Was ist NIS2, und betrifft es uns?

NIS2 ist eine EU-Richtlinie, die Cybersicherheit in größeren und versorgungskritischen Unternehmen verbindlich macht. Als Richtlinie gilt sie nicht unmittelbar, sondern wird über nationale Gesetze in den Mitgliedstaaten in Kraft gesetzt. Ob sie Sie direkt trifft, hängt von Branche und Größe ab. In bestimmten kritischen Sektoren gilt sie auch für kleinere Betriebe. Auch wer nicht direkt erfasst ist, gerät als Zulieferer zunehmend über die Lieferkette in die Pflicht.

Wen es betreffen kann

Unternehmen ab einer bestimmten Größe, wobei die Schwelle je nach Branche unterschiedlich greift

Branchen, die als versorgungskritisch gelten, etwa Energie, Wasser, Gesundheit, Transport oder digitale Dienste

Kleinere Betriebe als Zulieferer, weil große Kunden ihre Lieferkette absichern müssen

Gegenüber der ersten NIS-Richtlinie ist der Kreis deutlich größer geworden. Neu erfasst sind unter anderem das verarbeitende Gewerbe in sicherheitsrelevanten Bereichen, die Lebensmittelbranche, Abfallwirtschaft, Post- und Kurierdienste sowie Anbieter digitaler Dienste. Viele Mittelständler, die sich nie als „kritische Infrastruktur" verstanden haben, finden sich damit zum ersten Mal in einer Sicherheitsregulierung wieder.

Sie sind wahrscheinlich betroffen, wenn …

Sie in einem als kritisch geltenden Sektor wie Energie, Wasser, Gesundheit oder Transport arbeiten

Ihr Betrieb eine gewisse Größe erreicht hat, gemessen an Mitarbeitern und Umsatz

Ein großer Kunde Sie nach Ihren Schutzmaßnahmen fragt, weil er seine Lieferkette absichern muss

Der dritte Fall ist in der Praxis der häufigste. Große Auftraggeber müssen die Sicherheit ihrer Lieferkette nachweisen und geben die Pflicht weiter: als Fragebogen, als Vertragsklausel oder als Voraussetzung bei der nächsten Ausschreibung. Dann entscheidet nicht die Behörde über Ihre NIS2-Relevanz, sondern Ihr wichtigster Kunde, und die Frist setzt er auch.

Was im Kern verlangt wird

Statt einzelner Vorschriften steht ein Grundgedanke im Mittelpunkt: Cybersicherheit gehört zur Unternehmensführung. Verlangt werden ein geordnetes Risikomanagement, technischer und organisatorischer Grundschutz, klare Meldewege für Vorfälle und ausdrücklich die Verantwortung der Leitung.

Risikomanagement: wissen, welche Systeme und Daten kritisch sind und was ihnen zustoßen kann

Grundschutz: Zugriffskontrolle und MFA, Updates, Verschlüsselung, Backups

Vorfallsbehandlung: erhebliche Sicherheitsvorfälle müssen kurzfristig gemeldet werden, die Erstmeldung binnen 24 Stunden

Lieferkette: die Sicherheit der eigenen Dienstleister und Zulieferer im Blick behalten

Verantwortung der Leitung: die Geschäftsführung muss die Maßnahmen billigen und überwachen und haftet bei Verstößen persönlich

Der letzte Punkt verändert die Dynamik. Cybersicherheit lässt sich unter NIS2 nicht mehr vollständig an die IT-Abteilung oder einen Dienstleister delegieren; die Leitung muss das Thema verstehen, entscheiden und dokumentieren. Bußgelder sind empfindlich und ähneln in ihrer Logik der DSGVO.

Was Sie jetzt sinnvollerweise tun

Panik ist kein Plan, Abwarten auch nicht. Der vernünftige Weg hat drei Schritte: erstens klären, ob Sie direkt erfasst sind oder über Kunden in die Pflicht kommen. Zweitens den Ist-Zustand ehrlich aufnehmen, denn wer schon solide Grundlagen wie Ransomware-Schutz und dokumentierte technische und organisatorische Maßnahmen hat, erfüllt vieles bereits. Drittens die Lücken nach Risiko schließen statt nach Alphabet, und zwar so, dass die Maßnahmen im Alltag wirken. Es sind übrigens dieselben Grundlagen, die auch eine Cyber-Versicherung voraussetzt: Die Arbeit lohnt sich doppelt.

Ein Hinweis zur Einordnung: Papier schützt nicht. Eine NIS2-Vorbereitung, die vor allem Ordner füllt, besteht vielleicht die Prüfung, aber nicht den Angriff. Die Reihenfolge gehört andersherum: erst die Substanz, also Zugänge, Updates, Backups und Meldewege, dann die Dokumentation, die diese Substanz nachweist.

Wie wir Sie vorbereiten

Wir klären mit Ihnen, ob und wie NIS2 Sie betrifft, und richten den Blick auf die Substanz statt auf Formalien. Statt Aktenordner zu füllen, schließen wir die Lücken, die im Alltag wirklich zählen. Wo es um Spezialfragen geht, etwa die juristische Auslegung im Einzelfall, sagen wir das offen und holen die passenden Fachleute dazu. Mehr zu unserer Arbeit unter IT-Sicherheit.