News
NIS-2 und die physische Infrastruktur im Rechenzentrum
Auf dieser Seite
Warum die neue EU-Cybersicherheitsrichtlinie Rechenzentrumsbetreiber vor neue Herausforderungen stellt
Die EU-Richtlinie „Network and Information Systems 2“ (NIS-2) ist inzwischen in Kraft und wird in Deutschland im Rahmen des neuen BSI-Gesetzes (BSIG) ab 2025/2026 verbindlich angewendet. Sie ersetzt die bisherige NIS-Richtlinie und erweitert die Anforderungen an Cyber- und Informationssicherheit deutlich – inklusive konkreter Pflichten für physische Infrastruktur und Rechenzentrumsbetreiber.
Auf dieser Seite
Warum NIS-2 für Rechenzentren relevant ist
Rechenzentren zählen nach NIS-2 zum Sektor „Digitale Infrastruktur“, der als kritisch für das Funktionieren von Wirtschaft und Gesellschaft gilt. Dazu gehören neben klassischen IT-Diensten auch Colocation- und Hosting-Anbieter.
Während frühere Cyber-Sicherheitsregeln vor allem IT-Netze und Serverabsicherung betrafen, umfasst NIS-2 ein ganzheitliches Sicherheits- und Risikomanagement: IT-Sicherheit, Betriebs- und Managementprozesse sowie zunehmend auch physische Schutzmaßnahmen müssen systematisch geplant, implementiert und nachgewiesen werden.
Physische Infrastruktur ist mehr als nur IT-Security
Für Rechenzentrumsbetreiber bedeutet NIS-2 vor allem, dass die physische Sicherheit der Anlagen gleichrangig zur klassischen Cyber-Sicherheit zu betrachten ist. Dazu zählen unter anderem:
- Zutrittskontrolle und Überwachung: mehrstufige Zugangssysteme, biometrische Authentifizierung, Videoüberwachung und Protokollierung sensibler Bereiche.
- Versorgungsresilienz: redundante Stromversorgung, Notstromaggregate, unterbrechungsfreie Stromversorgung (USV) und regelmäßige Tests dieser Systeme.
- Brandschutz und Umweltrisiken: Brandfrüherkennung, geeignete Löschsysteme und Monitoring der Umgebung (Temperatur, Feuchtigkeit, Lecks).
- Lieferketten-Risiken: Analyse und Kontrolle von Dienstleistern und Zulieferern, um Risiken entlang der Wertschöpfungskette zu minimieren.
Diese physischen Maßnahmen sind im Rahmen eines formal dokumentierten Risiko- und Sicherheitsmanagementsystems zu integrieren und regelmäßig zu überprüfen.
Was ändert sich konkret für RZ-Betreiber?
- Erweiterter Prüfrahmen
Rechenzentren müssen künftig nicht nur klassische Cyber-Risiken adressieren, sondern auch physische Bedrohungen und Versorgungsunterbrechungen in ihren Risikomanagementprozess aufnehmen. - Strengere Dokumentations- und Nachweispflichten
Behördliche Prüfungen durch das BSI oder zuständige Landesaufsichten erfordern detaillierte Nachweise zu Sicherheitsmaßnahmen, Incident-Response-Plänen, Tests und Wartungsdokumentation. - Meldepflichten und Reaktionszeiten
Signifikante Sicherheitsvorfälle – auch physische Zugriffe oder Ausfälle von Versorgungsinfrastruktur – müssen innerhalb vorgeschriebener Fristen an die Behörden gemeldet werden. - Stärkere organisatorische Verantwortung
Cybersicherheit und physische Sicherheit werden zur Verantwortung der Geschäftsleitung. Es besteht Pflicht zur Schulung des Führungspersonals und zur regelmäßigen Überprüfung der Maßnahmen.
Handlungsempfehlungen
- Prüfen Sie, ob Ihr Unternehmen als Einrichtung im Sinne von NIS-2 eingestuft wird.
Dies können Sie jederzeit auf der Website des BSI prüfen. - Ganzheitliches Risikomanagement etablieren
Implementieren Sie ein integriertes Sicherheits- und Risikomanagementsystems, das IT-, Facility- und physische Risiken vereint. - Physische Sicherheit professionalisieren
Nehmen Sie mehrstufige Zutrittskontrollen, Videoüberwachung, Brandschutz und Energie-Redundanz in die Sicherheitsstrategie auf.
Mit NIS-2 stellt die EU nicht nur technische Cyber-Maßnahmen in den Fokus, sondern fordert ein ganzheitliches Sicherheitsverständnis – das physische Infrastruktur, Energie- und Facility-Management genauso umfasst wie IT-Netze. Für Betreiber von Rechenzentren bedeutet dies: frühzeitige Vorbereitung, strukturierte Risikoanalyse und robuste organisatorische Prozesse sind kein „nice-to-have“ mehr, sondern gesetzliche Pflicht.
