Wer ist betroffen?
Die NIS2-Richtlinie (EU 2022/2555) erweitert den Kreis der betroffenen Unternehmen erheblich. Betroffen sind Organisationen ab 50 Mitarbeitenden oder 10 Millionen Euro Jahresumsatz in einem der 18 erfassten Sektoren. Dazu gehören Energie, Gesundheit, Verkehr, Bankwesen, digitale Infrastruktur, Fertigung, Lebensmittel und weitere.
Die Einstufung erfolgt in zwei Kategorien: wesentliche Einrichtungen (Annex I, z. B. Energie, Gesundheit) und wichtige Einrichtungen (Annex II, z. B. Fertigung, Post). Beide müssen dieselben Mindestanforderungen erfüllen, unterscheiden sich aber in der Aufsichtsintensität.
Die 10 Mindestanforderungen nach Artikel 21
Artikel 21 definiert zehn Bereiche, die jedes betroffene Unternehmen abdecken muss. Die Maßnahmen müssen verhältnismäßig zur Unternehmensgröße und zum Risiko sein.
1. Risikoanalyse und Sicherheitskonzepte
Dokumentierte Richtlinien für Risikoanalysen und die Absicherung von Informationssystemen. Mindestens jährliche Aktualisierung oder bei wesentlichen Änderungen.
2. Bewältigung von Sicherheitsvorfällen
Ein strukturierter Incident-Response-Prozess mit klaren Zuständigkeiten, Eskalationswegen und regelmäßigen Tests.
3. Betriebskontinuität und Krisenmanagement
Business-Continuity-Pläne, Backup-Management mit regelmäßigen Wiederherstellungstests und Disaster-Recovery-Verfahren.
4. Sicherheit der Lieferkette
Bewertung der Sicherheitsrisiken bei Lieferanten und Dienstleistern. Vertragliche Sicherheitsanforderungen an Zulieferer.
5. Sicherheit bei Beschaffung und Entwicklung
Sicherheitsanforderungen beim Erwerb, bei der Entwicklung und bei der Wartung von IT-Systemen, einschließlich Schwachstellenmanagement.
6. Bewertung der Wirksamkeit
Regelmäßige Überprüfung, ob die umgesetzten Maßnahmen tatsächlich wirken. Audits, Penetrationstests oder vergleichbare Verfahren.
7. Cyberhygiene und Schulungen
Grundlegende Sicherheitspraktiken und verpflichtende Schulungen für alle Mitarbeitenden, einschließlich der Geschäftsleitung.
8. Kryptografie
Einsatz von Verschlüsselung, wo angemessen und erforderlich, z. B. bei der Übertragung und Speicherung sensibler Daten.
9. Personalsicherheit und Zugangskontrollen
Zugriffsverwaltung, Asset-Management und Sicherheitsüberprüfungen für Mitarbeitende in kritischen Positionen.
10. Multi-Faktor-Authentifizierung
MFA oder vergleichbare Verfahren sowie gesicherte Kommunikationswege, insbesondere für Notfallsituationen.
Fristen und Sanktionen
Die Umsetzungsfrist für die Mitgliedstaaten war Oktober 2024. In Deutschland erfolgt die Umsetzung durch das NIS2UmsuCG. Unternehmen müssen sich beim BSI registrieren und die Maßnahmen nachweisbar umsetzen.
Bei Verstößen drohen Bußgelder bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes. Die Aufsichtsbehörden erhalten erweiterte Befugnisse für Vor-Ort-Prüfungen und verbindliche Anweisungen.
Praktische Umsetzung
Beginnen Sie mit einer Bestandsaufnahme: Welche der zehn Bereiche sind bereits abgedeckt, wo gibt es Lücken? Unternehmen mit bestehender ISO-27001-Zertifizierung haben einen Vorsprung, müssen aber zusätzliche NIS2-spezifische Anforderungen wie Meldepflichten und Lieferkettensicherheit ergänzen.
Eine Plattform wie Titan kann helfen, die Anforderungen als prüfbare Maßnahmen abzubilden und den Umsetzungsstand nachvollziehbar zu dokumentieren.