NIS2 und Protokollierungspflicht: E-Mail-Sicherheitsereignisse revisionssicher ins SIEM
NIS2 ist seit Dezember 2025 geltendes Recht. Neben technischen Schutzmaßnahmen verlangt das Gesetz etwas, das viele Unternehmen unterschätzen: die lückenlose Protokollierung sicherheitsrelevanter Ereignisse und deren Nachweisbarkeit gegenüber der Behörde. E-Mail ist dabei der wichtigste Angriffsweg, und genau seine Ereignisse fehlen häufig im zentralen Monitoring.
Was NIS2 zur Protokollierung fordert
Das NIS2-Umsetzungsgesetz und §30 BSIG verlangen geeignete Maßnahmen zur Erkennung, Behandlung und Meldung von Sicherheitsvorfällen. Konkret bedeutet das:
- Erkennung: sicherheitsrelevante Ereignisse müssen erfasst werden
- Nachweisbarkeit: die Erfassung muss belegbar und auswertbar sein
- Meldefähigkeit: bei einem erheblichen Vorfall gelten Fristen von 24 Stunden für die Erstmeldung, 72 Stunden für die Aktualisierung und einem Monat für den Abschlussbericht
Ohne durchgängige Protokollierung lässt sich weder ein Vorfall rekonstruieren noch fristgerecht melden. Ein SIEM ist der Ort, an dem diese Nachweise zusammenlaufen.
Welche E-Mail-Events auditrelevant sind
Ein E-Mail-Security-Gateway erzeugt genau die Ereignisse, die NIS2 sehen will:
- Threat-Detection: erkannte Phishing-, BEC- und Malware-Versuche
- Quarantäne und Freigaben: was wurde zurückgehalten, was freigegeben, durch wen
- DLP-Vorfälle: abgeflossene oder blockierte sensible Inhalte
- Mailflow: zugestellt, abgewiesen, verzögert
- Sandbox-Verdicts und Link-Klicks
Wichtig ist die Unterscheidung zwischen echtem Block und reiner Audit-Erkennung. Nur wenn das Event den Durchsetzungsmodus mitführt, kann Ihr SOC eine tatsächliche Abwehr von einer bloßen Beobachtung trennen.
Aufbewahrungsfristen richtig planen
Für den Abschlussbericht nach einem Monat müssen die Ereignisse dieses Zeitraums verfügbar sein. In der Praxis empfiehlt sich eine Aufbewahrung von mindestens 90 Tagen, bei erhöhten Anforderungen bis zu sechs Monaten. Die Retention sollte pro Mandant steuerbar sein, damit Konzernstrukturen und Dienstleister getrennt nachweisen können.
Anbindung ans SIEM in der Praxis
Der robusteste Weg ist eine cursor-basierte Pull-API: Ihr SIEM pollt einen authentifizierten Endpunkt und blättert lückenlos durch neue Events. Das ist firewall-freundlich und verliert auch bei Lastspitzen nichts, anders als klassisches Syslog-Push über UDP. Formate wie CEF, LEEF und ECS sorgen dafür, dass Splunk, QRadar oder Elastic die Felder direkt verstehen.
Conbool MailGuard liefert diesen Export nativ und in jeder Lizenz. Die Details zu Architektur und Formaten finden Sie auf der Lösungsseite zum SIEM-Export.
Checkliste: NIS2-konformes E-Mail-Logging
- Alle sicherheitsrelevanten E-Mail-Events werden erfasst, nicht nur Blocks
- Der Durchsetzungsmodus (Block oder Audit) ist pro Event erkennbar
- Events sind mandantengetrennt und eindeutig zuordenbar
- Aufbewahrung mindestens 90 Tage, konfigurierbar
- Übertragung ins SIEM lückenlos und wiederaufsetzbar
- Sensible Felder DSGVO-konform behandelbar
- Zugriff auf den Export ist authentifiziert und protokolliert
- Ein Löschmechanismus für personenbezogene Daten existiert
Fazit
NIS2 macht die Protokollierung von E-Mail-Sicherheitsereignissen zur Pflicht, nicht zur Kür. Wer die Verdicts seines Gateways ins SIEM bringt, erfüllt die Nachweispflicht und gewinnt gleichzeitig die Korrelation, die einen Angriff früh sichtbar macht.
Weiterführend: SIEM-Export für das E-Mail-Security-Gateway · NIS2-konforme E-Mail-Sicherheit · Demo anfragen
