Microsoft 365 auf NIS2 vorbereiten
NIS2-Pflichten Microsoft 365-Kontrollen zuordnen, Zugriffsbaselines setzen, Verantwortliche und Prüfungen pflegen und Auditnachweise bündeln.
TL;DR
NIS2-Bereitschaft in Microsoft 365 erfordert benannte Verantwortliche, Baselines für Zugriff und Konfiguration, geplante Prüfungen, Microsoft-Purview-Auditnachweise und Berichte, die jede Pflicht mit einem Beleg verbinden. Dazu gehören MFA für Administratoren, Gastzugriff, Mailweiterleitungen, Entra-ID-App-Berechtigungen und Workspace-Verantwortung. Erhebliche Vorfälle müssen innerhalb von 24 Stunden vorangekündigt und innerhalb von 72 Stunden gemeldet werden.
Original von Rencore, auf Rencore. Artikel lesen
Dies ist unsere eigene Kurzfassung, keine Wiederveröffentlichung oder vollständige Übersetzung.
Bedeutung für Governance
- Makers: Prüft, ob Apps, Agents und Workspaces verantwortliche Personen haben, weil diese Nachweise Zugriffsentscheidungen und Audits unterstützen.
- Admins/CoE: Definiert Richtlinienbaselines für MFA, externen Zugriff, Mailweiterleitungen und Verantwortlichkeiten, um Abweichungen durch geplante Prüfungen und Berichte zu erkennen.
- Security/Compliance: Bewahrt Microsoft-Purview-Auditprotokolle für Meldepflichten auf und überwacht riskante Anmeldungen, externe Weiterleitungen und privilegierte App-Berechtigungen.
Häufige Fragen
Wie werden Microsoft-365-Kontrollen Artikel 21 der NIS2 zugeordnet?
Ordnet Artikel-21-Pflichten konkreten Kontrollen zu, etwa Administrator-MFA, Gastzugriff, Mailweiterleitungen, Entra-ID-App-Berechtigungen und Workspace-Verantwortung. Jede Kontrolle erhält eine verantwortliche Person.
Was sollte eine Microsoft-365-Zugriffsbaseline für NIS2 enthalten?
Die Baseline definiert den korrekten Zustand, darunter MFA für Administratoren, keine externen Mailweiterleitungen und mindestens zwei Verantwortliche pro Team. Richtlinien markieren Abweichungen.
Welche NIS2-Nachweise liefert das Microsoft-Purview-Auditprotokoll?
Microsoft Purview liefert das Auditprotokoll für Änderungen und Vorfälle im Tenant. Es sollte lange genug aufbewahrt werden, um Meldepflichten abzudecken, und relevante Risiken müssen überwacht werden.