Verlangt NIS2 Penetrationstests? Wann und in welchem Umfang?

Was NIS2 wirklich verlangt

Art. 21 Abs. 2 NIS2 listet 10 Mindestmaßnahmen (lit. a–j, umgesetzt in § 30 Abs. 2 Nr. 1–10 BSIG), eine explizite Pen-Test-Pflicht steht nicht darunter. Aber zwei Maßnahmen führen praktisch dorthin:

• lit. e) bzw. § 30 Abs. 2 Nr. 5 BSIG: „Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von informationstechnischen Systemen, Komponenten und Prozessen, einschließlich Management und Offenlegung von Schwachstellen", verlangt strukturiertes Schwachstellen-Management
• lit. f) bzw. § 30 Abs. 2 Nr. 6 BSIG: „Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Sicherheit in der Informationstechnik", verlangt Wirksamkeits-Tests

Beide Pflichten lassen sich ohne strukturierte Sicherheitstests nicht erfüllen. Für digitale Anbieter wie Cloud-, Rechenzentrums-, Managed-Service- und Managed-Security-Anbieter, DNS-Diensteanbieter und TLD-Registries konkretisiert die Durchführungsverordnung (EU) 2024/2690 vom 17.10.2024 in Anhang Nr. 6.5 die Sicherheitsprüfungen: Notwendigkeit, Umfang, Häufigkeit und Art der Prüfungen sind auf Grundlage der Risikobewertung festzulegen, nach einer dokumentierten Methode durchzuführen und mit Art, Umfang, Zeitraum und Ergebnissen zu dokumentieren. Eine feste Frequenz enthält auch sie nicht. Für alle übrigen Einrichtungen gilt: was als „Stand der Technik" für vergleichbare Unternehmen angemessen ist.

In der Praxis verbreitet ist ein jährlicher Pen-Test der Internet-Perimeter, interne Pen-Tests alle 2-3 Jahre und anlassbezogene Tests nach Architektur-Änderungen. Das ist eine Orientierung, keine gesetzliche Vorgabe; maßgeblich bleibt die eigene Risikobewertung.

Pen-Test-Standards im Überblick

Pen-Tests folgen etablierten Methodologien. Die wichtigsten:

OSSTMM (Open Source Security Testing Methodology Manual):

• Sehr breit angelegt, deckt physische und logische Sicherheit ab
• Wissenschaftlich-formaler Ansatz
• Für regulierte Unternehmen mit hohem Audit-Anspruch geeignet

PTES (Penetration Testing Execution Standard):

• Pragmatischer, sieben-Phasen-Ansatz
• Geeignet für kommerzielle Pen-Tests in IT-Umgebungen
• De-facto-Standard für viele Pen-Test-Anbieter

OWASP Testing Guide:

• Spezialisiert auf Web-Anwendungen
• Enthält Testfälle für Web-Anwendungen; die OWASP Top 10 sind ein eigenes Projekt
• Rechtlich nicht vorgeschrieben

BSI-Durchführungskonzept Penetrationstests:

• Nationaler Standard, gut dokumentiert
• 5-Phasen-Modell (Vorbereitung, Informationsbeschaffung, Bewertung, Aktive Eindringversuche, Abschluss)
• Stammt aus dem Jahr 2003 und ist kein normativ verankertes Prüfdokument

TIBER-EU / TLPT (Threat-Led Penetration Testing):

• EU-/EZB-Standard für Finanzsektor
• Threat-Intelligence-basiert, eng mit Aufsicht koordiniert
• Aufwendig; Dauer und Kosten hängen vom Umfang ab

Das Durchführungskonzept für Penetrationstests des BSI (Studie von 2003) beschreibt einen Ablauf für Penetrationstests; für aktuelle Anforderungen sind die jeweils geltenden Regelwerke maßgeblich.

Test-Arten und Scope-Entscheidungen

Die Scope-Entscheidung ist die wichtigste Vor-Test-Entscheidung. Ein zu enger Scope produziert kosmetische Berichte, ein zu breiter Scope sprengt das Budget. Sinnvoll ist eine Scope-Festlegung gemeinsam mit dem Pen-Test-Anbieter, auf Basis der Asset-Liste und der Risikobewertung.

Frequenz und Trigger-Ereignisse

Verbreitete Test-Frequenz für KMU (Praxis-Orientierung, keine gesetzliche Vorgabe):

• Internet-Perimeter, mindestens jährlich, idealerweise gekoppelt mit jährlichem Vulnerability-Scan
• Interne Netzwerke, alle 2-3 Jahre, häufiger bei sicherheits-relevanten Umgebungen (OT, Forschungsumgebung)
• Kritische Web-Anwendungen, vor jedem Major-Release plus jährlich
• Architektur-Änderungen, bei jeder größeren Netzwerk-Umstrukturierung, Cloud-Migration, neuen Standorten
• Nach Vorfällen, Pen-Test als Validierung der Abhilfe-Maßnahmen

Nach erheblichen Sicherheitsvorfällen kann ein Pen-Test belegen, dass die Abhilfemaßnahmen wirken; eine gesetzliche Pflicht dazu enthalten weder NIS2 noch BSIG.

