NIS2 und Microsoft 365: Welche Lizenz verlangt das Gesetz?

Von Philipp Metzner · 23. Oktober 2026

Keine bestimmte. § 30 BSI-Gesetz verlangt zehn Bereiche von Maßnahmen, aber kein Produkt und keine Lizenzstufe. Dazu gehören Multi-Faktor-Authentifizierung (MFA), Backup und kryptografische Verfahren. Microsoft 365 deckt die technischen Teile schon ab Business Premium oder E3 weitgehend ab. E5 lohnt sich nicht pauschal für alle, sondern gezielt: für die Konten und Maßnahmen, die es wirklich brauchen.

Dieser Leitfaden ordnet die technischen Maßnahmen der passenden Microsoft-365-Funktion und Lizenz zu, mit Quelle. Er zeigt, wo sich die Pläne bei NIS2 wirklich unterscheiden und was keine Lizenz abdeckt. Er ersetzt weder eine Rechtsberatung noch eine NIS2-Prüfung. Stand ist der 23. Oktober 2026.

Was verlangt NIS2 von Unternehmen mit Microsoft 365?

NIS2 ist die EU-Richtlinie (EU) 2022/2555 für ein hohes Cybersicherheitsniveau. In Deutschland gilt sie seit dem 6. Dezember 2025 über das neue BSI-Gesetz (BSIG), benannt nach dem Bundesamt für Sicherheit in der Informationstechnik (BSI). Betroffen sind Unternehmen aus den Sektoren, die das Gesetz in zwei Anlagen auflistet. Es nennt sie „Einrichtungen“. Dazu gehören etwa Energie, Gesundheit, Transport, Finanzwesen, digitale Infrastruktur und Teile des verarbeitenden Gewerbes. Für Finanzunternehmen wie Banken und Versicherer gilt stattdessen weitgehend DORA, die EU-Verordnung über die digitale operationale Resilienz im Finanzsektor. Für sie gelten unter anderem die §§ 30, 32 und 38 nicht. Das BSI rechnet mit rund 29.500 Einrichtungen, vorher waren es etwa 4.500.

Die Schwellen stehen in § 28 BSIG:

• Wichtige Einrichtung: ab 50 Beschäftigten oder mehr als 10 Mio. € Umsatz und Bilanzsumme.
• Besonders wichtige Einrichtung: ab 250 Beschäftigten oder mehr als 50 Mio. € Umsatz und mehr als 43 Mio. € Bilanzsumme, aber nur in Sektoren der Anlage 1. Unternehmen der Anlage 2 bleiben auch darüber „wichtig“.
• Unabhängig von der Größe besonders wichtig: Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, TLD-Registries und DNS-Anbieter.

Daraus folgen vier Pflichten:

1. Registrieren beim BSI (§ 33). Für Unternehmen, die schon beim Inkrafttreten betroffen waren, endete die Frist am 6. März 2026.
2. Risikomanagement nach § 30: geeignete, verhältnismäßige und wirksame Maßnahmen, deren Umsetzung dokumentiert wird.
3. Melden erheblicher Sicherheitsvorfälle nach § 32: Erstmeldung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussmeldung spätestens einen Monat nach der Meldung.
4. Geschäftsleitung nach § 38: Sie setzt die Maßnahmen um, überwacht sie und nimmt regelmäßig an Schulungen teil. Für schuldhaft verursachte Schäden haftet sie der Einrichtung.

Das Gesetz nennt kein Produkt, keinen Hersteller und keine Aufbewahrungsdauer für die Protokolle der Unternehmen. Es beschreibt Ziele, die Mittel wählt jedes Unternehmen selbst. Die eigentliche Frage ist deshalb eine andere: Welche Maßnahmen deckt Microsoft 365 ab, und mit welcher Stufe? Verstöße gegen § 30 oder die Meldepflichten kosten bis zu 10 Mio. € bei besonders wichtigen und bis zu 7 Mio. € bei wichtigen Einrichtungen (§ 65). Bei mehr als 500 Mio. € Gesamtumsatz gelten stattdessen bis zu 2 bzw. 1,4 Prozent des weltweiten Umsatzes.

Welche Microsoft-365-Funktion deckt welche Maßnahme ab?

