NIS2-Checkliste Digitale Infrastruktur

Betreiber digitaler Infrastruktur — Rechenzentren, Cloud-Anbieter, DNS-Resolver, IXPs und CDNs — sind Fundament des gesamten digitalen Ökosystems. Ein Ausfall Ihrer Dienste trifft nicht nur direkte Kunden, sondern potenziell tausende nachgelagerte Unternehmen und Behörden. Das BSI C5-Testat bietet Ihnen einen strukturierten Weg zum Sicherheitsnachweis gegenüber Kunden und Aufsichtsbehörden.

Ihre NIS2-Checkliste für Digitale Infrastruktur

1. 1

   Registrieren Sie sich beim BSI als Betreiber digitaler Infrastruktur

   Melden Sie Ihr Unternehmen über MELDEX beim BSI an und benennen Sie einen Informationssicherheitsbeauftragten. Klären Sie, ob Sie als Internet Exchange Point (IXP) oder DNS-Anbieter größenunabhängig erfasst sind oder als Cloud-/Rechenzentrumsanbieter ab NIS2-Schwellenwerten.

2. 2

   Erstellen Sie ein Asset-Inventar für physische und logische Infrastruktur

   Erfassen Sie sämtliche physischen Assets (Server, Netzwerkausrüstung, Stromversorgung, Kühlung) und logische Assets (VMs, Container, DNS-Zonen, BGP-Konfigurationen) mit Eigentümer, Klassifikation und Abhängigkeiten. Dieses Inventar ist Grundlage für Risikoanalyse und Change-Management.

3. 3

   Führen Sie eine rechenzentrumsspecifische Risikoanalyse durch

   Bewerten Sie Bedrohungsszenarien für Ihre spezifische Infrastruktur: DDoS gegen DNS/IXP-Dienste, BGP-Hijacking, Supply-Chain-Angriffe auf Netzwerkhardware, physische Einbrüche und Umweltrisiken (Überschwemmung, Brandausbreitung, Stromausfälle).

4. 4

   Prüfen Sie Ihre C5- oder ISO-27017-Alignment-Lücken

   Führen Sie eine Gap-Analyse gegenüber BSI C5 (für Cloud-Anbieter) oder ISO 27017 (Cloud-Erweiterung zu ISO 27001) durch. Identifizieren Sie Abweichungen in den Bereichen physische Sicherheit, Mandantentrennung, Kryptographie und Notfallmanagement.

5. 5

   Definieren Sie Incident-Response-Verfahren mit Kunden-Notifikationsprozess

   Legen Sie Eskalationspfade für erhebliche Vorfälle fest, die BSI-Meldepflichten (24h Frühwarnung, 72h Vollmeldung) und vertragliche Kundenbenachrichtigungspflichten abdecken. Testen Sie Kommunikationswege zu Upstream-Providern für koordinierte Incident-Response.

6. 6

   Prüfen Sie die Lieferkette für Hardware- und Konnektivitätslieferanten

   Überprüfen Sie Netzwerkausrüstungslieferanten (Router, Switches, Firewalls) auf Sicherheitsstandards und bekannte Lieferkettenkompromittierungen. Implementieren Sie Integritätsprüfungen für Firmware-Updates (Code-Signing, Hash-Verifikation) vor jeder Produktionsinstallation.

7. 7

   Verifizieren Sie Multi-Tenant-Isolation in allen Diensten

   Prüfen Sie regelmäßig, dass Kundenmandanten vollständig isoliert sind: keine Cross-Tenant-Datenlecks in Storage-Systemen, Netzwerksegmentierung zwischen Kundenbereichen und isolierte Logging-Pipelines ohne Datenmischung zwischen Mandanten.

8. 8

   Entwickeln Sie Business-Continuity-Pläne mit RTO/RPO-Zielen

   Definieren Sie Recovery Time Objectives (RTO) und Recovery Point Objectives (RPO) für alle Kerninfrastrukturkomponenten. Führen Sie mindestens jährlich dokumentierte Failover-Tests durch, die Kundenauswirkungen und Wiederanlaufzeiten messen.

9. 9

   Implementieren Sie Netzwerk-Monitoring und DDoS-Schutz

   Betreiben Sie kontinuierliches Netzwerk-Traffic-Monitoring mit Anomalie-Erkennung. Implementieren Sie DDoS-Mitigation auf Netzwerkebene (Scrubbing-Center, Traffic-Engineering) und aktivieren Sie BGP RPKI-Validierung auf allen Peering- und Transit-Verbindungen.

10. 10

    Dokumentieren Sie C5- und NIS2-Compliance für Kundennachweise

    Erstellen Sie eine Compliance-Dokumentation, die C5-Testat-Status, ISO 27001-Zertifizierung und NIS2-Maßnahmenumsetzung integriert. Stellen Sie Kunden auf Anfrage standardisierte Sicherheitsnachweise bereit, um deren eigene NIS2-Lieferkettenpflichten zu unterstützen.