Der leise Teil des Regimes
Die Registrierungsfrist nach dem Decreto-Lei n.º 125/2025 hat die Gespräche in portugiesischen Sicherheitsteams drei Monate lang beherrscht, was nachvollziehbar ist - Fristen bündeln die Aufmerksamkeit. Es ist aber auch etwas bedauerlich, denn die Registrierung ist die geringste Anforderung, die das Regime stellt.
Was jetzt beginnt, ist eine fortlaufende Pflicht mit drei Bestandteilen, die sich ganz anders verhalten als eine einmalige Einreichung: ein in Stunden gemessener Takt für Vorfallsmeldungen, eine Bestimmung zur Verantwortung der Leitungsorgane, die persönlich greift, und eine Beziehung zur Aufsicht, die bei wesentlichen Einrichtungen proaktiv ausgeübt werden kann und nicht erst, wenn etwas schiefgegangen ist.
Wenn Sie sich in den letzten zwei Wochen registriert haben, ist dies der Beitrag, den Sie an die Person weitergeben sollten, die nun für die Pflicht verantwortlich ist.
Die Meldefristen
NIS2 hat die vagen Meldepflichten für Vorfälle der Vorgängerrichtlinie durch einen konkreten, gestuften Takt ersetzt. In groben Zügen: eine Frühwarnung innerhalb von 24 Stunden, nachdem ein erheblicher Sicherheitsvorfall bekannt geworden ist, eine ausführlichere Meldung innerhalb von 72 Stunden mit einer ersten Bewertung von Schweregrad und Auswirkungen sowie ein Abschlussbericht innerhalb eines Monats.
Drei operative Details entscheiden darüber, ob eine Organisation dies tatsächlich einhalten kann.
Erstens beginnt die Frist mit der Kenntnisnahme, nicht mit der Eindämmung. Teams, die einen Vorfall instinktiv erst verstehen wollen, bevor sie ihn melden, verpassen das 24-Stunden-Fenster bei Vorfällen, deren Einordnung länger als einen Tag dauert, und das sind die meisten schwerwiegenden.
Zweitens ist „erheblich“ eine Einschätzung, und Einschätzungen müssen festgehalten werden. Die Entscheidung, dass ein Vorfall nicht erheblich war, ist eine Entscheidung, die eine Aufsichtsbehörde später prüfen kann, und eine Organisation, die nicht zeigen kann, wann sie diese Entscheidung getroffen hat und auf welcher Grundlage, steht schlechter da als eine, deren Schwellenwertentscheidung in Echtzeit dokumentiert ist.
Drittens müssen die drei Meldungen miteinander übereinstimmen. Eine 72-Stunden-Meldung, die der 24-Stunden-Frühwarnung widerspricht, wirft die Frage auf, welche von beiden zutraf, und ein Abschlussbericht, der eine frühere Aussage stillschweigend fallen lässt, wirft weitere auf.
Die Verantwortung der Leitungsorgane ist keine Formsache
Die Bestimmungen von NIS2 zu den Leitungsorganen sind der Teil, der das Verhalten in Vorständen und Geschäftsführungen verändert, sobald jemand sie gründlich liest. Leitungsorgane müssen die Risikomanagementmaßnahmen im Bereich der Cybersicherheit billigen, ihre Umsetzung überwachen und können für Verstöße persönlich haftbar gemacht werden. Sie sind außerdem verpflichtet, an Schulungen teilzunehmen.
Die praktische Folge ist, dass die Billigung von Sicherheitsmaßnahmen durch die Leitung zu einem belegten Akt wird und nicht zu einer Formalität im Protokollbuch. Wenn eine Aufsichtsbehörde fragt, wann das Leitungsorgan die aktuellen Risikomanagementmaßnahmen gebilligt hat, was ihm vorgelegt wurde und was es entschieden hat, muss die Antwort konkreter sein als eine Zeile im Protokoll.
Das ist eine berechtigte Forderung, und eine, die sich im Nachhinein nur mühsam erfüllen lässt. Organisationen, die ihr zuvorkommen, halten Sicherheitsentscheidungen der Leitung so fest wie jede andere regulierte Entscheidung: mit den vorgelegten Unterlagen, dem Datum und einem Nachweis, der sich später nicht stillschweigend ändern lässt.
- Benennen Sie eine verantwortliche Person für die 24-Stunden-Frühwarnung, die befugt ist zu melden, ohne auf ein vollständiges Bild zu warten
- Legen Sie Ihren Schwellenwert für Erheblichkeit jetzt fest und dokumentieren Sie ihn, bevor Sie ihn unter Druck anwenden müssen
- Halten Sie Schwellenwertentscheidungen für Vorfälle, die Sie nicht melden, mit Datum und Begründung fest
- Schaffen Sie eine einzige Quelle für die Fakten, die in allen drei Meldungen erscheinen, damit Konsistenz strukturell und nicht redaktionell entsteht
- Versehen Sie die Billigung von Sicherheitsmaßnahmen durch die Leitung zusammen mit den vorgelegten Unterlagen mit einem Zeitstempel
- Planen Sie die jährlichen und wiederkehrenden Pflichten - Schulung, Aktualisierung der Risikobewertung, Kontinuitätstests - fest im Kalender ein, statt sie als Projektarbeit zu behandeln
Was Aufsichtsbehörden in der Praxis verlangen
Die portugiesische Aufsichtsbehörde hat mit Prüfungen begonnen, und das bisher erkennbare Muster entspricht der Durchsetzung an anderer Stelle in der Union. Aufsichtsbehörden prüfen, ob eine Organisation Aufzeichnungen statt Beschreibungen vorlegen kann und ob die Aufzeichnungen zu dem Zeitablauf passen, den die Organisation schildert.
Welche Punkte das CNCS konkret prüft, haben wir in Die portugiesische NIS2-Aufsicht beginnt mit ersten Prüfungen beschrieben, das größere Bild der Durchsetzung in der Union im NIS2-Enforcement-Tracker. Zusammen gelesen beschreiben sie eine Aufsichtskultur, die sich weniger für die Qualität der Dokumentation interessiert als dafür, ob sich nachweisen lässt, dass die Dokumentation zu dem Zeitpunkt existierte, zu dem sie angeblich existierte.
- Vergewissern Sie sich, dass Ihre Registrierung vollständig ist und Ihre Kontaktstelle ein überwachtes Funktionspostfach ist
- Führen Sie eine Tabletop-Übung speziell zur 24-Stunden-Frühwarnung durch, nicht zur technischen Reaktion
- Prüfen Sie, ob Ihre Vorfallsaufzeichnung mit der Erkennung beginnt und nicht mit der Ticketerstellung
- Bewerten Sie Ihre aktuelle Abdeckung der Kontrollen gegenüber dem Gesetzesdekret mit dem NIS2-Simulator
Wenn das schwierigere Problem darin besteht, dass Ihre Vorfallsaufzeichnungen, Billigungen der Leitung und Schwellenwertentscheidungen in Systemen liegen, die Sie einer Aufsichtsbehörde lieber nicht unbearbeitet übergeben würden, lässt sich das beheben, ohne die Arbeitsweise Ihres Teams zu ändern. Sie können Ihre ersten Aufzeichnungen in wenigen Minuten verankern.