Inhalt
- 1. Was ist NIS2?
- 2. Wer ist betroffen?
- 3. Die wichtigsten Pflichten
- 4. Konsequenzen bei Nichteinhaltung
- 5. So gehen Sie vor
- 6. Betroffen oder nicht? So prüfen Sie es
- 7. Die Mindestmaßnahmen im Überblick
- 8. Ein typisches Szenario: NIS2 über die Lieferkette
- 9. In vier Schritten zur Grundlage
- 10. Aufwand realistisch einschätzen
- 11. Auch indirekt betroffen: die Lieferkette
- 12. Kurz zusammengefasst
Die NIS2-Richtlinie der Europäischen Union hat den Kreis der betroffenen Unternehmen erheblich erweitert. Was zunächst nach einem Thema für Großkonzerne klingt, betrifft mittlerweile zehntausende Unternehmen in Deutschland.
Was ist NIS2?
NIS2 steht für Network and Information Security Directive 2, die überarbeitete EU-Richtlinie zur Cybersicherheit. Sie löst die erste NIS-Richtlinie ab und stellt deutlich höhere Anforderungen an betroffene Unternehmen. Ziel ist es, die Cyber-Resilienz in kritischen und wichtigen Sektoren der EU zu stärken.
Wer ist betroffen?
NIS2 gilt für Unternehmen in 18 Sektoren, darunter Energie, Transport, Gesundheit, Wasser, digitale Infrastruktur, Finanzwesen und viele mehr. Entscheidend sind zwei Schwellenwerte: wesentliche Einrichtungen ab 250 Mitarbeitern oder 50 Millionen Euro Umsatz, wichtige Einrichtungen ab 50 Mitarbeitern oder 10 Millionen Euro Umsatz.
Auch Unternehmen, die Zulieferer kritischer Infrastrukturen sind, können indirekt betroffen sein. Ihr Auftraggeber wird Sie nach Ihrer Cybersicherheitslage fragen.
Die wichtigsten Pflichten
Risikomanagement: Betroffene Unternehmen müssen ein systematisches Risikomanagement für ihre IT-Systeme einführen. Meldepflichten: Sicherheitsvorfälle müssen innerhalb von 24 Stunden bei der zuständigen Behörde gemeldet werden. Governance: Die Geschäftsführung haftet persönlich für die Einhaltung der Anforderungen und muss geschult werden.
Zu den technischen Maßnahmen gehören unter anderem Zugriffskontrolle, Verschlüsselung, Incident-Response-Pläne, Backup-Strategien und die Sicherheit der Lieferkette.
Konsequenzen bei Nichteinhaltung
Die Bußgelder sind erheblich: bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes für wesentliche Einrichtungen. Zusätzlich können Geschäftsführer persönlich haftbar gemacht werden.
So gehen Sie vor
Prüfen Sie zunächst, ob und in welchem Umfang NIS2 auf Ihr Unternehmen zutrifft. Führen Sie eine Bestandsaufnahme Ihrer IT-Sicherheitsmaßnahmen durch und identifizieren Sie die Lücken. Ein erfahrener IT-Dienstleister kann diese Gap-Analyse übernehmen und einen Maßnahmenplan erstellen.
Betroffen oder nicht? So prüfen Sie es
Entscheidend sind Branche und Unternehmensgröße. Betroffen sind vor allem mittlere und große Unternehmen in Sektoren wie Energie, Gesundheit, Transport, digitale Infrastruktur, Abfallwirtschaft, Lebensmittel oder bestimmte Herstellungsbereiche. Das BSI stellt auf seiner Website eine Betroffenheitsprüfung bereit. Wichtig: Auch nicht direkt betroffene Unternehmen spüren NIS2, weil ihre Kunden als Teil der Lieferkette Sicherheitsnachweise verlangen.
Die Mindestmaßnahmen im Überblick
- Risikoanalyse und Sicherheitskonzept für die IT.
- Bewältigung von Sicherheitsvorfällen inklusive Meldewegen.
- Backup-Management, Wiederherstellung und Krisenmanagement.
- Sicherheit in der Lieferkette und bei Dienstleistern.
- Schulungen, auch für die Geschäftsleitung.
- Multi-Faktor-Anmeldung und Verschlüsselung, wo angemessen.
