KRYPTOGRAFIE NACH ART. 21 NIS2

E-Mail-Verschlüsselungnach NIS2:Art. 21 NIS2 umsetzen.

Konzepte für Kryptografie sind Pflicht. Automatisierte S/MIME- und PGP-Verschlüsselung erfüllt Art. 21 Abs. 2 lit. h und lit. j der Richtlinie und trägt zugleich die Datensicherheit nach Art. 8 des revidierten Datenschutzgesetzes, ohne manuellen Aufwand.

Jetzt kostenlos testen NIS2 Übersicht

S/MIMEPGPTLS

ISG und NIS2

BSI TR-02102 Active

Was NIS2 und revDSG für E-Mail-Verschlüsselung konkret fordern

Die NIS2-Richtlinie, der IKT-Minimalstandard des Bundes und das revidierte Datenschutzgesetz definieren klare Anforderungen an den Einsatz kryptografischer Verfahren in Unternehmen.

Diese drei Buchstaben sind drei von zehn in Art. 21 Abs. 2 der Richtlinie. Alle Massnahmen, die Betroffenheit und die Fristen stehen im NIS2-Überblick.

Art. 21 Abs. 2 lit. h: Kryptografie

Die Richtlinie verlangt Konzepte und Verfahren für Kryptografie und gegebenenfalls Verschlüsselung. Der IKT-Minimalstandard beschreibt dasselbe als Schutz gespeicherter und übertragener Daten, Art. 8 revDSG als Datensicherheit, die dem Risiko angemessen ist.

Transport mit TLS, Inhalt mit S/MIME oder PGP, wie es PR.DS-2 für übertragene Daten vorsieht
Dokumentiertes Kryptografie-Konzept, vorzeigbar gegenüber FINMA, Revisionsstelle oder EU-Kunden
Algorithmen nach anerkanntem Stand der Technik, kein MD5, kein SHA-1

Art. 21 Abs. 2 lit. j: Sichere Kommunikation

Die Richtlinie nennt gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikation. Für Schweizer Unternehmen deckt sich das mit dem Schutz übertragener Daten im IKT-Minimalstandard.

Geschützte E-Mail mit Partnern im In- und Ausland
Ausweichweg für Empfänger ohne eigene Verschlüsselung, etwa Privatpersonen oder kleine Treuhandbüros
Zustellnachweis und Audit-Trail für Revisionsstelle und Aufsicht

Art. 21 Abs. 2 lit. d: Lieferkette

Sicherheit in der Lieferkette einschliesslich der Kommunikation zwischen den Einrichtungen.

Verschlüsselte Kommunikation mit EU-Kunden, Zulieferern und Partnern
Schutz auch für Schweizer Kleinbetriebe ohne eigenes Zertifikat
Nachweis für Lieferantenaudits nach ID.SC-4 und für Behörden

Conbool SecureMail: Kryptografie nach NIS2 und revDSG, automatisiert

Automatische Verschlüsselung im Mailfluss statt Handarbeit am Client, als dokumentierte Massnahme für lit. h und Art. 8 revDSG.

Automatische S/MIME & PGP Verschlüsselung

Ausgehende E-Mails werden nach Routing-Regeln automatisch verschlüsselt und signiert, etwa alle Mails an eine Bank, ein Spital oder eine Behörde. Die Mitarbeitenden müssen dafür nichts tun, der Schutz nach Art. 8 revDSG hängt damit nicht an Einzelnen.

Zertifikate und Schlüssel zentral verwaltet

Anbindung an PKI und MPKI mit automatischer Ausstellung, Erneuerung und Sperrung von Zertifikaten. Der Lebenszyklus bleibt lückenlos dokumentiert, wie es ein Kryptografie-Konzept nach lit. h braucht.

Nachrichtenportal für Empfänger ohne Zertifikat

Wer weder S/MIME noch PGP nutzt, etwa ein Treuhandbüro oder eine Privatperson, liest die Nachricht im Secure Message Portal. Beim Empfänger ist nichts einzurichten.

Algorithmen nach Stand der Technik

Ausschliesslich Algorithmen nach aktuellem Stand der Technik. Automatische Aktualisierung, wenn ENISA oder das BSI ihre Empfehlungen anpassen.

Lückenloser Audit-Trail

Verschlüsselung, Signatur und Zustellung werden lückenlos und revisionssicher protokolliert und bleiben für Revisionsstelle, Aufsicht und EU-Kunden exportierbar.

TLS-Erzwingung & Transportverschlüsselung

TLS-Vorgaben je Empfängerdomain, etwa für Banken, Versicherer und Spitäler. Erzwungenes TLS schützt übertragene Daten, wie es PR.DS-2 des IKT-Minimalstandards vorsieht.

