NIS2 in Deutschland: Warum ist das wichtig?

Als Unternehmer in Deutschland haben Sie vielleicht schon von der NIS2-Richtlinie gehört. Noch nicht? Führen Sie ein Unternehmen mit mehr als 50 Mitarbeitenden? Ja? Dann sollten Sie sich die nächsten fünf Minuten Zeit nehmen, um diesen Blog zu lesen.

Was ist NIS2?

Die Netz- und Informationssicherheit-Rechtline 2 (NIS2) ist eine neue EU-weites Rechtline, ide die Cybersicherheit in Europa verbessern soll. Sie ersetzt die ursprüngliche NIS-Richtlinie und erweitert ihren Anwendungsbereich erheblich, indem sie mehr Branchen einschließt und strengere Anforderungen an die Cybersicherheit einführt.

Ähnlich wie die DSGVO den Umgang mit personenbezogenen Daten regelt, sorgt NIS2 dafür, dass essenzielle Dienste und kritische Infrastrukturen besser gegen wachsende Cyberbedrohungen geschützt sind. Während die DSGVO für alle Unternehmen gilt, die mit Kundendaten arbeiten, richtet sich NIS2 gezielt an Unternehmen, die wichtige oder essenzielle Dienstleistungen erbringen – mit dem Ziel, deren digitale Systeme und Infrastrukturen abzusichern.

Deutschland – wie alle anderen EU-Mitgliedstaaten – ist verpflichtet, NIS2 umzusetzen. Wenn Ihr Unternehmen in diese Kategorie fällt, ist es entscheidend, die Richtlinie zu verstehen und ihr nachzukommen. Denn bei Verstößen drohen Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes des Unternehmens.

Muss Ihr Unternehmen NIS2 erfüllen?

Durch den erweiterten Anwendungsbereich betrifft NIS2 künftig rund 30.000 Organisationen in Deutschland (Quelle). Insbesondere gilt die Richtlinie für mittlere und große Unternehmen (50+ Mitarbeitende oder über 10 Mio. Euro Jahresumsatz) in folgenden 18 Sektoren:

Essenzielle Sektoren (NIS 2, Anhang I):

• Energie (Strom, Öl, Gas, Fernwärme/-kälte, Wasserstoff)
• Verkehr (Luft, Schiene, Wasser, Straße)
• Banken
• Finanzmarktinfrastrukturen
• Gesundheitswesen
• Trinkwasserversorgung
• Abwasserentsorgung
• Digitale Infrastruktur
• ICT-Dienstleistungsmanagement (Business-to-Business)
• Öffentliche Verwaltung
• Raumfahrt

Wichtige Sektoren (NIS 2, Anhang II):

• Post- und Kurierdienste
• Abfallwirtschaft
• Herstellung, Produktion und Vertrieb von Chemikalien
• Produktion, Verarbeitung und Vertrieb von Lebensmitteln
• Verarbeitendes Gewerbe
• Digitale Diensteanbieter
• Forschung

Bestimmte Organisationen – unabhängig von ihrer Größe – müssen NIS2 einhalten, wenn sie alleiniger Anbieter eines kritischen Dienstes in Deutschland sind.

Was viele übersehen: Auch Dienstleister und Zulieferer dieser betroffenen Unternehmen können indirekt unter NIS2 fallen. Selbst wenn Ihr Unternehmen nicht direkt unter die Richtlinie fällt, könnten Ihre Kunden verlangen, dass Sie vergleichbare Cybersicherheitsstandards einhalten, um ihre eigene Compliance sicherzustellen. Mit anderen Worten: Egal, an welcher Stelle der Lieferkette Sie stehen – sich auf NIS2 vorzubereiten ist kein nettes Extra, sondern ein strategischer Vorteil, um Kunden aus regulierten Branchen zu halten oder zu gewinnen.

Ab wann gilt NIS2?

