Forschung
Cybersicherheitspflichten für Forschungseinrichtungen und industrienahe Entwicklungsgesellschaften
Ist Ihr Unternehmen betroffen?
- Forschungseinrichtungen, deren Haupttätigkeit angewandte Forschung oder experimentelle Entwicklung ist (NIS2UmsuCG Anhang II, Nr. 8)
- Außeruniversitäre Institute und Institutsverbünde mit eigener rechtlicher Trägerschaft oberhalb der Schwellenwerte
- Industrienahe Forschungs- und Entwicklungsgesellschaften, auch als Tochtergesellschaft eines Konzerns
- Bildungseinrichtungen sind von dieser Sektordefinition ausdrücklich ausgenommen — Hochschulen fallen nur über andere Sektoren oder Landesrecht in den Anwendungsbereich
- Betreiber von Forschungsgroßgeräten und Rechenzentren, die zugleich als digitale Infrastruktur erfasst sein können
NIS2-Anforderungen nach Art. 21
- 01.
Prüfung der eigenen Einordnung vor allen Maßnahmen
Die Sektordefinition nimmt Bildungseinrichtungen aus. Für Institute in gemischter Trägerschaft oder mit Hochschulanbindung entscheidet deshalb die konkrete Rechtsform und der Tätigkeitsschwerpunkt. Diese Bewertung gehört schriftlich dokumentiert, bevor Budget gebunden wird.
- 02.
Schutz von Forschungsdaten gegen Abfluss
Der typische Angriff auf Forschung zielt nicht auf Erpressung, sondern auf unbemerktes Mitlesen über lange Zeiträume. Erkennung und Protokollierung müssen darauf ausgelegt sein, nicht nur auf Verschlüsselungsereignisse.
- 03.
Sicherheit in offenen Kooperationsnetzen
Forschung lebt vom Austausch mit Partnern, Gastwissenschaftlern und internationalen Konsortien. Diese Offenheit ist kein Fehler, sondern Zweck — sie muss aber durch Segmentierung, befristete Konten und kontrollierte Datenräume beherrschbar gemacht werden.
- 04.
Absicherung von Laborsteuerung und Großgeräten
Messplätze, Analysegeräte und Prüfstände laufen häufig auf alten Betriebssystemen, weil die Herstellersoftware nichts anderes zulässt. Für diese Geräte sind kompensierende Maßnahmen zu dokumentieren, nicht Updates zu erzwingen.
- 05.
Integrität von Messdaten und Auswertungsketten
Werden Rohdaten oder Auswertungsskripte unbemerkt verändert, entsteht ein Schaden, der erst Jahre später auffällt — und die wissenschaftliche Reputation trifft. Versionierung, Zugriffsbeschränkung und unveränderliche Ablage von Rohdaten sind daher zentral.
- 06.
Ausfuhrkontrolle und Umgang mit sensibler Forschung
Bei Vorhaben mit doppeltem Verwendungszweck greifen zusätzlich außenwirtschaftsrechtliche Vorgaben. Die Zugriffsverwaltung muss abbilden können, wer aus welchem Land auf welche Daten zugreifen darf — eine Anforderung, die reine IT-Konzepte oft übersehen.
- 07.
Meldepflicht neben Datenschutz und Fördergeber
Erhebliche Sicherheitsvorfälle gehen binnen 24 und 72 Stunden an das BSI. Parallel können Pflichten gegenüber der Datenschutzaufsicht und vertragliche Anzeigepflichten gegenüber Fördermittelgebern oder Industriepartnern bestehen.
Typische Bedrohungsszenarien
Diebstahl und selektive Veröffentlichung von Zulassungsunterlagen
Angreifer erbeuteten Unterlagen zu einem Impfstoffzulassungsverfahren und veröffentlichten daraus gezielt manipulierte Auszüge im Netz. Der Fall zeigt, dass entwendete Forschungsdaten nicht nur abfließen, sondern auch zur Desinformation eingesetzt werden.
Angriff auf die Europäische Arzneimittel-Agentur (2020)Vollständiger Neuaufbau nach Ransomware
Ein Ransomware-Angriff zwang eine große Forschungs- und Bildungseinrichtung, ihre gesamte IT-Infrastruktur neu aufzubauen. Zentrale Dienste standen über Monate nicht zur Verfügung, Daten aus dem Zeitraum vor dem Angriff waren teils verloren.
Ransomware an der Universität Duisburg-Essen (Deutschland, 2022)Netzabschaltung nach Schadsoftwarebefall
Ein Schadsoftwarebefall zwang eine Hochschule dazu, ihr komplettes Netz vom Internet zu trennen. Zugangsdaten mussten persönlich und auf Papier neu ausgegeben werden — ein Bild, das die Abhängigkeit des Wissenschaftsbetriebs von zentraler IT deutlich macht.
Emotet-Befall an der Justus-Liebig-Universität Gießen (Deutschland, 2019)Maßnahmen-Checkliste
- Schriftlich dokumentierte Bewertung der eigenen Einordnung, insbesondere bei Anbindung an eine Hochschule
- Klassifizierung der Forschungsdaten nach Schutzbedarf, mit gesonderter Behandlung sensibler Vorhaben
- Erkennung, die auf langfristigen unauffälligen Datenabfluss ausgelegt ist, nicht nur auf Verschlüsselung
- Netzsegmentierung zwischen Verwaltung, Laborbereichen, Rechenclustern und offenen Gästezugängen
- Befristete Konten für Gastwissenschaftler und Projektpartner mit automatischem Ablauf zum Projektende
- Kontrollierte Datenräume für den Austausch mit Konsortialpartnern statt privater Cloud-Dienste
- Dokumentierte kompensierende Maßnahmen für Laborrechner und Großgeräte ohne Herstellerunterstützung
- Unveränderliche Ablage von Rohdaten mit Versionierung der Auswertungsketten
- Zugriffssteuerung, die Herkunftsland und Ausfuhrkontrollstatus bei sensiblen Vorhaben berücksichtigt
- Abgestimmter Meldeprozess gegenüber Bundesamt, Datenschutzaufsicht, Fördergeber und Industriepartnern
Verwandte Inhalte
Leistungen
Checklisten
NIS2-Compliance für Forschung?
Kontaktieren Sie uns für eine branchenspezifische Erstberatung. Wir kennen die Anforderungen Ihres Sektors.
Beratung anfragen