Verschlüsselungsansätze im Vergleich

	Manuelle Verschlüsselung	Native Microsoft 365	Conbool SecureMail
Aufwand pro E-Mail	Manuelle VerschlüsselungHoch – manuell für jede E-Mail	Native Microsoft 365Mittel – Transportregeln	Conbool SecureMailNull – automatisch im Gateway
Protokolle	Manuelle VerschlüsselungS/MIME oder PGP (nicht beides)	Native Microsoft 365OME (proprietär)	Conbool SecureMailS/MIME + PGP + Portal
Empfänger ohne Zertifikat	Manuelle VerschlüsselungNicht möglich	Native Microsoft 365Link zu Microsoft-Portal	Conbool SecureMailEigenes Secure Message Portal
Algorithmen nach Stand der Technik	Manuelle VerschlüsselungAbhängig vom Client	Native Microsoft 365Teilweise	Conbool SecureMailVollständig
Audit-Trail	Manuelle VerschlüsselungKeiner	Native Microsoft 365Eingeschränkt	Conbool SecureMailLückenlos & revisionssicher
NIS2-Compliance-Nachweis	Manuelle VerschlüsselungSchwierig nachweisbar	Native Microsoft 365Teilweise dokumentierbar	Conbool SecureMailVollständiger Nachweis

In 3 Schritten NIS2-konform

Domain registrieren

Domain bestätigen, auch unter .ch, und MX-Record auf Conbool setzen. Ab dann läuft der Mailverkehr über das Gateway in europäischen Rechenzentren.

Verschlüsselungsrichtlinien konfigurieren

S/MIME-Zertifikate bereitstellen, PGP-Schlüssel importieren und festlegen, welche Empfänger, etwa Banken oder Behörden, automatisch verschlüsselt beliefert werden.

Audit-Logging aktivieren

Mit Tracing und Audit-Logs liegen Belege für NIS2-Audits von EU-Kunden, für die Revisionsstelle und für eine allfällige Meldung an das BACS vor.

Häufig gestellte Fragen zur NIS2 E‑Mail-Verschlüsselung

Welche Verschlüsselung fordern NIS2 und das revDSG?

NIS2 fordert den Einsatz kryptografischer Verfahren nach dem Stand der Technik, Art. 8 des revidierten Datenschutzgesetzes verlangt angemessene Datensicherheit. Für E-Mail bedeutet das: S/MIME oder PGP für die Inhaltsverschlüsselung, TLS für den Transport. Als Massstab für die Algorithmen dienen die Empfehlungen von ENISA und die technische Richtlinie BSI TR-02102.

Reicht TLS allein für NIS2 und den IKT-Minimalstandard?

Nein. TLS sichert nur die Strecke zwischen zwei Servern, auf jedem Zwischenhalt liegt die Nachricht offen. Art. 21 Abs. 2 lit. h verlangt Konzepte für Kryptografie und Art. 8 revDSG eine dem Risiko angemessene Datensicherheit; für sensible Inhalte, gerade in der Lieferkette, heisst das S/MIME oder PGP.

Was gilt für Schweizer Partner ohne eigene Verschlüsselung?

Treuhandbüros, Praxen oder Privatpersonen haben oft weder S/MIME-Zertifikat noch PGP-Schlüssel. Sie erhalten eine Benachrichtigung und lesen und beantworten die Nachricht im Secure Message Portal von Conbool, direkt im Browser.

Wie weise ich die Compliance gegenüber Aufsicht und Revision nach?

Conbool führt über jede Verschlüsselung, Signatur und Zustellung ein revisionssicheres Protokoll, das zugleich die Datensicherheit nach Art. 8 revDSG belegt. Das integrierte Tracing und die Audit-Logs liefern den vollständigen Nachweis für eine Prüfung durch Revision, Prüfgesellschaft oder Aufsicht, exportierbar und filterbar.

Kann ich Conbool mit meiner bestehenden Microsoft 365 Umgebung nutzen?

Ja. Conbool arbeitet als Gateway vor Microsoft 365 und Exchange Online; umgestellt wird nur der MX-Record, das bestehende Setup bleibt, wie es ist. Entra ID und LDAP werden synchronisiert. Wer beim Verfassen selbst wählen will, etwa bei vertraulicher Post an Treuhänder oder Spitäler, nutzt das optionale Add-in für Outlook oder Thunderbird.

E-Mail-Verschlüsselung nach NIS2 und revDSG ab heute.

S/MIME, PGP und Secure Message Portal, automatisiert, auditierbar und nach anerkanntem Stand der Technik.

Jetzt kostenlos testen Demo anfragen

Zurück zur NIS2-Übersicht Schweiz |SecureMail im Detail

E-Mail-Verschlüsselungnach NIS2:Art. 21 NIS2 umsetzen.