Was ist Endpoint Detection and Response (EDR/XDR)?
EDR überwacht Endpunkte, um verdächtige oder schädliche Aktivitäten zu erkennen, zu untersuchen und zu behandeln; XDR führt dafür Daten aus mehreren Sensoren oder Sicherheitsdomänen zusammen.
Technische Einordnung: EDR und XDR bezeichnen Sicherheitsfähigkeiten, keine in der Richtlinie (EU) 2022/2555 legaldefinierten Produktkategorien. Insbesondere für XDR besteht kein allgemein verbindliches Funktionsprofil. Reichweite und Wirksamkeit hängen unter anderem von Telemetrieabdeckung, Integration, Regeln, Konfiguration und Betriebsprozessen ab.
Der Normwortlaut
Die folgenden Ausschnitte geben Artikel 21 Absätze 1 und 2 der Richtlinie (EU) 2022/2555 im amtlichen deutschen Wortlaut wieder:
Die Mitgliedstaaten stellen sicher, dass wesentliche und wichtige Einrichtungen geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen ergreifen, um die Risiken für die Sicherheit der Netz- und Informationssysteme, die diese Einrichtungen für ihren Betrieb oder für die Erbringung ihrer Dienste nutzen, zu beherrschen und die Auswirkungen von Sicherheitsvorfällen auf die Empfänger ihrer Dienste und auf andere Dienste zu verhindern oder möglichst gering zu halten.
Die in Absatz 1 genannten Maßnahmen müssen auf einem gefahrenübergreifenden Ansatz beruhen, der darauf abzielt, Netz- und Informationssysteme und deren physische Umwelt vor Sicherheitsvorfällen zu schützen, und umfassen mindestens Folgendes:
a) Konzepte in Bezug auf die Risikoanalyse und Sicherheit für Informationssysteme;
b) Bewältigung von Sicherheitsvorfällen;
[…]
f) Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Cybersicherheit;
Normquelle: Richtlinie (EU) 2022/2555, Artikel 21 Absätze 1 und 2. Wiedergegeben sind Absatz 1 sowie aus Absatz 2 der Einleitungssatz und die Buchstaben a, b und f; der Mindestkatalog umfasst außerdem die Buchstaben c bis e und g bis j. Die Richtlinienanordnung richtet sich an die Mitgliedstaaten; die erfassten wesentlichen und wichtigen Einrichtungen müssen die umzusetzenden Maßnahmen ergreifen.
Schreibt NIS 2 EDR oder XDR vor?
Nein. Rechtliche Auslegung: Artikel 21 nennt weder EDR noch XDR und schreibt keinen Hersteller, kein Produkt und keine bestimmte Technologie vor. Er verlangt geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen, die risikobasiert und gefahrenübergreifend ausgestaltet sind. EDR oder XDR können hierfür technische Mittel sein; aus Artikel 21 folgt aber keine konkrete Beschaffungspflicht.
Für wen ist EDR/XDR relevant?
Technisch: EDR betrifft Organisationen mit verwalteten Endpunkten; XDR kann zusätzliche Sicherheitsdatenquellen einbeziehen. Rechtlich: Einen eigenen EDR/XDR-Anwendungsbereich gibt es nicht. Die NIS-2-Relevanz setzt eine Erfassung nach Artikel 2 in Verbindung mit den Anhängen I und II und dem maßgeblichen nationalen Umsetzungsrecht voraus. Dafür sind insbesondere Sektor, Einrichtungstyp, Größenregeln und gesetzliche Ausnahmen im Einzelfall zu prüfen.
Was löst Erkennung und Reaktion aus?
Technische Behördenbeschreibung: Ausgewertete Telemetrie, verdächtiges Verhalten oder ein erkannter Sicherheitsvorfall können Untersuchung und Reaktion auslösen. Automatisierte Eingriffe setzen eine entsprechende Konfiguration und organisatorisch geregelte Befugnisse voraus. Rechtlich: Artikel 21 enthält keinen produktbezogenen EDR/XDR-Trigger, sondern einen Rahmen für geeignete und verhältnismäßige Risikomanagementmaßnahmen einschließlich der Bewältigung von Sicherheitsvorfällen.
Wie unterscheiden sich EDR und XDR?
EDR konzentriert sich auf Überwachung, Erkennung, Untersuchung und Reaktion an Endpunkten. XDR erweitert diesen Ansatz durch die Korrelation von Daten aus mehreren Sicherheitswerkzeugen oder Domänen. Welche Quellen und Automatisierungsfunktionen ein XDR-Angebot tatsächlich einbezieht, ist implementierungsabhängig.
Welche Grenzen gelten?
EDR ist nicht mit klassischem Virenschutz gleichzusetzen. XDR ersetzt weder automatisch ein SIEM oder SOC noch sämtliche Maßnahmenbereiche aus Artikel 21. Keine der Fähigkeiten garantiert vollständige Erkennung oder Abwehr. Enthält die verarbeitete Telemetrie personenbezogene Daten, bleiben das Datenschutzrecht und das Recht auf Schutz der Privatsphäre anwendbar; NIS 2 lässt insbesondere die DSGVO und die Richtlinie 2002/58/EG unberührt.
