NIS2-Umsetzung mit Microsoft 365

NIS2 in Microsoft 365 umsetzen und jede Maßnahme belegen.

Ob Sie unter NIS2 fallen, klären wir im Gap Assessment. Danach setzen wir die Maßnahmen aus § 30 BSIG in Entra ID, Defender, Intune, Purview und Sentinel um und belegen jede einzelne für Prüfer und Geschäftsführung.

Erstgespräch vereinbaren So läuft es ab

Für wen: Unternehmen ab 50 Beschäftigten auf Microsoft 365
Umfang: Microsoft 365, Entra ID, Intune und Azure gegen § 30 BSIG
Umsetzung: Entra ID, Defender, Intune, Purview, Sentinel
Ergebnis: Befund und Nachweisquelle je Maßnahme, priorisierte Roadmap
Preis: 3.500 € bis 5.000 € netto, Festpreis für den Einstieg mit dem Gap Assessment

Kennen Sie das?

Für wen ist die NIS2-Beratung von WCS gedacht?

Für Unternehmen ab 50 Beschäftigten, die auf Microsoft 365 arbeiten und einen NIS2-Berater suchen, der auch im Tenant umsetzt.

Fallen wir unter NIS2?

Sektor und Größe sprechen dafür, eine dokumentierte Einordnung fehlt.

Die Geschäftsführung steht in der Pflicht

Nach § 38 BSIG muss sie die Maßnahmen umsetzen und überwachen. Bei schuldhafter Pflichtverletzung haftet sie.

Was erfüllt Microsoft 365 schon?

Die Lizenzen sind vorhanden, aber niemand kann je Maßnahme zeigen, was eingerichtet und belegt ist.

NIS2-Checkliste für Microsoft 365

Welche NIS2-Anforderungen erfüllen Sie schon?

Wir prüfen jede Maßnahme aus § 30 BSIG gegen die Konfiguration Ihres Tenants. Schalten Sie um und sehen Sie, wie daraus Umsetzung und Nachweis werden.

Befund je Maßnahme Umsetzung mit Nachweis

Ihr Tenant Microsoft 365, Entra ID, Intune, Azure

nur lesend

Abgleich mit § 30 BSIG Maßnahmen nach § 30 Abs. 2 BSIG

1 Zugriffskontrolle und MFA (Nr. 9, 10) Umsetzung: Entra ID › Conditional Access, PIM Phishing-resistente MFA und PIM für Adminrollen Zugriffskontrolle und MFA (Nr. 9, 10) Teilweise Priorität hoch Nachweis: Richtlinienexport, PIM-Protokoll
2 Bewältigung von Sicherheitsvorfällen (Nr. 2) Umsetzung: Defender XDR, Sentinel, Unified Audit Log Analyseregeln aktivieren, Protokolle länger aufbewahren Bewältigung von Sicherheitsvorfällen (Nr. 2) Offen Priorität hoch Nachweis: Incident-Historie
3 Aufrechterhaltung des Betriebs (Nr. 3) Umsetzung: Microsoft 365 Backup Sicherung einrichten, Wiederherstellung testen Aufrechterhaltung des Betriebs (Nr. 3) Offen Priorität mittel Nachweis: Wiederherstellungstest
4 Sicherheit der Lieferkette (Nr. 4) Umsetzung: Entra ID › Externe Identitäten Zugriffsüberprüfungen für Gäste einrichten Sicherheit der Lieferkette (Nr. 4) Teilweise Priorität mittel Nachweis: Gästeliste mit Prüfergebnis
Sicherheit bei Erwerb und Wartung (Nr. 5) Umsetzung: Intune › Update-Ringe, Defender Vulnerability Management Sicherheit bei Erwerb und Wartung (Nr. 5) Umgesetzt, Nachweis wird abgelegt Erfüllt Erfüllt
Schulung und Sensibilisierung (Nr. 7) Umsetzung: Defender for Office 365 › Attack simulation training Schulung und Sensibilisierung (Nr. 7) Umgesetzt, Nachweis wird abgelegt Erfüllt Erfüllt

Beispiel. Jeder Befund nennt die Maßnahme aus § 30 BSIG und die Stelle im Tenant, an der sie umgesetzt wird. Reihenfolge nach Risiko: Identitäten zuerst, dann Erkennung und Meldewege, dann Wiederherstellung und Lieferkette.

Wie läuft die NIS2-Umsetzung ab?

