Was sind die Pflichten von Unternehmen laut NIS2-Richtlinie?

Unternehmen, die unter die NIS2-Richtlinie fallen, sind verpflichtet, technische und organisatorische Sicherheitsmaßnahmen umzusetzen, Sicherheitsvorfälle zu melden und die Verantwortung auf Führungsebene zu verankern. Die Richtlinie gilt seit Oktober 2024 in der gesamten EU und betrifft deutlich mehr Unternehmen als ihr Vorgänger. Die folgenden Abschnitte beantworten die wichtigsten Fragen rund um NIS2-Pflichten, Anforderungen und Umsetzung.

Welche Unternehmen fallen unter die NIS2-Richtlinie?

Die NIS2-Richtlinie erfasst Unternehmen aus kritischen und wichtigen Sektoren, die bestimmte Größenschwellen überschreiten. Betroffen sind in der Regel Organisationen mit mindestens 50 Mitarbeitern oder einem Jahresumsatz von über 10 Millionen Euro, sofern sie in einem der definierten Sektoren tätig sind. Kleinere Unternehmen können ebenfalls einbezogen sein, wenn sie eine kritische Infrastrukturfunktion erfüllen.

Die Richtlinie unterscheidet zwischen zwei Kategorien:

• Wesentliche Einrichtungen: Dazu zählen Sektoren wie Energie, Verkehr, Bankwesen, Gesundheitswesen, Trinkwasser, digitale Infrastruktur und öffentliche Verwaltung.
• Wichtige Einrichtungen: Hierunter fallen unter anderem Post- und Kurierdienste, Abfallwirtschaft, Lebensmittelproduktion, Chemie, Maschinenbau sowie digitale Anbieter.

Unternehmen sollten sorgfältig prüfen, ob sie in einen dieser Sektoren fallen. In Deutschland wird die NIS2-Richtlinie durch das NIS2UmsuCG (NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz) in nationales Recht überführt. Hinweis: Die genaue Einstufung kann je nach Unternehmensstruktur und Tätigkeitsfeld variieren. Eine rechtliche Prüfung im Einzelfall wird empfohlen.

Welche konkreten Sicherheitsmaßnahmen schreibt NIS2 vor?

NIS2 verpflichtet betroffene Unternehmen zur Umsetzung eines risikobasierten Ansatzes für die IT-Sicherheit. Die Maßnahmen müssen dem Stand der Technik entsprechen und verhältnismäßig zum jeweiligen Risiko sein. Konkret nennt die Richtlinie einen Katalog von Mindestanforderungen, den alle betroffenen Organisationen erfüllen müssen.

Zu den vorgeschriebenen Sicherheitsmaßnahmen gehören:

• Risikoanalyse und Sicherheitskonzepte: Systematische Identifikation und Bewertung von Risiken für Netz- und Informationssysteme.
• Business Continuity Management: Pläne zur Aufrechterhaltung des Betriebs im Krisenfall, einschließlich Backup-Strategien und Notfallwiederherstellung.
• Supply-Chain-Sicherheit: Bewertung der Sicherheitspraktiken von Lieferanten und Dienstleistern.
• Sicherheit bei Beschaffung und Entwicklung: Berücksichtigung von Sicherheitsanforderungen im gesamten Lebenszyklus von IT-Systemen.
• Schwachstellenmanagement: Regelmäßige Überprüfung und Behebung von Sicherheitslücken.
• Kryptografie und Verschlüsselung: Einsatz geeigneter kryptografischer Verfahren zum Schutz sensibler Daten.
• Zugangskontrollen und Authentifizierung: Implementierung von Multi-Faktor-Authentifizierung und Zugriffsrechteverwaltung.
• Schulung und Sensibilisierung: Regelmäßige Trainings für Mitarbeiter zu Cybersicherheitsthemen.

Was sind die Meldepflichten bei Sicherheitsvorfällen laut NIS2?

NIS2 schreibt ein mehrstufiges Meldeverfahren bei erheblichen Sicherheitsvorfällen vor. Unternehmen müssen relevante Vorfälle innerhalb klar definierter Fristen an die zuständige nationale Behörde melden. In Deutschland ist dies das Bundesamt für Sicherheit in der Informationstechnik (BSI).

Das Meldeverfahren gliedert sich in drei Stufen:

1. Erstmeldung (innerhalb von 24 Stunden): Eine erste Frühwarnung nach Bekanntwerden eines erheblichen Vorfalls, die eine erste Einschätzung der Art und möglichen Ursache enthält.
2. Detaillierte Meldung (innerhalb von 72 Stunden): Eine vollständige Bewertung des Vorfalls, einschließlich Schweregrad, betroffener Systeme und ergriffener Maßnahmen.
3. Abschlussbericht (innerhalb eines Monats): Eine umfassende Analyse mit Ursachenbeschreibung, Auswirkungen und getroffenen Abhilfemaßnahmen.

Als erheblich gilt ein Vorfall, wenn er zu erheblichen Betriebsunterbrechungen, finanziellen Verlusten oder Auswirkungen auf andere Personen oder Organisationen führen kann. Unternehmen sollten interne Prozesse und Eskalationswege bereits im Vorfeld definieren, um diese Fristen einhalten zu können.

Welche Verantwortung trägt die Geschäftsführung unter NIS2?

NIS2 macht Cybersicherheit zur Chefsache: Die Geschäftsführung trägt persönliche Verantwortung für die Einhaltung der Anforderungen und kann bei Verstößen direkt haftbar gemacht werden. Dies ist eine der wesentlichen Neuerungen gegenüber der Vorgängerrichtlinie und stellt sicher, dass IT-Sicherheitspflichten auf Vorstandsebene verankert werden.

