobt sind. Ein Plan, der nie unter realistischen Bedingungen getestet wurde, ist ein Dokument, kein Konzept. In der praktischen Anwendung werden dabei regelmäßig Defizite offengelegt, die im Regelbetrieb verborgen bleiben. Unklare Zuständigkeitsregelungen treten deutlich zutage, Erreichbarkeitslisten erweisen sich als nicht mehr aktuell, und definierte Entscheidungs- und Eskalationsprozesse werden unter Stressbedingungen nicht eingehalten.

Die Validität eines Notfallplans lässt sich daher nicht allein anhand seiner Dokumentation beurteilen, sondern ausschließlich über seine Funktionsfähigkeit unter realistischen Belastungs- und Zeitdrucksituationen. Erst wenn ein Notfallkonzept unter diesen Bedingungen nachweislich tragfähig ist, kann es als belastbar und wirksam angesehen werden.

Pragmatik schlägt Bürokratie

Die Auditfähigkeit, die NIS-2 fordert, entsteht nicht durch eine maximale, sondern vielmehr durch eine stringente und zweckmäßige Dokumentation. Für den Mittelstand bedeutet das wenige, aber dafür verbindliche Dokumente. Diese sollten in Form eines stets aktuellen Netzwerkplans, einer Systemübersicht inklusive Änderungsprotokoll sowie Notfallkontakten erstellt werden und Handbücher, die niemand pflegt, ersetzen.

Das Monitoring sollte auf messbare Schwellenwerte ausgerichtet sein, denn vieles, was automatisch gemessen, dokumentiert und gemeldet wird, erzeugt keinen bürokratischen Mehraufwand und ist im Audit klar nachvollziehbar. Unserer Erfahrung nach wird alles andere in der täglichen Praxis ohnehin nicht gelebt.

Halt! Ausweis bitte.

Physische Sicherheit für Datacenter gegen neue und alte Bedrohungen

Zum Schluss bleibt die Frage nach der Versicherung, die im Mittelstand häufig zu früh gestellt wird. So sind Technik, Organisation und Versicherung keine Alternativen. Sie sind aufeinander aufbauende Schutzschichten – und nur in dieser Reihenfolge tragfähig.

Versicherungen federn zwar finanzielle Folgen ab, ersetzen aber keine fehlenden Schutzmaßnahmen und kommen in der Regel auch nicht für Reputationsschäden auf. Unser Rat ist deshalb ein zweistufiges Vorgehen: Zunächst werden kritische Risiken durch gezielte technische und organisatorische Maßnahmen auf ein akzeptables Maß reduziert. Auf dieser Basis erfolgt das Gespräch mit dem Versicherer, um verbleibende Risiken, die wirtschaftlich nicht vollständig absicherbar sind, sinnvoll zu transferieren. Unternehmen, die eine Cyberversicherung abschließen, ohne die erforderlichen Basis und Grundschutzmaßnahmen tatsächlich umgesetzt zu haben, stellen im Schadensfall regelmäßig fest, dass der Versicherungsschutz nicht greift oder erheblich eingeschränkt ist.

Die NIS 2 Richtlinie verschiebt diese Problematik nicht, sondern legt sie offen. Sie macht transparent, welche Organisationen bislang darauf gesetzt haben, regulatorische und organisatorische Mindestanforderungen zu umgehen, anstatt sie konsequent zu erfüllen.

(ID:50915419)