TrueNAS für KRITIS und NIS-2: Storage, der Ihre Sicherheitsmaßnahmen trägt
Betreiber kritischer Infrastrukturen und Einrichtungen unter NIS-2 müssen Storage nach dem Stand der Technik absichern und im Vorfall nachvollziehbar bleiben. TrueNAS liefert die Funktionen — DATAZONE die Umsetzung.
Wichtig: Diese Seite ist keine Rechtsberatung. Ob und wie Ihre Einrichtung unter KRITIS-Regelungen oder die nationale NIS-2-Umsetzung fällt, klären Sie mit Ihrer Rechtsabteilung bzw. Fachberatung. TrueNAS ist ein Baustein Ihrer Maßnahmen, keine Zertifizierung: Weder ein Produkt noch DATAZONE machen eine Organisation „NIS-2-konform".
Was NIS-2 und KRITIS vom Storage-Betrieb verlangen
Die NIS-2-Richtlinie (EU 2022/2555) verpflichtet betroffene Einrichtungen in Art. 21 zu Risikomanagementmaßnahmen. Für den Storage-Betrieb sind vor allem diese Bereiche relevant:
- Business Continuity: Backup-Management, Wiederherstellung nach Notfall, Krisenmanagement
- Bewältigung von Sicherheitsvorfällen: erkennen, eindämmen, nachvollziehen
- Kryptografie und Verschlüsselung
- Zugriffskontrolle und Asset-Management
- Multi-Faktor-Authentifizierung
- Sicherheit bei Beschaffung und Wartung (Schwachstellen, Updates)
- Sicherheit der Lieferkette, auch gegenüber Dienstleistern
- Wirksamkeit prüfen: Maßnahmen regelmäßig bewerten
Dazu kommen Meldepflichten bei erheblichen Sicherheitsvorfällen (Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden, Abschlussbericht nach einem Monat, Art. 23). Für Ihre Storage-Umgebung heißt das: Sie brauchen Protokolle, die einen Vorfall rekonstruierbar machen, und einen Support-Partner, der schnell reagiert.
In Deutschland gilt die nationale Umsetzung über das NIS2UmsuCG; für KRITIS-Betreiber kommen BSI-Gesetz-Vorgaben und branchenspezifische Sicherheitsstandards hinzu, etwa B3S im Gesundheitswesen.
Vertiefung: NIS-2 für den Mittelstand: Pflichten 2026.
Wie TrueNAS-Funktionen die Maßnahmen unterstützen
Die Zuordnung ist bewusst nüchtern: TrueNAS liefert Bausteine, die Ihre technischen und organisatorischen Maßnahmen tragen. Betrieb und Dokumentation bleiben Teil Ihrer Verantwortung.
| Anforderungsbereich | TrueNAS-Funktion | Hinweis für den Betrieb |
|---|---|---|
| Verschlüsselung | ZFS-Dataset-Verschlüsselung; optional SED-/FIPS-140-Laufwerke (M-Serie-Medien) | Schlüssel getrennt vom System verwahren; Schlüsselprozess dokumentieren |
| Backup & Wiederherstellung | ZFS-Snapshots (read-only), Replikation auf ein zweites System/Standort | Snapshot-Zeitpläne und Aufbewahrung festlegen, Restore regelmäßig testen |
| Schutz vor Manipulation | Read-only Snapshots; S3 Object Lock im nativen Object-Dienst (laut Hersteller-Doku; Verfügbarkeit je Edition prüfen) | Lösch-Rechte für Snapshots von Backup-Admins trennen |
| Nachvollziehbarkeit | Audit-Logs (Audit-Screen ab TrueNAS 24.04), Syslog-Weiterleitung an externen Server | Logs extern und manipulationsgeschützt speichern, z. B. im SIEM |
| Zugriffskontrolle | Rollen mit eingeschränkten Admin-Rechten (ab 24.04), ACLs, Initiator-/Netzwerk-Beschränkungen für iSCSI/NFS | Prinzip der minimalen Rechte; Management-Interfaces in getrennte Netze |
| MFA | Zwei-Faktor-Authentifizierung für Admin-Konten | API-Keys unterliegen nicht der 2FA — eigene Service-Konten mit minimalen Rechten |
| Verfügbarkeit | Dual-Controller-HA (H-, M-, F-, V-Serie optional) mit aktiv-passivem Failover | HA ersetzt kein Backup; Failover regelmäßig testen |
| Schwachstellenmanagement | Regelmäßige Updates, Security Advisories des Herstellers | Update-Fenster planen, Release Notes prüfen |
Vertiefungen aus dem Blog: Dataset-Verschlüsselung mit ZFS · Ransomware-Resilienz mit TrueNAS · Snapshots und Replikation erklärt · Forensik mit Snapshots.
