Wer ist in den Niederlanden und Belgien von NIS2 betroffen?

In den Niederlanden wurde NIS2 als Cyberbeveiligingswet (Cbw) in nationales Recht umgesetzt. In Belgien wurde das Durchsetzungsfenster im April 2026 geöffnet. Organisationen in 18 Sektoren — darunter digitale Infrastruktur, Energie, Gesundheit, Finanzdienstleistungen, Verkehr, Wasser und Managed-IT-Dienstleister — unterliegen der Richtlinie. Einrichtungen werden als „wesentlich“ (die größten, mit dem höchsten Risiko) oder „wichtig“ (kleiner, geringeres Risiko) eingestuft, mit unterschiedlichen Aufsichtsansätzen, aber den selben technischen Pflichten nach Artikel 21.

Sind MSPs (Managed Service Provider) von NIS2 betroffen?

Ja. NIS2 benennt IKT-Managed-Service-Provider in Anhang I ausdrücklich als wesentliche Einrichtungen. MSPs müssen die technischen Maßnahmen nach Artikel 21 für ihre eigene Infrastruktur und ihren eigenen Betrieb umsetzen. Das bedeutet auch, dass die von MSPs für Kunden erbrachten Backup- und Sicherheitsleistungen für deren NIS2-Compliance relevant sind — Kunden sind für ihre eigene Compliance verantwortlich, können sich aber im Rahmen ihrer Nachweise auf die dokumentierten Kontrollen und Zertifizierungen ihres MSP stützen.

NIS2-Durchsetzung aktiv in NL & BE — 2026

NIS2 und Backup:
Was Artikel 21 verlangt

Q: Wie oft müssen Wiederherstellungsverfahren unter NIS2 getestet werden?

CIR-Anhang 4.1.4 verlangt Tests „in geplanten Abständen und nach erheblichen Vorfällen oder wesentlichen Änderungen“. Die meisten Umsetzungen sehen jährliche vollständige Tests, vierteljährliche funktionale Wiederherstellungstests in einer isolierten Umgebung sowie halbjährliche Tabletop-Übungen vor. Jeder Test muss ein dokumentiertes Ergebnis liefern — Datum, Teilnehmende, festgestellte Probleme, Korrekturmaßnahmen und Freigabe durch die Geschäftsleitung — da diese Dokumentation der zentrale Prüfnachweis für die Compliance ist.

NIS2 stellt konkrete, durchsetzbare Anforderungen daran, wie Organisationen ihre Daten schützen und wiederherstellen. Diese Seite erläutert, was die Richtlinie in Bezug auf Backup, Disaster Recovery und die Aufrechterhaltung des Betriebs verlangt — und wie in der EU gehostete Managed Services Sie auf Ihrem Weg zur Compliance unterstützen.

Kontakt aufnehmen

Kostenloses Assessment buchen

18 abgedeckte Sektoren

160.000+ betroffene EU-Organisationen

Artikel 21 schreibt Backup-Management vor

Geschäftsleitung persönlich haftbar

Getestete Wiederherstellung erforderlich — nicht nur Backup

Hintergrund

Was ist NIS2?

Die Richtlinie über die Sicherheit von Netz- und Informations- systemen 2 (Richtlinie (EU) 2022/2555) ist das zentrale Cybersicherheitsgesetz der EU für wesentliche und wichtige Einrichtungen. Sie ersetzt die ursprüngliche NIS-Richtlinie und erweitert sowohl den Kreis der zur Einhaltung verpflichteten Organisationen als auch die konkret geforderten technischen Maßnahmen erheblich.

"Die Mitgliedstaaten stellen sicher, dass wesentliche und wichtige Einrichtungen geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen ergreifen, um die Risiken für die Sicherheit der Netz- und Informationssysteme, die diese Einrichtungen für ihren Betrieb oder für die Erbringung ihrer Dienste nutzen, zu beherrschen."

— Artikel 21 Absatz 1, Richtlinie (EU) 2022/2555 (NIS2)

In den Niederlanden wurde NIS2 als Cyberbeveiligingswet (Cbw) in nationales Recht umgesetzt. In Belgien wurde das Durchsetzungsfenster im April 2026 im Rahmen des CyberFundamentals Framework des CCB geöffnet. Beide Länder setzen die Anforderungen der Richtlinie aktiv durch.

