NIS2-Checkliste Forschung

Forschungseinrichtungen stehen vor einem echten Zielkonflikt: Offenheit ist nicht ein Versäumnis der IT, sondern Voraussetzung der Arbeit. Gleichzeitig sind Forschungsdaten ein bevorzugtes Ziel für Angreifer, die möglichst lange unentdeckt bleiben wollen. Die folgende Reihenfolge löst das nicht durch Abschottung, sondern durch klare Trennung dessen, was offen bleiben darf, und dessen, was es nicht darf.

Ihre NIS2-Checkliste für Forschung

1. 1

   Prüfen Sie Ihre Einordnung anhand von Trägerschaft und Schwerpunkt

   Halten Sie schriftlich fest, ob Sie als Forschungseinrichtung erfasst sind oder als Bildungseinrichtung herausfallen. Bei gemischter Trägerschaft lohnt eine rechtliche Einschätzung.

2. 2

   Identifizieren Sie Ihre besonders schutzbedürftigen Vorhaben

   Nicht jedes Projekt braucht dasselbe Niveau. Trennen Sie früh, welche Daten offen bleiben dürfen und welche nicht — das entlastet den Rest der Organisation.

3. 3

   Etablieren Sie eine Erkennung für langfristigen Datenabfluss

   Der typische Angriff auf Forschung verschlüsselt nichts, sondern liest jahrelang mit. Richten Sie Ihre Protokollierung auf ungewöhnliche Abflussmengen und Zugriffszeiten aus.

4. 4

   Segmentieren Sie Verwaltung, Labore und Gästezugänge voneinander

   Ein offenes Netz für Gäste darf keinen Weg in Auswertungssysteme öffnen. Kontrollierte Übergänge erhalten die Offenheit dort, wo sie hingehört.

5. 5

   Befristen Sie Konten von Gastwissenschaftlern automatisch

   Setzen Sie das Ablaufdatum beim Anlegen, nicht beim Ausscheiden. Verwaiste Konten aus beendeten Projekten sind ein wiederkehrender Prüfungsbefund.

6. 6

   Stellen Sie kontrollierte Datenräume für Konsortialarbeit bereit

   Wo kein geeigneter Weg angeboten wird, weichen Teams auf private Dienste aus. Ein einfach nutzbarer Datenraum verhindert das wirksamer als jedes Verbot.

7. 7

   Dokumentieren Sie Schutzmaßnahmen für nicht aktualisierbare Geräte

   Messplätze und Großgeräte laufen oft auf alter Software, weil die Herstellersoftware nichts anderes zulässt. Beschreiben Sie je Gerät, wie Sie das Risiko stattdessen begrenzen.

8. 8

   Sichern Sie Ihre Rohdaten gegen nachträgliche Veränderung

   Eine unbemerkte Manipulation fällt womöglich erst Jahre später auf und trifft dann die wissenschaftliche Reputation. Unveränderliche Ablage und Versionierung sind hier wichtiger als Verfügbarkeit.

9. 9

   Definieren Sie Zugriffsregeln für ausfuhrkontrollrelevante Vorhaben

   Bei Forschung mit doppeltem Verwendungszweck gelten außenwirtschaftsrechtliche Vorgaben. Ihre Rechteverwaltung muss abbilden können, wer aus welchem Land zugreifen darf.

10. 10

    Schulen Sie wissenschaftliches Personal gezielt zu gerichteten Angriffen

    Angriffe auf Forschung kommen häufig als plausible Anfrage einer Fachkollegin. Vermitteln Sie diese Muster konkret statt allgemeiner Regeln.

11. 11

    Testen Sie die Wiederherstellung Ihrer zentralen Dienste

    Spielen Sie eine Sicherung vollständig zurück und messen Sie die Dauer. Rechnen Sie ein, dass ein Neuaufbau in der Praxis Monate dauern kann.

12. 12

    Klären Sie Ihre Anzeigepflichten gegenüber Partnern und Fördergebern

    Neben Bundesamt und Datenschutzaufsicht bestehen oft vertragliche Meldepflichten. Sammeln Sie diese Klauseln, bevor ein Vorfall eintritt.