Volljurist und Compliance-Experte
September 5, 2025
5 min
.svg)
Sie haben Ihre IT in die Cloud verlagert – für mehr Flexibilität, Skalierbarkeit und Innovation. Ein kluger Schachzug. Doch jetzt steht die NIS2-Richtlinie vor der Tür und wirft eine entscheidende Frage auf: Wer ist eigentlich für die Sicherheit Ihrer Daten und Dienste in der Cloud verantwortlich? Ist es Ihr Anbieter wie AWS, Microsoft oder Salesforce? Oder liegt die Last allein auf Ihren Schultern?
Die Antwort ist nicht so einfach, wie man denkt. Viele Unternehmen glauben fälschlicherweise, dass mit dem Wechsel in die Cloud auch die Verantwortung für die Sicherheit vollständig an den Provider übergeht. Das ist ein kostspieliger Irrtum. Die NIS2-Richtlinie macht deutlich: Sie als Unternehmen bleiben in der Pflicht, die Sicherheit Ihrer Netz- und Informationssysteme zu gewährleisten – egal, wo diese betrieben werden.
Dieser Leitfaden ist Ihr Navigator durch den Dschungel der NIS2-Anforderungen in der Cloud. Wir übersetzen die abstrakten Vorgaben in konkrete, technische und organisatorische Maßnahmen (TOMs) für Ihre Cloud-Infrastruktur (IaaS), Plattform-Dienste (PaaS) und Software-Anwendungen (SaaS). Vergessen Sie allgemeines Blabla – hier erfahren Sie, wie Sie NIS2 in Ihrer Cloud-Realität praktisch umsetzen.
Auf den ersten Blick mag NIS2 wie eine weitere regulatorische Hürde wirken. Doch im Kern geht es um Resilienz – die Fähigkeit Ihres Unternehmens, auch im Angesicht von Cyber-Bedrohungen handlungsfähig zu bleiben. Und da Ihre kritischen Prozesse zunehmend in der Cloud laufen, wird die Cloud-Sicherheit zum zentralen Hebel für Ihre NIS2-Compliance.
Eine der wichtigsten Anforderungen von NIS2 ist die Sicherheit der Lieferkette. In der Cloud-Welt ist Ihr Cloud-Service-Provider (CSP) ein integraler Bestandteil Ihrer Lieferkette. Die Wahl Ihres Anbieters und die Art, wie Sie dessen Dienste nutzen, sind also keine reinen IT-Entscheidungen mehr, sondern fundamentale Compliance-Entscheidungen.
Der Schlüssel zum Verständnis Ihrer Pflichten in der Cloud ist das Shared Responsibility Model (Modell der geteilten Verantwortung). Es definiert klar, welche Sicherheitsaufgaben beim Cloud-Anbieter liegen und welche bei Ihnen als Kunde verbleiben. Diese Aufteilung variiert je nach genutztem Service-Modell.
Bei IaaS (z. B. Amazon EC2, Azure Virtual Machines) stellt Ihnen der Anbieter die grundlegende Infrastruktur zur Verfügung: Rechenzentren, Server, Speicher und Netzwerke.
Bei PaaS (z. B. AWS Lambda, Google App Engine) stellt der Anbieter zusätzlich zur Infrastruktur auch das Betriebssystem und die Laufzeitumgebung bereit.
Bei SaaS (z. B. Microsoft 365, Salesforce, SECJUR) nutzen Sie eine fertige Anwendung, die vom Anbieter betrieben wird.
Häufiger Fehler: Zu glauben, bei SaaS läge die gesamte Verantwortung beim Anbieter. Falsch! Sie sind nach NIS2 dafür verantwortlich, die Ihnen zur Verfügung gestellten Sicherheitsoptionen korrekt zu konfigurieren und zu nutzen. Ein offener S3-Bucket bei AWS ist nicht die Schuld von Amazon, sondern eine Fehlkonfiguration des Nutzers.
NIS2 fordert einen risikobasierten Ansatz und listet zehn konkrete Mindestmaßnahmen auf. Sehen wir uns an, was diese im Cloud-Kontext bedeuten und wie Sie sie praktisch umsetzen können.