Wer ist betroffen?

Wesentlich

Größte Organisationen, Sektoren mit dem höchsten Risiko Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten (MSPs), öffentliche Verwaltung, Weltraum

Wichtig

Mittelgroße Organisationen in erweiterten Sektoren Postdienste, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Diensteanbieter (Marktplätze, Suchmaschinen, soziale Plattformen), Forschung

Größenschwellenwerte

Gilt in der Regel für Organisationen mit mehr als 50 Mitarbeitenden oder mehr als 10 Mio. € Jahresumsatz — kleinere Organisationen in kritischen Sektoren können nach Ermessen des Mitgliedstaats ebenfalls einbezogen werden.

Die Richtlinie

Artikel 21 — Die drei Säulen der Betriebskontinuität

Artikel 21 Absatz 2 Buchstabe c ist die zentrale Bestimmung für Backup, Disaster Recovery und Krisenmanagement. Der Wortlaut ist bewusst knapp gehalten — die technischen Details liefert die Durchführungsverordnung (EU) 2024/2690 der Kommission (Commission Implementing Regulation, CIR), die Organisationen in bestimmten Sektoren, darunter MSPs, unmittelbar bindet.

"business continuity, such as backup management and disaster recovery, and crisis management"

— Artikel 21 Absatz 2 Buchstabe c, Richtlinie (EU) 2022/2555 (NIS2) — wortgetreuer Text

Backup-Management

Dokumentierte Backup-Verfahren, die alle Datenquellen abdecken — einschließlich in der Cloud gespeicherter Daten wie Microsoft 365. Geografisch getrennt, mit Zugriffskontrolle, definierten Aufbewahrungsfristen und einem verifizierten Wiederherstellungsprozess.

Disaster Recovery

Ein dokumentierter Disaster-Recovery-Plan, der RTO und RPO je kritischem Prozess festlegt, mit getesteten Wiederherstellungsverfahren und einer festgelegten Reihenfolge der Systemwiederherstellung, die durch regelmäßige Übungen validiert wird.

Krisenmanagement

Ein Rahmenwerk für das Krisenmanagement mit vorab zugewiesenen Rollen, Eskalationskriterien, Kommunikationsprotokollen und vorab genehmigten Entscheidungsbefugnissen — einschließlich der Pflicht zur Meldung von Sicherheitsvorfällen innerhalb von 24 Stunden gemäß Artikel 23.

CIR 2024/2690 Anhang 4 — Technische Anforderungen

Anhang 4.1

Business-Continuity-Plan (BC-Plan)

Business Impact Analysis (BIA) mit RTO, RPO und MTPD je kritischem Prozess
Verpflichtender BC-Plan mit 8 inhaltlichen Kategorien
Benannte Rollen, Eskalationswege und Out-of-Band-Kommunikation
Definierte Aktivierungs- und Deaktivierungskriterien
Wiederherstellungsreihenfolge je System
Freigabe durch die Geschäftsleitung erforderlich

Anhang 4.2

Backup & Redundanz

Vollständige Backup-Kopien mit ausreichender Redundanz
An den in der BIA definierten RPOs ausgerichtete Wiederherstellungszeiträume
Geografisch entfernte Speicherung, getrennt vom primären Standort
In der Cloud gespeicherte Daten ausdrücklich im Anwendungsbereich (M365, CRM usw.)
Zugriffskontrollen entsprechend der Klassifizierung der Assets
Aufbewahrungsfristen mit Begründung dokumentiert

Anhang 4.3

Wiederherstellungstests

Regelmäßige Wiederherstellungstests in einer isolierten Umgebung
Ergebnisse mit festgestellten Problemen und Korrekturmaßnahmen dokumentiert
Freigabe der Testergebnisse durch die Geschäftsleitung
Tests ausgelöst nach erheblichen Vorfällen oder wesentlichen Änderungen
Erkenntnisse fließen in aktualisierte Verfahren ein
Kontinuierlicher Verbesserungszyklus verpflichtend

Details zu Artikel 21

Was NIS2 für Ihr Backup verlangt

CIR-Anhang 4.2 überführt die Backup-Management-Pflicht der Richtlinie in sechs konkrete technische Anforderungen. Jede davon ist durchsetzbar und auditierbar.

