Skip to main content

Insights

Die NIS2-Richtlinie – was Sie für Cybersicherheit tun müssen

Hintergrund der NIS2-Richtlinie

Die NIS2-Richtlinie, eine Weiterentwicklung der ersten NIS-Richtlinie von 2016, adressiert die kritische Bedeutung von Cybersicherheit in Schlüsselsektoren der Wirtschaft und Gesellschaft. Angesichts der steigenden Zahl und Schwere von Cyberangriffen sowie der Abhängigkeit von digitalen Technologien, zielt die NIS2-Richtlinie darauf ab, die Sicherheitsbasis in der gesamten EU zu stärken und die Reaktionsfähigkeit auf Vorfälle zu verbessern. 

Gemäß der aktualisierten Richtlinie sind nun betroffene Organisationen angehalten, ein breiteres Spektrum an Schutzmaßnahmen zu implementieren oder bereits bestehende zu intensivieren. Dies umfasst alles, von der Durchführung von Risikoanalysen, bis hin zur Etablierung von Verfahren für die Geschäftskontinuität und der Absicherung der Lieferkette, sowie der Einführung von Multi-Faktor-Authentifizierung. Lobenswert ist, dass die NIS2-Richtlinie konkrete Beispiele für Basismaßnahmen liefert. Die Regelung zur Unternehmensgröße („Size cap“) legt fest, dass kleinere Unternehmen, die über weniger Ressourcen verfügen, nicht zwingend die gleichen Standards erfüllen müssen wie größere Unternehmen.

Für Macher

Stärken Sie die Cyber-Resilienz Ihres Unternehmens mit der frühzeitigen Umsetzung der NIS2-Richtlinie – handeln Sie jetzt, um Compliance zu sichern und Risiken vorzubeugen.

Für Gewissenhafte

Sichern Sie die Zukunft Ihres Unternehmens durch sorgfältige Einhaltung der NIS2-Richtlinie und stellen Sie damit die Integrität und Sicherheit Ihrer Netz- und Informationssysteme sicher.

Für Beständige

Vertrauen Sie auf Beständigkeit und Sicherheit durch konsequente Befolgung der NIS2-Richtlinie, um Ihr Unternehmen langfristig vor Cyberrisiken zu schützen.

Verschärfte Berichtspflichten

Im Falle eines signifikanten Sicherheitsvorfalls sind Organisationen verpflichtet, diesen innerhalb von 24 Stunden nach Entdeckung an das Bundesamt für Sicherheit in der Informationstechnik (BSI) zu melden. Eine erste Einschätzung ist binnen 72 Stunden zu liefern, gefolgt von einem ausführlichen Bericht innerhalb eines Monats. 

Verstärkte Aufsicht

Das BSI wird voraussichtlich als regulierende Behörde fungieren, ausgestattet mit umfassenden Befugnissen. In extremen, wenn auch unwahrscheinlichen Fällen, kann das BSI der Geschäftsführung vorübergehend die Leitung des Unternehmens untersagen. Zudem könnten erhebliche Bußgelder bei Nichteinhaltung der Richtlinienforderungen drohen.

Verantwortung und Schulung der Geschäftsführung

Die NIS2 legt fest, dass die Geschäftsführung Verantwortlichkeiten im Bereich der Cybersicherheit nicht mehr einfach so auf andere übertragen darf. Sie ist nun gefordert (unter anderem) Risikomanagementmaßnahmen aktiv zu genehmigen. Die Richtlinie sieht zudem eine Schulungsverpflichtung für die oberste Führungsebene vor.

Umsetzung der NIS2-Richtlinie in Deutschland

In Deutschland wird die NIS2-Richtlinie durch nationale Gesetzgebung umgesetzt, die spezifische Anforderungen und Maßnahmen für deutsche Unternehmen festlegt. Die Bundesregierung arbeitet eng mit den relevanten Aufsichtsbehörden zusammen. Damit sollen die Einhaltung sichergestellt und Unternehmen bei der Umsetzung der erforderlichen Sicherheitsmaßnahmen unterstützt werden.

Kriterien – Welche Unternehmen sind betroffen?

Die Unternehmensgröße

Unternehmen mit mehr als 50 Mitarbeitenden und  mehr als 10 Millionen Euro Umsatz im Jahr und/oder aus bestimmten Sektoren, sind von der NIS2 betroffen.

