Werkzeug für NIS2 ohne Einhaltung zu versprechen.
Die NIS2-Richtlinie verlangt von wesentlichen und wichtigen Stellen, dass sie ihre Risiken verwalten, ihr Management einbeziehen und ihre Vorfälle melden. TechWatchAlert stellt Tools für den Teil dieser Verpflichtungen bereit, der Schwachstellen, Inventar, Lieferanten und Vorfälle betrifft, und liefert die von einem Prüfer verlangten Nachweise.
Was NIS2 erfordert
Die Richtlinie (EU) 2022/2555, bekannt als NIS2, gilt für wesentliche und wichtige Einrichtungen in achtzehn Sektoren. ANSSI schätzt, dass in Frankreich etwa 15.000 Unternehmen betroffen sind. Drei Artikel enthalten die meisten Verpflichtungen.
- Artikel 20, Governance. Die Leitungsorgane genehmigen die Risikomanagementmaßnahmen, überwachen deren Umsetzung und können bei Verstößen haftbar gemacht werden. Ihre Mitglieder sind verpflichtet, eine Schulung zu absolvieren.
- Artikel 21, Risikomanagement. Zehn Maßnahmenbereiche, darunter Umgang mit Vorfällen, Sicherheit der Lieferkette, Umgang und Offenlegung von Schwachstellen, Bewertung der Wirksamkeit von Maßnahmen und Asset Management.
- Artikel 23, Meldung erheblicher Vorfälle. Eine Frühwarnung innerhalb von 24 Stunden nach Kenntniserlangung, eine Vorfallmeldung innerhalb von 72 Stunden und anschließend ein Abschlussbericht spätestens einen Monat nach der Meldung.
Für Anbieter digitaler Dienste (Cloud Computing, verwaltete Dienste und verwaltete Sicherheitsdienste, Rechenzentren, DNS, Online-Marktplätze, Suchmaschinen, soziale Netzwerke, Vertrauensdienste usw.) werden diese Maßnahmen in der Durchführungsverordnung (EU) 2024/2690 Punkt für Punkt aufgeführt. Unter anderem wird von ihnen verlangt, Informationen über Schwachstellen über geeignete Kanäle, einschließlich CSIRT-Ankündigungen, einzuholen (Punkt 6.10 des Anhangs).
Wo Frankreich steht
Die Umsetzung erfolgt über den Gesetzentwurf zur Widerstandsfähigkeit kritischer Infrastrukturen und zur Stärkung der Cybersicherheit, bekannt als „Resilience“-Gesetz. Der Senat verabschiedete es im März 2025; Mit Stand vom 23. September 2026 ist es noch nicht endgültig verabschiedet. Im Juli 2026 erhob die Europäische Kommission Klage gegen mehrere Mitgliedstaaten, die die Richtlinie verspätet umgesetzt hatten.
Ohne auf das Gesetz zu warten, veröffentlichte ANSSI am 17. März 2026 sein ReCyF-Framework (Référentiel Cyber France): 20 Sicherheitsziele, 15 für alle regulierten Unternehmen und 5 weitere für wesentliche Unternehmen. Es ist nicht standardmäßig verpflichtend, aber ein Unternehmen, das es anwendet, kann sich bei einer Inspektion darauf verlassen.
Auf europäischer Ebene betreibt die ENISA seit Mai 2025 die europäische Schwachstellendatenbank (EUVD), vorgesehen in Artikel 12 der Richtlinie.
