Microsoft 365 unterstützt die technische NIS2-Umsetzung mit Identitäts-, Geräte- und Sicherheitsfunktionen. Eine Lizenz oder ein hoher Secure Score stellt allein keine NIS2-Konformität her. Starten Sie mit Betroffenheit, Risikoanalyse und einem priorisierten Maßnahmenplan. Diese Roadmap verbindet technische Arbeitspakete mit Zuständigkeiten, Wiederherstellungstests und Nachweisen. Der Acht-Wochen-Ablauf ist ein Planungsbeispiel; Umfang und Laufzeit hängen vom Ausgangszustand ab.
Was NIS2 für Ihr Unternehmen bedeutet
Ob ein Unternehmen betroffen ist, richtet sich nach Einrichtungsart, Größe und Sonderregeln aus §28 BSIG. Bei den allgemeinen Größenschwellen zählen mindestens 50 Beschäftigte oder jeweils mehr als zehn Millionen Euro Jahresumsatz und Bilanzsumme. Für besonders wichtige Einrichtungen und bestimmte Dienste gelten eigene Regeln. Prüfen Sie deshalb auch Sektor, Unternehmensverbindungen und Ausnahmen; die Mitarbeiterzahl allein entscheidet nicht.
Unterscheiden Sie Risikomanagement, Registrierung und Vorfallmeldungen. Nach §33 BSIG erfolgt die Registrierung grundsätzlich spätestens drei Monate nach Eintritt der erfassten Eigenschaft. Für erhebliche Vorfälle gelten nach §32 BSIG unverzügliche Meldungen, spätestens nach 24 beziehungsweise 72 Stunden ab Kenntnis. Die Abschlussmeldung folgt grundsätzlich spätestens einen Monat nach der 72-Stunden-Meldung; bei laufenden Vorfällen gelten besondere Regeln.
Welche Microsoft-Funktionen können NIS2-Maßnahmen unterstützen?
Microsoft-Werkzeuge können Teile der technischen Maßnahmen unterstützen. Risikoanalyse, Lieferantenbewertung, Verantwortlichkeiten und Tests bleiben eigenständige Aufgaben. Die Zuordnung beschreibt mögliche Bausteine; sie ist keine Zusicherung vollständiger Abdeckung. Maßgeblich sind die Anforderungen aus §30 BSIG und gegebenenfalls sektorspezifische Vorgaben.
| §30-Maßnahme | Microsoft 365 / Entra Funktion |
|---|---|
| 1. Risikoanalyse und Sicherheitskonzepte | Microsoft Secure Score, Defender for Cloud Apps |
| 2. Bewältigung von Sicherheitsvorfällen | Microsoft Sentinel, Defender XDR Incident Queue |
| 3. Business Continuity und Backup | Microsoft 365 Backup für unterstützte M365-Daten; Azure Backup für geeignete Azure-Workloads; Wiederherstellung testen |
| 4. Sicherheit der Lieferkette | Microsoft Purview Compliance Manager |
| 5. Schwachstellenmanagement | Defender Vulnerability Management, Microsoft Intune |
| 6. Wirksamkeitsbewertung der Maßnahmen | Microsoft Secure Score Dashboard, Purview Compliance Manager |
| 7. Schulungen und Sensibilisierung | Microsoft Security Awareness Training (Defender for Office 365 P2) |
| 8. Kryptographische Verfahren | BitLocker, S/MIME in Exchange, Azure Key Vault, TLS-Erzwingung |
| 9. Zugangskontrollen und Asset-Management | Microsoft Entra ID, Intune, Entra Access Reviews |
| 10. Multi-Faktor-Authentifizierung | Entra ID MFA und Conditional Access; Kommunikations- und Notfallkonzept gesondert prüfen |
Prüfen Sie Protokollierung und Aufbewahrung für jeden Dienst. Purview Audit (Standard) hält aktuelle Auditdatensätze grundsätzlich 180 Tage vor. Audit (Premium) bietet für bestimmte Workloads und passend lizenzierte Nutzer standardmäßig ein Jahr; weitere Bedingungen sind zu beachten. Eine pauschale NIS2-Frist von zwölf Monaten für sämtliche Logs lässt sich daraus nicht ableiten. Quelle: Microsoft zur Audit-Aufbewahrung.
Microsoft 365 Lizenz-Check: Was reicht für NIS2?
Wählen Sie Lizenzen nach den benötigten Kontrollen und dem vorhandenen Bestand. Kein Microsoft-365-Paket deckt sämtliche organisatorischen oder technischen Pflichten automatisch ab. Die folgende Übersicht dient der Funktionsplanung; Preise, Add-ons und tatsächliche Nutzungsrechte sind gesondert zu prüfen.