Betriebliche Maßnahmen: Technik allein reicht nicht
Funktionen helfen nur, wenn sie konsequent betrieben werden. Diese Maßnahmen gehören in Ihr Betriebshandbuch:
Rollen und Rechte
Getrennte Konten für Storage-, Backup- und Netzwerk-Administration; keine gemeinsamen Admin-Konten; 2FA für alle Admins.
Netzsegmentierung
Management-Interfaces (Web-UI, IPMI) nur aus einem Admin-Netz; Storage-Verkehr in eigenen VLANs. Mit OPNsense setzen wir die Segmentierung auf Firewall-Ebene um.
Backup-Konzept 3-2-1
Snapshots plus Replikation an einen zweiten Standort plus ein unveränderliches oder offline gehaltenes Ziel.
Restore-Tests
Dokumentiert, mindestens quartalsweise, inklusive Wiederanlaufzeiten.
Logging
Syslog/Audit an ein zentrales, separat administriertes System (SIEM).
Patch-Management
Feste Update-Zyklen, Testsystem, Rückfallplan.
Notfallplan
Ansprechpartner, Eskalation, Meldewege, Support-Kontakte offline verfügbar.
Lieferkette
Support-Verträge, Ersatzteilversorgung und Zuständigkeiten schriftlich festhalten.
Support-SLA für kritische Umgebungen
Für KRITIS- und NIS-2-Umgebungen empfehlen wir TrueNAS Enterprise mit Gold-Support (24/7). Silver (Mo–Fr zu Geschäftszeiten) eignet sich für Systeme, deren Ausfall bis zum nächsten Werktag tragbar ist.
- DATAZONE übernimmt die Kommunikation mit iXsystems.
- P1-Tickets (System steht, Daten gefährdet) bearbeiten wir parallel mit dem Hersteller.
- Optional: DATAZONE-Betriebsunterstützung für Monitoring, Updates und Changes.
- Reaktionszeiten laut Supportvertrag; Dokumentationen für Audits auf Wunsch.
- Remote aus Deutschland, vor Ort nach Absprache.
Details: TrueNAS Support.
Referenzkonfigurationen (Struktur)
Ausgangspunkte, keine Festangebote. Die genaue Bestückung berechnen Sie im Konfigurator. Preise entstehen aus der Stückliste, nicht aus Orientierungswerten.
