NIS2 und Protokollierungspflicht: E-Mail-Sicherheitsereignisse revisionssicher ins SIEM

NIS2 ist seit Dezember 2025 geltendes Recht. Neben technischen Schutzmaßnahmen verlangt das Gesetz etwas, das viele Unternehmen unterschätzen: die lückenlose Protokollierung sicherheitsrelevanter Ereignisse und deren Nachweisbarkeit gegenüber der Behörde. E-Mail ist dabei der wichtigste Angriffsweg, und genau seine Ereignisse fehlen häufig im zentralen Monitoring.

Was NIS2 zur Protokollierung fordert

Das NIS2-Umsetzungsgesetz und §30 BSIG verlangen geeignete Maßnahmen zur Erkennung, Behandlung und Meldung von Sicherheitsvorfällen. Konkret bedeutet das:

• Erkennung: sicherheitsrelevante Ereignisse müssen erfasst werden
• Nachweisbarkeit: die Erfassung muss belegbar und auswertbar sein
• Meldefähigkeit: bei einem erheblichen Vorfall gelten Fristen von 24 Stunden für die Erstmeldung, 72 Stunden für die Aktualisierung und einem Monat für den Abschlussbericht

Ohne durchgängige Protokollierung lässt sich weder ein Vorfall rekonstruieren noch fristgerecht melden. Ein SIEM ist der Ort, an dem diese Nachweise zusammenlaufen.

Welche E-Mail-Events auditrelevant sind

Ein E-Mail-Security-Gateway erzeugt genau die Ereignisse, die NIS2 sehen will:

• Threat-Detection: erkannte Phishing-, BEC- und Malware-Versuche
• Quarantäne und Freigaben: was wurde zurückgehalten, was freigegeben, durch wen
• DLP-Vorfälle: abgeflossene oder blockierte sensible Inhalte
• Mailflow: zugestellt, abgewiesen, verzögert
• Sandbox-Verdicts und Link-Klicks

Wichtig ist die Unterscheidung zwischen echtem Block und reiner Audit-Erkennung. Nur wenn das Event den Durchsetzungsmodus mitführt, kann Ihr SOC eine tatsächliche Abwehr von einer bloßen Beobachtung trennen.

Aufbewahrungsfristen richtig planen

Für den Abschlussbericht nach einem Monat müssen die Ereignisse dieses Zeitraums verfügbar sein. In der Praxis empfiehlt sich eine Aufbewahrung von mindestens 90 Tagen, bei erhöhten Anforderungen bis zu sechs Monaten. Die Retention sollte pro Mandant steuerbar sein, damit Konzernstrukturen und Dienstleister getrennt nachweisen können.

Anbindung ans SIEM in der Praxis

Der robusteste Weg ist eine cursor-basierte Pull-API: Ihr SIEM pollt einen authentifizierten Endpunkt und blättert lückenlos durch neue Events. Das ist firewall-freundlich und verliert auch bei Lastspitzen nichts, anders als klassisches Syslog-Push über UDP. Formate wie CEF, LEEF und ECS sorgen dafür, dass Splunk, QRadar oder Elastic die Felder direkt verstehen.