Fünf Schritte vom ersten Befund bis zum Nachweis. Nach dem Gap Assessment entscheiden Sie, wie es weitergeht.

Im Gap Assessment

Betroffenheit klären

Sektor und Schwellenwerte anhand Ihrer Angaben und der Kriterien im BSIG einordnen.
Festpreis, nur lesend

Gap Assessment

Microsoft 365, Entra ID, Intune und Azure gegen § 30 BSIG prüfen, Befund je Maßnahme.
Nach Roadmap

Umsetzung

Maßnahmen in Entra ID, Defender, Intune, Purview und Sentinel einrichten, nach Risiko geordnet.
Für Prüfer und § 38 BSIG

Nachweise

Je Maßnahme ein Nachweis aus dem Tenant, der sich jederzeit neu erzeugen lässt.
Nach Wahl

Vorfall und Meldung

Managed Security betreibt Defender und Sentinel und unterstützt bei Vorfällen und der Meldung.

Wo steht Ihr Tenant gegenüber § 30 BSIG?

Im Erstgespräch klären wir in 30 Minuten den Umfang, danach folgt ein Festpreisangebot für das Gap Assessment.

Gap Assessment zum Festpreis anfragen Erstgespräch vereinbaren

§ 38 BSIG

Nachweise für Prüfer und Geschäftsführung

Die Geschäftsleitung muss die Maßnahmen umsetzen und ihre Umsetzung überwachen. Wir setzen die technischen Maßnahmen um und liefern die Nachweise; mit Ihrem ISMS-Verantwortlichen oder Ihrer GRC-Beratung arbeiten wir zusammen.

Nachweis je Maßnahme

Etwa Richtlinienexport, Incident-Historie mit Zeitstempeln und protokollierte Wiederherstellungstests.

Überblick für die Geschäftsführung

Management-Summary und priorisierte Roadmap, mit denen die Geschäftsleitung die Umsetzung überwacht.

Abgestimmt mit Ihrem ISMS

Befunde und Nachweise sind § 30 BSIG zugeordnet. Ihr ISMS-Verantwortlicher oder Ihre GRC-Beratung übernimmt sie in Leitlinien und Risikomanagement.

Was ändert sich?

Heute

Betroffenheit nicht dokumentiert
Unklar, was Microsoft 365 schon erfüllt
Prüferfragen ohne Nachweis
Geschäftsführung ohne Überblick

Danach

Betroffenheit eingeordnet und dokumentiert
Befund je Maßnahme aus § 30 BSIG
Nachweis je Maßnahme aus dem Tenant
Roadmap und Management-Summary

Weiterführend: Gap Assessment Microsoft 365 absichern Managed Security Blog: NIS2 in Deutschland Blog: Incident Response im Tenant

Häufig gestellte Fragen

Fällt unser Unternehmen unter NIS2?

Maßgeblich sind der Sektor nach den Anlagen 1 und 2 des BSIG und die Größe: als wichtige Einrichtung ab 50 Beschäftigten oder mit Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Millionen Euro. Wir ordnen das im Gap Assessment anhand Ihrer Angaben und der Kriterien im Gesetz ein. Eine Rechtsberatung ist das nicht.

Reicht Microsoft 365, um NIS2 zu erfüllen?

Nein. Die Werkzeuge decken viele Maßnahmen ab, wirken aber erst, wenn sie eingerichtet, betrieben und belegt sind. Risikoanalyse, Meldeprozess, Notfallplanung und die Schulung der Geschäftsleitung sind organisatorische Aufgaben.

Welche Meldefristen gelten bei einem Sicherheitsvorfall?

Nach § 32 BSIG für erhebliche Vorfälle: Erstmeldung spätestens 24 Stunden, Meldung spätestens 72 Stunden nach Kenntniserlangung, Abschlussmeldung spätestens einen Monat nach der Meldung. Defender XDR und Sentinel führen Vorfälle mit Zeitstempeln, die Grundlage für eine fristgerechte Meldung.

Was kostet die NIS2-Umsetzung mit WCS?

Der Einstieg ist das Gap Assessment zum Festpreis, 3.500 € bis 5.000 € netto je nach Größe der Umgebung. Die Umsetzung bieten wir danach auf Basis der Befunde an.

Was erfüllt Ihr Tenant von NIS2 heute schon?

Im Gap Assessment erhalten Sie Befund und Nachweisquelle je Maßnahme, zum Festpreis.

Erstgespräch vereinbaren