Volljurist und Compliance-Experte
October 30, 2025
5 min
.svg)
Sie haben Ihre IT in die Cloud verlagert – für mehr Flexibilität, Skalierbarkeit und Innovation. Ein kluger Schachzug. Doch jetzt steht die NIS2-Richtlinie vor der Tür und wirft eine entscheidende Frage auf: Wer ist eigentlich für die Sicherheit Ihrer Daten und Dienste in der Cloud verantwortlich? Ist es Ihr Anbieter wie AWS, Microsoft oder Salesforce? Oder liegt die Last allein auf Ihren Schultern?
Die Antwort ist nicht so einfach, wie man denkt. Viele Unternehmen glauben fälschlicherweise, dass mit dem Wechsel in die Cloud auch die Verantwortung für die Sicherheit vollständig an den Provider übergeht. Das ist ein kostspieliger Irrtum. Die NIS2-Richtlinie macht deutlich: Sie als Unternehmen bleiben in der Pflicht, die Sicherheit Ihrer Netz- und Informationssysteme zu gewährleisten – egal, wo diese betrieben werden.
Dieser Leitfaden ist Ihr Navigator durch den Dschungel der NIS2-Anforderungen in der Cloud. Wir übersetzen die abstrakten Vorgaben in konkrete, technische und organisatorische Maßnahmen (TOMs) für Ihre Cloud-Infrastruktur (IaaS), Plattform-Dienste (PaaS) und Software-Anwendungen (SaaS). Vergessen Sie allgemeines Blabla – hier erfahren Sie, wie Sie NIS2 in Ihrer Cloud-Realität praktisch umsetzen.
Auf den ersten Blick mag NIS2 wie eine weitere regulatorische Hürde wirken. Doch im Kern geht es um Resilienz – die Fähigkeit Ihres Unternehmens, auch im Angesicht von Cyber-Bedrohungen handlungsfähig zu bleiben. Und da Ihre kritischen Prozesse zunehmend in der Cloud laufen, wird die Cloud-Sicherheit zum zentralen Hebel für Ihre NIS2-Compliance.
Eine der wichtigsten Anforderungen von NIS2 ist die Sicherheit der Lieferkette. In der Cloud-Welt ist Ihr Cloud-Service-Provider (CSP) ein integraler Bestandteil Ihrer Lieferkette. Die Wahl Ihres Anbieters und die Art, wie Sie dessen Dienste nutzen, sind also keine reinen IT-Entscheidungen mehr, sondern fundamentale Compliance-Entscheidungen.
Der Schlüssel zum Verständnis Ihrer Pflichten in der Cloud ist das Shared Responsibility Model (Modell der geteilten Verantwortung). Es definiert klar, welche Sicherheitsaufgaben beim Cloud-Anbieter liegen und welche bei Ihnen als Kunde verbleiben. Diese Aufteilung variiert je nach genutztem Service-Modell.
Bei IaaS (z. B. Amazon EC2, Azure Virtual Machines) stellt Ihnen der Anbieter die grundlegende Infrastruktur zur Verfügung: Rechenzentren, Server, Speicher und Netzwerke.
Bei PaaS (z. B. AWS Lambda, Google App Engine) stellt der Anbieter zusätzlich zur Infrastruktur auch das Betriebssystem und die Laufzeitumgebung bereit.
Bei SaaS (z. B. Microsoft 365, Salesforce, SECJUR) nutzen Sie eine fertige Anwendung, die vom Anbieter betrieben wird.
Häufiger Fehler: Zu glauben, bei SaaS läge die gesamte Verantwortung beim Anbieter. Falsch! Sie sind nach NIS2 dafür verantwortlich, die Ihnen zur Verfügung gestellten Sicherheitsoptionen korrekt zu konfigurieren und zu nutzen. Ein offener S3-Bucket bei AWS ist nicht die Schuld von Amazon, sondern eine Fehlkonfiguration des Nutzers.
NIS2 fordert einen risikobasierten Ansatz und listet zehn konkrete Mindestmaßnahmen auf. Sehen wir uns an, was diese im Cloud-Kontext bedeuten und wie Sie sie praktisch umsetzen können.
Der Weg zur NIS2-Konformität in der Cloud kann überwältigend wirken. Brechen Sie ihn in überschaubare Schritte herunter:
Die NIS2-Richtlinie ist kein Grund, die Cloud zu meiden. Im Gegenteil: Richtig genutzt, bieten Ihnen Cloud-Plattformen leistungsstarke Werkzeuge, um ein höheres Sicherheitsniveau zu erreichen, als es On-Premise oft möglich wäre.
