NIS-2 und Ihre Pflichten: Neue Regeln für kritische Sektoren

Warum es ein Gesetz für Cybersicherheit gibt

Die EU hat ein Gesetz erlassen, das Firmen und Behörden zwingt, sich besser gegen Hackerangriffe zu schützen – besonders wenn sie wichtige Dienste betreiben (Strom, Wasser, Gesundheit, Internet). Es heißt NIS-2-Richtlinie.

Warum das gut für dich ist

• Viele Organisationen investieren erst in Sicherheit, nachdem sie angegriffen wurden – das Gesetz soll erzwingen, dass VORHER investiert wird.
• Das betrifft auch Dienste, die du täglich nutzt: Krankenhäuser, Energieversorger, digitale Behördenangebote.

Weiterführend: NIS-2-Richtlinie (Wikipedia) · KRITIS-Regulierung (BSI)

Worum es geht

Die europäische NIS-2-Richtlinie erweitert den regulatorischen Rahmen für Cybersicherheit kritischer Infrastrukturen erheblich – mehr Sektoren und Dienstleister müssen künftig nachweisbare Sicherheitsmaßnahmen umsetzen und Vorfälle melden.

Was das für Sie bedeutet

• Mehr Transparenz bei Sicherheitsvorfällen: Betroffene Organisationen müssen Vorfälle künftig schneller und verbindlicher melden.
• Mehr Sektoren sind erfasst: Von Energie über Gesundheit bis zu digitalen Diensten – die Wahrscheinlichkeit steigt, dass ein Anbieter, den Sie nutzen, direkt betroffen ist.
• Fragen Sie bei kritischen Dienstleistern (z. B. Ihrem Energieversorger) ruhig nach, wie sie NIS-2 umsetzen – das ist mittlerweile öffentlich kommuniziertes Wissen.

Weiterführend: NIS-2-Umsetzung in Deutschland (BSI) · Kritische Infrastruktur (Wikipedia)

Was jetzt konkret auf Sie zukommt

NIS-2 erweitert den Kreis betroffener Unternehmen deutlich gegenüber der Vorgängerrichtlinie – auch viele mittelständische Unternehmen fallen erstmals darunter. Wer betroffen ist, muss Risikomanagement-Maßnahmen umsetzen, Vorfälle innerhalb enger Fristen melden und die Geschäftsleitung persönlich in die Verantwortung nehmen.

Ihre nächsten Schritte

• Betroffenheit prüfen: Fällt Ihr Unternehmen nach Sektor und Größe unter NIS-2? Das BSI stellt dafür Prüftools bereit.
• Risikomanagement etablieren: Technische und organisatorische Maßnahmen nach dem Stand der Technik dokumentieren.
• Meldeprozesse aufsetzen: Erhebliche Sicherheitsvorfälle müssen fristgerecht gemeldet werden – klären Sie jetzt, wer intern dafür zuständig ist.
• Geschäftsleitung einbinden: Die Verantwortung für Cyberrisikomanagement liegt nicht mehr nur bei der IT-Abteilung, sondern persönlich bei der Leitung.
• Lieferkette prüfen: NIS-2 verlangt auch ein Risikomanagement für Zulieferer und Dienstleister.

Der aktuelle Umsetzungsstand in Deutschland

Deutschland hat die NIS-2-Richtlinie bislang nicht fristgerecht (Oktober 2024) in nationales Recht umgesetzt – das entsprechende NIS-2-Umsetzungsgesetz befindet sich weiterhin im Gesetzgebungsverfahren. Das ändert nichts an der Dringlichkeit: Wer betroffen ist, sollte die Vorbereitung jetzt beginnen, statt auf den finalen Gesetzestext zu warten.

Weiterführend: IT-Sicherheitsgesetz 2.0 (BSI)