🗂️

Vollständige & dokumentierte Backup-Abdeckung

Alle Datenquellen müssen erfasst sein — On-Premises-Server, Datenbanken, Endpoints und in der Cloud gespeicherte Daten. Microsoft 365 (E-Mail, SharePoint, OneDrive) und CRM-Plattformen fallen ausdrücklich in den Anwendungsbereich. Ein nicht dokumentiertes Backup ist kein auditierbares Backup.

CIR Annex 4.2.1 & 4.2.2

🌍

Geografische Trennung

Backup-Kopien müssen an einem Standort gespeichert werden, der geografisch weit vom primären Standort entfernt ist. Backups, die am selben Standort — oder sogar in derselben Cloud-Region — wie die Produktivdaten liegen, erfüllen diese Anforderung nicht.

CIR Annex 4.2.2

🔒

Unveränderbare oder Offline-Kopie

Ransomware-Resilienz erfordert mindestens eine Backup-Kopie, die nicht verändert oder gelöscht werden kann — entweder durch physisches Air-Gapping oder durch softwareseitig erzwungene Unveränderbarkeit (Object Lock). Ein Backup, das ein Angreifer erreichen und verschlüsseln kann, ist keine Wiederherstellungsoption.

CIR Annex 4.2.2 (redundancy integrity)

🔑

Zugriffskontrollen & Verschlüsselung

Der Zugriff auf die Backup-Infrastruktur muss kontrolliert und protokolliert werden, wobei die Berechtigungen der Klassifizierung der Assets entsprechen. Backup-Daten müssen im Ruhezustand und bei der Übertragung verschlüsselt sein. MFA für administrative Zugriffe auf Backup-Systeme ist die übliche Erwartung der Aufsichtsbehörden.

CIR Annex 4.2.2

⏱️

Definierte RTO & RPO

Ihre Business Impact Analysis muss Recovery Time Objectives (wie lange ein Ausfall dauern darf) und Recovery Point Objectives (wie viele Daten Sie verlieren dürfen) für jeden kritischen Prozess festlegen. Die Backup-Frequenz muss an diesen dokumentierten RPOs ausgerichtet sein.

CIR Annex 4.1.3 & 4.2.2

✅

Getestete & dokumentierte Wiederherstellungen

Backups müssen getestet werden. CIR-Anhang 4.3 verlangt eine regelmäßige Wiederherstellungsprüfung in einer isolierten Umgebung, mit dokumentierten Ergebnissen einschließlich festgestellter Probleme, ergriffener Korrekturmaßnahmen und Freigabe durch die Geschäftsleitung. Angenommene Backups sind keine konformen Backups.

CIR Annex 4.3

Praktische Umsetzung

Die 3-2-1-1-0-Regel und NIS2

Das 3-2-1-1-0-Backup-Framework gilt weithin als der praktische Umsetzungsstandard, der die zentralen Anforderungen von CIR-Anhang 4.2 adressiert. Die Anwendung dieses Frameworks bedeutet nicht automatisch NIS2-Compliance — sie deckt aber die wesentlichen technischen Backup-Pflichten ab.

Kopien der Daten

Primärdaten plus zwei unabhängige Backup-Kopien

CIR 4.2.1

Verschiedene Speichermedien

z. B. Festplatte + Cloud oder Festplatte + Tape — Widerstandsfähigkeit gegen den Ausfall eines einzelnen Mediums

Resilience

Kopie extern (Offsite)

Geografisch getrennt von der primären Infrastruktur

CIR 4.2.2

Kopie unveränderbar oder offline

Air-Gapped- oder WORM-Speicher (Write-Once), den Ransomware nicht erreichen oder verschlüsseln kann

Ransomware-Resilienz

Fehler — verifiziert

Bestätigt durch dokumentierte Wiederherstellungstests, nicht angenommen

CIR 4.3

Prüfungsrisiko

Fünf Lücken, an denen NIS2-Prüfungen scheitern

Aufsichtsbehörden identifizieren bei NIS2-Prüfungen immer wieder dieselben fünf technischen Lücken. Dies sind keine theoretischen Risiken — es sind die häufigsten Gründe, warum Organisationen als nicht konform mit Artikel 21 Absatz 2 Buchstabe c eingestuft werden.

