NIS2 und Immobilien: Wie widerstandsfähig ist Ihr Gebäude?

Die Firewall ist in Ordnung. MFA ist aktiviert. Mitarbeitende erhalten jährlich eine Security-Schulung. Aber die Tür des Serverraums? Die steht einfach offen, und drei verschiedene Parteien laufen aus unterschiedlichen Gründen ein und aus. In vielen Gebäuden ist das keine Ausnahme, sondern der normale Alltag.

Cybersicherheit wird fast immer aus der Softwareperspektive betrachtet: Firewalls, Passwörter, Cloudumgebungen und das Verhalten von Mitarbeitenden. Das ist berechtigt, aber es ist nicht die ganze Geschichte. Die digitale Infrastruktur einer Organisation befindet sich buchstäblich an einem bestimmten Ort. In einem Patchschrank, einem Technikraum, einem Kabelbündel und einem Anschluss, der ins Gebäude führt. Diese physische Ebene bekommt selten dieselbe Aufmerksamkeit.

Mit dem Inkrafttreten des niederländischen Cybersicherheitsgesetzes wird dieser blinde Fleck relevanter. Die zentrale Frage dieses Artikels ist deshalb einfach: NIS2 endet nicht beim Laptop, aber wie digital widerstandsfähig ist das Gebäude, in dem Ihre Organisation arbeitet?

Was das Cybersicherheitsgesetz in groben Zügen verlangt

Das niederländische Cybersicherheitsgesetz ist die nationale Umsetzung der europäischen NIS2-Richtlinie und gilt seit dem 15. August 2026. Das Gesetz richtet sich an Organisationen in Sektoren, die als wesentlich oder wichtig eingestuft werden. Nicht jedes Unternehmen fällt darunter, und es ist ratsam, anhand der offiziellen Informationen der niederländischen Regierung und des NCSC zu prüfen, ob Ihre Organisation in den Anwendungsbereich fällt.

Für Organisationen, die unter das Gesetz fallen, rücken einige Kernverpflichtungen in den Blick. Kurz zusammengefasst geht es um eine Sorgfaltspflicht, eine Registrierungspflicht, eine Meldepflicht bei Vorfällen und eine Verantwortung der Geschäftsführung. Letzteres ist bemerkenswert: Digitale Widerstandsfähigkeit wird damit ausdrücklich zu einem Thema für die Geschäftsleitung, nicht nur für die IT-Abteilung.

Das NCSC nennt im Rahmen der Sorgfaltspflicht unter anderem Risikoanalyse, Reaktion auf Vorfälle, Vorbereitung auf Ausfälle, sichere Lieferketten, Sicherung von Netzwerk- und Informationssystemen, Zugangssicherung und Asset-Management. Und genau hier liegt der Kern für die Immobilienbranche: Das NCSC spricht nicht nur über die Systeme selbst, sondern auch über die physische Umgebung, in der sich diese Systeme befinden.

Wo das Gesetz das Gebäude betrifft

Sie können Ihre Firewall perfekt konfigurieren, aber was nützt das, wenn jemand physisch an Ihren Switch, Server, Glasfaseranschluss oder Patchschrank herankommt? Zugangssicherung und Asset-Management bedeuten mehr als einen Anmeldebildschirm. Sie betreffen auch, wer eine Tür öffnen kann und welche Geräte genau in einem Technikraum hängen.

In der Praxis stoßen wir in Gebäuden auf Situationen, die aus dieser Perspektive plötzlich anders zu bewerten sind:

• Ein Serverraum, der für mehrere Parteien zugänglich ist, ohne dass festgehalten wird, wer wann anwesend war.
• Patchschränke, die nicht abschließbar sind, oder deren Schlüssel jeder besitzt.
• Alte Switches, Router oder 4G/5G-Modems, von denen niemand mehr weiß, wem sie gehören.
• Gebäudeleittechnik und Kameras, die von außen zugänglich sind und im selben Netzwerk hängen wie der Geschäftsbetrieb.
• Nicht registrierte IoT-Geräte, die im Stillen mit dem Internet kommunizieren.
• Eine einzige Internetverbindung ohne Redundanz, veraltete CAT-Verkabelung oder eine Netzwerkstruktur, die niemand mehr nachzeichnen kann.
• Glasfaseranschlüsse, bei denen unklar ist, wer Eigentümer oder Betreiber ist.