Ein typisches Szenario: NIS2 über die Lieferkette
Ein Beispiel, wie es häufig vorkommt: Ein kleiner Zulieferer mit 30 Mitarbeitenden ist selbst nicht direkt von NIS2 betroffen. Sein größter Kunde, ein Energieversorger, ist es aber. Dieser verschickt einen Fragebogen zu Sicherheitsmaßnahmen: Gibt es Multi-Faktor-Anmeldung, getestete Backups, einen Notfallplan, geschulte Mitarbeitende? Wer hier keine überzeugenden Antworten geben kann, riskiert, bei der nächsten Vergabe nicht mehr berücksichtigt zu werden. NIS2 wirkt so weit über den direkten Anwendungsbereich hinaus.
In vier Schritten zur Grundlage
- Schritt 1: Betroffenheit prüfen, zum Beispiel mit der Prüfung des BSI.
- Schritt 2: Bestandsaufnahme der IT mit Blick auf kritische Systeme und Zugänge.
- Schritt 3: Lücken priorisieren und die wichtigsten Maßnahmen umsetzen.
- Schritt 4: Maßnahmen dokumentieren, Verantwortlichkeiten festlegen und regelmäßig überprüfen.
Aufwand realistisch einschätzen
Für betroffene Unternehmen ist NIS2 ein Projekt über mehrere Monate, weil neben Technik auch Abläufe, Meldewege und Schulungen der Leitungsebene gehören. Für Zulieferer ohne direkte Pflicht reicht oft ein schlankeres Vorgehen: die wichtigsten technischen Maßnahmen umsetzen und so dokumentieren, dass Kundenanfragen schnell und glaubwürdig beantwortet werden können.
Auch indirekt betroffen: die Lieferkette
NIS2 wirkt weit über die direkt betroffenen Unternehmen hinaus. Wer selbst nicht unter die Richtlinie fällt, aber Kunden aus regulierten Branchen beliefert, wird zunehmend nach seiner Informationssicherheit gefragt. Das geschieht über Fragebögen, Audits oder Klauseln in Verträgen. Wer Grundmaßnahmen wie MFA, Backups, Updates und einen Notfallplan bereits umgesetzt und dokumentiert hat, kann solche Anfragen schnell beantworten und bleibt ein verlässlicher Partner. Die Beschäftigung mit NIS2 lohnt sich deshalb auch ohne direkte Pflicht.
Kurz zusammengefasst
- Betroffenheit hängt von Branche und Größe ab.
- Auch nicht betroffene Unternehmen spüren NIS2 über ihre Kunden.
- Risikomanagement, Meldewege und Schulungen gehören zu den Kernpflichten.
- Dokumentation ist so wichtig wie die Maßnahmen selbst.
Häufige Fragen
Haftet die Geschäftsführung persönlich?
NIS2 sieht vor, dass die Leitungsebene die Risikomanagementmaßnahmen billigt und ihre Umsetzung überwacht. Bei Verstößen kann eine persönliche Verantwortung entstehen. Die genaue Ausgestaltung regelt das deutsche Umsetzungsgesetz.
Wir sind nicht betroffen. Müssen wir trotzdem etwas tun?
Rechtlich vielleicht nicht, praktisch oft schon: Betroffene Kunden müssen ihre Lieferkette absichern und fragen bei Dienstleistern und Zulieferern nach Sicherheitsmaßnahmen.
Wo fange ich am besten an?
Mit einer Bestandsaufnahme: Welche Systeme sind kritisch, wer hat Zugriff, wie wird gesichert? Daraus ergibt sich eine priorisierte Liste mit den wichtigsten Lücken.
Welche Meldepflichten gibt es bei Vorfällen?
Betroffene Unternehmen müssen erhebliche Sicherheitsvorfälle gestuft an das BSI melden, mit einer frühen Erstmeldung und späteren Berichten. Die genauen Fristen regelt das deutsche Umsetzungsgesetz.
Hilft eine Zertifizierung wie ISO 27001?
Sie deckt viele Anforderungen ab und erleichtert Nachweise. Pflicht ist sie für die meisten Unternehmen aber nicht, und für kleine Betriebe oft zu aufwendig.
Wer überwacht NIS2 in Deutschland?
Zuständig ist das Bundesamt für Sicherheit in der Informationstechnik (BSI). Betroffene Einrichtungen müssen sich dort registrieren und erhebliche Sicherheitsvorfälle melden.
Passende Leistung
IT-Sicherheit bei DigiVillage GmbH
Firewall, Endpoint-Schutz, Backup und DSGVO.
Mehr erfahren