⚠️

Keine Konfigurations-Backups

Betriebssystem- und Anwendungskonfigurationen sind vom Backup-Umfang ausgeschlossen. Nach einem Ausfall dauert der Wiederaufbau des Systems Wochen statt Stunden — weit außerhalb jeder vertretbaren RTO.

OS-/App-Konfigurationen und Golden Images in den Backup-Umfang aufnehmen

⚠️

Backups im selben Netzwerk

Der Backup-Speicher befindet sich im selben Netzwerksegment oder am selben Standort wie die Produktion. Ransomware verschlüsselt beides gleichzeitig. Geografische Trennung und eine Offline-Kopie sind gemäß CIR 4.2.2 beide verpflichtend.

Geografisch getrennte Speicherung + mindestens eine Offline-/unveränderbare Kopie

⚠️

Wiederherstellungsverfahren nie getestet

Backups laufen, aber die Wiederherstellungsverfahren wurden nie gegen eine Ziel-RTO in einer isolierten Umgebung getestet. CIR-Anhang 4.3 verlangt dokumentierte Tests mit Ergebnissen und Korrekturmaßnahmen.

Vierteljährliche Wiederherstellungstests mit dokumentierten Ergebnissen und Freigabe durch die Geschäftsleitung

⚠️

SaaS-Daten nicht einbezogen

Daten aus Microsoft 365, CRM und Cloud-Plattformen sind vom Backup-Umfang ausgeschlossen. CIR 4.2.2 erfasst in der Cloud gespeicherte Daten ausdrücklich. Aufbewahrungsfunktionen des Anbieters sind kein unabhängiges Backup.

Unabhängiges Drittanbieter-Backup, das alle SaaS-Plattformen abdeckt

⚠️

Aufbewahrungsfrist nicht dokumentiert

Die Aufbewahrungsfristen für Backups sind nicht mit einer schriftlichen Begründung dokumentiert. Prüfer suchen nach der Begründung für die gewählte Aufbewahrungsfrist, nicht nur nach der Zahl selbst.

Aufbewahrungsrichtlinie mit rechtlicher, regulatorischer und betrieblicher Begründung dokumentieren

⚠️

Kein dokumentierter Business-Continuity-Plan

Viele Organisationen verfügen über Elemente eines Disaster-Recovery-Plans (Backup-Systeme, Wiederherstellungsverfahren), aber über keinen formellen BC-Plan, der Rollen, Eskalation, Kommunikation und Wiederherstellungs- reihenfolge gemäß CIR-Anhang 4.1 abdeckt.

Formeller BC-Plan mit BIA, RTO/RPO je Prozess und getesteten Aktivierungsverfahren

Mindtime-Services

Wie Mindtime-Services Ihren Weg zur NIS2-Compliance unterstützen

ℹ️

Bitte beachten Sie: Die nachstehenden Informationen beschreiben technische Fähigkeiten der Mindtime-Services, die für die Anforderungen von NIS2 Artikel 21 relevant sind. Die Nutzung dieser Services stellt für sich genommen keine NIS2-Compliance dar. Die Compliance liegt in der Verantwortung Ihrer Organisation und hängt von Ihrem gesamten Sicherheitsprogramm, Ihrer Dokumentation, Ihrer Governance und Ihren Prozessen ab. Wir empfehlen, eine qualifizierte Rechts- oder Compliance-Fachkraft hinzuzuziehen, um Ihre spezifischen Pflichten und Ihren Status zu bewerten.

🏛️

Datenspeicherung ausschließlich in der EU

Relevant für: geografische Trennung nach CIR 4.2.2, Anforderungen an die Datenspeicherung nach DSGVO sowie Souveränitätsanforderungen für Einrichtungen, die niederländischem und belgischem Recht unterliegen.