Was diese Beispiele gemeinsam haben, ist, dass sie selten in der Dokumentation auftauchen. Es gibt keinen aktuellen Plan der Netzwerkkomponenten, und die Verantwortlichkeiten zwischen Vermieter, Mieter, Property Manager und IT-Dienstleister sind nicht klar geregelt. Ein Technikraum, in dem eine böswillige Person leicht an Netzwerkhardware gelangen kann, ist dann kein theoretisches Risiko, sondern eine offenstehende Hintertür.

Die beste Firewall der Niederlande hält niemanden auf, der einfach die Tür des Serverraums aufdrücken kann.

Warum dies eine Immobilienfrage ist

Beim Mieten oder Kauf eines Gebäudes wird umfangreich geprüft. Der Energieausweis, der Brandschutz, die Anlagen, die Bausubstanz und der technische Zustand werden alle geprüft. Was fast nie untersucht wird, ist, was das Gebäude digital leisten kann. Dabei fällt eine Organisation, die sich nicht mit Cloudanwendungen, Telefonie, Zahlungssystemen oder Produktionsumgebungen verbinden kann, innerhalb von Minuten teilweise oder vollständig aus.

Internet und digitale Infrastruktur sind für viele Organisationen inzwischen genauso essenziell wie Strom und Wasser. Dennoch steht der Serverraum selten auf der Checkliste der technischen Due Diligence. Damit entsteht eine Lücke zwischen dem, was eine Organisation rechtlich und operativ benötigt, und dem, was tatsächlich im Gebäude vorhanden ist.

IT-Label ist deshalb der Ansicht, dass digitale Infrastruktur Teil der technischen Due Diligence bei Kauf, Miete und Neuentwicklung von Gewerbeimmobilien werden sollte. Damit rücken einige Fragen in den Vordergrund, die sonst unbeantwortet bleiben:

• Was kaufen oder mieten Sie eigentlich digital, und was kann das Gebäude digital leisten?
• Ist das Gebäude KI-tauglich, und kann die Infrastruktur den zukünftigen Datenverbrauch der Organisation tragen?
• Wie schnell ist ein Unternehmen wieder betriebsbereit, wenn Netzwerkhardware, Verkabelung oder Internetverbindungen ausfallen oder sabotiert werden?
• Wer ist für welchen Teil der digitalen Infrastruktur verantwortlich: der Mieter oder der Vermieter?

Diese letzte Frage gehört in die Demarkationsliste zwischen den Parteien. In vielen Mietverträgen ist die Aufteilung der Verantwortlichkeiten rund um IT jedoch nicht ausdrücklich geregelt, wodurch genau in dem Moment Unklarheit entsteht, in dem es darauf ankommt.

Kontinuität als Teil der Sorgfaltspflicht

Die Sorgfaltspflicht verlangt unter anderem Vorbereitung auf Ausfälle und Reaktion auf Vorfälle. Übersetzt auf ein Gebäude bedeutet das: Wenn die einzige Internetverbindung ausfällt oder jemand physisch an die Netzwerkhardware gelangt, wie lange steht die Organisation dann still? Und wissen Sie das im Voraus, oder stellen Sie es erst während des Vorfalls fest?

Kontinuität ist kein abstrakter Begriff. Es ist der Unterschied zwischen einer Störung, die nach ein paar Minuten durch eine zweite Verbindung aufgefangen wird, und einer Störung, die einen halben Tag Produktion oder Dienstleistung kostet. Redundanz, dokumentierte Verkabelung und abschließbare Technikräume sind damit nicht nur IT-Themen, sondern auch Gebäudethemen.

Asset-Management, ebenfalls Teil der Sorgfaltspflicht, beginnt damit, zu wissen, was man besitzt. Solange niemand angeben kann, welche Geräte dauerhaft mit dem Internet verbunden sind und wem diese Geräte gehören, ist eine ernsthafte Risikoanalyse schwer zu erstellen. Die physische Ebene des Gebäudes ist dabei der Ausgangspunkt.

Sichtbar machen, was jetzt unsichtbar ist

Das IT-Label ist eine unabhängige Klassifizierungsmethodik, die die digitale Qualität eines Gebäudes sichtbar macht. Sie können es als digitalen TÜV des Gebäudes betrachten: eine strukturierte Methode, um festzuhalten, was vorhanden ist, was es leisten kann und wo die Schwachstellen liegen. Das Ergebnis ist ein digitales Lieferniveau, ausgedrückt in einer Klassifizierung von IT1+ PREMIUM bis IT5 SHELL.

