NIS2 mit Microsoft 365 umsetzen: Das Mapping in 6 Schritten
Das NIS2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025, ohne Übergangsfrist. Rund 30.000 Unternehmen in Deutschland sind betroffen, mit persönlicher Haftung der Geschäftsleitung und Bußgeldern bis 10 Millionen Euro. Der häufigste Satz, den wir hören: "Wir sind betroffen, aber wir wissen nicht, wo wir stehen." Dieser Artikel zeigt, wie sich die zentralen NIS2-Anforderungen mit einem sauber konfigurierten Microsoft 365 abbilden lassen.
Warum M365 der halbe Weg ist, aber nur konfiguriert
Paragraf 30 des Gesetzes fordert Risikomanagement-Maßnahmen in zehn Bereichen, von Vorfallsbewältigung über Backup-Management bis Cyberhygiene und Zugriffskontrolle. Die gute Nachricht für M365-Kunden: Ein großer Teil dieser Anforderungen ist mit vorhandenen Lizenzen technisch abbildbar. Conditional Access, Unified Audit Log, Defender, Purview und Attack Simulator decken die Kernbereiche ab.
Die schlechte Nachricht: Nichts davon zählt im Default-Zustand. NIS2 prüft nicht, ob eine Funktion lizenziert ist, sondern ob die Maßnahme wirksam umgesetzt und nachweisbar ist. Die folgenden sechs Schritte priorisieren die Umsetzung so, wie Prüfer und Aufsicht typischerweise fragen.
Betroffenheit klären und Governance verankern
Am Anfang steht die Einstufung: besonders wichtige oder wichtige Einrichtung, nach Sektor und Unternehmensgröße. Die Registrierung beim BSI war bis zum 6. März 2026 verpflichtend. Wer sie versäumt hat, holt sie nach, denn eine fehlende Registrierung ist das erste und einfachste Finding jeder Prüfung.
Parallel gehört das Thema in die Geschäftsleitung. NIS2 macht die Billigung und Überwachung der Risikomanagement-Maßnahmen zur persönlichen Pflicht der Leitungsorgane, inklusive Schulungspflicht. Compliance ist damit formal keine IT-Aufgabe mehr, sondern eine Leitungsentscheidung mit IT-Umsetzung.
Aktion: Einstufung dokumentieren, BSI-Registrierung prüfen oder nachholen, Berichtsweg zur Geschäftsleitung mit festem Turnus etablieren, Schulung der Leitungsebene terminieren.
Nachweisfähigkeit herstellen: Audit Log auf ein Jahr
Wirksamkeit ohne Nachweis existiert im NIS2-Kontext nicht. Die Basis jeder Nachweisführung in M365 ist das Unified Audit Log. Die Standard-Retention reicht dafür nicht aus: Wenn ein Vorfall heute entdeckt wird und vor acht Monaten begann, braucht die Vorfallsanalyse Logs über den gesamten Zeitraum.
Mit E5 lässt sich die Retention per Audit Retention Policy auf 365 Tage setzen, für ausgewählte Konten auf bis zu 10 Jahre. Der Compliance Manager liefert zusätzlich einen laufenden Reifegradspiegel, kein Zertifikat, aber eine ehrliche Standortbestimmung für den Bericht an die Geschäftsleitung.
Aktion: Audit Retention Policy auf mindestens 365 Tage konfigurieren, Compliance-Manager-Baseline erstellen und als Quartalsbericht etablieren.
Identitäten härten: phishing-resistente MFA und PIM
Zugriffskontrolle und Multi-Faktor-Authentifizierung sind explizite Maßnahmenbereiche. Für die Praxis heißt das: MFA für alle Nutzer ohne Ausnahmen, Legacy Authentication per Conditional Access blockiert, und für privilegierte Rollen phishing-resistente Verfahren, also FIDO2-Keys oder Passkeys statt App-Push.
Dauerhafte Admin-Rechte gehören abgeschafft. Privileged Identity Management mit zeitlich begrenzter Aktivierung, Begründungspflicht und Approval für Tier-0-Rollen ist der Stand, den Prüfer inzwischen als Normalfall erwarten. Zwei dokumentierte Break-Glass-Accounts sichern den Notfallzugriff ab.