Der Sektor

Die NIS2 definiert 18 Unternehmenssektoren. Wie die Einteilung im deutschen Gesetz genau geregelt ist, steht noch nicht fest. Sie wird aber in jedem Fall den Vorgaben der EU-Richtlinie folgen. Einige Organisationen sind auch unabhängig von ihrer Größe betroffen. Das gilt zum Beispiel, wenn bei einem Ausfall Systemrisiken bestehen. Außerdem unterscheidet die NIS2 zwischen wesentlichen und wichtigen Unternehmen. Die deutsche Umsetzung wird dafür wahrscheinlich die Adjektive „wichtig“ und „besonders wichtig“ verwenden. 

Gut zu wissen

Die NIS2 verpflichtet Unternehmen zu umfangreichen Risikomanagementmaßnahmen, auch innerhalb der eigenen Lieferkette. Deshalb sind zahlreiche Zulieferer indirekt von ihr betroffen, angefangen bei IT-Dienstleistern, bis hin zu Herstellern von Windturbinen.

Was sind wesentliche und wichtige Einrichtungen

Wesentliche Einrichtungen

Wesentliche Einrichtungen sind solche, die in Sektoren tätig sind, die als kritisch für die Aufrechterhaltung vitaler, gesellschaftlicher oder wirtschaftlicher Aktivitäten angesehen werden. Dazu gehören unter anderem: 

  • Energie (Strom, Gas, und Öl) 
  • Verkehr (Luft, Wasser, Schiene und Straße) 
  • Bankwesen 
  • Finanzmarktinfrastrukturen 
  • Gesundheitswesen 
  • Trinkwasserversorgung und Abwasserentsorgung 
  • Digitale Infrastrukturen
Wichtige Einrichtungen

Wichtige Einrichtungen umfassen eine breitere Palette von Sektoren, die zwar nicht als „kritisch“ im Sinne der wesentlichen Dienste gelten, deren Ausfall oder Beeinträchtigung jedoch immer noch erhebliche soziale oder wirtschaftliche Auswirkungen haben könnte. Diese Kategorie wurde in der NIS2-Richtlinie neu eingeführt und erweitert den Anwendungsbereich auf folgende Bereiche:

  • Post- und Kurierdienste 
  • Abfallwirtschaft 
  • Herstellung, einschließlich der Herstellung kritischer Produkte wie Pharmazeutika und medizinische Geräte 
  • Digitale Dienste, einschließlich Cloud-Computing-Dienste, soziale Netzwerke und Online-Marktplätze

Fazit:

Die NIS2-Richtlinie stellt eine wesentliche Verstärkung der Cyber-Sicherheitsanforderungen in der EU dar. Für deutsche Unternehmen bedeutet dies, dass sie ihre Anstrengungen zur Gewährleistung der Cybersicherheit verstärken müssen. Angesichts der Komplexität und der ernsthaften Konsequenzen bei Nichteinhaltung ist es entscheidend, professionelle Unterstützung in Anspruch zu nehmen. Die SMK Group steht bereit, um Ihr Unternehmen durch den Prozess der NIS2-Compliance zu führen und eine solide Grundlage für Ihre Cyberresilienz zu schaffen. Kontaktieren Sie uns heute, um mehr zu erfahren und Ihre Cyber-Sicherheitsstrategie zu stärken.