Konkret bedeutet das für die Führungsebene:

• Genehmigung und Überwachung der implementierten Sicherheitsmaßnahmen.
• Teilnahme an Schulungen zu Cybersicherheitsrisiken und deren Management.
• Aktive Steuerung des Risikomanagements im Bereich Informationssicherheit.
• Persönliche Haftung bei nachgewiesener Pflichtverletzung, die nicht an Dritte delegiert werden kann.

Diese Regelung soll sicherstellen, dass Sicherheitsentscheidungen nicht allein der IT-Abteilung überlassen bleiben, sondern strategisch auf Unternehmensebene getroffen werden.

Welche Strafen drohen bei Verstößen gegen NIS2?

Bei Verstößen gegen die NIS2-Anforderungen drohen empfindliche Bußgelder, die sich an der Schwere des Verstoßes und der Unternehmensgröße orientieren. Die Richtlinie sieht deutlich höhere Sanktionen vor als ihre Vorgängerin und unterscheidet dabei zwischen wesentlichen und wichtigen Einrichtungen.

• Wesentliche Einrichtungen: Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.
• Wichtige Einrichtungen: Bußgelder von bis zu 7 Millionen Euro oder 1,4 Prozent des weltweiten Jahresumsatzes.

Zusätzlich zu Geldbußen können Aufsichtsbehörden Anweisungen zur Behebung von Mängeln erteilen, den Betrieb vorübergehend untersagen oder öffentliche Bekanntmachungen über Verstöße veranlassen. Für Geschäftsführer besteht darüber hinaus die Möglichkeit einer persönlichen Haftung. Hinweis: Die genaue Ausgestaltung der Sanktionen richtet sich nach dem nationalen Umsetzungsgesetz und kann im Einzelfall variieren.

Wie können Unternehmen die NIS2-Compliance effizient umsetzen?

Eine strukturierte Vorgehensweise ist der Schlüssel zur effizienten NIS2-Umsetzung. Unternehmen, die bereits über ein bestehendes Informationssicherheitsmanagementsystem (ISMS) verfügen, etwa nach ISO 27001, haben einen deutlichen Vorsprung, da viele Anforderungen sich überschneiden. Für alle anderen empfiehlt sich ein schrittweiser Ansatz.

Schritt 1: Bestandsaufnahme und Gap-Analyse

Zunächst sollten Unternehmen prüfen, ob sie überhaupt unter NIS2 fallen, und anschließend den aktuellen Stand ihrer Sicherheitsmaßnahmen mit den NIS2-Anforderungen abgleichen. Eine Gap-Analyse zeigt konkret, wo Handlungsbedarf besteht.

Schritt 2: Maßnahmenplan und Priorisierung

Auf Basis der Gap-Analyse wird ein priorisierter Maßnahmenplan erstellt. Dabei sollten Maßnahmen mit dem größten Risikoreduktionspotenzial vorrangig umgesetzt werden. Gleichzeitig sind interne Zuständigkeiten zu klären und die Geschäftsführung aktiv einzubeziehen.

Folgende Aspekte sollten bei der Umsetzung besonders berücksichtigt werden:

• Aufbau oder Optimierung eines Incident-Response-Prozesses für die Einhaltung der Meldepflichten.
• Einführung oder Erweiterung von Schulungsprogrammen für Mitarbeiter und Führungskräfte.
• Überprüfung und Absicherung der Lieferkette durch vertragliche Sicherheitsanforderungen an Dienstleister.
• Dokumentation aller Maßnahmen als Nachweis gegenüber Aufsichtsbehörden.

Wie die Concat AG bei der NIS2-Compliance unterstützt

Die NIS2-Richtlinie stellt Unternehmen vor komplexe Anforderungen, die technisches Know-how, organisatorisches Management und rechtliches Verständnis gleichermaßen erfordern. Wir bei der Concat AG unterstützen Sie dabei, diese Anforderungen strukturiert und nachhaltig zu erfüllen.

Unser Leistungsangebot im Bereich NIS2-Compliance umfasst:

• NIS2-Readiness-Analyse: Wir prüfen, ob Ihr Unternehmen unter die Richtlinie fällt, und identifizieren konkrete Handlungsfelder durch eine umfassende Gap-Analyse.
• Technische Sicherheitsmaßnahmen: Von der Implementierung von Zugangskontrollsystemen über Schwachstellenmanagement bis hin zu Verschlüsselungslösungen setzen wir die geforderten IT-Security-Pflichten technisch um.
• Managed Security Services: Unser 24×7-Servicebetrieb sorgt für kontinuierliche Überwachung und schnelle Reaktion im Ernstfall, damit Sie die engen Meldefristen einhalten können.
• Schulung und Sensibilisierung: Wir bereiten Ihre Mitarbeiter und Führungskräfte gezielt auf die Anforderungen der NIS2-Richtlinie vor.
• Dokumentation und Nachweisführung: Wir unterstützen Sie bei der revisionssicheren Dokumentation aller umgesetzten Maßnahmen.

Unsere Rechenzentren in Deutschland sind nach ISO 9001 und ISO 27001 zertifiziert; unser Managed Service arbeitet nach ITIL-Standards. Damit schaffen wir eine solide Grundlage für Ihre NIS2-konforme IT-Infrastruktur. Nehmen Sie jetzt Kontakt mit uns auf und erfahren Sie, wie wir Ihr Unternehmen sicher und compliant aufstellen.