Die 24-Stunden-Frühwarnungsfrist nach NIS2 beginnt in dem Moment, in dem Sie Kenntnis von einem erheblichen Sicherheitsvorfall erlangen. Wenn Ihr Netzwerk-Monitoring weiterhin Geräte-Counter alle fünf Minuten abfragt, läuft die Uhr bereits, bevor jemand in Ihrem NOC das Ereignis überhaupt gesehen hat. Diese Lücke zwischen regulatorischer Taktung und Telemetrietaktung ist der Teil der NIS2-Compliance, den kein Dashboard schließen kann.
Kernaussagen
- NIS2 (Richtlinie (EU) 2022/2555) brought ~160,000 entities into scope on 18 October 2024: regional ISPs, IXPs, sovereign clouds and MSSPs alongside the tier-one carriers.
- Die 24-Stunden-Frühwarnungsfrist nach Artikel 23 starts at awareness. Five-minute SNMP polling burns budget before the NOC has seen the event. Article 34 sets a €10M / 2%-turnover EU floor; Article 32(5)(b) lets regulators temporarily bar a CEO from managerial functions.
- Die Lösung ist kein Compliance-Dashboard. It is a telemetry plane the dashboard can actually see (streaming, standards-based, real-time enough to matter) sitting on top of a supply chain a regulator can audit.
- Europäische Betreiber führen diese Architektur bereits heute produktiv in NIS2-umgesetzten Jurisdiktionen aus.
Was wir nicht behaupten
Vor der regulatorischen Einordnung und der technischen Argumentation der ehrliche Rahmen:
NICHT SO
OcNOS ist kein NIS2-Compliance-Produkt. Kein Netzwerk-OS macht für sich allein irgendjemanden compliant. Compliance bestimmt sich aus Bereitstellung, Governance, Prozessen und dem Prüfer.
DAS
OcNOS stellt Betreibern die Telemetrieebene, die Lieferkettentransparenz und die Ausrichtung an offenen Standards bereit, die eine NIS2-belastbare Bereitstellung möglich machen. Die Compliance-Arbeit bleibt Ihre. Die Architektur arbeitet nicht länger gegen Sie.
Was NIS2 tatsächlich verlangt
Die NIS2-Richtlinie ist die Netz- und Informationssicherheitsrichtlinie der zweiten Generation der Europäischen Union (Richtlinie (EU) 2022/2555). Sie ersetzt die ursprüngliche Fassung von 2016 und legt einen harmonisierten Cybersicherheits-Mindeststandard für alle 27 Mitgliedstaaten fest; die nationalen Regelungen gelten ab dem 18. Oktober 2024. Die Richtlinie erfasst rund 160.000 Einrichtungen: regionale ISPs, IXPs, Betreiber von Sovereign Clouds und Rechenzentren, MSSPs und Vertrauensdiensteanbieter, neben den Tier-1-Carriern. Sie alle bewegen sich innerhalb desselben Compliance-Perimeters, mit derselben Meldefrist.
Die meisten Betreiber haben noch nicht verinnerlicht, was eine an die Kenntnisnahme geknüpfte 24-Stunden-Frist in der Praxis bedeutet. Vor der Telemetrie-Argumentation hier ein Blick darauf, wie diese Frist aussieht.
Dieser Gedanke verdient einen Moment Aufmerksamkeit. Eine Aufsichtsbehörde, die später feststellt, dass der Vorfall tatsächlich bei T minus 90 Minuten begann, weil Ihr 5-Minuten-SNMP-Zyklus die ersten drei Zustände verpasst hat, wird die durch die Polling-Taktung aufgebrauchte Zeit nicht zurückgeben.
Wen NIS2 erfasst, und was es kostet, daneben zu liegen
ENISA estimates more than 160,000 entities fall under NIS2, against 10–15,000 under NIS1. The directive splits them into wesentliche Einrichtungen (Annex I: energy, transport, banking, health, water, digital infrastructure, ICT service management, public administration) and wichtige Einrichtungen (Annex II: postal, waste, food, manufacturing of critical products).
Wer relevant ist für die Zielgruppe von IP Infusion
- Regional fibre ISPs, mobile and Open RAN operators: wesentlich, größenunabhängig.
- IXPs, data-centre and cloud providers (including sovereign cloud): wesentlich.
- Vertrauensdiensteanbieter: stets wesentlich, ohne Größenuntergrenze.
- MSPs und MSSPs: wesentlich im Rahmen der Verwaltung von IKT-Diensten.