NIS2-Richtlinie Compliance-Checkliste für Unternehmen

Verständnis der NIS2-Richtlinie
  • Überprüfen Sie, ob Ihr Unternehmen zu den betroffenen Sektoren oder Arten von Organisationen gehört, die unter die NIS2-Richtlinie fallen. 
  • Informieren Sie sich über die grundlegenden Anforderungen der NIS2-Richtlinie und die spezifischen Anforderungen, die auf Ihr Unternehmen zutreffen könnten. 
  • Ermitteln Sie, welche Behörden in Deutschland für die Überwachung und Durchsetzung der NIS2-Richtlinie zuständig sind. 
Interne Bewertung und Planung
  • Führen Sie eine interne Bewertung durch, um festzustellen, wie gut Ihr Unternehmen auf die Einhaltung der NIS2-Richtlinie vorbereitet ist. 
  • Erstellen Sie einen Aktionsplan, der die notwendigen Schritte zur Einhaltung der Richtlinie umfasst, einschließlich Zeitrahmen und Verantwortlichkeiten. 
  • Bestimmen Sie, ob externe Beratungen oder Dienstleistungen erforderlich sind, um die Compliance-Anforderungen zu erfüllen. 
    Risikomanagement und Sicherheitsmaßnahmen
    • Entwickeln Sie ein umfassendes Risikomanagementprogramm, das die Identifizierung, Bewertung und Behandlung von Cybersicherheitsrisiken umfasst. 
    • Implementieren Sie die erforderlichen technischen und organisatorischen Maßnahmen, um die Sicherheit Ihrer Netz- und Informationssysteme zu gewährleisten. 
    • Planen und führen Sie regelmäßige Sicherheitsaudits und -überprüfungen durch, um die Wirksamkeit Ihrer Sicherheitsmaßnahmen zu bewerten. 
    Vorbereitung auf Meldepflichten
    • Entwickeln Sie Verfahren für die schnelle Erkennung von Sicherheitsvorfällen und deren Meldung an die zuständigen nationalen Behörden. 
    • Schulen Sie Ihr Personal hinsichtlich der Meldepflichten und des Umgangs mit Sicherheitsvorfällen. 
      Dokumentation und Compliance-Nachweise
      • Stellen Sie sicher, dass alle Maßnahmen und Prozesse zur Einhaltung der NIS2-Richtlinie ordnungsgemäß dokumentiert sind. 
      • Bewahren Sie Aufzeichnungen über Sicherheitsvorfälle und Meldungen sowie über die ergriffenen Maßnahmen zur Risikominderung auf.
      Überprüfung und kontinuierliche Verbesserung
      • Richten Sie einen Prozess für die regelmäßige Überprüfung und Aktualisierung Ihrer Sicherheitspraktiken und Compliance-Maßnahmen ein. 
      • Bleiben Sie auf dem Laufenden bezüglich Änderungen der rechtlichen Anforderungen und Best Practices in der Cybersicherheit.
      Marco Gerth dfba1cff
      Experte und Autor
      Marco Gerth – Geschäftsführer der in:finity systems
      Mike Kersting
      Experte und Autor
      Mike Kersting
      Versicherungsbetriebswirt (DVA) und Fellow of the Chartered Insurance Institute (FCII)



      Weitere Artikel zu

      „Obwohl die NIS 2-Richtlinie die Wichtigkeit von IT-Sicherheit in den regulatorischen Fokus rückt ist klar, dass dieses Thema schon lange vorher ein entscheidender Bestandteil eines jeden erfolgreichen Unternehmens war. Auch für diejenigen, die nicht direkt von der NIS 2 betroffen sind, bleibt es essenziell, ihre Systeme und Daten zu schützen – denn Cyber-Sicherheit geht uns alle an.“

      Marco Gerth, Geschäftsführer der in:finity systems
      Was wir tun

      Die 4 wesentlichen Erfahrungen unserer Mandanten

      100%

      Ergebnis

      Sie erhalten ein umfassendes Marktangebot zu allen hier vorgestellten Finanzinstrumenten. Ihre qualitative und quantitative Beurteilung, sowie zahlreiche Optimierungsvorschläge, verbessern Ihr Risikomanagement im Unternehmen signifikant.

      0%

      Kosten und keinen Stress

      Unsere Vorleistung zur Beurteilung unserer Expertise ist kostenfrei. Für die Analyse selbst stellen Sie uns wesentliche Informationen Ihres Unternehmens zur Verfügung. Alles andere machen wir.

      90%

      Qualitätssteigerung

      Unsere Erfahrungen und Daten aus mehr als 14.000 Projekten zeigen: in 90% unserer Analysen arbeiten wir wesentliche qualitative Verbesserungen zum IST-Stand heraus.

      85%

      Quantitative Besserstellung 

      Auch auf der Preisseite zeigen unsere Daten erhebliches Verbesserungspotential. In 85 % unserer Analysen führt unsere SOLL-Beurteilung zu einer Steigerung Ihrer wirtschaftlichen Attraktivität.

      Kontakt

      Unsere Experten sind für Sie da

      Entscheiden Sie, wie Sie mit uns in Kontakt treten möchten. Wir freuen uns Sie kennen zu lernen und an Ihrer Seite zu stehen.
      ico mail

      Nachricht senden

      Senden Sie uns eine Nachricht. Wir kommen gerne auf Sie zu.
      Terminvereinbarung (extern)

      Termin buchen

      Buchen Sie direkt einen unverbindlichen Kennlerntermin via Teams.