Was ist NIS-2?

Die NIS-2 Richtlinie steht vor der Tür – aber was bedeutet das konkret für Unternehmen? Was ist NIS-2?  In diesem Artikel erklären wir kurz und knackig, was hinter NIS-2 steckt, wer betroffen ist und welche Maßnahmen umgesetzt werden müssen.

NIS-2 kurz und knackig

NIS-2 steht für Network and Information Security und ist eine Richtlinie der EU. Sie ist die Weiterentwicklung der ursprünglichen NIS-1 Richtlinie und legt strengere Sicherheitsanforderungen für Unternehmen fest. Ziel ist es, die Cyberresilienz in kritischen Sektoren zu stärken und europaweit einheitliche Sicherheitsstandards zu schaffen.

Wer ist von NIS-2 betroffen?

Die NIS-2 Richtlinie gilt nicht für alle Unternehmen, sondern für bestimmte Sektoren und Unternehmensgrößen. Hier ein Überblick:

Betroffene Branchen

Unternehmen aus folgenden Bereichen fallen unter die NIS-2 Richtlinie:

• Kritische Infrastruktur: Energie, Transport, Trinkwasser, Abwasser, Finanzmärkte, Gesundheit
• Digitale & öffentliche Dienste: ICT-Service-Management, digitale Infrastrukturen, Post- & Kurierdienste, öffentliche Verwaltung
• Produktion & Forschung: Chemikalien, Lebensmittel, Abfallwirtschaft, Herstellung, Forschung

Betroffene Unternehmen

Innerhalb dieser Branchen betrifft die Richtlinie Unternehmen, die mehr als 50 Mitarbeiter oder mehr als 10 Millionen Euro Umsatz haben – oder beides.

Hier können Sie selbst auf einer Seite des BSI checken, ob Sie betroffen sind.

Ab wann gilt die NIS-2 Richtlinie?

Derzeit wird NIS-2 in nationales Recht überführt. In Deutschland passiert das durch das NIS-2 Umsetzungs- und Cybersicherheitsstärkungsgesetz (ja, das ist wirklich der schöne lange Name). Es wird erwartet, dass die Regelungen ab März 2025 verbindlich sind. (Durch das vorzeitige Ende der Regierung Scholz und die daraus resultierenden Neuwahlen kommt es hier zu einer Verzögerung - Stand 02.2025).

Was passiert, wenn Unternehmen NIS-2 ignorieren?

Wer die Richtlinie nicht umsetzt, geht ein hohes Risiko ein. Die möglichen Strafen sind drastisch:

• Geldstrafen bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes (je nachdem, was höher ist)
• Persönliche Haftung der Geschäftsführung für Verstöße gegen die Richtlinie

Kurz gesagt: NIS-2 ist kein Thema, das man auf die leichte Schulter nehmen sollte.

Welche Anforderungen stellt NIS-2?

Die Richtlinie enthält zahlreiche Anforderungen an die Informationssicherheit. Einige der wichtigsten Bereiche sind:

• Risikomanagement für Informationssicherheitsrisiken
• IT-Sicherheitsmaßnahmen nach Stand der Technik
• Business Continuity & Krisenmanagement
• Backup-Management
• Sichere Lieferantensteuerung für kritische IT-Dienstleister
• Sicherheit in der Softwareentwicklung

Wie kann man NIS-2 effizient umsetzen?

Der beste Weg, um NIS-2 Compliance sicherzustellen, ist die Umsetzung eines etablierten Informationssicherheitsstandards. In Deutschland bieten sich dafür zwei bewährte Optionen an:

• ISO 27001 – der internationale Standard für Informationssicherheitsmanagement
• BSI IT-Grundschutz – eine speziell für Behörden entwickelte Methode

Unternehmen, die einen dieser Standards umsetzen und sich zertifizieren lassen, haben damit einen soliden Nachweis für ihre NIS-2 Compliance.

Mit NIS-2 kommen strengere Anforderungen an die IT-Sicherheit auf Unternehmen zu. Wer sich frühzeitig mit der Umsetzung befasst, kann Strafen vermeiden und gleichzeitig die eigene Cybersicherheit auf ein neues Level heben.

Interesse geweckt?

Möchten Sie mehr zum Thema NIS-2 wissen? Dann vereinbaren Sie doch einfach einen kostenlosen Gesprächstermin mit uns oder schreiben uns etwas gleich hier rechts unten auf der Seite in den Chat!