Microsoft 365 bedient vor allem sechs der zehn Nummern aus § 30 Abs. 2: Vorfälle (Nr. 2), Backup (Nr. 3), Schwachstellen (Nr. 5), Kryptografie (Nr. 8), Zugriffskontrolle (Nr. 9) und MFA (Nr. 10). Die übrigen Nummern sind überwiegend organisatorisch. Risikoanalyse, Lieferkette, Wirksamkeitsprüfung und Schulung erledigt keine Lizenz.

Die wichtigsten Begriffe vorab:

• Entra ID ist Microsofts Identitätsdienst für Anmeldungen. P1 und P2 sind seine Ausbaustufen.
• EDR (Endpoint Detection and Response) erkennt Angriffe auf Geräten und reagiert darauf, statt nur bekannte Schadsoftware zu blocken.
• PIM (Privileged Identity Management) vergibt Admin-Rechte nur auf Antrag und auf Zeit. Entra ID Protection erkennt riskante Anmeldungen.
• Intune verwaltet Geräte, BitLocker verschlüsselt die Festplatte von Windows-Geräten.
• Purview ist Microsofts Werkzeugkasten für Compliance. Dazu gehören das Überwachungsprotokoll (Audit-Log) und die Vertraulichkeitsbezeichnungen, mit denen sich Dokumente kennzeichnen und verschlüsseln lassen.

Die Zuordnung stützt sich auf Microsofts eigene Dokumentation: Sicherheitsstandards, Defender for Business, Überwachungsprotokoll, Purview-Lizenzierung und Microsoft 365 Backup.

Bei BitLocker ist Microsoft uneinheitlich. Technisch unterstützen Windows Pro, Enterprise und Education die Verwaltung. Das Recht zur BitLocker-Verwaltung gewähren aber nur Windows Enterprise E3 und E5 sowie Education A3 und A5. Windows Pro gewährt es nicht. Wer Business Premium mit Windows Pro einsetzt, klärt das am besten mit seinem Lizenzpartner.

Protokollierung steht übrigens nicht als eigene Nummer im BSIG. Ohne Protokolle lässt sich ein Vorfall aber weder bewältigen noch fristgerecht melden. Sie gehört deshalb praktisch zu Nr. 2.

Wo sich Business Premium, E3 und E5 bei NIS2 wirklich unterscheiden

Der überraschende Unterschied zuerst: Bei Erkennung und Reaktion auf Endgeräten ist Business Premium stärker als E3. Business Premium enthält Defender for Business mit EDR und automatisierter Untersuchung. E3 enthält Defender for Endpoint Plan 1, also Basisschutz ohne EDR. Daran hat auch die Neuordnung der Pläne zum 1. Juli 2026 nichts geändert. E3 bekam damals Defender for Office 365 Plan 1 und Intune Plan 2. Defender for Endpoint Plan 2 bekam es nicht. Beim Schwachstellenmanagement ist es genauso: Business Premium hat die Kernfunktionen, E3 nicht.

E5 legt an drei Stellen drauf. Es bringt Entra ID P2 für PIM und Risikoerkennung. Es hält das Überwachungsprotokoll ein Jahr statt 180 Tage, zunächst für Entra, Exchange, SharePoint und OneDrive. Und es kennzeichnet Inhalte automatisch. Zehn Jahre Protokoll kosten auch mit E5 ein weiteres Add-on je Nutzer.

Business Premium erreicht diese drei Stellen über Zusätze. Die Defender Suite bringt Entra ID P2, die Purview Suite (bis 300 Nutzer) das längere Protokoll. Automatische Kennzeichnung nennt Microsoft für die Purview Suite auf der Produktseite, in der Servicebeschreibung bisher nicht.

Wie die beiden Pläne sonst auseinanderliegen, steht im Vergleich Business Premium vs. E3, die Enterprise-Stufen vergleicht E5 vs. E3.

Braucht jeder Nutzer E5?

Nein. Viele NIS2-relevante Premium-Funktionen werden pro Person lizenziert, und viele davon brauchen nur wenige Personen.

PIM ist ein klares Beispiel. Eine Lizenz brauchen nur Nutzer mit berechtigten Admin-Rollen sowie die Genehmiger und Prüfer, nicht die ganze Belegschaft. Rechnen wir das für 200 Nutzer mit 10 Admins durch, mit Listenpreisen netto bei Jahresbindung:

E5 bringt natürlich mehr als PIM. Wer aber nur wegen PIM über E5 nachdenkt, zahlt fast das 47-Fache. Dasselbe Prinzip gilt für das Zehn-Jahres-Audit: Es lohnt sich für die Konten, deren Handlungen Sie lange nachweisen müssen, nicht für alle.