Wofür TechWatchAlert Werkzeuge bereitstellt
Jedes Modul befasst sich mit einer bestimmten Verpflichtung und hinterlässt eine veraltete Spur. Register werden nie umgeschrieben: Eine Entscheidung wird geschlossen und durch eine andere ersetzt, wodurch die Historie für einen Prüfer lesbar bleibt.
| Modul | Was es bewirkt | Texte |
|---|---|---|
| Überwachung, einschließlich nationaler CSIRTs | Neun Schwachstellen-Feeds, darunter CERT-FR-Hinweise und -Warnungen sowie die EUVD-Datenbank der ENISA. Von KEV, CERT-FR oder EUVD gemeldete Ausnutzung gilt als bestätigte Ausnutzung und wird bei der Standardpriorisierung an erster Stelle gesetzt. | Kunst. 21.2.e; Verordnung 2024/2690, Punkt 6.10 |
| Register der akzeptierten Risiken | Das Aufschieben eines Patches wird zu einem berechtigten Antrag: Begründung, Ausgleichsmaßnahmen, Überprüfungsdatum. Das Management genehmigt oder lehnt es ab, niemals der Antragsteller selbst, wenn ein anderer Genehmiger vorhanden ist. Wenn der Termin kommt, wird das Risiko erneut überprüft. | Kunst. 20; Verordnung 2024/2690, Punkt 6.6 |
| Behebungsfristen und Eskalation | Eine Sanierungsrichtlinie nach Schweregrad, die verschärft wird, wenn die Ausbeutung bestätigt ist, und an die Kritikalität der Anlage angepasst wird. Jeder offene CVE erhält eine Frist: eine Erinnerung davor, eine Warnung, wenn er versäumt wird, und dann eine Eskalation an den CISO. | Verordnung 2024/2690, Punkte 6.6 und 6.10 |
| Anlagenkritikalität und Bestandsüberprüfungen | Jedes Projekt und jede Komponente weist eine Kritikalität auf (lebenswichtig, wichtig, Standard, niedrig). Die periodische Bestandsaufnahme wird beglaubigt und datiert, außerdem wird jeder SBOM-Import als Beweismittel erfasst. | Kunst. 21.2.i; Verordnung 2024/2690, Punkt 12 |
| Lieferantenregister | Gespeist von den Anbietern in Ihrem Stapel, dann qualifiziert: Kritikalität, Sicherheitskontakt, Vertragsklauseln, Datenstandort, regelmäßige Bewertungen. Für jeden Lieferanten: offenes CVEs, ausgenutztes CVEs, End-of-Life-Daten. | Kunst. 21.2.d und 21.3; Verordnung 2024/2690, Punkt 5 |
| Vorfälle | Vorfallregister, Qualifikation, berechnete Fristen (24 Stunden und 72 Stunden nach Bekanntwerden, ein Monat nach der Meldung), Erinnerungen, vorab ausgefüllte Berichtsvorlagen zum Kopieren und ein mit Zeitstempel versehenes Protokoll. | Kunst. 23 |
| Bericht für das Management | Indikatoren pro Verpflichtung und ein PDF-Bericht für die Verwaltung: Zusammenfassung, Zuordnung zu den Texten, Registeranhänge. | Kunst. 20 und 21.2.f |
Innerhalb der Organisation werden Rollen zugewiesen: Management, CISO, Vorfallkontakt. Standardmäßig liegt die Leitung bei den Eigentümern der Organisation, die CISO-Rolle beim Management und der Ansprechpartner für Vorfälle beim CISO.
Was TechWatchAlert nicht kann
- Keine Zertifizierung. Kein Tool reicht aus, um eine Organisation auf NIS2 auszurichten. TechWatchAlert liefert Beweise; Ihre Organisation und gegebenenfalls ANSSI ziehen die Schlussfolgerungen.
- Keine automatische Berichterstattung. Das Tool erstellt den Vorfallbericht und zeichnet ihn auf; Sie sind derjenige, der es über seine Kanäle an ANSSI übermittelt.
- Keine Rechtsberatung. Ob es sich bei Ihrer Organisation um eine wesentliche oder wichtige Einheit handelt und welche Anforderungen das französische Recht an sie stellt, ist Sache von ANSSI und Ihren Beratern.
