Hitzefrei – Wie komme ich bei Microsoft 365 mit NIS2 und DORA nicht ins Schwitzen?
NIS2 macht Cybersicherheit zur Leitungsaufgabe. Der Beitrag zeigt, welche Kontrollen, Nachweise und Microsoft-365-Bausteine jetzt in den Fokus rücken.
Vom Regelwerk zur überprüfbaren Umsetzung
Entscheidend ist nicht nur, Sicherheitsmaßnahmen einzuführen. Unternehmen müssen Verantwortlichkeiten, Kontrollen und Nachweise so organisieren, dass Geschäftsleitung, IT und Compliance gemeinsam belastbar auskunftsfähig sind.
Cybersicherheit wird zur dokumentierten Leitungs- und Governance-Aufgabe.
Identitäten, Endgeräte, Daten, Protokolle und Vorfälle systematisch absichern.
Umsetzung, Wirksamkeit und Entscheidungen nachvollziehbar dokumentieren.
Die regulatorische Sommerhitze ist real: NIS2 und DORA verlangen belastbares ICT-Risikomanagement, dokumentierte Verantwortlichkeiten und schnelle Reaktion auf Vorfälle. Microsoft 365 kann dabei wichtige Bausteine liefern. Entscheidend ist aber, Technik, Prozesse und Governance gemeinsam zu betrachten.
NIS2 und DORA: ähnlich im Ziel, unterschiedlich im Anwendungsbereich
Breite Cybersicherheitsrichtlinie
Erfasst in Deutschland zahlreiche besonders wichtige und wichtige Einrichtungen aus kritischen und digitalen Sektoren. Im Mittelpunkt stehen Risikomanagement, Vorfallmeldungen, Lieferkettensicherheit und Leitungsverantwortung.
Spezialregel für den Finanzsektor
Gilt für Finanzunternehmen und bestimmte ICT-Drittdienstleister. DORA konkretisiert ICT-Risikomanagement, Vorfallmeldungen, Resilienztests und das Management von Drittparteienrisiken.
Die NIS2-Meldekette: vorbereitet sein, bevor es brennt
Für erhebliche Sicherheitsvorfälle sieht NIS2 ein mehrstufiges Verfahren ab Kenntnis des Vorfalls vor:
Die Fristen beginnen nicht erst, wenn alle Details geklärt sind. Organisationen brauchen deshalb vorab definierte Eskalationswege, Ansprechpartner, Entscheidungskompetenzen und belastbare Kommunikationsvorlagen.
Geschäftsleitung: Cybersicherheit ist Führungsaufgabe
Leitungsorgane müssen die Maßnahmen zum Cyberrisikomanagement billigen und deren Umsetzung überwachen. Dazu gehört auch, sich ausreichend zu Cybersicherheitsrisiken und deren Management fortzubilden. Verantwortung lässt sich nicht vollständig an IT oder Informationssicherheit delegieren.
- Entscheiden: Risikobehandlung, Ressourcen und Prioritäten nachvollziehbar freigeben.
- Überwachen: Regelmäßig Kennzahlen, Vorfälle, Auditfeststellungen und offene Maßnahmen bewerten.
- Nachweisen: Beschlüsse, Schulungen, Kontrollen und Wirksamkeitsprüfungen dokumentieren.
- Üben: Krisen- und Meldeprozesse einschließlich Stellvertretungen praktisch testen.
Die konkrete Haftung und Sanktionierung richtet sich nach dem jeweils anwendbaren Recht und dem Einzelfall. Deshalb verzichtet dieser Beitrag bewusst auf pauschale persönliche Bußgeldbeträge.
Sechs Microsoft-365-Bausteine für mehr Nachweisfähigkeit
Die folgenden Dienste können regulatorische Kontrollen unterstützen. Verfügbarkeit, Funktionsumfang und Aufbewahrungszeiten hängen von Lizenzierung und Konfiguration ab.
MFA, Conditional Access, PIM und Access Reviews für starke Identitäten und kontrollierte Administratorrechte.
Geräteverwaltung, Compliance-Richtlinien und risikobasierte Zugriffsentscheidungen für verwaltete Endpunkte.
Erkennung, Untersuchung und Reaktion auf Bedrohungen in Identitäten, Endpunkten, E-Mail und Zusammenarbeit.
Informationsschutz, DLP, Audit und Aufbewahrung für Datenkontrollen und nachvollziehbare Aktivitäten.
Assessments, Verbesserungsmaßnahmen, Verantwortliche und Evidenzen strukturiert verwalten. Ein Score ist kein Rechtsnachweis.
Incident Response, Backup, Business Continuity, Lieferkettensteuerung und Management-Reviews außerhalb einzelner Tools verankern.
Was Prüfer tatsächlich sehen wollen
Nicht die Existenz eines Produkts ist entscheidend, sondern die nachweisbare Konfiguration, Anwendung und Wirksamkeit einer Kontrolle. Eine gute Evidenzsammlung umfasst beispielsweise:
- Freigegebene MFA- und Conditional-Access-Richtlinien
- Aktuelle Rollen- und PIM-Auswertungen
- Protokolle regelmäßiger Access Reviews
- Defender- und Intune-Berichte mit Maßnahmenverfolgung
- Audit-Log- und Aufbewahrungskonzept
- Incident-Response-Plan mit 24-/72-Stunden-Eskalation
- Getestete Backup- und Wiederanlaufverfahren
- Bewertung kritischer ICT- und SaaS-Dienstleister
- Managementbeschlüsse und Cybersecurity-Schulungen
- Verantwortliche, Fristen und Evidenzen je Kontrollmaßnahme
Ein pragmatischer Start in fünf Schritten
- Betroffenheit klären: NIS2, DORA und nationale Spezialregeln rechtlich einordnen.
- Scope festlegen: Kritische Dienste, Prozesse, Daten, Identitäten, Geräte und Lieferanten erfassen.
- Lücken bewerten: Soll-Anforderungen mit bestehenden technischen und organisatorischen Kontrollen abgleichen.
- Nachweise organisieren: Verantwortliche, Evidenzen, Prüfzyklen und Freigaben verbindlich festlegen.
- Ernstfall testen: Vorfallmeldung, Krisenkommunikation, Wiederherstellung und Managemententscheidungen üben.
Quellen und weiterführende Informationen
- BSI: Informationen zu NIS-2, Registrierung und Meldepflichten
- Europäische Kommission: NIS2-Fragen und Antworten
- EUR-Lex: Richtlinie (EU) 2022/2555 – NIS2
- EUR-Lex: Verordnung (EU) 2022/2554 – DORA
- Microsoft Learn: Microsoft Purview Compliance Manager
Fachstand: 11. August 2026. Der Beitrag bietet eine praktische Orientierung und keine Rechtsberatung.
Wie belastbar sind eure Kontrollen und Nachweise?
Welche Kontrollen könnt ihr heute bereits belegen – und wo fehlen noch Zuständigkeiten oder Nachweise? Weitere Beiträge findet ihr in der Hitzefrei-Sammlung.