NIS2-Checkliste Digitale Infrastruktur

Betreiber digitaler Infrastruktur — Rechenzentren, Cloud-Anbieter, DNS-Resolver, IXPs und CDNs — sind Fundament des gesamten digitalen Ökosystems. Ein Ausfall Ihrer Dienste trifft nicht nur direkte Kunden, sondern potenziell tausende nachgelagerte Unternehmen und Behörden. Das BSI C5-Testat bietet Ihnen einen strukturierten Weg zum Sicherheitsnachweis gegenüber Kunden und Aufsichtsbehörden.

Ihre NIS2-Checkliste für Digitale Infrastruktur

1. 1

   Registrieren Sie sich beim BSI als Betreiber digitaler Infrastruktur

   Melden Sie Ihr Unternehmen über das BSI-Portal beim BSI an und benennen Sie einen Informationssicherheitsbeauftragten. Klären Sie, ob Sie als Internet Exchange Point (IXP) oder DNS-Anbieter größenunabhängig erfasst sind oder als Cloud-/Rechenzentrumsanbieter ab NIS2-Schwellenwerten.

2. 2

   Erstellen Sie ein Asset-Inventar für physische und logische Infrastruktur

   Erfassen Sie sämtliche physischen Assets (Server, Netzwerkausrüstung, Stromversorgung, Kühlung) und logische Assets (VMs, Container, DNS-Zonen, BGP-Konfigurationen) mit Eigentümer, Klassifikation und Abhängigkeiten. Dieses Inventar ist Grundlage für Risikoanalyse und Change-Management.

3. 3

   Führen Sie eine rechenzentrumsspecifische Risikoanalyse durch

   Bewerten Sie Bedrohungsszenarien für Ihre spezifische Infrastruktur: DDoS gegen DNS/IXP-Dienste, BGP-Hijacking, Supply-Chain-Angriffe auf Netzwerkhardware, physische Einbrüche und Umweltrisiken (Überschwemmung, Brandausbreitung, Stromausfälle).

4. 4

   Prüfen Sie Ihre C5- oder ISO-27017-Alignment-Lücken

   Führen Sie eine Gap-Analyse gegenüber BSI C5 (für Cloud-Anbieter) oder ISO 27017 (Cloud-Erweiterung zu ISO 27001) durch. Identifizieren Sie Abweichungen in den Bereichen physische Sicherheit, Mandantentrennung, Kryptographie und Notfallmanagement.

5. 5

   Definieren Sie Incident-Response-Verfahren mit Kunden-Notifikationsprozess

   Legen Sie Eskalationspfade für erhebliche Vorfälle fest, die BSI-Meldepflichten (24h Frühwarnung, 72h Vollmeldung) und vertragliche Kundenbenachrichtigungspflichten abdecken. Testen Sie Kommunikationswege zu Upstream-Providern für koordinierte Incident-Response.

6. 6

   Prüfen Sie die Lieferkette für Hardware- und Konnektivitätslieferanten

   Überprüfen Sie Netzwerkausrüstungslieferanten (Router, Switches, Firewalls) auf Sicherheitsstandards und bekannte Lieferkettenkompromittierungen. Implementieren Sie Integritätsprüfungen für Firmware-Updates (Code-Signing, Hash-Verifikation) vor jeder Produktionsinstallation.

7. 7

   Verifizieren Sie Multi-Tenant-Isolation in allen Diensten

   Prüfen Sie regelmäßig, dass Kundenmandanten vollständig isoliert sind: keine Cross-Tenant-Datenlecks in Storage-Systemen, Netzwerksegmentierung zwischen Kundenbereichen und isolierte Logging-Pipelines ohne Datenmischung zwischen Mandanten.

8. 8

   Entwickeln Sie Business-Continuity-Pläne mit RTO/RPO-Zielen

   Definieren Sie Recovery Time Objectives (RTO) und Recovery Point Objectives (RPO) für alle Kerninfrastrukturkomponenten. Führen Sie mindestens jährlich dokumentierte Failover-Tests durch, die Kundenauswirkungen und Wiederanlaufzeiten messen.

9. 9

   Implementieren Sie Netzwerk-Monitoring und DDoS-Schutz

   Betreiben Sie kontinuierliches Netzwerk-Traffic-Monitoring mit Anomalie-Erkennung. Implementieren Sie DDoS-Mitigation auf Netzwerkebene (Scrubbing-Center, Traffic-Engineering) und aktivieren Sie BGP RPKI-Validierung auf allen Peering- und Transit-Verbindungen.

10. 10

    Dokumentieren Sie C5- und NIS2-Compliance für Kundennachweise

    Erstellen Sie eine Compliance-Dokumentation, die C5-Testat-Status, ISO 27001-Zertifizierung und NIS2-Maßnahmenumsetzung integriert. Stellen Sie Kunden auf Anfrage standardisierte Sicherheitsnachweise bereit, um deren eigene NIS2-Lieferkettenpflichten zu unterstützen.