Gelten Fristen oder Schwellenwerte für EDR/XDR?
Für Einführung, Aktivierung oder Betrieb von EDR/XDR enthält NIS 2 weder eine allgemeine Frist noch einen technischen Schwellenwert. Davon zu trennen sind die Vorgaben des Artikels 23 Absatz 4 für erhebliche Sicherheitsvorfälle: Die Frühwarnung muss unverzüglich, in jedem Fall aber innerhalb von 24 Stunden nach Kenntniserlangung übermittelt werden; die Meldung muss unverzüglich, in jedem Fall aber innerhalb von 72 Stunden nach Kenntniserlangung übermittelt werden. Der Abschlussbericht ist spätestens einen Monat nach Übermittlung der Meldung vorzulegen. Dauert der Sicherheitsvorfall zu diesem Zeitpunkt noch an, ist stattdessen ein Fortschrittsbericht und innerhalb eines Monats nach der Behandlung des Sicherheitsvorfalls ein Abschlussbericht vorzulegen. Das sind Melde- und keine EDR/XDR-Fristen. Nationale, sektorspezifische oder vertragliche Sondervorgaben sind gesondert zu prüfen.
Häufige Fehlannahmen
- „NIS 2 verlangt EDR oder XDR.“ Falsch: Artikel 21 verlangt risikobasierte, geeignete und verhältnismäßige Maßnahmen, aber kein bestimmtes Produkt.
- „EDR ist nur ein anderer Name für Virenschutz.“ Falsch: EDR umfasst fortlaufende Überwachung sowie Funktionen zur Erkennung, Untersuchung und Behandlung von Aktivitäten auf Endpunkten.
- „XDR ersetzt automatisch SIEM und SOC.“ Falsch: XDR kann mehrere Datenquellen korrelieren, besitzt aber kein allgemein verbindliches Funktionsprofil und ersetzt keine geregelten Betriebsprozesse.
- „Der Einsatz garantiert vollständige Sicherheit.“ Falsch: Wirksamkeit und Reichweite hängen von Abdeckung, Integration, Regeln, Konfiguration und Reaktionsprozessen ab.
- „Die 24- und 72-Stunden-Fristen gelten für die Einführung von EDR.“ Falsch: Die unverzüglichen Frühwarnungs- und Meldevorgaben mit diesen äußersten Zeitgrenzen betreffen erhebliche Sicherheitsvorfälle; für noch andauernde Vorfälle gelten zudem die zuvor erläuterten Berichtsregeln.
Was die Geschäftsleitung tun sollte
Praxisempfehlung: Die folgenden Schritte sind keine Behauptung einer gesetzlichen EDR/XDR-Produktpflicht.
- Risiken, verwaltete Endpunkte, vorhandene Telemetrie und relevante Sicherheitsdomänen erfassen und daraus den benötigten Funktionsumfang ableiten.
- Zuständigkeiten, Untersuchungsschritte, Eingriffsbefugnisse und Eskalationswege für erkannte Ereignisse festlegen.
- Abdeckung, Integrationen, Erkennungsregeln und Reaktionsabläufe regelmäßig auf Wirksamkeit prüfen.
- Datenschutzanforderungen für personenbezogene Telemetrie sowie nationale, sektorspezifische und vertragliche Vorgaben gesondert bewerten.
- EDR/XDR in das gesamte Risikomanagement einordnen und nicht als alleinigen Nachweis für die Erfüllung von Artikel 21 behandeln.
Für die Geschäftsleitung
EDR deckt Endpunkte ab, XDR kann mehrere Sicherheitsdomänen verbinden. Die Entscheidung für Umfang und Betrieb sollte aus der Risikobewertung folgen; Abdeckung, Integrationen, Erkennungsregeln und Reaktionsabläufe sollten auf Wirksamkeit geprüft werden. Der bloße Einsatz von EDR/XDR ist kein alleiniger Nachweis für die Erfüllung von Artikel 21. Bei erfassten wesentlichen und wichtigen Einrichtungen müssen die Leitungsorgane die Risikomanagementmaßnahmen nach Artikel 21 billigen und deren Umsetzung überwachen; diese Governancepflicht aus Artikel 20 Absatz 1 ist keine besondere Pflicht zur Beschaffung von EDR oder XDR.
Quellen
- EUR-Lex: Richtlinie (EU) 2022/2555, insbesondere Erwägungsgrund 14, Artikel 2, Artikel 20 Absatz 1, Artikel 21, Artikel 23 Absatz 4 sowie Anhänge I und II.
- NIST: Endpoint Detection and Response, amtlicher Glossareintrag.
- CISA: CDM Technical Capabilities, Volume Two, Abschnitt 2.4.2.2.6.
- CISA: Expanded Cloud Logs Implementation Playbook, Seite 48.