Deutschland hat die ursprüngliche Frist im Oktober 2024 zur Umsetzung von NIS2 in nationales Recht verpasst. Der Zeitplan bleibt ungewiss – manche rechnen mit Frühling 2025. Unabhängig vom exakten Datum sollten Unternehmen jetzt mit den Vorbereitungen beginnen. Regulatorische Rahmenbedingungen können schnell in Kraft treten, und die Strafen für Nichtbefolgung sind zu hoch, um auf den letzten Drücker zu handeln.

Hauptanforderungen von NIS2

NIS2 fokussiert sich auf vier Hauptbereiche, die jedes betroffene Unternehmen umsetzen muss:

1. Risikomanagement: Unternehmen müssen regelmäßig eine Cybersicherheits-Risikoanalyse durchführen und Sicherheitsrichtlinien implementieren. Prozesse für Schwachstellenmanagement, Zugriffskontrolle und kontinuierliche Überwachung sind essenziell.

2. Strenge Meldepflichten: Unternehmen in Deutschland, die unter NIS2 fallen, müssen Sicherheitsvorfälle innerhalb von 24 Stunden nach Feststellung an das BSI melden – mit einem detaillierten Bericht innerhalb von 72 Stunden.

3. Sicherheit der Lieferkette: Während die ursprüngliche NIS-Richtlinie auf die Sicherheit der eigenen Systeme abzielte, verlangt NIS2 eine Risikobewertung und -minderung für Dritte – z. B. Cloud-Anbieter, SaaS-Tools oder IT-Dienstleister. Unternehmen sind somit nicht nur für die eigene Cybersicherheit verantwortlich, sondern auch dafür, dass ihre Dienstleister hohen Sicherheitsstandards entsprechen.

4. Verantwortlichkeit: Die Geschäftsleitung muss das Risikomanagement für Cybersicherheit genehmigen und überwachen – und kann bei grober Fahrlässigkeit persönlich haftbar gemacht werden.

Wie sollte man sich vorbereiten?

Hier ein paar empfohlene Maßnahmen von mir:

Für Unternehmen unter NIS2:

• Gap-Analyse durchführen: Identifizieren, wo Ihre derzeitigen Sicherheitsmaßnahmen unzureichend sind.
• Ein ISMS einführen: ISO 27001 oder ein vergleichbarer Standard.
• Sicherheitsrichtlinien überarbeiten: Klare Prozesse zur Vorfallmeldung definieren.
• Mitarbeiter schulen: Regelmäßige Schulungen zu Cybersicherheitsbewusstsein und sicherer Softwareentwicklung durchführen.

Für Dienstleister/Zulieferer von NIS2-Unternehmen:

• Zertifizierungen einholen oder aufrechterhalten: ISO 27001 ist üblich.
• Risikobewertungen durchführen: Schwachstellen insbesondere im Bereich IAM und Datenschutz identifizieren.
• Incident Response Protocol implementieren: In der Lage sein, Kunden sofort zu informieren, falls ein Sicherheitsvorfall eintritt.

Brauchen Sie Unterstützung?

Die Vorbereitung auf NIS2-Compliance kann überwältigend wirken – muss sie aber nicht sein. Ich begleite Sie gern bei den ersten Schritten: von einer fundierten Gap-Analyse bis hin zu einem detaillierten Maßnahmenplan. Und wenn Sie Anbieter von Software oder IT-Dienstleistungen sind, biete ich auch Schulungen zu sicherer Softwareentwicklung und Best Practices beim Secure Coding – damit Ihr Team den Anforderungen Ihrer NIS2-Kunden mit Zuversicht begegnen kann.

Auch wenn Ihr Unternehmen nicht direkt von NIS2 betroffen ist, ist starke Cybersicherheit längst keine Option mehr – sie ist ein Muss. Cyberangriffe stellen ein wachsendes Risiko für Unternehmen jeder Größe dar – und proaktiver Schutz ist die beste Verteidigung. Wenn Sie ein kleines oder mittelständisches Unternehmen sind, können Sie eine maßgeschneiderte Cybersecurity Assessment mit mir buchen, um kritische Risiken zu identifizieren und Ihre Widerstandsfähigkeit zu stärken.