| Lizenz | Technische Grundlage | Separat prüfen |
|---|---|---|
| Business Basic / Standard | Cloud-Dienste und grundlegende Identitätsfunktionen | MFA über Sicherheitsstandards ist möglich; Conditional Access benötigt passende Entra-Rechte. |
| Business Premium | Entra ID P1, Intune und Defender for Business | PIM-Rechte, Protokollaufbewahrung, Backup und Betriebsprozesse |
| Microsoft 365 E3 | Enterprise-Grundlage mit Entra ID P1 | PIM und benötigte erweiterte Schutzfunktionen passend ergänzen |
| Microsoft 365 E5 | Erweiterte Identitäts-, Schutz- und Compliance-Funktionen einschließlich Entra ID P2 | Konfiguration, Zuständigkeiten und Wiederherstellung; Sentinel ist kein pauschal unbegrenzt enthaltener SIEM-Dienst. |
Business Premium kann für Unternehmen bis 300 Nutzer eine geeignete technische Basis sein. Ob Ergänzungen erforderlich sind, ergibt sich aus dem Risikokonzept. Für zeitlich begrenzte privilegierte Rechte prüfen Sie Entra PIM und seine Lizenzvoraussetzungen. §30 BSIG nennt kein bestimmtes Microsoft-Produkt als Pflicht. Ein pauschales Upgrade auf E5 ist daher keine belastbare Umsetzungsempfehlung.
Die 8-Wochen-Roadmap zur NIS2-Umsetzung mit Microsoft 365
Die acht Wochen sind eine beispielhafte Reihenfolge für priorisierte technische Arbeiten. Bestehende Pflichten und Fristen werden dadurch nicht verschoben. Größere Umgebungen, Beschaffung oder fehlende Grundlagen können zusätzliche Zeit erfordern. Legen Sie vor Beginn Verantwortliche, Ergebnisse und Abnahmekriterien fest.
Phase 1: Analyse und Identitätshärtung (Woche 1–4)
- Woche 1–2: Gap-Analyse und Betroffenheitsprüfung — Stellen Sie fest, ob Ihr Unternehmen als wichtige oder besonders wichtige Einrichtung gilt. Nutzen Sie den BSI-Selbstcheck auf der BSI-Website und analysieren Sie Ihren M365-Tenant mit dem Microsoft Secure Score als Orientierungspunkt für den Ist-Zustand.
- Woche 3: Identitäts- und Zugangskontrollen härten — Prüfen Sie Conditional Access und MFA. Nutzen Sie für privilegierte Konten phishing-resistente Methoden wie FIDO2-Sicherheitsschlüssel. Number Matching allein ist keine phishing-resistente Authentifizierung. Testen Sie Richtlinien vor dem breiten Rollout.
- Woche 4: Privilegierte Konten absichern — Inventarisieren Sie Rollen und prüfen Sie eine zeitlich begrenzte Vergabe mit PIM. Testen Sie Notfallkonten, Genehmigungen und Aktivierungsdauer. PIM ist eine mögliche technische Maßnahme, kein gesetzlich vorgeschriebenes Einzelprodukt.
Phase 2: Endpunktschutz, Backup und Meldewege (Woche 5–8)
- Woche 5: Endpunktschutz und Geräteverwaltung — Prüfen Sie Geräteaufnahme, Defender-Konfiguration und Intune-Richtlinien. Verknüpfen Sie geprüfte Gerätekonformität mit Conditional Access, um Zugriffe zu steuern. Testen Sie Ausnahmen und Notfallzugänge vor der Durchsetzung.
- Woche 6: Backup und Protokolle testen — Definieren Sie Wiederanlaufzeit (RTO), tolerierbaren Datenverlust (RPO) und Aufbewahrung nach Schutzbedarf. Testen Sie eine Wiederherstellung. Archivierung ersetzt kein Backup; prüfen Sie die abgedeckten Workloads und Audit-Lizenzen separat.
- Woche 7: Incident-Response-Prozess einrichten — Definieren Sie interne Zuständigkeiten für den Ernstfall. Erstellen Sie eine Dokumentationsvorlage für den 24-Stunden-Meldebogen an das BSI. Testen Sie, ob Microsoft Defender XDR-Warnungen die richtigen Personen rechtzeitig benachrichtigen.
- Woche 8: Nachweise und offene Maßnahmen bewerten — Dokumentieren Sie Risiken, Einstellungen, Tests und Zuständigkeiten. Prüfen Sie den Registrierungsstatus und den jeweils aktuellen Meldeweg beim BSI. Erledigen Sie eine bereits fällige Registrierung sofort; warten Sie damit nicht auf Woche acht. Planen Sie regelmäßige Wirksamkeitsprüfungen.
Typische Konfigurationsfehler bei der NIS2-Umsetzung
Die häufigsten Compliance-Lücken entstehen nicht durch fehlende Lizenzen, sondern durch deaktivierte oder falsch konfigurierte Funktionen im bestehenden Tenant. Diese fünf Fehler sehen wir in der Praxis am häufigsten:
- Protokolle ungeprüft übernehmen: Kontrollieren Sie aktivierte Ereignisse, tatsächliche Aufbewahrung und Export. Purview Audit und Entra-Anmeldeprotokolle haben unterschiedliche Rechte und Fristen.
- MFA aktiviert, aber nicht erzwungen: Viele Tenants haben MFA als Option, nicht als Pflicht. Conditional Access Policies fehlen oder decken nicht alle Cloud-Anwendungen ab — das lässt gezielte Umgehungsversuche offen.