Der Schlüssel liegt darin, Ihre Verantwortung zu kennen und proaktiv zu handeln. Verstehen Sie das Shared Responsibility Model, bewerten Sie Ihre Anbieter kritisch und setzen Sie die geforderten Maßnahmen systematisch in Ihrer Cloud-Umgebung um. Indem Sie die Cloud nicht als Blackbox, sondern als gestaltbaren Teil Ihrer IT-Landschaft betrachten, verwandeln Sie eine regulatorische Pflicht in einen echten strategischen Vorteil für die Resilienz und Sicherheit Ihres Unternehmens.
Technische und organisatorische Maßnahmen (TOMs) sind die konkreten Sicherheitsvorkehrungen, die Unternehmen ergreifen müssen, um ihre Netz- und Informationssysteme zu schützen. Dazu gehören Firewalls, Verschlüsselung, Zugriffskontrollen (technisch) sowie Sicherheitsrichtlinien, Schulungen und Incident-Response-Pläne (organisatorisch).
NIS2 betrifft Unternehmen ab einer bestimmten Größe (meist ab 50 Mitarbeitern oder 10 Mio. € Umsatz) in 18 Sektoren, die als "wesentlich" oder "wichtig" eingestuft werden, darunter Energie, Verkehr, Gesundheit, digitale Infrastruktur und öffentliche Verwaltung. Prüfen Sie genau, ob Ihr Unternehmen in einen dieser Sektoren fällt.
Die Strafen sind empfindlich. Für "wesentliche Einrichtungen" können sie bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes betragen. Für "wichtige Einrichtungen" sind es bis zu 7 Millionen Euro oder 1,4 % des Umsatzes.
Nicht vollständig, aber sie ist eine hervorragende Grundlage. Ein nach ISO 27001 zertifiziertes Informationssicherheits-Managementsystem (ISMS) deckt bereits einen Großteil der von NIS2 geforderten Maßnahmen ab. NIS2 hat jedoch zusätzliche, spezifische Anforderungen, z. B. bei den Meldepflichten.
Als Jurist mit langjähriger Erfahrung als Anwalt für Datenschutz und IT-Recht kennt Niklas die Antwort auf so gut wie jede Frage im Bereich der digitalen Compliance. Er war in der Vergangenheit unter anderem für Taylor Wessing und Amazon tätig. Als Gründer und Geschäftsführer von SECJUR, lässt Niklas sein Wissen vor allem in die Produktentwicklung unserer Compliance-Automatisierungsplattform einfließen.
SECJUR steht für eine Welt, in der Unternehmen immer compliant sind, aber nie an Compliance denken müssen. Mit dem Digital Compliance Office automatisieren Unternehmen aufwändige Arbeitsschritte und erlangen Compliance-Standards wie DSGVO, ISO 27001 oder TISAX® bis zu 50% schneller.
Automatisieren Sie Ihre Compliance Prozesse mit dem Digital Compliance Office
Everything you need to know about the product and billing.
Viele Unternehmen setzen bereits auf ISO 9001, doch das volle Potenzial digitaler QMS-Systeme bleibt oft ungenutzt. Erfahren Sie, wie moderne, KI-gestützte Software Ihr Qualitätsmanagement automatisiert, den Aufwand reduziert und Ihr Unternehmen effizient zur Zertifizierung und darüber hinaus führt.
.avif)
Im Zeitalter des grenzenlosen Internets gewinnt der Datenschutz an Bedeutung. Die EU-Datenschutzgrundverordnung (DSGVO) hat das Ziel, ein einheitliches Datenschutzniveau zu gewährleisten. Doch gilt die DSGVO nur für Unternehmen innerhalb der EU? Der Anwendungsbereich umfasst auch Unternehmen außerhalb der EU, die Waren oder Dienstleistungen in der EU anbieten oder das Verhalten von EU-Bürgern beobachten. Dieser Artikel untersucht den räumlichen Geltungsbereich der DSGVO und erklärt die Unterschiede zwischen dem Datenschutzbeauftragten und dem Unionsvertreter.
TISAX verständlich erklärt: Dieser Leitfaden zeigt KMU im Automotive-Sektor, wie sie Anforderungen pragmatisch umsetzen, typische Fehler vermeiden und realistisch Ressourcen planen. Von den Grundlagen bis zum 7-Schritte-Projektplan – erfahren Sie, wie TISAX zur Chance und zum Wettbewerbsvorteil wird.
.svg)
.svg)
.svg){kind=small}