Forschung: Häufig gestellte Fragen

Anhang II des NIS2UmsuCG erfasst Forschungseinrichtungen, deren Haupttätigkeit angewandte Forschung oder experimentelle Entwicklung ist — nimmt Bildungseinrichtungen aber ausdrücklich aus. Für Institute in gemischter Trägerschaft oder mit Hochschulanbindung entscheidet deshalb die konkrete Rechtsform und der Tätigkeitsschwerpunkt. Dokumentieren Sie diese Bewertung schriftlich, bevor Sie Budget binden; bei unklarer Konstellation lohnt eine rechtliche Einschätzung.

Der typische Angriff auf Forschung verschlüsselt nichts, sondern liest über lange Zeiträume unauffällig mit. Eine Erkennung, die nur auf Verschlüsselungsereignisse ausgelegt ist, übersieht ihn vollständig. Richten Sie Protokollierung und Auswertung stattdessen auf ungewöhnliche Abflussmengen, Zugriffe außerhalb üblicher Zeiten und Zugriffe auf Projekte ohne fachlichen Bezug zur handelnden Person aus.

Offenheit ist in der Forschung kein Versäumnis der IT, sondern Voraussetzung der Arbeit — Abschottung ist deshalb der falsche Weg. Praktikabel ist eine Trennung nach Schutzbedarf: Legen Sie früh fest, welche Vorhaben offen bleiben dürfen und welche nicht, und segmentieren Sie entsprechend zwischen Verwaltung, Laborbereichen, Rechenclustern und Gästezugängen. So bleibt die Offenheit dort erhalten, wo sie hingehört.

Setzen Sie das Ablaufdatum beim Anlegen des Kontos, nicht beim Ausscheiden — verwaiste Konten aus beendeten Projekten sind ein wiederkehrender Prüfungsbefund und ein realer Angriffsweg. Stellen Sie zugleich kontrollierte Datenräume für die Zusammenarbeit mit Konsortialpartnern bereit: Wo kein einfach nutzbarer Weg angeboten wird, weichen Teams auf private Cloud-Dienste aus, und das verhindert kein Verbot.

Messplätze, Analysegeräte und Prüfstände laufen häufig auf alten Betriebssystemen, weil die Herstellersoftware nichts anderes zulässt. NIS2 verlangt keinen Austausch, sondern angemessene Maßnahmen: Dokumentieren Sie je Gerät, warum ein Update ausscheidet, und belegen Sie die kompensierenden Maßnahmen — eigene Netzzone, Zugriff nur über kontrollierte Übergänge, Überwachung des Datenverkehrs. Entscheidend ist, dass diese Herleitung nachvollziehbar aufgeschrieben ist.

Wird an Rohdaten oder Auswertungsskripten unbemerkt manipuliert, fällt der Schaden womöglich erst Jahre später auf und trifft dann die wissenschaftliche Reputation. Hier ist Integrität wichtiger als Verfügbarkeit: Legen Sie Rohdaten unveränderlich ab, versionieren Sie die Auswertungsketten und beschränken Sie schreibenden Zugriff auf benannte Personen. Der Vorfall bei der Europäischen Arzneimittel-Agentur hat gezeigt, dass entwendete Daten auch manipuliert weiterverbreitet werden.

Bei Vorhaben mit doppeltem Verwendungszweck greifen zusätzlich außenwirtschaftsrechtliche Vorgaben. Ihre Rechteverwaltung muss deshalb abbilden können, wer aus welchem Land auf welche Daten zugreifen darf — eine Anforderung, die rein technisch gedachte Berechtigungskonzepte regelmäßig übersehen. Klären Sie früh mit der Ausfuhrverantwortlichen, welche Projekte betroffen sind, und leiten Sie daraus die Zugriffsregeln ab.