Für öffentliche elektronische Kommunikation, DNS, TLD und Vertrauensdienste schützt Sie die Größenschwelle nicht.
Sanktionen, persönliche Haftung und die Meldefrist
Article 34's €10M or 2% of turnover figure for essential entities (€7M / 1.4% for important entities) is the EU-wide Untergrenze that member states can exceed, not a cap; none have gone lower. Article 20 puts the obligation on named individuals at the management body, and Article 32(5)(b) lets regulators temporarily prohibit a CEO or legal representative from managerial functions until the breach is remediated. Article 33 extends the same enforcement to important entities; Germany codifies personal executive liability in Section 38(2) of the BSIG (the German IT Security Act). Article 23 anchors the reporting clock on awareness: 24-hour early warning, 72-hour incident notification, one-month final report.
Deutschland führt die Umsetzung mit dem NIS2UmsuCG an (in Kraft seit 6. Dezember 2025, über 29.500 Einrichtungen, keine Übergangsfrist). Italien und Österreich erreichen die volle Geltung bis Oktober 2026; die meisten anderen großen Märkte sind in Kraft oder befinden sich noch im Entwurf. Die Durchsetzung hat begonnen: Stand Anfang 2026 hat das BSI förmliche Bescheide an betroffene Einrichtungen erlassen, Deutschland hat Verfahren wegen verspäteter Meldung von Sicherheitsvorfällen eingeleitet, Frankreich hat förmliche Verwarnungen ausgesprochen, und Italien hat sektorbezogene Prüfungen aufgenommen. Die hohen umsatzbasierten Bußgelder sind noch nicht verhängt, doch die DSGVO-typische Eskalation ist klar im Gange.
Article 21(2) lists ten minimum risk-management measures. The ones that drive this post are (b) incident handling, (f) policies to assess effectiveness of measures, und (d) supply chain security. The first two share a technical prerequisite most operators have not built: continuous, standards-based network telemetry. The third requires a supply chain you can actually inspect.
Bereits im Einsatz in Rechtsordnungen mit umgesetzter NIS2-Richtlinie
While the incumbents publish NIS2 readiness whitepapers, European operators on OcNOS are already in production inside transposed jurisdictions. eww ITandTEL runs a sovereign MPLS backbone in Upper Austria on disaggregated 400G ZR+ hardware (essential-entity profile under Austria's NISG 2026). DIGI Group runs OcNOS for OLT aggregation in Romania, where the DNSC can verify the hardware and software substitution path. AnschlussWerk across DACH and ASOM-Net in Denmark run OcNOS in production under Germany's NIS2UmsuCG, the most aggressive regime in Europe. Three jurisdictions, three operators, one architectural shape. The rest of this post is the technical reasoning behind that shape.
Warum Ihre Netzwerk-Telemetrie die Lücke ist (und die Branche Ihnen die falsche Lösung verkauft)
Your detection is only as fast as your telemetry. NIS2 never uses the word "monitoring" in its operative articles, and vendors have taken that as cover to frame the directive as a governance exercise. That framing does not hold up: Implementing Regulation (EU) 2024/2690 and ENISA's Technical Implementation Guidance v1.0 (26 June 2025) name network traffic monitoring, log management and anomaly detection outright for digital-infrastructure entities, and operators outside IR 2024/2690 scope face the same expectations through national transposition. Article 23's 24-hour clock leaves very little room once a five-minute SNMP cycle has eaten part of it.
Warum SNMP die Last nicht tragen kann
Drei Fehlermodi, von denen jeder das Reaktionsfenster unter einer 24-Stunden-Frist auffrisst:
- Polling-Taktung. Ein Intervall von 5 bis 15 Minuten bedeutet, dass Ihre Wahrnehmung jedes Ereignisses um bis zu einen vollen Zyklus verzögert ist. Ein volumetrischer DDoS, der innerhalb eines Fensters endet, oder ein BGP-Withdrawal, das vor dem nächsten Poll wieder konvergiert, ist für das NMS unsichtbar. Sie erfahren davon durch eine nachgelagerte Beschwerde und haben bereits Stunden des 24-Stunden-Budgets verbrannt.
- Last-Value-Only-Sampling. Wenn eine Verbindung zwischen zwei Polls fünfzigmal flappt, sehen Sie nur einen Endzustand. Die forensische Zeitleiste, die die 72-Stunden-Meldung und der Abschlussbericht binnen eines Monats nach Artikel 23 erwarten, lässt sich aus nie erfassten Daten kaum rekonstruieren.