Bei der Beurteilung betrachtet IT-Label unter anderem Glasfaser und Internetverbindungen, Redundanz, Netzwerkverkabelung, WLAN-Infrastruktur, Patch- und Serverräume, physische Sicherheit, Netzwerkgeräte, Zugangskontrolle, Kameras, gebäudegebundene digitale Systeme, Dokumentation, Verteilung der Verantwortlichkeiten und Zukunftsfähigkeit. Genau die Aspekte, die im Alltag selten an einer einzigen Stelle festgehalten sind.

Wichtig zur Klarstellung: Das IT-Label ist keine NIS2-Zertifizierung und bietet keine Garantie, dass eine Organisation dem Cybersicherheitsgesetz entspricht. Gesetzliche Compliance ist eine Verantwortung der Organisation selbst, zu prüfen anhand der offiziellen Quellen. Was das IT-Label tatsächlich leistet, ist gebäudegebundene digitale Risiken sichtbar zu machen, sodass Vermieter, Mieter und Berater darüber bessere Vereinbarungen treffen können. So wird die digitale Gebäudeebene zu einem Thema, über das Parteien bewusst entscheiden können.

Für wen dies relevant ist

Dies ist ausdrücklich nicht nur ein Thema für den IT-Manager. Immobilieneigentümer, Asset Manager, Property Manager, technische Manager, Makler, Facility Manager, Mieter, Geschäftsführungen und Berater sind alle davon betroffen. Ein paar Fragen machen das konkret: Wer kontrolliert eigentlich die digitale Infrastruktur, bevor ein Mieter unterschreibt? Weiß der Eigentümer, welche digitalen Systeme dauerhaft mit dem Internet verbunden sind? Und können wir im Jahr 2026 noch von einem zukunftsfähigen Gebäude sprechen, ohne auf digitale Widerstandsfähigkeit zu achten?

Häufig gestellte Fragen

Macht das IT-Label meine Organisation NIS2-konform?

Nein. Das IT-Label ist keine NIS2-Zertifizierung und bietet keine Garantie, dass Ihre Organisation dem Cybersicherheitsgesetz entspricht. Es macht aber gebäudegebundene digitale Risiken sichtbar, sodass Sie darüber bessere Vereinbarungen treffen können.

Seit wann gilt das Cybersicherheitsgesetz?

Das Cybersicherheitsgesetz gilt seit dem 15. August 2026. Es ist die niederländische Umsetzung der europäischen NIS2-Richtlinie.

Fällt meine Organisation unter das Cybersicherheitsgesetz?

Nicht jedes Unternehmen fällt darunter. Das Gesetz richtet sich an Organisationen in Sektoren, die als wesentlich oder wichtig eingestuft sind. Prüfen Sie dies anhand der offiziellen Informationen der niederländischen Regierung und des NCSC.

Betrifft die NIS2-Sorgfaltspflicht auch die physische Sicherheit des Serverraums?

Ja. Das NCSC nennt bei der Sorgfaltspflicht auch die physische Umgebung, in der sich Netzwerk- und Informationssysteme befinden. Zugangssicherung betrifft also auch die Frage, wer die Tür des Serverraums oder Patchschranks öffnen kann.

Wie lasse ich die physische IT-Sicherheit meines Büros prüfen?

Mit dem IT-Label Security Audit prüft ein Spezialist vor Ort WLAN, Netzwerkgeräte, Serverraum und Patchschrank, Anschluss und Verkabelung. Das Audit kostet ab 750 € zzgl. MwSt. pro Standort und führt nicht zu einem Zertifikat.

Der nächste Schritt

NIS2 macht digitale Widerstandsfähigkeit zu einem Vorstandsthema. IT-Label stellt dem eine Immobilienfrage zur Seite: Wie digital widerstandsfähig ist das Gebäude, in dem diese Organisation funktionieren muss? Beide Fragen verstärken einander, und beide beginnen mit Einblick.

Ein guter erster Schritt ist eine IT-Label Vorinspektion oder eine Digital Due Diligence, mit der Sie die gebäudegebundene digitale Infrastruktur erfassen, bevor Sie unterschreiben, kaufen oder neu entwickeln. Immobilieneigentümer, Mieter und Berater finden auf www.it-label.com weitere Informationen zum IT-Label, zur Vorinspektion und zur Digital Due Diligence.

Gemeinsam machen wir sichtbar, was jetzt noch unsichtbar ist.