NIS-2-Nachweisleitfaden für Betreiber
Wichtige und besonders wichtige Einrichtungen müssen nach § 30 des BSI-Gesetzes (BSIG) geeignete, verhältnismäßige und wirksame Maßnahmen ergreifen; Absatz 2 nennt zehn davon. Bei besonders wichtigen Einrichtungen kann das BSI Nachweise und die Unterlagen dahinter jederzeit verlangen (§ 61 BSIG), bei wichtigen Einrichtungen, wenn Tatsachen einen Verstoß vermuten lassen (§ 62 BSIG). Betreiber kritischer Anlagen erbringen Nachweise alle drei Jahre durch Audits, Prüfungen oder Zertifizierungen (§ 39 BSIG). Diese Seite zeigt für jede der zehn Maßnahmen, was WKL Database Gateway Manager zum Zugang zu Ihren Datenbanken beiträgt, womit Sie es belegen und was bei Ihnen bleibt. Gesetzestext: https://www.gesetze-im-internet.de/bsig_2025/__30.html.
Die Anwendung erfüllt keine dieser Maßnahmen allein. Sie ist ein Baustein für den Zugang zu Datenbanken über den Datendienst WKL Database Gateway; Server, Netz, Datenbanken, andere Anwendungen und Ihre Organisation gehören ebenso dazu.
Die zehn Maßnahmen nach § 30 Abs. 2 BSIG
| Nr. | Maßnahme (verkürzt) | Was die Anwendung beiträgt | Nachweis | Was bei Ihnen bleibt |
|---|---|---|---|---|
| 1 | Risikoanalyse und Sicherheitskonzepte | Schutzgüter, personenbezogene Daten und Grenzen sind beschrieben; ebenso die Umstände mit erheblichem Risiko | Sicherheit und Datenschutz, Umstände mit erheblichem Risiko | die Risikoanalyse Ihres gesamten Einsatzes |
| 2 | Bewältigung von Sicherheitsvorfällen | Person sperren … sperrt alle Schlüssel und beendet alle Sitzungen; Sitzungen einzeln beenden; Herkunft sperren … weist ein auffälliges Netz ab; Änderungsprotokoll und Audit zeigen, wer wann was getan hat | Berichte Austritte und Sperren und Verwaltungsänderungen; Bereich Protokoll; Bereich Anmeldungen | Ihr Verfahren für Vorfälle und die Meldung erheblicher Vorfälle an die gemeinsame Meldestelle von BSI und BBK (§ 32 BSIG) |
| 3 | Aufrechterhaltung des Betriebs, Backup, Wiederherstellung | Karte Pflege der Übersicht: Verwaltungsspeicher sichern und prüfen | Sicherungsdateien im Ordner des Dienstes | Sicherungskonzept, Wiederherstellungstests, Notfallzugang (Sicherung und Wiederherstellung, Dokumentation des Datendienstes) |
| 4 | Sicherheit der Lieferkette | Angaben des Herstellers, Anlaufstelle für Schwachstellen, Unterstützungszeitraum; Software-Stücklisten, wenn die Lieferung sie enthält | Lieferanten-Faktenblatt, MANUFACTURER.de.md, SECURITY.de.md | die Bewertung des Lieferanten und Ihre Verträge |
| 5 | Sicherheit bei Erwerb, Entwicklung und Wartung, Umgang mit Schwachstellen | kostenlose Korrekturversionen; koordinierte Offenlegung; eine neue Version kommt nur aus dem Lieferordner, den Sie befüllen | SECURITY.de.md; Eine neue Version einspielen | neue Versionen zeitnah einspielen; Access und Windows aktuell halten |
| 6 | Bewertung der Wirksamkeit | Arbeitslisten Ohne Regel, Ohne Zugang, Ohne zweiten Faktor, Einrichtung offen, Schlüssel laufen ab; Berichte zum Zeitpunkt der Erstellung | Berichte Rechteübersicht und MFA-Abdeckung, regelmäßig erzeugt und abgelegt | Prüfzyklus, Bewertung der Ergebnisse, Maßnahmen |
| 7 | Schulungen und Sensibilisierung | Anleitungen je Aufgabe im Administrator-Handbuch | Administrator-Handbuch | Schulung der Administratoren und Anwender |
| 8 | Einsatz kryptographischer Verfahren | Schlüssel nur als SHA-256-Hash im Verwaltungsspeicher; Geheimnis des zweiten Faktors verschlüsselt; die VBA-Klasse sendet Schlüssel, Kennwort und Windows-Anmeldung an einen anderen Rechner nur über HTTPS | Sicherheit und Datenschutz | Zertifikat und HTTPS des Datendienstes, Hauptschlüssel, Verschlüsselung der Datenbanken |
| 9 | Sicherheit des Personals, Zugriffskontrolle, Verwaltung von IKT-Systemen, -Produkten und -Prozessen | Regeln je Person und Objekt; Rechte je Netz und Anmeldeverfahren; Zugang beim Austritt entziehen; Schlüssel mit Ablaufdatum und Zweck je Gerät | Bericht Rechteübersicht; Bericht Austritte und Sperren | Ein- und Austrittsprozess; Windows-Konten, Gruppen und SQL-Anmeldungen dort sperren, wo sie verwaltet werden; Berechtigungen in den Datenbanken |
| 10 | Multi-Faktor-Authentifizierung | zweiter Faktor (TOTP) je Person; Anmelderichtlinie verlangt ihn etwa von außen; für das Recht zur Verwaltung verlangt der Dienst ihn immer | Bericht MFA-Abdeckung mit den Regeln, die einen Code verlangen, und den Schlüsseln ohne zweiten Faktor | entscheiden, wo ein Code nötig ist; gesicherte Kommunikation außerhalb des Datendienstes |
Alle Berichte stehen im Bereich Protokoll unter Weitere > Nachweisberichte, je als Excel-Datei und als PDF mit Kopf (Ersteller, Zeitpunkt in UTC, Dienst, Installation); siehe So erzeugen Sie Nachweisberichte.
Grenzen der Nachweise
- Das Änderungsprotokoll ist nicht fälschungssicher: Wer die Speicherdatei des Datendienstes am Server schreiben darf, kann es ändern. Bewahren Sie Berichte deshalb außerhalb des Servers auf.
- Das Audit der Zugriffe reicht so weit zurück, wie der Datendienst es aufbewahrt (Vorgabe 365 Tage). Für längere Fristen sichern Sie die Protokolldatei des Dienstes.
- Rechteübersicht und MFA-Abdeckung zeigen nur den Stand beim Erstellen. Einen Stand in der Vergangenheit belegen nur Berichte, die Sie damals erzeugt haben.
- Mitglieder von Windows-Gruppen und Berechtigungen innerhalb der Datenbanken stehen in keinem Bericht.