NIS2: Wen es betrifft, was es verlangt und was bei Verstößen droht

Entscheidend sind zwei Fragen: In welchem Sektor ist das Unternehmen tätig, und wie groß ist es? Die Richtlinie nennt 18 Sektoren, darunter Energie, Verkehr, Gesundheit, digitale Infrastruktur, Abfallwirtschaft, Chemie, Lebensmittel, die Herstellung von Maschinen, Fahrzeugen und elektronischen Geräten sowie digitale Dienste. Innerhalb dieser Sektoren gilt NIS2 in der Regel ab einer mittleren Unternehmensgröße, also ab 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz und Jahresbilanz.

Die Unternehmen werden als „besonders wichtige“ oder „wichtige“ Einrichtungen eingestuft. Einige Anbieter fallen unabhängig von ihrer Größe darunter, etwa bestimmte Anbieter von Telekommunikations- und DNS-Diensten. Die Bundesregierung ging bei der Umsetzung von rund 29.500 betroffenen Unternehmen in Deutschland aus.

Mittelbar betroffen sind auch Lieferanten: NIS2 verlangt von den betroffenen Unternehmen, die Sicherheit ihrer Lieferkette zu berücksichtigen. Viele geben deshalb Anforderungen und Nachweispflichten an ihre Dienstleister weiter. Ob NIS2 für Ihr Unternehmen gilt, können Sie mit der Betroffenheitsprüfung auf der Website des BSI klären oder mit Ihrer Rechtsberatung besprechen.

• Risikomanagement: Artikel 21 nennt Maßnahmen wie Risikoanalyse, Umgang mit Sicherheitsvorfällen, Aufrechterhaltung des Betriebs, Sicherheit der Lieferkette, Schwachstellenmanagement, Schulungen, Kryptografie, Zugriffskontrolle und Mehrfaktor-Authentifizierung.
• Meldepflichten: Erhebliche Sicherheitsvorfälle müssen gestuft gemeldet werden, mit einer Frühwarnung innerhalb von 24 Stunden, einer Meldung innerhalb von 72 Stunden und einem Abschlussbericht nach einem Monat.
• Registrierung: Betroffene Unternehmen müssen sich beim BSI registrieren.
• Verantwortung der Leitung: Die Geschäftsleitung muss die Maßnahmen billigen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen.

Die Richtlinie sieht deutlich höhere Bußgelder vor als bisher: für besonders wichtige Einrichtungen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, für wichtige Einrichtungen bis zu 7 Millionen Euro oder 1,4 Prozent, jeweils der höhere Betrag. Dazu kommen Aufsichtsmaßnahmen der Behörde wie Anordnungen und Prüfungen.

Neu ist vor allem die persönliche Verantwortung: Geschäftsleiter, die ihre Pflichten verletzen, können für entstandene Schäden haften. IT-Sicherheit wird damit ausdrücklich zur Aufgabe der Unternehmensleitung und lässt sich nicht mehr allein an die IT-Abteilung delegieren.

Sightadel ist unsere Compliance- und GRC-Plattform. Sie startet nicht mit einer leeren Tabelle, sondern mit einer fertigen Struktur für NIS2, ISO 27001 und weitere Standards. Jede Anforderung bekommt einen Verantwortlichen, und zwar eine Person, keine Abteilung. Jeder Nachweis hat ein Ablaufdatum, und Sightadel erinnert rechtzeitig, bevor er veraltet.

Ein Nachweis kann für mehrere Standards zählen. Wer ISO 27001 schon umgesetzt hat, sieht so schnell, was für NIS2 noch fehlt. Lieferantenrisiken lassen sich in derselben Plattform bewerten. Für Prüfungen erhalten externe Auditoren einen eigenen Zugang mit reinen Leserechten und sehen nur den Prüfumfang. Die Geschäftsleitung behält den Stand der Umsetzung jederzeit im Blick.

Für den technischen Teil, das Schwachstellenmanagement nach Artikel 21, liefert veyrisk die laufenden Scans und einen eigenen NIS2-Nachweisbericht. Wenn Sie wissen möchten, wo Ihr Unternehmen bei NIS2 steht, sprechen Sie uns an.

Dieser Beitrag ist ein allgemeiner Überblick und keine Rechtsberatung. Maßgeblich sind der Gesetzestext und die Hinweise des BSI.