Daten ausschließlich in Tier-III-Rechenzentren in den Niederlanden und Deutschland gespeichert
Keine Datenübertragung außerhalb des Europäischen Wirtschaftsraums
Ausschließlich EU-Recht unterworfen — kein Zugriff nach dem US-amerikanischen CLOUD Act
Nach ISO 27001 zertifizierte Infrastruktur
Auftragsverarbeitungsvertrag (AVV) verfügbar

🔐

Unveränderbarer Backup-Speicher

Relevant für: Ransomware-Resilienz nach CIR 4.2.2, die Anforderung einer Offline-/unveränderbaren Kopie im 3-2-1-1-0-Framework sowie Prüfnachweise für die Backup-Integrität.

Object-Lock-Speicher (WORM) — Backup-Daten können nicht gelöscht oder verändert werden
Schutz bleibt auch bei kompromittierten Administrator-Anmeldedaten bestehen
Separates, von der Produktion isoliertes Speichernetzwerk
Kontinuierliches Malware-Scanning der Backup-Daten
Administrativer Zugriff mit erzwungener MFA

📋

Dokumentierte Wiederherstellung & Berichterstattung

Relevant für: getestete Wiederherstellung nach CIR 4.3, dokumentierte Testergebnisse nach CIR 4.1.4 sowie Nachweispflichten bei aufsichtlichen Prüfungen.

Regelmäßige Wiederherstellungstests mit schriftlichen Ergebnisberichten
RPO und RTO je geschütztem Workload dokumentiert
Prüffähige Berichte zu Backup-Status und Compliance
Änderungsbenachrichtigungen und Versionsverlaufsprotokolle
Rund-um-die-Uhr-Monitoring mit Alarmierung bei Backup-Fehlern

☁️

Microsoft 365 & SaaS-Backup

Relevant für: die Anforderung von CIR 4.2.2, dass Backup-Verfahren in der Cloud gespeicherte Daten ausdrücklich abdecken — einschließlich Microsoft 365, Google Workspace und anderer SaaS-Plattformen.

Exchange, SharePoint, OneDrive, Teams, Planner
Google Workspace (Gmail, Drive, Kalender, Kontakte)
Unabhängig von den nativen Aufbewahrungsfunktionen von Microsoft
Point-in-Time-Wiederherstellung auf Element-Ebene
Konfigurierbare Aufbewahrungsfristen mit dokumentierter Richtlinie

🖥️

Workload-Abdeckung

Relevant für: die Anforderung vollständiger Backup-Kopien aller Daten nach CIR 4.2.1, die sowohl On-Premises- als auch Cloud-gehostete Workloads im Anwendungsbereich von NIS2 abdeckt.

VMware- & Hyper-V-Hypervisoren
Physische Server (Windows & Linux)
Azure-, AWS- & Google-Cloud-Instanzen
SQL-, Oracle- & anwendungskonsistente Backups
Endpoints (Windows-, macOS-, Linux-Notebooks)

🤝

MSP als regulierte Einrichtung

Als IKT-Managed-Service-Provider unterliegt Mindtime selbst den Pflichten aus NIS2 Artikel 21. Unsere eigenen Sicherheitskontrollen, Zertifizierungen und Dokumentationen stehen für Ihre Due Diligence und Ihre Risikobewertungen der Lieferkette zur Verfügung.

Jährliche unabhängige ISO-27001-Audits
An SOC 2 Type II ausgerichtete Kontrollen
Dokumentation zu Unterauftragsverarbeitern verfügbar
An Artikel 23 ausgerichtete Verfahren zur Meldung von Vorfällen
Sicherheitsfragebögen für Lieferanten auf Anfrage

Wichtig: Die Backup-Services von Mindtime adressieren die technische Datensicherungsebene von Artikel 21 Absatz 2 Buchstabe c. Vollständige NIS2-Compliance erfordert darüber hinaus Governance, Risikomanagement, Kontrollen der Lieferkette, Verfahren zur Meldung von Vorfällen sowie einen formell dokumentierten und getesteten Business-Continuity-Plan. Wir empfehlen, mit einer qualifizierten Compliance-Beratung oder Rechtsberatung zusammenzuarbeiten, um Ihre vollständigen Pflichten nach NIS2 in der Umsetzung Ihres Landes zu bewerten.