- Privilegierte Rechte nicht begrenzen: Prüfen Sie dauerhafte Zuweisungen, getrennte Admin-Konten und regelmäßige Reviews. PIM kann die zeitlich begrenzte Vergabe unterstützen.
- Keine Gerätekonformitäts-Richtlinien in Intune: Intune ist lizenziert, aber Geräte laufen ohne Compliance-Richtlinien. Private Geräte greifen auf Unternehmensdaten zu, ohne Mindest-Patch-Level oder Geräteverschlüsselung zu erfüllen.
- Kein dokumentierter Incident-Response-Plan: Für erhebliche Sicherheitsvorfälle gelten unverzügliche Meldungen, spätestens nach 24 beziehungsweise 72 Stunden ab Kenntnis. Bereiten Sie Zuständigkeiten und Meldeinhalte vor, damit die Bewertung und Meldung rechtzeitig erfolgen können.
Was AURUM für Sie übernimmt
AURUM unterstützt die technische Bestandsaufnahme und priorisiert Konfigurationslücken in Microsoft 365. Ein sinnvoller Start umfasst Rollen und MFA, Geräte, Schutzfunktionen, Protokollierung und Wiederherstellung. Ergebnis sind ein Maßnahmenplan mit Verantwortlichen und eine Liste benötigter Nachweise. Die Umsetzung begleiten unsere Cloud-Security-Beratung und IAM-Beratung. Ein Secure Score dient als technischer Hinweis, nicht als Compliance-Nachweis; Rechtsfragen und die verbindliche Betroffenheit sind gesondert zu klären.
Wir übernehmen: Gap-Analyse gegen §30 BSIG, Konfiguration von Entra ID Conditional Access und Cloud Security, Intune-Rollout und Gerätekonformität, Aufbau des Incident-Response-Prozesses sowie Erstellung des dokumentierten Sicherheitskonzepts. Für Unternehmen, die ihre Identitäts- und Zugriffssteuerung grundlegend modernisieren müssen, bieten wir außerdem eine dedizierte IAM-Beratung an.
Häufige Fragen zu NIS2 und Microsoft 365
Gilt NIS2 für mein Unternehmen?
Die Einordnung hängt von Einrichtungsart, Beschäftigtenzahl, Umsatz, Bilanzsumme und Sonderregeln nach §28 BSIG ab. Eine pauschale Aussage allein anhand von 50 Beschäftigten oder zehn Millionen Euro Umsatz reicht nicht aus. Prüfen Sie Sektor und Unternehmensstruktur im Einzelfall.
Reicht Microsoft 365 Business Premium für NIS2-Compliance?
Business Premium bietet wichtige technische Funktionen, macht ein Unternehmen aber nicht automatisch NIS2-konform. Prüfen Sie zusätzlich Prozesse, Verantwortlichkeiten, Nachweise, Backup und Schutzbedarf. PIM oder ein SIEM können sinnvoll sein; die erforderlichen Maßnahmen folgen aus der Risikobewertung.
Bis wann muss ich mich beim BSI registrieren?
Nach §33 BSIG grundsätzlich spätestens drei Monate, nachdem die Einrichtung erstmals oder erneut unter die dort genannten Kategorien fällt. Der konkrete Beginn hängt von Ihrer Einordnung ab. Prüfen Sie den aktuellen Registrierungsweg beim BSI und behandeln Sie bereits versäumte Pflichten unverzüglich.
Weitere häufige Fragen zu NIS2 und Microsoft 365
Welche Fristen gelten nach einem Sicherheitsvorfall?
Für erhebliche Sicherheitsvorfälle verlangt §32 BSIG unverzügliche Meldungen, spätestens nach 24 und 72 Stunden ab Kenntnis. Die Abschlussmeldung ist grundsätzlich spätestens einen Monat nach der 72-Stunden-Meldung fällig. Bei fortdauernden Vorfällen gelten Fortschritts- und weitere Abschlussmeldungen. Bereiten Sie Zuständigkeiten und Meldeinhalte vor.
Kann ich NIS2-Compliance an einen IT-Dienstleister auslagern?
Die technische Umsetzung kann an einen zertifizierten IT-Partner ausgelagert werden. Die rechtliche Verantwortung verbleibt jedoch beim Geschäftsführer des betroffenen Unternehmens — auch wenn ein externer Dienstleister die Konfiguration übernimmt. NIS2 verpflichtet zudem zur Bewertung und Dokumentation von IT-Dienstleistern im Rahmen der Lieferkettensicherheit (§30 Maßnahme 4). Der Dienstleister wird damit Teil Ihrer eigenen Compliance-Dokumentation.
Fazit: NIS2-Umsetzung braucht Technik und klare Verantwortlichkeiten
Microsoft 365 kann technische Kontrollen unterstützen. Wirksam werden sie erst mit passenden Prozessen, Verantwortlichen und regelmäßigen Tests. Lassen Sie zuerst den Ist-Zustand und offene Maßnahmen bewerten. Geprüft: 21. Oktober 2026; technische Orientierung, keine Rechtsberatung.
