Was ist NIS2?
Die Network and Information Security Directive 2 (NIS2) ist eine EU-Richtlinie, die den Rahmen für Cybersicherheit in Europa auf ein neues Niveau hebt. Sie löst die ursprüngliche NIS-Richtlinie von 2016 ab und wurde im Oktober 2024 in deutsches Recht überführt — durch das NIS2-Umsetzungsgesetz (NIS2UmsuCG).
NIS2 erweitert den Kreis der betroffenen Unternehmen erheblich und verschärft die Anforderungen an IT-Sicherheitsmaßnahmen, Meldepflichten und die persönliche Haftung von Geschäftsführern.
Wichtig: Seit Oktober 2024 können Behörden aktiv prüfen, ob Unternehmen die Anforderungen erfüllen. Wer jetzt noch nicht gehandelt hat, riskiert empfindliche Bußgelder und — im Schadensfall — persönliche Haftung der Geschäftsführung.
Wer ist betroffen?
NIS2 unterscheidet zwischen „wesentlichen" und „wichtigen" Einrichtungen. Die Einordnung hängt von der Unternehmensgröße und dem Sektor ab:
- Energie & Wasser
- Digitale Infrastruktur
- Gesundheitsversorgung
- Transport & Logistik
- Finanzmarkt
- Post & Kurier
- Abfallwirtschaft
- Chemie & Lebensmittel
- Maschinenbau & Fertigung
- Digitale Dienste
Als Faustregel gilt: Unternehmen mit mehr als 50 Mitarbeitenden oder einem Jahresumsatz über 10 Mio. Euro in einem relevanten Sektor sind nahezu immer betroffen. Aber auch kleinere Unternehmen können erfasst sein — etwa als kritische Zulieferer.
Die 10 wichtigsten Maßnahmen
NIS2 schreibt in Artikel 21 konkrete technische und organisatorische Maßnahmen vor. Hier sind die zehn Bereiche, die Sie prioritär angehen müssen:
Risikoanalyse & Informationssicherheitspolitik
Erstellen Sie eine dokumentierte Risikoanalyse für Ihre IT-Systeme und definieren Sie eine schriftliche Informationssicherheitspolitik. Dies ist die Basis aller weiteren Maßnahmen.
Incident-Response-Plan
Definieren Sie klare Prozesse für den Umgang mit Sicherheitsvorfällen: Wer wird wann informiert? Wie wird ein Angriff eingedämmt? Was passiert nach einem Vorfall?
Business Continuity & Backup-Management
Unternehmen müssen sicherstellen, dass kritische Geschäftsprozesse auch nach einem Cyberangriff oder Systemausfall weitergeführt werden können. Dazu gehören regelmäßige, getestete Backups.
Supply-Chain-Sicherheit
NIS2 verpflichtet Unternehmen, die Sicherheit ihrer Lieferkette aktiv zu managen. Das bedeutet: Dienstleister und Lieferanten auf IT-Sicherheitsstandards prüfen und vertraglich verpflichten.
Sicherheit bei Systembeschaffung & Entwicklung
Security-by-Design muss auch bei der Auswahl und Implementierung neuer IT-Systeme berücksichtigt werden. Sicherheitsanforderungen gehören in jede Ausschreibung.
Schwachstellenmanagement & Patch-Management
Regelmäßiges Scannen auf Schwachstellen und zeitnahes Einspielen von Sicherheitsupdates sind Pflicht. Ungepatchte Systeme sind das häufigste Einfallstor für Angreifer.
Kryptografie & Verschlüsselung
Sensible Daten müssen sowohl bei der Übertragung als auch bei der Speicherung verschlüsselt sein. Veraltete Verschlüsselungsstandards (z.B. TLS 1.0/1.1) müssen abgelöst werden.
Zugangs- & Identitätsverwaltung (IAM)
Das Least-Privilege-Prinzip muss konsequent umgesetzt sein: Jeder Nutzer erhält nur die Rechte, die er für seine Tätigkeit benötigt. Privilegierte Konten müssen besonders geschützt werden.
Multi-Faktor-Authentifizierung (MFA)
MFA ist für alle kritischen Systeme, VPN-Zugänge und administrativen Konten verpflichtend. Passwörter allein bieten keinen ausreichenden Schutz mehr.
Security Awareness & Schulungen
Technische Maßnahmen allein reichen nicht. Mitarbeitende müssen regelmäßig für aktuelle Bedrohungen wie Phishing, Social Engineering und Ransomware sensibilisiert werden.
Meldepflichten & Fristen
Eine der einschneidendsten Neuerungen von NIS2 sind die verschärften Meldepflichten bei Sicherheitsvorfällen. Bei erheblichen Vorfällen gilt ein dreistufiges Meldeverfahren:
Hinweis: Nicht jeder Sicherheitsvorfall ist meldepflichtig — nur solche, die erhebliche Auswirkungen auf die Erbringung von Diensten haben. Dennoch empfehlen wir, alle Vorfälle intern zu dokumentieren, um im Zweifel nachweisen zu können, dass keine Meldepflicht bestand.
Sanktionen bei Verstößen
NIS2 hat erhebliche Konsequenzen bei Nichteinhaltung — sowohl für Unternehmen als auch für Führungspersonen:
Besonders relevant: NIS2 führt eine persönliche Haftung der Geschäftsführung ein. Vorstände und Geschäftsführer können bei nachgewiesener Pflichtverletzung persönlich zur Verantwortung gezogen werden — das ist ein grundlegender Paradigmenwechsel gegenüber der alten NIS-Richtlinie.
Fazit & nächste Schritte
NIS2 ist keine bürokratische Hürde — es ist eine Chance, die IT-Sicherheit im Unternehmen auf ein belastbares Niveau zu heben. Die Richtlinie gibt einen klaren Rahmen vor, den viele Unternehmen auch ohne NIS2 hätten umsetzen sollen.
Der erste Schritt ist eine ehrliche Bestandsaufnahme: Was haben wir bereits, was fehlt uns noch? Eine strukturierte Gap-Analyse hilft, Prioritäten zu setzen und effizient vorzugehen — ohne unnötig Zeit und Budget zu verschwenden.
Ihr Fahrplan in 3 Schritten:
Gap-Analyse durchführen: Wo stehen Sie heute gegenüber den NIS2-Anforderungen?
Maßnahmenplan erstellen: Priorisieren Sie nach Risiko und Aufwand.
Umsetzen & dokumentieren: Technische und organisatorische Maßnahmen einführen und nachweisbar dokumentieren.