Zwei Einschränkungen gehören dazu. Wer im Geltungsbereich einer Richtlinie liegt, braucht die Lizenz, auch wenn er sie nie bemerkt. Das gilt etwa für P1 beim bedingten Zugriff, wie im Artikel Conditional Access Lizenz beschrieben. Und manche Schutzfunktionen wirken für alle, sobald man sie einschaltet. Warum das den Lizenzbedarf bestimmt, erklärt der Leitfaden zur Lizenzoptimierung. Dass sich Pläne im selben Tenant mischen lassen und welche Regeln dabei gelten, steht in Microsoft 365 Lizenzen kombinieren.

Was deckt keine Microsoft-365-Lizenz ab?

Mehr, als viele Angebote vermuten lassen. Vier Lücken bleiben. Backup und das Organisatorische deckt auch E5 nicht ab.

Backup (Nr. 3). Keine Microsoft-365-Lizenz enthält ein Backup. Microsoft 365 Backup wird separat über ein Azure-Abonnement abgerechnet. Laut Microsoft kostet es 0,15 US-Dollar je GB geschützter Daten und Monat (Stand Oktober 2026). Die Wiederherstellung kostet nichts extra. Holds, also Aufbewahrungssperren wie Litigation Hold, sind kein Ersatz: Laut Microsoft sind sie für den Export gedacht, nicht für eine Massen-Wiederherstellung. Aufbewahrungsrichtlinien bewahren Inhalte auf, stellen sie aber nicht als Ganzes wieder her.

Lange Protokolle. Entra hält Anmeldeprotokolle mit P1 oder P2 nur 30 Tage. Mit E5 bewahrt das Überwachungsprotokoll Entra-Aktivitäten ein Jahr auf. Wer länger braucht, exportiert sie, etwa nach Azure Monitor oder in ein SIEM (Security Information and Event Management). Ein solches System sammelt Sicherheitsprotokolle zentral, bei Microsoft heißt es Sentinel. Sentinel wird nach Datenvolumen abgerechnet. Die Überwachungsprotokolle aus Office 365 nimmt es kostenfrei auf, die Rohprotokolle aus Entra nicht.

Die NIS2-Vorlage im Compliance Manager. Den Compliance Manager, Microsofts Werkzeug für Compliance-Bewertungen, haben alle Pläne, auch Business Premium. Die Vorlage zur NIS2-Richtlinie ist aber eine Premium-Vorlage. Mit E5 sind drei Premium-Vorlagen enthalten, sonst kosten sie extra.

Alles Organisatorische. Risikoanalyse, Lieferkettenbewertung, Notfallpläne, Schulungen, der Meldeprozess und die Aufgaben der Geschäftsleitung. Dafür gibt es Werkzeuge, aber keine Lizenzstufe. Kein Microsoft-365-Plan macht ein Unternehmen NIS2-konform.

Was gilt zusätzlich für MSPs und Cloud-Anbieter?

Für sie wird es konkreter. Die EU hat für einige digitale Einrichtungsarten genauere Regeln erlassen, die Durchführungsverordnung (EU) 2024/2690. Sie gilt für elf Arten, darunter Managed Service Provider (MSP), also IT-Dienstleister, die Systeme ihrer Kunden betreiben. Ebenso für Managed Security Service Provider (MSSP), Cloud-Anbieter und Rechenzentren. Dazu kommen DNS-Diensteanbieter, TLD-Registries (Verwalter von Endungen wie .de), Betreiber von Content-Delivery-Netzen, Vertrauensdiensteanbieter, Online-Marktplätze, Suchmaschinen und soziale Netzwerke. Sie hat für diese Einrichtungsarten Vorrang vor § 30 BSIG (§ 30 Abs. 3). Alle anderen Sektoren betrifft sie laut BSI nicht.

