NIS-2 und Ihre Pflichten: Neue Regeln für kritische Sektoren

Warum es ein Gesetz für Cybersicherheit gibt

Die EU hat ein Gesetz erlassen, das Firmen und Behörden zwingt, sich besser gegen Hackerangriffe zu schützen. Das gilt besonders für Betreiber wichtiger Dienste wie Strom, Wasser, Gesundheit oder Internet. Das Gesetz heißt NIS-2-Richtlinie.

Warum das gut für dich ist

• Viele Organisationen investieren erst in Sicherheit, nachdem sie angegriffen wurden. Das Gesetz soll genau das umdrehen und Investitionen vorher erzwingen.
• Das betrifft auch Dienste, die du täglich nutzt: Krankenhäuser, Energieversorger, digitale Behördenangebote.

Weiterführend: NIS-2-Richtlinie (Wikipedia) · KRITIS-Regulierung (BSI)

Worum es geht

Die europäische NIS-2-Richtlinie erweitert den regulatorischen Rahmen für Cybersicherheit kritischer Infrastrukturen erheblich. Mehr Sektoren und Dienstleister müssen künftig nachweisbare Sicherheitsmaßnahmen umsetzen und Vorfälle melden.

Was das für Sie bedeutet

• Mehr Transparenz bei Sicherheitsvorfällen: Betroffene Organisationen müssen Vorfälle künftig schneller und verbindlicher melden.
• Mehr Sektoren sind erfasst: Von Energie über Gesundheit bis zu digitalen Diensten. Die Wahrscheinlichkeit steigt, dass ein Anbieter, den Sie nutzen, direkt betroffen ist.
• Fragen Sie bei kritischen Dienstleistern wie Ihrem Energieversorger ruhig nach, wie sie NIS-2 umsetzen. Viele veröffentlichen das mittlerweile ohnehin.

Weiterführend: NIS-2-Umsetzung in Deutschland (BSI) · Kritische Infrastruktur (Wikipedia)

Was jetzt konkret auf Sie zukommt

NIS-2 erweitert den Kreis betroffener Unternehmen deutlich gegenüber der Vorgängerrichtlinie. Auch viele mittelständische Unternehmen fallen erstmals darunter. Wer betroffen ist, muss Risikomanagement-Maßnahmen umsetzen, Vorfälle innerhalb enger Fristen melden und die Geschäftsleitung persönlich in die Verantwortung nehmen.

Ihre nächsten Schritte

• Betroffenheit prüfen: Fällt Ihr Unternehmen nach Sektor und Größe unter NIS-2? Das BSI stellt dafür Prüftools bereit.
• Risikomanagement etablieren: Technische und organisatorische Maßnahmen nach dem Stand der Technik dokumentieren.
• Meldeprozesse aufsetzen: Erhebliche Sicherheitsvorfälle müssen fristgerecht gemeldet werden. Klären Sie jetzt, wer das intern übernimmt.
• Geschäftsleitung einbinden: Die Verantwortung für Cyberrisikomanagement liegt heute persönlich bei der Leitung, nicht mehr nur bei der IT-Abteilung.
• Lieferkette prüfen: NIS-2 verlangt auch ein Risikomanagement für Zulieferer und Dienstleister.

Der aktuelle Umsetzungsstand in Deutschland

Deutschland hat die NIS-2-Richtlinie bislang nicht fristgerecht in nationales Recht umgesetzt, die Frist dafür lief bereits im Oktober 2024 ab. Das NIS-2-Umsetzungsgesetz befindet sich weiterhin im Gesetzgebungsverfahren. Das ändert nichts an der Dringlichkeit. Wer betroffen ist, sollte die Vorbereitung jetzt beginnen, statt auf den finalen Gesetzestext zu warten.

Weiterführend: IT-Sicherheitsgesetz 2.0 (BSI)