Der Weg zur NIS2-Konformität in der Cloud kann überwältigend wirken. Brechen Sie ihn in überschaubare Schritte herunter:
Technische und organisatorische Maßnahmen (TOMs) sind die konkreten Sicherheitsvorkehrungen, die Unternehmen ergreifen müssen, um ihre Netz- und Informationssysteme zu schützen. Dazu gehören Firewalls, Verschlüsselung, Zugriffskontrollen (technisch) sowie Sicherheitsrichtlinien, Schulungen und Incident-Response-Pläne (organisatorisch).
NIS2 betrifft Unternehmen ab einer bestimmten Größe (meist ab 50 Mitarbeitern oder 10 Mio. € Umsatz) in 18 Sektoren, die als "wesentlich" oder "wichtig" eingestuft werden, darunter Energie, Verkehr, Gesundheit, digitale Infrastruktur und öffentliche Verwaltung. Prüfen Sie genau, ob Ihr Unternehmen in einen dieser Sektoren fällt.
Die Strafen sind empfindlich. Für "wesentliche Einrichtungen" können sie bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes betragen. Für "wichtige Einrichtungen" sind es bis zu 7 Millionen Euro oder 1,4 % des Umsatzes.
Nicht vollständig, aber sie ist eine hervorragende Grundlage. Ein nach ISO 27001 zertifiziertes Informationssicherheits-Managementsystem (ISMS) deckt bereits einen Großteil der von NIS2 geforderten Maßnahmen ab. NIS2 hat jedoch zusätzliche, spezifische Anforderungen, z. B. bei den Meldepflichten.
Die NIS2-Richtlinie ist kein Grund, die Cloud zu meiden. Im Gegenteil: Richtig genutzt, bieten Ihnen Cloud-Plattformen leistungsstarke Werkzeuge, um ein höheres Sicherheitsniveau zu erreichen, als es On-Premise oft möglich wäre.
Der Schlüssel liegt darin, Ihre Verantwortung zu kennen und proaktiv zu handeln. Verstehen Sie das Shared Responsibility Model, bewerten Sie Ihre Anbieter kritisch und setzen Sie die geforderten Maßnahmen systematisch in Ihrer Cloud-Umgebung um. Indem Sie die Cloud nicht als Blackbox, sondern als gestaltbaren Teil Ihrer IT-Landschaft betrachten, verwandeln Sie eine regulatorische Pflicht in einen echten strategischen Vorteil für die Resilienz und Sicherheit Ihres Unternehmens.
Als Jurist mit langjähriger Erfahrung als Anwalt für Datenschutz und IT-Recht kennt Niklas die Antwort auf so gut wie jede Frage im Bereich der digitalen Compliance. Er war in der Vergangenheit unter anderem für Taylor Wessing und Amazon tätig. Als Gründer und Geschäftsführer von SECJUR, lässt Niklas sein Wissen vor allem in die Produktentwicklung unserer Compliance-Automatisierungsplattform einfließen.
SECJUR steht für eine Welt, in der Unternehmen immer compliant sind, aber nie an Compliance denken müssen. Mit dem Digital Compliance Office automatisieren Unternehmen aufwändige Arbeitsschritte und erlangen Compliance-Standards wie DSGVO, ISO 27001 oder TISAX® bis zu 50% schneller.
Automatisieren Sie Ihre Compliance Prozesse mit dem Digital Compliance Office
Everything you need to know about the product and billing.
Viele Unternehmen investieren in Sicherheitstools – doch NIS2 macht klar: Einzelne Lösungen reichen nicht. Der Schlüssel liegt in der Integration. In diesem Leitfaden erfahren Sie, wie SIEM, IAM und Automatisierung zusammenspielen, um NIS2-Compliance effizient zu erreichen und Ihre Sicherheitsarchitektur nachhaltig zu stärken.
Wir erklären, warum Schutzziele der Informationssicherheit für Unternehmen unerlässlich sind und wie man sie mithilfe geeigneter KPIs erfolgreich umsetzt und überwacht. Praxisbeispiele inklusive!
Der CEO-Fraud ist eine Variante des „Social Engineerings“, bei welchem die Täter auf das oft schwächste Glied in der IT-Sicherheitskette setzen: Den Menschen. Infolge der immer besseren technischen Schutzmaßnahmen, angefangen bei einer einfachen Firewall bis hin zu Verschlüsselungsmethoden, ist es schwieriger geworden, auf „klassischem“ Weg, wie beispielsweise Hacking, an vertrauliche Informationen zu gelangen. Wie schützt man sich als CEO?
.svg)
.svg)
.svg){kind=small}