NIS2: Was die EU-Richtlinie für Unternehmen bedeutet

Die NIS2-Richtlinie (Network and Information Security) ist eine EU-weite Regulierung, die darauf abzielt, das Niveau der Cybersicherheit in Europa zu verbessern. Sie ersetzt die ursprüngliche NIS-Richtlinie von 2016 und erweitert den Anwendungsbereich erheblich. Obwohl die EU-Richtlinie bereits 2023 in Kraft getreten ist, müssen die Mitgliedsstaaten sie bis Oktober 2024 in nationales Recht umsetzen. In Deutschland wird dies voraussichtlich erst bis Mitte 2025 geschehen. Für Unternehmen bedeutet das, dass die eigentlichen Verpflichtungen erst greifen, sobald das deutsche Gesetz verabschiedet ist. Aber was bedeutet NIS2 konkret für Unternehmer? Hier ein Überblick.

In diesem Blogbeitrag:

Für wen ist NIS2 verpflichtend?

Die NIS2-Richtlinie zielt vorerst auf mittlere und große Unternehmen sowie auf Unternehmen von kritischer Infrastruktur (KRITIS) ab. Das bedeutet:

Mittlere Unternehmen: Mehr als 50 Mitarbeitende oder über 10 Mio € Jahresumsatz

Große Unternehmen: Mehr als 250 Mitarbeitende, über 50 Mio € Jahresumsatz oder 43 Mio € Jahresbilanzsumme.

KRITIS-Mitarbeiter: Unternehmen, die zur kritischen Infrastruktur gehören, wie Energie, Verkehr, Banken, Gesundheitswesen, digitale Infrastrukturen und öffentliche Verwaltung.

Was heißt das für kleinere Unternehmen? Auch kleinere Unternehmen können indirekt betroffen sein. NIS2 legt großen Wert auf die Sicherheit der gesamten Lieferkette. Das bedeutet, dass größere Unternehmen ihre Zulieferer auf die Einhaltung der Richtlinien verpflichten könnten. Für kleinere Unternehmen bedeutet das, dass sie ihre IT-Sicherheitsmaßnahmen ebenfalls anpassen müssen, um weiterhin als Zulieferer in Betracht zu kommen.

Besonders wichtige Branchen:

Die NIS2-Richtlinie betrifft zahlreiche Sektoren, die als besonders wichtig für das öffentliche Leben und die Wirtschaft gelten. Darunter fallen:

• Energie, Verkehr, Banken, Finanzen, Gesundheitswesen, Trinkwasser/Abwasser, digitale Infrastrukturen, öffentliche Verwaltung, Weltraum.
• Ebenfalls wichtig: Abfallwirtschaft, Chemie, digitale Dienste, Lebensmittel, Forschung, Industrie, Post- und Kurierdienste.

NIS2: Was bedeutet das für die IT-Strategie?

Unternehmen, die von NIS2 betroffen sind, sollten sich frühzeitig vorbereiten. Hier einige Strategien, die dabei helfen können:

• NIS2 selbst einhalten: Unternehmen sollten die Richtlinie umsetzen, auch wenn das nationale Gesetz noch nicht steht.
• Zertifizierung: Erwägen Sie Zertifizierungen wie ISO27001, VDS10000 oder TISAX.
• Prozesse verbessern: Kontinuierliche Anpassung und Verbesserung von Prozessen sind entscheidend für eine langfristig erfolgreiche Umsetzung.
• NIS2-Check: Lassen Sie die IT-Sicherheit Ihres Unternehmens überprüfen - dann wissen Sie sicher, was Sie noch alles anpassen müssen um das neue Gesetz einzuhalten.

