Mit der NIS2-Richtlinie hat die Europäische Union ihre Vorgaben für Cybersicherheit deutlich verschärft. Die Richtlinie löst die frühere NIS-Richtlinie ab, erweitert den Kreis der betroffenen Unternehmen erheblich und nimmt die Geschäftsleitung stärker in die Pflicht. Viele Firmen, die bisher nicht als kritische Infrastruktur galten, müssen sich nun erstmals systematisch mit ihrer IT-Sicherheit befassen.
Dieser Überblick erklärt die Grundzüge und zeigt, wie Sie die Umsetzung strukturiert angehen.
Was die NIS2-Richtlinie regelt
NIS2 ist eine EU-Richtlinie und gilt daher nicht unmittelbar, sondern wird von den Mitgliedstaaten in nationales Recht übertragen. Ziel ist ein einheitlich hohes Cybersicherheitsniveau in der EU. Der Anwendungsbereich umfasst deutlich mehr Sektoren als zuvor, darunter neben Energie, Verkehr, Gesundheit und digitaler Infrastruktur auch Bereiche wie Abfallwirtschaft, Lebensmittel, Post- und Kurierdienste, bestimmte Industriezweige und digitale Dienste. Unterschieden wird zwischen wesentlichen und wichtigen Einrichtungen. Maßgeblich sind vor allem Sektor und Unternehmensgröße, grundsätzlich fallen mittlere und große Unternehmen in den betroffenen Sektoren darunter, in einigen Fällen auch kleinere.
Die zentralen Pflichten
Betroffene Unternehmen müssen angemessene technische und organisatorische Maßnahmen zum Risikomanagement ergreifen. Dazu zählen unter anderem Konzepte für Informationssicherheit, die Bewältigung von Sicherheitsvorfällen, Backup- und Notfallmanagement, die Sicherheit der Lieferkette, Zugriffskontrollen, der Einsatz von Verschlüsselung und Multi-Faktor-Authentifizierung sowie Schulungen. Hinzu kommen Meldepflichten: Erhebliche Sicherheitsvorfälle müssen der zuständigen Behörde innerhalb enger Fristen und in mehreren Stufen gemeldet werden, beginnend mit einer frühen Erstmeldung. Bei Verstößen sieht die Richtlinie spürbare Bußgelder vor.
Verantwortung der Geschäftsleitung
Ein Kernpunkt von NIS2 ist, dass Cybersicherheit Chefsache wird. Die Leitungsorgane müssen die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und können bei Pflichtverletzungen persönlich zur Verantwortung gezogen werden. Zudem sollen Mitglieder der Geschäftsleitung regelmäßig an Schulungen teilnehmen, um Risiken beurteilen zu können. Die Aufgabe lässt sich also nicht vollständig an die IT-Abteilung delegieren.
Die Umsetzung der NIS2-Richtlinie angehen
1.
Prüfen Sie anhand von Sektor, Mitarbeiterzahl und Umsatz, ob Ihr Unternehmen betroffen ist.
2.
Ermitteln Sie mit einer Gap-Analyse, wo Ihre bestehenden Maßnahmen von den Anforderungen abweichen.
3.
Legen Sie Zuständigkeiten fest und verankern Sie das Thema in der Geschäftsleitung.
4.
Definieren Sie Prozesse zur Erkennung und Meldung von Vorfällen, einschließlich Kontaktwegen zur Behörde.
5.
Bewerten Sie die Sicherheit Ihrer Dienstleister und Lieferanten und passen Sie Verträge an.
6.
Schulen Sie Mitarbeitende und Führungskräfte und dokumentieren Sie alle Maßnahmen.
Den aktuellen Stand der nationalen Umsetzung sowie Hilfestellungen veröffentlicht in Deutschland das Bundesamt für Sicherheit in der Informationstechnik.
Fazit
NIS2 betrifft weit mehr Unternehmen als die Vorgängerregelung und verlangt ein strukturiertes Risikomanagement, verlässliche Meldewege und eine aktive Rolle der Geschäftsleitung. Wer früh prüft, ob er betroffen ist, und die Lücken systematisch schließt, erfüllt nicht nur gesetzliche Pflichten, sondern macht das eigene Unternehmen spürbar widerstandsfähiger.
