NIS2-Risikomanagementpflicht · Buchstabe h)

Kryptografie & Verschlüsselung

NIS2Art. 21 Abs. 2 Buchst. h) NIS2-Richtlinie (in Deutschland §30 BSIG)

NIS2 verlangt Konzepte und Verfahren für den Einsatz von Kryptografie und, wo angemessen, Verschlüsselung. Das betrifft Daten in Ruhe, Daten in Übertragung und mobile Geräte, samt eines sauberen Schlüsselmanagements.

Warum diese Pflicht wichtig ist

Verschlüsselung schützt Daten auch dann, wenn Geräte verloren gehen oder abgefangen werden. Entscheidend ist ein geregeltes Schlüsselmanagement, sonst ist auch starke Kryptografie wirkungslos.

So setzen Sie die Pflicht um

1Kryptografie-Richtlinie mit zugelassenen Verfahren und Schlüssellängen festlegen
2Sensible Daten at rest und in transit verschlüsseln
3Festplatten mobiler Geräte vollständig verschlüsseln
4Schlüssel sicher erzeugen, aufbewahren, rotieren und vernichten
5Veraltete Algorithmen aktiv ablösen

Diese Nachweise erwartet die Aufsicht

Kryptografie- und Schlüsselmanagement-Richtlinie
Nachweis der Verschlüsselung (z.B. Geräteverschlüsselung, TLS)
Dokumentiertes Schlüsselmanagement

Häufige Fehler

Schlüssel ungeschützt

Die Verschlüsselung ist stark, aber die Schlüssel liegen unsicher herum.

Veraltete Verfahren

Schwache Algorithmen oder zu kurze Schlüssel werden weiter genutzt.

Passende ISO-27001-Controls

Wer ISO 27001 umsetzt, erfüllt diese NIS2-Pflicht weitgehend mit. Diese Annex-A-Controls decken den Bereich ab:

A.8.24

Einsatz von Kryptografie

A.5.17

Authentisierungsinformationen

Häufig gestellte Fragen

Muss ich wirklich alles verschlüsseln?

Nein, der Einsatz erfolgt risikobasiert. Sensible Daten at rest und in transit sollten aber jedenfalls verschlüsselt werden.

Was ist beim Schlüsselmanagement wichtig?

Sichere Erzeugung, geschützte Aufbewahrung, geregelte Rotation und kontrollierte Vernichtung der Schlüssel.

Sind eigene Verschlüsselungsverfahren erlaubt?

Nein, es sollten ausschließlich anerkannte, geprüfte Standardverfahren verwendet werden.