Aktion: Conditional-Access-Baseline umsetzen (MFA, Legacy-Block, Geo-Filter), FIDO2 für privilegierte Rollen ausrollen, PIM für Tier-0- und Tier-1-Rollen aktivieren.
Backup und Resilienz über die Bordmittel hinaus
NIS2 fordert Backup-Management und Wiederherstellung nach Notfällen. Die nativen M365-Mechanismen decken das nur teilweise ab: Papierkorb und Soft Delete helfen bei versehentlichen Löschungen, Retention Policies bei Aufbewahrungspflichten. Gegen eine Tenant-weite Kompromittierung, in der ein Angreifer mit Admin-Rechten auch Retention Policies deaktivieren kann, schützt beides nicht.
Für betroffene Einrichtungen gehört deshalb ein unabhängiges Drittanbieter-Backup mit eigener Authentifizierung zur Grundausstattung, für KRITIS-Umgebungen ergänzt um unveränderlichen Speicher (Immutable Storage). Entscheidend ist der getestete Restore, nicht das Backup selbst.
Aktion: Backup-Lücken pro Workload (Exchange, SharePoint, OneDrive, Teams) bewerten, unabhängiges Backup-Ziel etablieren, Restore-Test mit Protokoll mindestens jährlich durchführen.
Vorfallsmanagement mit 24-Stunden-Meldefähigkeit
Erhebliche Sicherheitsvorfälle müssen innerhalb von 24 Stunden erstgemeldet werden, mit Folgemeldung nach 72 Stunden und Abschlussbericht nach einem Monat. Diese Fristen hält nur, wer den Weg vom technischen Alert zur Meldeentscheidung vorher definiert hat.
Technisch heißt das: Defender-Alerts laufen zentral zusammen, idealerweise in Microsoft Sentinel, mit klarer Triage. Organisatorisch braucht es ein Incident-Response-Playbook, das festlegt, wer die Meldeschwelle bewertet und wer an das BSI meldet. Ein Playbook, das nie geübt wurde, ist Papier. Eine jährliche Tabletop-Übung, etwa zum Szenario "kompromittierter Service Account", macht daraus einen Nachweis.
Aktion: Alert-Routing nach Sentinel oder ins bestehende SIEM einrichten, Meldeprozess mit Rollen und Fristen dokumentieren, Tabletop-Übung durchführen und protokollieren.
Cyberhygiene messbar machen
Schulungen und grundlegende Cyberhygiene sind ein eigener Maßnahmenbereich, und hier scheitern viele am Wort "Wirksamkeit". Eine jährliche Pflichtschulung mit Teilnahmeliste belegt Aktivität, nicht Wirkung.
Der in E5 enthaltene Attack Simulator schließt diese Lücke: regelmäßige Phishing-Simulationen, ausgewertet nach Klick- und Meldequoten, mit sichtbarem Trend über die Quartale. Eine sinkende Klickrate ist genau die Art von Kennzahl, die eine Geschäftsleitung berichten und eine Aufsicht akzeptieren kann.
Aktion: Quartalsweise Phishing-Simulation mit Attack Simulator aufsetzen, Klick- und Meldequoten als Kennzahl in den Leitungsbericht aufnehmen.
Faustregel: NIS2 ist eine Konfigurations- und Nachweisfrage, keine Dokumentenfrage. Eine Richtlinie als PDF ist keine Maßnahme. Eine aktive Policy mit Audit-Historie ist eine.
Die sechs Schritte lassen sich in 6 bis 10 Wochen umsetzen, wenn die Lizenzbasis (E5 oder E3 mit Security-Add-ons) vorhanden ist. Die Schritte 1, 2 und 6 sind in Tagen erledigt, die Schritte 3 bis 5 brauchen strukturierte Projektarbeit. Wer bereits ein ISMS nach ISO 27001 betreibt, hat einen erheblichen Vorsprung, denn die Maßnahmenbereiche überlappen stark. Der häufigste Fehler ist ein anderer: NIS2 als einmaliges Projekt zu behandeln. Die Aufsicht prüft den Betriebszustand, nicht den Projektabschluss.
NIS2 Standortbestimmung
Wir prüfen Ihren Tenant gegen die NIS2-Maßnahmenbereiche und liefern eine priorisierte Roadmap: was kritisch ist, was in die Planung gehört, was bereits trägt.
Zum NIS2 Quick Check