NIS2 Firewall Anforderungen 2026: Was die Richtlinie technisch wirklich verlangt

Die NIS2 Firewall Anforderungen stehen in keinem Gesetz als Produktliste. Weder die EU-Richtlinie noch das deutsche Umsetzungsgesetz schreibt vor, welche Firewall Sie kaufen müssen. Genau das verunsichert viele Geschäftsführer: Sie haften für angemessene Schutzmaßnahmen, bekommen aber keine Checkliste mit Modellnamen. Dabei drohen besonders wichtigen Einrichtungen Bußgelder bis 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, wichtigen Einrichtungen bis 7 Millionen Euro oder 1,4 Prozent.

Die gute Nachricht: Aus den zehn Mindestmaßnahmen des Gesetzes lässt sich ziemlich genau ableiten, was eine Firewall leisten und was Ihr Betrieb nachweisen muss. Dieser Ratgeber übersetzt die Paragrafen in Technik. Passende Geräte finden Sie in unserer Übersicht der Firewalls für Unternehmen.

Welche NIS2 Firewall Anforderungen gelten konkret?

NIS2 verlangt keine bestimmte Firewall, sondern Risikomaßnahmen nach dem Stand der Technik. Für die Firewall heißt das: Netze trennen, Zugriffe nach Bedarf beschränken, Fernzugänge mit Mehr-Faktor-Anmeldung absichern, Sicherheitsupdates zeitnah einspielen, Ereignisse protokollieren und Vorfälle schnell erkennen. Jede dieser Maßnahmen muss dokumentiert und überprüfbar sein.

Rechtsgrundlage: NIS2-Richtlinie und § 30 BSIG

Die EU-Richtlinie 2022/2555 (NIS2) regelt in Artikel 21 die Risikomanagementmaßnahmen. In Deutschland gilt sie über das NIS2-Umsetzungsgesetz, das am 6. Dezember 2025 in Kraft trat. Die Pflichten stehen seitdem in § 30 des BSI-Gesetzes (BSIG). Das BSI erklärt auf seiner NIS-2-Seite, wer betroffen ist und wie die Registrierung abläuft.

Betroffen sind „wichtige“ und „besonders wichtige“ Einrichtungen aus 18 Sektoren, grob ab mittlerer Unternehmensgröße. Ob Ihr Betrieb dazugehört, klärt unsere NIS2-Checkliste für KMU. Wichtig für die Geschäftsleitung: Sie muss die Maßnahmen billigen, ihre Umsetzung überwachen und selbst an Schulungen teilnehmen.

Für bestimmte digitale Dienste wie Cloud-Anbieter, Rechenzentren und Managed Service Provider wird es genauer. Die Durchführungsverordnung (EU) 2024/2690 enthält dort eigene Abschnitte zu Netzwerksicherheit und Netzsegmentierung. Für alle anderen Einrichtungen ist sie keine Pflicht, taugt aber als Orientierung, was Prüfer unter „Stand der Technik“ verstehen.

Von den zehn Maßnahmen zur Firewall-Funktion

§ 30 Abs. 2 BSIG nennt zehn Mindestbereiche. Nicht alle betreffen die Firewall, aber mindestens sieben stützen sich direkt auf sie:

Die Tabelle ist eine Auslegung, keine amtliche Zuordnung. Sie zeigt aber, warum eine reine Port-Firewall ohne Protokollierung und ohne Update-Vertrag schwer zu verteidigen ist.

Die sechs Firewall-Funktionen, die Prüfer sehen wollen

Aus der Tabelle ergeben sich konkrete Anforderungen an das Gerät und seinen Betrieb:

1. Segmentierung: Büro, Server, Produktion, Gäste und Kameras liegen in getrennten Zonen. Datenverkehr zwischen den Zonen ist nur freigegeben, wo er gebraucht wird.
2. Regeln nach Anwendung und Benutzer: Eine Next-Generation-Firewall erkennt Anwendungen statt nur Ports. So lässt sich belegen, wer welchen Dienst nutzen darf.
3. Abgesicherter Fernzugang: VPN nur mit Mehr-Faktor-Anmeldung. Die Verwaltungsoberfläche ist nie aus dem Internet erreichbar. Details dazu im Beitrag zur NIS2-MFA-Pflicht.
4. Protokollierung: Die Firewall speichert Verbindungen, Regeltreffer und Admin-Änderungen, ein zentrales System wertet sie aus. Ohne Logs können Sie die 24-Stunden-Frist für die Erstmeldung eines erheblichen Vorfalls kaum einhalten.
5. Patch-Prozess: Firmware-Updates kommen innerhalb weniger Tage auf das Gerät, bei aktiv ausgenutzten Lücken sofort. Das setzt einen laufenden Supportvertrag voraus.
6. Nachweisbarkeit: Regelwerk, Änderungen und Überprüfungen sind dokumentiert. Eine Regel ohne Begründung ist im Audit eine offene Frage.

Was eine ältere Firewall zum Problem macht

Viele Mittelständler betreiben Geräte, die zehn Jahre und älter sind. Technisch filtern sie noch. Aus NIS2-Sicht fehlen aber oft drei Dinge. Erstens bekommt das Gerät nach Ablauf des Herstellersupports keine Sicherheitsupdates mehr. Zweitens kennt es keine Anwendungen und keine Benutzer, nur Adressen und Ports. Drittens kann es die Last moderner Schutzfunktionen nicht tragen.