Häufig gestellte Fragen

Häufige Fragen zu NIS2, Artikel 21 und dazu, was die Backup- Anforderungen in der Praxis bedeuten.

NIS2 Artikel 21 Absatz 2 Buchstabe c verpflichtet wesentliche und wichtige Einrichtungen, Maßnahmen zur Aufrechterhaltung des Betriebs, zum Backup-Management, zum Disaster Recovery und zum Krisenmanagement umzusetzen. Die Durchführungsverordnung (EU) 2024/2690 der Kommission, Anhang 4, konkretisiert dies im Detail: Es müssen vollständige Backup-Kopien vorgehalten werden, Backups müssen an geografisch entfernten, sicheren und vom primären Standort getrennten Orten gespeichert werden, in der Cloud gespeicherte Daten (einschließlich Microsoft 365) müssen in den Backup-Umfang einbezogen werden, und Wiederherstellungsverfahren müssen regelmäßig mit dokumentierten Ergebnissen getestet werden.

In den Niederlanden wurde NIS2 als Cyberbeveiligingswet (Cbw) in nationales Recht umgesetzt. In Belgien wurde das Durchsetzungsfenster im April 2026 geöffnet. Organisationen in 18 Sektoren — darunter digitale Infrastruktur, Energie, Gesundheit, Finanzdienstleistungen, Verkehr und Managed-IT-Dienstleister — unterliegen der Richtlinie. Einrichtungen werden als „wesentlich" (die größten, mit dem höchsten Risiko) oder „wichtig" (kleiner, geringeres Risiko) eingestuft, mit unterschiedlichen Aufsichtsansätzen, aber den selben technischen Pflichten nach Artikel 21. Gilt in der Regel für Organisationen mit mehr als 50 Mitarbeitenden oder mehr als 10 Mio. € Jahresumsatz.

Wesentliche Einrichtungen drohen Bußgelder von bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist). Wichtigen Einrichtungen drohen Bußgelder von bis zu 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes. Über finanzielle Sanktionen hinaus führt NIS2 eine persönliche Haftung der Geschäftsleitung ein — leitende Führungskräfte können persönlich zur Verantwortung gezogen werden, wenn eine Organisation die erforderlichen Cybersicherheitsmaßnahmen nicht umsetzt. Bußgelder werden je Vorfall verhängt und können sich kumulieren.

Ja. CIR-Anhang 4.2.2 verlangt ausdrücklich, dass Backup-Verfahren "in der Cloud gespeicherte Daten" abdecken. Daten aus Microsoft 365 (E-Mail, SharePoint, OneDrive und Teams) werden von Microsoft nicht automatisch nach Ihren eigenen Vorgaben gesichert. Die integrierten Aufbewahrungsfunktionen von Microsoft sind Aufbewahrungsrichtlinien, keine unabhängigen Backups — sie schützen nicht in gleicher Weise vor versehentlichem Löschen, böswilligen Handlungen oder serverseitigem Datenverlust wie ein unabhängiges Backup. NIS2-Compliance erfordert ein unabhängiges Backup Ihrer SaaS-Umgebung mit dokumentierten Wiederherstellungszeiträumen und getesteten Wiederherstellungsverfahren.

Die 3-2-1-1-0-Regel ist das praktische Umsetzungs-Framework, das sich direkt auf die Anforderungen von CIR-Anhang 4.2 abbilden lässt: 3 Kopien der Daten, auf 2 verschiedenen Speichermedien, mit 1 Kopie extern (offsite), 1 Kopie offline oder unveränderbar und 0 Fehlern, verifiziert durch dokumentierte Wiederherstellungstests. Die Anwendung dieses Frameworks deckt die zentralen technischen Backup-Anforderungen unter NIS2 ab — die vollständige Compliance mit Artikel 21 erfordert jedoch zusätzlich einen dokumentierten Business-Continuity-Plan, eine Business Impact Analysis, Verfahren für das Krisenmanagement sowie regelmäßige, getestete Übungen. Die 3-2-1-1-0-Regel ist eine notwendige, aber keine hinreichende Bedingung für NIS2-Compliance.