- Nicht der gesamte Artikel 21. Business-Kontinuität und Backups, Kryptographie, Personalsicherheit, Zugriffskontrolle auf Ihre eigenen Systeme, Schulung: Diese Bereiche werden anderswo behandelt.
Pläne betroffen
Der Compliance-Bereich ist in den Pro- und Business-Plänen enthalten; Es ist in den Plänen Free und Team nicht verfügbar. CERT-FR-Hinweise und -Warnungen sowie EUVD-Einträge sind hingegen auf jedem Plan sichtbar: Es handelt sich um Schwachstellendaten wie alle anderen. Vergleichen Sie die Pläne.
Und TechWatchAlert als Lieferant?
Wenn Sie NIS2 unterliegen, sind wir Teil Ihrer Lieferkette (Artikel 21.2.d). Unser Sicherheitsseite fasst zusammen, was bei einer Lieferantenbewertung normalerweise verlangt wird: Hosting, Unterauftragsverarbeiter und Übertragungsschutz, getroffene Maßnahmen, Offenlegungskontakt.
FAQ
Macht TechWatchAlert meine Organisation NIS2-kompatibel?
Nein, und das kann kein Werkzeug. TechWatchAlert stellt Tools für einen Teil der Verpflichtungen bereit (Überwachung, Patching, Inventarisierung, Lieferanten, Vorfälle) und erstellt datierte Nachweise. Die Einhaltung aller Ihrer Maßnahmen wird von Ihrer Organisation und gegebenenfalls von ANSSI bewertet.
Sollten wir das französische Gesetz abwarten, bevor wir beginnen?
Diese Wahl liegt bei Ihnen. Die Richtlinie legt bereits den Rahmen fest, und der ReCyF-Rahmen von ANSSI ist seit März 2026 verfügbar. Wenn Sie Ihre Register von nun an führen, erhalten Sie eine Historie, die Sie an dem Tag anzeigen können, an dem die Verpflichtungen gelten.
Sendet TechWatchAlert den Vorfallbericht an ANSSI?
Nein. Das Tool berechnet die Fristen (24 Stunden und 72 Stunden nach Kenntniserlangung, einen Monat nach der Benachrichtigung), erinnert Sie daran, erstellt vorausgefüllte Vorlagen und protokolliert jeden Schritt. Die Einreichung liegt in Ihrer Verantwortung und erfolgt über die Kanäle von ANSSI.
Verbietet NIS2 amerikanische Anbieter wie Cloudflare?
Nein. NIS2 fordert Sie auf, die mit Ihren Lieferanten verbundenen Risiken zu bewerten und nicht, eine Nationalität auszuschließen. In Frankreich ist es das SREN-Gesetz (Artikel 31), das für bestimmte öffentliche Verwaltungen, die sensible Daten verarbeiten, Angebote vom Typ SecNumCloud vorschreibt. TechWatchAlert ist nicht SecNumCloud-qualifiziert und veröffentlicht die Liste seiner Unterprozessoren auf seinem Sicherheitsseite.
Welche Pläne beinhalten den Compliance-Bereich?
Pro und Business. Die Pläne Free und Team gewähren keinen Zugriff darauf, zeigen aber wie die anderen die mit Ihrem CVEs verknüpften CERT-FR-Hinweise und EUVD-Einträge an.
Pro- und Business-Pläne
Ihr NIS2-Beweis, wo Ihre Überwachung bereits lebt.
Registrieren Sie akzeptierte Risiken, Behebungsfristen, Bestandsüberprüfungen, Lieferanten, Vorfälle und einen Bericht für das Management in dem Tool, das Ihre Schwachstellen bereits verfolgt. Beginnen Sie mit dem Free-Plan. Der Compliance-Bereich wird mit dem Pro-Plan geöffnet.
- Unterauftragsverarbeiter veröffentlicht
- Gebaut und gehostet in Frankreich
- Exportieren Sie Ihre Daten jederzeit