- Fragiler Transport. SNMP-Traps über UDP/162 sind Fire-and-Forget. In einem Control-Plane-Sturm, genau in dem Moment, in dem Sie den Alarm am dringendsten brauchen, sind die Traps das Erste, was das Netz verwirft. SNMPv1/v2c-Community-Strings liegen im Klartext vor, und die SNMPv3-USM-Verbreitung in Transit-Geräten bleibt uneinheitlich.
Ein Betreiber kann die in der Richtlinie geforderte Meldekadenz auch mit SNMP einhalten, sofern die Prozesse straff genug sind. Der Trade-off liegt bei der Kenntniserlangungslatenz und der forensischen Tiefe: das Reaktionsfenster ist enger, als es sein könnte, und die für die Aufsichtsbehörde rekonstruierte Zeitachse ist dünner.
Was "Compliance-Plattformen" falsch machen
Das vorherrschende Narrativ der Hersteller behandelt die NIS2-Richtlinie als SIEM-, XDR- oder AIOps-Beschaffungsthema. Die Plattformen selbst (Cisco, Splunk, Dynatrace und andere) sind ausgezeichnet in dem, was sie tun, aber das Ingest-Modell, das sie geerbt haben, kann seine eigenen Eingaben nicht überwinden: Observability-Plattformen nehmen auf, was das Netz ihnen liefert, sie können nicht erkennen, was das Netz nie gemeldet hat. Eine Bepreisung pro GB Ingest bestraft dann genau das Telemetrie-Volumen, das Erkennung überhaupt nützlich macht. Carrier-Grade-Transport, also IXP, Data-Center-Interconnect und Sovereign-Cloud-Underlay, dort, wo die NIS2-Pflichten für Telco-Betreiber tatsächlich greifen, ist für Endpunkt- und Perimeter-Stacks weitgehend unsichtbar.
Die nachhaltige Lösung besteht darin, die Erkennungsebene in das Netzwerk-OS selbst zu verlagern, in einem herstellerneutralen Format. Dieselbe Physik, unabhängig davon, welches Logo darüber steht.
Was Streaming-Telemetrie tatsächlich verändert
Auf die Details kommt es an:
- gNMI läuft als gRPC über HTTP/2, unterstützt TLS und bietet ON_CHANGE-Event-Subscriptions neben dem Sample-Modus für periodische Counter. Echtzeit-Streaming. Kein Fünf-Minuten-Polling.
- OpenConfig YANG bietet Ihnen ein einheitliches Schema über alle Hersteller hinweg: derselbe XPath
/interfaces/interface/state/counters/in-discardsist auf jedem Netzwerk-OS portierbar, dasopenconfig-interfacesimplementiert. Ein einziger Parser für die gesamte Landschaft, mit denselben Alerting-Regeln und demselben Audit-Trail darüber. - TLS-gesicherter Transport: gNMI-Sitzungen werden gegenseitig mit X.509-Zertifikaten authentifiziert, nicht mit Klartext-Community-Strings.
Die ausführliche technische Argumentation haben wir im Februar 2026 dargelegt in Stop polling, start streaming: warum SNMP Ihre Netzwerksichtbarkeit lähmt. NIS2 macht aus einer architektonischen Präferenz eine regulatorische Pflicht.
Open Networking liefert die Telemetrie-Grundlage, die NIS2-Architekturen benötigen
NIS2 stellt zwei technische Erwartungen, auf denen die übrige Melde-Posture eines Betreibers aufbaut: kontinuierliche Sichtbarkeit auf Netzwerkebene (Articles 21(2)(b/c/f/g) and, for digital-infrastructure entities, IR 2024/2690) and Lieferantentransparenz (Article 21(2)(d)). The proprietary majors now all expose OpenConfig YANG and gNMI, so the gap is not about telemetry standards. It is about supply-chain layer count: a vertically-integrated chassis is one vendor across silicon, hardware, NOS and orchestration; a disaggregated stack splits the same network into independently sourceable layers, which is what makes the Article 21(2)(d) supplier assessment tractable.
This matters more as European operators move to IPoDWDM with 400G ZR+ optics und SR-MPLS / SRv6 in the core, where optical pre-FEC BER drift, segment-routing transitions and BFD session state are the early-warning signals SNMP cannot see fast enough to be useful.