Auswahl des Pen-Test-Anbieters

Kriterien für die Anbieter-Auswahl:

• Zertifizierungen der Tester, etwa OSCP, CREST, OSCE oder GIAC-GPEN; gesetzlich vorgeschrieben ist keine davon
• BSI-Zertifizierung, als Qualitätsmerkmal hilfreich: die BSI-Liste zertifizierter IT-Sicherheitsdienstleister im Geltungsbereich IS-Penetrationstests; eine gesetzliche Pflicht dazu besteht nicht
• Methodologie-Anwendung, konkrete Beschreibung, welcher Standard angewendet wird
• Berichts-Qualität, Demo-Berichte einfordern (anonymisiert), Berichtsstruktur prüfen
• Re-Test-Inklusive, ein Folge-Test 4-6 Wochen nach Remediation sollte Standard sein
• Liability und NDA, vertragliche Absicherung im Falle von Schäden während des Tests
• Eskalations-Pfad, was passiert bei kritischen Findings während des Tests?

Die Preise hängen von Scope, Test-Art und Komplexität ab und lassen sich nur über konkrete Angebote vergleichen. Bei sehr günstigen Angeboten lohnt die Nachfrage, ob manuelle Tests enthalten sind oder nur automatisierte Scans.

Praxis: Erste Pen-Test-Wellen für NIS2-Compliance

Erste Test-Welle:

1. External Network Pen-Test, höchste Priorität, geringstes Risiko für Produktivbetrieb
2. Web-App-Pen-Test der wichtigsten Anwendung, typisch Online-Shop, Kundenportal, B2B-Plattform
3. Phishing-Simulation, vergleichsweise geringer Aufwand, direkte Lernwirkung
4. Cloud-Konfigurations-Review, wenn Cloud-Migration relevant ist
5. Internal Pen-Test, als zweite Welle nach Aufbau der Basis-Maßnahmen (sonst zu viele Findings)

Wichtig: die Test-Wellen über 6-18 Monate verteilen, nicht parallel. Sonst können die internen Teams die Findings nicht abarbeiten und der Effekt verpufft.

FAQ

Reichen automatische Vulnerability-Scans aus?

Nein. Automatische Scans (Tenable, Qualys, OpenVAS) finden bekannte Schwachstellen, aber keine logischen Lücken, keine Geschäftslogik-Fehler, keine kombinierten Angriffe. Sie sind notwendige Grundlage, ersetzen aber keinen Pen-Test. Eine gesetzlich oder vom BSI vorgegebene Frequenz gibt es dafür nicht; Scan- und Test-Intervalle leiten sich aus der Risikobewertung ab.

Müssen Pen-Tester vor Ort sein?

Bei externen Tests in der Regel nicht, sie testen über das Internet. Bei internen Tests ist eine VPN-Anbindung oder ein vor-Ort-Termin mit Test-Laptop üblich. Für sensible Umgebungen (OT, Hochsicherheit) sind vor-Ort-Tests Standard.

Was passiert, wenn der Pen-Test ein produktives System lahmlegt?

Das ist im Pen-Test-Vertrag (typisch „Rules of Engagement") klar zu regeln. Übliche Vereinbarungen: keine destruktiven Tests ohne explizite Zustimmung, keine DoS-Tests im Produktiv-Umfeld, sofortiger Test-Stopp bei kritischen Findings. Trotzdem kann ein Pen-Test unbeabsichtigte Effekte haben, eine Notfall-Eskalationskette muss vorab vereinbart sein.

Wie sehr sollten wir die Tester über unsere Umgebung informieren?

Drei Modelle: Black-Box (Tester kennt nichts, simuliert externen Angreifer), Grey-Box (Tester bekommt Basisinformationen, simuliert Insider mit Vorinformation), White-Box (Tester bekommt alles inkl. Doku und ggf. Code, max. Test-Effizienz). White-Box ist effizientester Einsatz des Budgets, Grey-Box ein guter Kompromiss aus Realismus und Effizienz.

Müssen Pen-Test-Berichte vorgehalten werden?

Ja, als Nachweis. Nach § 30 Abs. 1 BSIG ist die Einhaltung der Risikomanagement-Pflichten zu dokumentieren; eine feste Aufbewahrungsfrist für Pen-Test-Berichte nennen weder Art. 21 NIS2 noch § 30 BSIG. Betreiber kritischer Anlagen müssen die Erfüllung der Anforderungen nach § 39 BSIG alle drei Jahre nachweisen, dafür sollten die Berichte mindestens über diesen Zeitraum verfügbar bleiben. Für digitale Anbieter verlangt die Durchführungsverordnung (EU) 2024/2690 (Anhang Nr. 6.5.2) die Dokumentation von Art, Umfang, Zeitraum und Ergebnissen der Prüfungen. Die Berichte sind als „streng vertraulich" zu klassifizieren, sie enthalten oft Angriffspfade, die im falschen Hände-Bereich gefährlich wären.