Die Richtlinie verlangt Risikomanagementmaßnahmen, Geschäftskontinuität und Disziplin bei der Vorfallmeldung. Der nachweisgestützte Betrieb von AegiFlow passt für Ihre Webdienste natürlich zu diesen Pflichten.
Eine praktische Zuordnung zwischen den technischen Maßnahmen der Richtlinie und den Betriebsnachweisen, die die Plattform aufbewahrt.
| NIS2-Maßnahme (Art. 21) | AegiFlow-Nachweis |
|---|---|
| Incident-Behandlung | Korrelierte Fälle mit einer verantwortlichen Chronologie: Signale, Entscheidungen, Aktionen und Ergebnisse, für die Prüfung aufbewahrt. |
| Betriebskontinuität und Krisenmanagement | Signierte statische Kontinuitätspakete halten freigegebene öffentliche Inhalte verfügbar, während der Ursprungsserver isoliert ist. |
| Backup-Verwaltung und Notfallwiederherstellung | Wiederherstellungsübungen auf einer Validierungsadresse, mit Belegen für Bestehen oder Scheitern — Wiederherstellung wird geübt, nicht angenommen. |
| Lieferkettensicherheit | Ein signiertes, schreibgeschütztes Software-Inventar, abgeglichen mit öffentlichen Advisories anhand exakter Paketversionen. |
| Wirksamkeitsbewertung | Funktionszustände mit Aktualität: Eine Prüfung, die nicht kürzlich lief, erscheint als Unbekannt, nie als Grün. |
AegiFlow liefert Betriebsnachweise, keine Rechtsberatung. Die Feststellung der Konformität und die Meldepflichten bleiben bei Ihrer Organisation und ihren Beratern.
Die Nachweise oben gab es immer schon. Was fehlte, war ein Dokument, das sie zeitlich festhält.
Jede Maßnahme aus Artikel 21 erhält erfüllt, teilweise, unbekannt oder nicht erfüllt — und darunter die genauen Aufzeichnungen, auf denen das Urteil beruht: Audit-Einträge mit der handelnden Person, signierte Continuity-Pakete, Übungsbelege, Bearbeitungszeiten der Fälle.
Eine Maßnahme ohne aktuelle Nachweise wird als Unbekannt gemeldet. Sie ist weder bestanden noch durchgefallen, und sie so oder so zu nennen wäre der schnellste Weg, das Dokument für die lesende Person wertlos zu machen.
Jeder Bericht trägt einen Inhalts-Hash, und die Tabelle, in der er liegt, nimmt nur Einfügungen an — keine Änderungen, keine Löschungen. Ein Bericht, den jemand nachträglich umschreiben könnte, wäre für eine Aufsichtsbehörde nichts wert.
Schulung, Personalsicherheit und gesicherte Notfallkommunikation sind organisatorisch. Das Dokument benennt sie und sagt klar, dass wir keine davon sehen, statt die lesende Person annehmen zu lassen, sie seien abgedeckt.
Beginnen Sie beobachtend und bauen Sie die Betriebsakte auf, nach der NIS2-Gespräche verlangen.