Native Streaming-Telemetrie, kein Aufsatz
OcNOS exposes gNMI als Subsystem auf Systemebene, not a management overlay, with TLS-secured transport and OpenConfig YANG schemas. The properties that matter for NIS2:
- OpenConfig-YANG-Datenmodelle für Interfaces, BGP, Routing-Policy, System- und Plattformpfade. Ein standardisiertes Schema ist das, was einem einheitlichen Alerting-Regelwerk das Überleben in einer Multi-Vendor-Landschaft erlaubt. Ohne dieses Schema ist jede Box ihr eigenes Parser-Problem.
- gNMI Subscribe mit ON_CHANGE-Event-Streaming für Zustände, ergänzt durch periodischen Sample-Modus für Counter. Push statt Poll. Der Unterschied zeigt sich in der Wahrnehmungslatenz, nicht in Feature-Vergleichsmatrizen.
- BGP RPKI Origin Validation weist ungültige BGP-Routen direkt am Gerät zurück. Eine prüfbare Anti-Prefix-Hijack-Kontrolle, die für die umfassenderen Netzwerksicherheitspflichten nach Artikel 21(2) relevant ist.
- sFlow-Flow-Sampling auf Line-Rate über das gesamte SKU-Portfolio, das neben den Zustands- und Counter-Streams von gNMI besteht und diese nicht ersetzt.
- BMP route monitoring with BGP-LS topology export so a controller or SIEM sees every announce and withdraw, not just interface counters. Exactly the kind of state-transition record the 72-hour and 30-day reporting clocks expect.
Disaggregation ist Lieferkettentransparenz
Artikel 21(2)(d) verpflichtet Einrichtungen dazu, die Sicherheitspraktiken jedes direkten Lieferanten zu bewerten. Durchführungsverordnung (EU) 2024/2690 macht daraus eine Offenlegungserwartung auf Komponentenebene, und die ENISA-Leitlinie vom Juni 2025 versteht dies als implizite SBOM-Pflicht.
Ein monolithisches Chassis ist eine einzelne geschlossene Stückliste, die der Betreiber von innen heraus weder prüfen, auditieren noch ersetzen kann. Ein disaggregierter Stack (OcNOS auf Whitebox-Hardware von Edgecore oder UfiSpace, in der EU bezogen über Integratoren wie EPS Global) teilt diese Stückliste in unabhängig beschaffbare Schichten auf, jede mit eigener SBOM, jede nach eigenem Zeitplan austauschbar. Die Kosten der deutschen 5G-Toolbox (Huawei bis Ende 2026 aus dem 5G-Kern, Netzmanagementsysteme in Zugang und Transport bis Ende 2029) zeigen, wie Single-Vendor-Lock-in aussieht, sobald eine Einstufung als Hochrisikolieferant erfolgt. Artikel 21(2)(d) läuft auf die Frage hinaus, ob die Lieferkette hinter der Transportschicht überprüfbar ist. Architekturen dieser Form sind es. Vertikal integrierte sind es nicht.
Die oben genannten Einsätze bei eww ITandTEL, DIGI, AnschlussWerk und ASOM-Net sind kein Zufall. Sie teilen dieselbe vierteilige Form: disaggregierte Hardware, die der Betreiber prüfen kann, native Streaming-Telemetrie von Tag eins an, eine Lieferkette, die eine Einstufung als Hochrisikolieferant ohne mehrjähriges Rip-and-Replace übersteht, und ein Audit-Trail, den ein Prüfer von BSI, ANSSI, ACN oder DNSC tatsächlich einsehen kann.
NIS2 ist kein Häkchen, das man bei einem Anbieter kauft. Es ist ein Lieferketten-Audit, das einem physikalischen Problem unterliegt. Kein Dashboard oberhalb der Telemetrieebene kann einen Vorfall schneller erkennen, als die darunterliegende Ebene aktualisiert wird.
Die einheitlichen Compliance-Plattformen, die von den etablierten Anbietern angeboten werden, reproduzieren genau das konzentrierte Lieferantenrisiko, das Artikel 21(2)(d) sichtbar machen soll, was eine unbequeme Ausgangslage ist, um dieses Risiko zu beheben.
Sie bewerten Ihre NIS2-Haltung?
Die europäische Pre-Sales-Gruppe von IP Infusion mit Sitz in Frankfurt führt OcNOS-Architekturreviews gegen Ihre bestehende Infrastruktur durch. Plattformdetails finden Sie in der OcNOS-Übersicht.