Checkliste: Anforderungen an Unternehmen

Hier sind die wichtigsten Anforderungen, die Unternehmen erfüllen müssen:

• Risikoanalyse und Management: Identifizieren Sie Bedrohungen und Schwachstellen und entwickeln Sie einen Risikomanagementplan.
• Technische und organisatorische Maßnahmen: Implementieren Sie technische Maßnahmen wie Firewalls, IDS und Verschlüsselung. Erstellen Sie Sicherheitsrichtlinien und -verfahren.
• Vorfallsmanagement: Richten Sie ein Incident-Response-Team ein und entwickeln Sie Pläne zur Meldung von Sicherheitsvorfällen.
• Schulungen und Sensibilisierung: Schulen Sie Mitarbeitende regelmäßig zu Cybersicherheitsbedrohungen und Best Practices.
• Kontinuitätsmanagement: Entwickeln Sie Geschäfts- und IT-Kontinuitätspläne für den Fall eines Sicherheitsvorfalls.
• Zusammenarbeit und Informationsaustausch: Fördern Sie den Informationsaustausch mit anderen Unternehmen und Behörden.
• Meldung und Kommunikation: Melden Sie Sicherheitsvorfälle rechtzeitig an die zuständigen Stellen.
• Sicherheitsbewertungen und Audits: Führen Sie regelmäßige Bewertungen durch, um die Wirksamkeit der Maßnahmen zu überprüfen.
• Datenschutz und Datensicherheit: Schützen Sie personenbezogene Daten gemäß den geltenden Datenschutzgesetzen.
• Einhaltung gesetzlicher Anforderungen: Halten Sie alle relevanten Gesetze und Vorschriften ein.
• Berichterstattung: Berichten Sie regelmäßig über den Status der Cybersicherheit an die Geschäftsführung.
• Dokumentation und Nachverfolgbarkeit: Führen Sie detaillierte Aufzeichnungen über Maßnahmen, Vorfälle und Bewertungen.

Mögliche Strafen

Verstöße gegen NIS2 können empfindliche Strafen nach sich ziehen, wie zum Beispiel:

• Bußgelder: Hohe Geldstrafen, deren Höhe von den nationalen Gesetzen abhängt.
• Untersuchungskosten: Unternehmen müssen die Kosten für die Untersuchung von Verstößen tragen.
• Entzug von Zertifizierungen: Unternehmen können wichtige Zertifizierungen verlieren.
• Sanktionen gegen Einzelpersonen: Führungskräfte und Mitarbeitende können persönlich haftbar gemacht werden.
• Verwaltungsstrafen und Geschäftsbeschränkungen: Dies kann den Zugang zu staatlichen Förderungen einschränken.

Sie wissen nicht genau, wo Sie eigentlich anfangen sollen? Entdecken Sie hier, welche Services Sie konkret umsetzen lassen können, um nach den neuen Richtlinien zu agieren.

Fazit

Die NIS2-Richtlinie wird in den kommenden Jahren erheblichen Einfluss auf Unternehmen haben. Wer frühzeitig handelt, sichert sich nicht nur rechtlich ab, sondern schützt auch die eigenen Netzwerke und Systeme vor wachsenden Bedrohungen. Unternehmer sollten sich darauf vorbereiten, indem sie bereits jetzt Risikoanalysen durchführen, Cybersicherheitsstrategien implementieren und ihre Mitarbeitenden schulen.

Mit der NIS2-Richtlinie ändert sich auch die Verantwortung auf Führungsebene deutlich. Geschäftsführungen sind nun in der Billigungs- und Überwachungspflicht und können die Verantwortung für Cybersicherheitsmaßnahmen nicht mehr einfach auf IT-Verantwortliche oder Mitarbeitende abwälzen. Das bedeutet, dass Führungskräfte aktiv sicherstellen müssen, dass angemessene Sicherheitsmaßnahmen implementiert sind, Risiken regelmäßig überprüft werden und gesetzliche Anforderungen eingehalten werden.

Was man noch über NIS2 wissen sollte: Die Richtlinie verfolgt einen ganzheitlichen Ansatz und erweitert den Schutz von kritischen Infrastrukturen auf viele weitere Branchen. Darüber hinaus verschärft sie Meldepflichten – Vorfälle müssen schneller an nationale Behörden gemeldet werden. Eine Verletzung der Richtlinie kann, je nach Schwere, hohe Bußgelder und persönliche Haftung für Führungskräfte nach sich ziehen. Es geht also nicht nur darum, technische Maßnahmen zu ergreifen, sondern auch klare Verantwortlichkeiten auf allen Ebenen zu schaffen.

Wenn Sie weitere Fragen haben oder Unterstützung benötigen, zögern Sie nicht, uns zu kontaktieren. Wir helfen Ihnen gerne weiter!