Der letzte Punkt wird oft übersehen. Schaltet man Intrusion Prevention (Erkennung von Angriffsmustern im Datenverkehr), Webfilter und TLS-Inspektion ein, sinkt der Durchsatz je nach Modell deutlich. Wie Sie die nötige Leistung vor dem Kauf bestimmen, zeigt unser Ratgeber Firewall-Durchsatz berechnen.

Auch die Lieferkette zählt: § 30 Abs. 2 Nr. 4 BSIG verlangt Sicherheit in der Lieferkette, und dazu gehört der Hersteller Ihrer Firewall. Fragen Sie vor dem Kauf, wie lange er Updates für das Modell zusagt, wie er Schwachstellen veröffentlicht und wie schnell Korrekturen erscheinen. Ein Gerät, dessen Supportende in zwölf Monaten erreicht ist, ist kein guter Kauf für ein Netz, das Sie nachweisbar absichern müssen.

Welche Geräte die Anforderungen abdecken

Alle aktuellen Next-Generation-Firewalls der großen Hersteller bringen die nötigen Funktionen mit. Entscheidend ist, dass Hardware, Schutzabonnement und Support gemeinsam gebucht sind. Zwei Beispiele aus unserem Sortiment für kleinere Standorte:

• WatchGuard Firebox T-Serie: Desktop-Firewalls mit zentraler Cloud-Verwaltung, MFA über WatchGuard AuthPoint und Schutzpaketen wie Total Security. Weitere Modelle finden Sie beim Hersteller WatchGuard.
• Sophos XGS 87w: Firewall mit integriertem WLAN und Xstream Protection. Per Synchronized Security tauscht sie sich mit Sophos-Endpoints aus und isoliert infizierte Rechner automatisch.

Für segmentierte Netze mit Produktion oder hohem Prüfdruck kommen größere Plattformen in Frage, etwa die Palo-Alto-Serien. Eine Übersicht aller Kategorien bietet unsere Seite Netzwerksicherheit.

Denken Sie auch an den Betrieb: Protokolle nützen nur, wenn jemand sie liest. Wer kein eigenes Sicherheitsteam hat, kann die Auswertung an einen MDR-Dienst übergeben. MDR steht für Managed Detection and Response: Ein externes Team wertet die Meldungen rund um die Uhr aus und greift bei einem Angriff ein.

Selbstcheck: Erfüllt Ihre Firewall die NIS2-Anforderungen?

Fünf Fragen zeigen schnell, wo Sie stehen:

1. Erhält Ihre Firewall noch Sicherheitsupdates vom Hersteller?
2. Liegen Büro, Server, Produktion und Gäste in getrennten Zonen mit eigenen Regeln?
3. Ist der Fernzugriff per VPN nur mit Mehr-Faktor-Anmeldung möglich?
4. Werden Regeltreffer und Admin-Änderungen protokolliert und regelmäßig ausgewertet?
5. Können Sie zu jeder Regel eine Begründung vorlegen?

Zweimal oder öfter „Nein“? Dann sollten Sie Gerät oder Betrieb nachbessern, bevor ein Prüfer oder ein Vorfall die Lücke aufdeckt.

Häufige Fragen

Schreibt NIS2 eine bestimmte Firewall vor?

Nein. Das Gesetz verlangt Maßnahmen nach dem Stand der Technik, aber keine Marke und kein Modell. Entscheidend ist, dass Sie Funktion und Betrieb nachweisen können.

Reicht die Firewall meines Internetrouters für NIS2?

In der Regel nicht. Router-Firewalls bieten meist weder Segmentierung nach Zonen noch Anwendungserkennung, zentrale Protokolle oder einen planbaren Update-Prozess.

Muss ich meine Firewall wegen NIS2 austauschen?

Nur wenn sie die Anforderungen nicht erfüllt. Prüfen Sie zuerst, ob der Herstellersupport noch läuft und ob Segmentierung, MFA und Protokollierung möglich sind.

Wie lange muss ich Firewall-Protokolle aufbewahren?

NIS2 nennt keine feste Frist. Üblich sind mehrere Monate, abgestimmt auf Datenschutz und die Frage, wie lange Sie einen Vorfall zurückverfolgen wollen.

Wer haftet, wenn die Firewall-Maßnahmen fehlen?

Die Geschäftsleitung muss die Maßnahmen billigen und überwachen. Bei Verstößen drohen Bußgelder gegen das Unternehmen und eine Haftung der Leitung.

Fazit: Nachweis statt Produktname

NIS2 fragt nicht, welche Firewall Sie haben, sondern ob Sie Netz, Zugriffe, Updates und Vorfälle im Griff haben und das belegen können. Eine aktuelle Next-Generation-Firewall mit Support ist dafür die technische Grundlage. Unsicher, ob Ihr Gerät reicht? Beschreiben Sie Standort, Anbindung und Netzaufbau im Produktberater – Sie erhalten eine konkrete Empfehlung. Oder vergleichen Sie selbst in unserer Auswahl an Next-Generation-Firewalls.