Drei Punkte aus dem Anhang betreffen Microsoft 365 direkt:

• Starke Authentifizierung für Admin-Konten, zum Beispiel MFA, für privilegierte und administrative Zugänge (Nr. 11.3.2).
• MFA oder kontinuierliche Authentifizierung, soweit angemessen und passend zur Einstufung der Werte (Nr. 11.7).
• Protokollierung mit festgelegten Inhalten, soweit angemessen. Dazu gehören Authentifizierungen, privilegierte Zugriffe und Zugriffe auf Backups (Nr. 3.2.3). Aufbewahrt werden sie für einen vorab festgelegten Zeitraum (Nr. 3.2.5). Eine feste Dauer nennt auch die Verordnung nicht.

Ein MSP, der Kunden-Tenants verwaltet, ist damit doppelt gefragt: als eigene Einrichtung, sofern er die Größenschwellen erreicht, und als Teil der Lieferkette seiner Kunden. Wie Dienstleister die Lizenz-Lücken aller Kunden-Tenants auf einer Seite sehen, zeigt die Seite für IT-Dienstleister.

Wobei LessLicense hilft und wobei nicht

LessLicense ist kein NIS2-Compliance-Werkzeug und macht niemanden konform. Es liefert den Microsoft-365-Teil auf Lizenzebene. Je Nutzer zeigt es, wer im Geltungsbereich welcher Schutzrichtlinie liegt und ob die Lizenz dazu passt. Erfasst werden unter anderem bedingter Zugriff, PIM und Identity Protection. Dazu kommen Schutz vor Datenverlust (DLP), auch auf Endgeräten, automatische Kennzeichnung, Audit (Premium) und Defender.

Daraus ergeben sich beide Richtungen, die bei NIS2 zählen:

• Unterlizenziert: Eine Schutzrichtlinie erfasst Nutzer ohne die nötige Lizenz.
• Überlizenziert: E5 liegt auf Konten, die keine der Premium-Funktionen nutzen oder brauchen.

Nicht prüft LessLicense, ob MFA tatsächlich erzwungen und registriert ist. Auch Protokollaufbewahrung, Backup und alles Organisatorische liegen außerhalb. Für Ihre eigene Lieferkettenbewertung (Nr. 4) gilt: LessLicense läuft auf Ihrer Infrastruktur und nutzt seine Berechtigungen nur lesend. Die Einrichtung vergibt allerdings auch Berechtigungen, die Schreiben erlauben würden. Welche das sind, steht unter So funktioniert es.

FAQ

Reicht Business Premium für NIS2?

Für den technischen Teil, den Microsoft 365 abdeckt, meist ja, mit drei Lücken. Backup fehlt in jedem Plan, und das Überwachungsprotokoll reicht 180 Tage. PIM und Risikoerkennung brauchen die Defender Suite als Zusatz. Für das Organisatorische hilft kein Plan. Ob es reicht, entscheidet Ihre Risikoanalyse, nicht der Plan.

Ist eine ISO-27001-Zertifizierung gleich NIS2-Konformität?

Nicht automatisch, das stellt das BSI ausdrücklich klar. Es ordnet die NIS2-Maßnahmen aber den Kontrollen aus ISO 27001 zu, der internationalen Norm für Informationssicherheit. Dazu kommt sein eigener IT-Grundschutz. Wer zertifiziert ist, hat damit eine gute Grundlage. Eine bestimmte Norm schreibt das BSI nicht vor.

Wie lange müssen Protokolle aufbewahrt werden?

Das BSI-Gesetz nennt für die Protokolle der Unternehmen keine Dauer. Die Durchführungsverordnung für MSPs und Cloud-Anbieter verlangt einen vorab festgelegten Zeitraum, ebenfalls ohne Zahl. Legen Sie die Dauer in Ihrer eigenen Richtlinie fest. Prüfen Sie dann, ob die 180 Tage des Überwachungsprotokolls dafür reichen.

Brauchen wir die NIS2-Vorlage im Compliance Manager?

Nein, sie ist ein Hilfsmittel und keine Pflicht. Sie gibt eine Struktur vor, an der sich die Maßnahmen abarbeiten lassen. Sie ist eine Premium-Vorlage, die in E5 enthalten ist und sonst extra kostet.

Bis wann mussten sich Unternehmen beim BSI registrieren?

Spätestens drei Monate nach dem Zeitpunkt, ab dem sie betroffen sind. Für alle, die schon beim Inkrafttreten betroffen waren, endete die Frist am 6. März 2026. Wer die Registrierung versäumt hat, sollte sie nachholen, Verstöße dagegen kosten bis zu 500.000 €.