Die DSGVO konzentriert sich auf den Schutz und die rechtmäßige Verarbeitung personenbezogener Daten, einschließlich Datenminimierung und Recht auf Löschung. NIS2 konzentriert sich auf die Resilienz und Sicherheit von Netz- und Informations- systemen — einschließlich Backup, Disaster Recovery und Aufrechterhaltung des Betriebs. Die beiden Rahmenwerke überschneiden sich: Die Backup-Anforderungen von NIS2 (geografische Trennung, Zugriffskontrollen, Verschlüsselung) stimmen weitgehend mit den Sicherheitspflichten der DSGVO nach Artikel 32 überein. NIS2 fügt jedoch spezifische Anforderungen an getestete Wiederherstellungsverfahren und dokumentierte RTO-/RPO- Ziele hinzu, die über den allgemeineren Sicherheitsstandard der DSGVO hinausgehen. Organisationen, die beiden unterliegen, müssen beide Anforderungssätze erfüllen.

Ja. NIS2 benennt IKT-Managed-Service-Provider in Anhang I ausdrücklich als wesentliche Einrichtungen. MSPs müssen die technischen Maßnahmen nach Artikel 21 für ihre eigene Infrastruktur und ihren eigenen Betrieb umsetzen — sie können nicht einfach nur Vermittler der Compliance ihrer Kunden sein. Kunden, die selbst wesentliche oder wichtige Einrichtungen sind, sind für ihre eigene NIS2-Compliance verantwortlich, können sich aber im Rahmen ihrer Due Diligence zur Lieferkette auf dokumentierte Kontrollen und Zertifizierungen ihres MSP stützen. MSPs sollten die Dokumentation ihres eigenen Compliance-Status für Kundenprüfungen bereithalten.

CIR-Anhang 4.1.4 verlangt Tests "in geplanten Abständen und nach erheblichen Vorfällen oder wesentlichen Änderungen". Die meisten Umsetzungen sehen jährliche vollständige Tests, vierteljährliche funktionale Wiederherstellungstests in einer isolierten Umgebung sowie halbjährliche Tabletop-Übungen vor. Jeder Test muss ein dokumentiertes Ergebnis liefern — Datum, Teilnehmende, Szenario, festgestellte Probleme mit Schweregradbewertung, Korrekturmaßnahmen mit Verantwortlichen und Fristen sowie Freigabe durch die Geschäftsleitung. Diese Aufzeichnungen sind der zentrale Prüfnachweis für die Compliance mit CIR-Anhang 4.1.4 bei einer aufsichtlichen Prüfung.

⚠️ Rechtlicher Haftungsausschluss

Die Informationen auf dieser Seite dienen ausschließlich allgemeinen Informations- und Bildungszwecken. Sie stellen keine Rechts-, Regulierungs- oder Compliance-Beratung dar. Die Pflichten nach NIS2 variieren je nach Sektor, Größe, Umsetzung durch den jeweiligen Mitgliedstaat und der konkreten Art Ihrer Dienste. Die Durchführungsverordnung (EU) 2024/2690 der Kommission gilt unmittelbar für bestimmte Kategorien von Einrichtungen; andere Organisationen unterliegen der Umsetzung der Richtlinie (EU) 2022/2555 durch ihren Mitgliedstaat. Mindtime Data Security sichert nicht zu, dass die Nutzung seiner Services dazu führt, dass Ihre Organisation NIS2 oder eine andere Regelung einhält. Sie sollten unabhängigen Rechts- und Compliance-Rat einholen, um Ihre spezifischen Pflichten und den Umgang mit ihnen zu bestimmen. Verweise auf Gesetzestexte dienen nur der Bequemlichkeit und sollten anhand der offiziellen EUR-Lex-Veröffentlichungen der Richtlinie (EU) 2022/2555 und der Durchführungsverordnung (EU) 2024/2690 überprüft werden.

Fragen zu Ihrem Backup und NIS2?

Unser technisches Team geht mit Ihnen Ihre aktuelle Umgebung durch und erläutert, wie unsere in der EU gehosteten Backup-Services mit Ihren NIS2-Pflichten zusammenhängen — unverbindlich.