| Ref. A — Standort / Edge | Ref. B — Primärstorage HA | Ref. C — Großes Archiv / PACS / Leitsystem | |
|---|---|---|---|
| Modell | H20 (2U, 12 Tri-Mode-Bays) | H30 (2U, 20 Cores, 256 GB RAM, 2× 6,4 TB NVMe-Read-Cache) | M40 (4U, 24 Bays, bis 192 GB RAM, TrueCache NVDIMM) |
| HA | optional Dual-Controller | Dual-Controller-HA | Dual-Controller-HA |
| Durchsatz (max.) | 4 GB/s | 8 GB/s | 6 GB/s |
| Erweiterung | 1 Shelf (ES24/ES60/ES102) | 1 Shelf | bis 2 Shelves (ES24/ES60/ES102) |
| Netzwerk | bis 4× 10/25 GbE | bis 4× 10/25/40/100 GbE, 2× 32 Gb FC | bis 2× 100 GbE, 4× 16 Gb FC |
| Laufwerke | NL-SAS-HDD + NVMe | SAS-SSD/NVMe oder Hybrid | NL-SAS-HDD (SED/FIPS optional) + NVMe-Cache |
| Zweitsystem | Replikationsziel R-/H-Serie am Zweitstandort | Replikationsziel am Zweitstandort | Replikationsziel am Zweitstandort |
| Support | Gold | Gold | Gold |
Hinweise: M30 als Alternative zu M40 (ohne NVDIMM). M50 und M60 sind End-of-Life; für sehr große Kapazitäten evaluieren wir F- oder V-Serie. Die Mini-Serie ist für kritische Umgebungen nicht vorgesehen (nur Hardwaregarantie, kein Enterprise-Support).
Branchenbeispiele
Die folgenden Szenarien beschreiben typische Anforderungen, keine Kundenreferenzen.
Gesundheitswesen
Krankenhäuser, MVZ, Labore: Klinische Systeme, Bildarchive (PACS) und Dokumentenarchive brauchen hohe Verfügbarkeit und lange Aufbewahrung. Typisch: Ref. B für Primärdaten, Ref. C für Bildarchive, Replikation an einen zweiten Brandabschnitt oder Standort, Verschlüsselung und strikte Rollentrennung.
Versorger
Energie, Wasser, Abwasser: Historische Prozessdaten, Leitsystem-Backups und Verwaltungs-IT. Typisch: Trennung von OT- und IT-Netzen, Storage in einem eigenen Segment, unveränderliche Backup-Ziele, Ref. A an Außenstandorten mit Replikation zur Zentrale.
Öffentliche Verwaltung
Fachverfahren, E-Akte, File-Services. Typisch: HA-Primärstorage, Snapshots mit dokumentierter Aufbewahrung, Audit-Logs an ein zentrales Logsystem, Betrieb mit Gold-Support (24/7).
Checkliste: Storage für KRITIS/NIS-2 vorbereiten
- Betroffenheit (KRITIS / NIS-2-Kategorie) geklärt und dokumentiert
- Schutzbedarf der Daten auf dem Storage bestimmt
- Verschlüsselung aktiviert, Schlüsselverwaltung dokumentiert
- Snapshot-Zeitpläne und Aufbewahrung festgelegt
- Replikation auf Zweitsystem/-standort eingerichtet
- Unveränderliches oder Offline-Backup-Ziel vorhanden
- Restore-Test durchgeführt und protokolliert
- 2FA für alle Admin-Konten, Service-Konten für API-Zugriffe
- Management-Interfaces segmentiert
- Audit-Logs/Syslog an zentrales System
- Update-Prozess mit Testsystem und Rückfallplan
- HA-Failover getestet
- Supportvertrag (Gold, 24/7) und Eskalationsweg dokumentiert
- Notfallhandbuch offline verfügbar
Häufige Fragen
Ist TrueNAS NIS-2-zertifiziert?
Welche Storage-Funktionen sind für NIS-2 besonders wichtig?
Schützen Snapshots vor Ransomware?
Unterstützt TrueNAS Audit-Logs?
Welcher Support ist für KRITIS sinnvoll?
Brauche ich Hochverfügbarkeit?
Ist die TrueNAS Mini für kritische Umgebungen geeignet?
Ersetzt diese Seite eine rechtliche Prüfung?
Verwandte Hubs
Storage für KRITIS und NIS-2 strukturiert aufsetzen
Wir legen Verschlüsselung, Snapshots, Replikation, HA und Audit-Logging mit Ihnen aus — mit Gold-Support (24/7) als Rückfalllinie. Live-Konfigurator mit Stückliste, verbindliches Angebot in unter 24 Stunden.
Jetzt Kontakt aufnehmen