Seit Oktober 2024 gilt die NIS-2-Richtlinie als verbindliches EU-Recht und viele Unternehmen in Deutschland wissen noch immer nicht, ob sie betroffen sind und wenn, was sie umsetzen müssen. Dabei können die Konsequenzen bei Nichtumsetzung sehr empfindlich sein! Bußgelder bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes drohen bei nicht Einhaltung der Richtlinien. Dieser Artikel erklärt, was NIS-2 überhaupt bedeutet, wen es konkret betrifft und welche Schritte jetzt zu unternehmen sind.
Was ist die NIS-2-Richtlinie?
Kurzgefasst:
Wer ist von NIS-2 betroffen?
Besonders wichtige Einrichtungen
Unternehmen mit mehr als 250 Mitarbeitern oder mehr als 50 Millionen Euro Jahresumsatz in folgenden Sektoren:
- Energie (Strom, Gas, Öl, Fernwärme, Wasserstoff)
- Verkehr (Luft, Schiene, Wasser, Straße)
- Bankwesen und Finanzmarktinfrastrukturen
- Gesundheitswesen
- Trinkwasser und Abwasser
- Digitale Infrastruktur (Rechenzentren, Cloud, DNS, TK)
- Öffentliche Verwaltung
- Raumfahrt
Wichtige Einrichtungen
Unternehmen mit mehr als 50 Mitarbeitern oder mehr als 10 Millionen Euro Jahresumsatz in folgenden Sektoren:
- Post- und Kurierdienste
- Abfallbewirtschaftung
- Chemische Industrie
- Lebensmittelindustrie
- Maschinenbau, Fahrzeugbau, Elektronikhersteller
- Digitale Dienste (Online-Marktplätze, Suchmaschinen, soziale Netzwerke)
- Forschungseinrichtungen
Schnell-Check für KMU:
Welche Pflichten entstehen durch NIS-2?
1. Risikomanagement
Unternehmen müssen geeignete und verhältnismäßige Maßnahmen treffen, um Risiken für ihre Netz- und Informationssysteme zu beherrschen. Dazu zählen unter anderem:
- Risikoanalyse und Sicherheitskonzepte
- Business Continuity Management (Notfallpläne, Backup-Strategien)
- Sicherheit der Lieferkette, auch Dienstleister und Zulieferer rücken in den Fokus
- Einsatz von Kryptografie und Verschlüsselung
- Multi-Faktor-Authentifizierung und sichere Kommunikationswege
2. Meldepflichten bei Sicherheitsvorfällen
Erhebliche Sicherheitsvorfälle müssen innerhalb klarer Fristen gemeldet werden:
- Innerhalb von 24 Stunden: Erstmeldung bei der zuständigen Behörde (BSI)
- Innerhalb von 72 Stunden: Detailliertere Meldung mit Erstbewertung
- Innerhalb von einem Monat: Abschlussbericht mit Ursachenanalyse
3. Registrierungspflicht
4. Persönliche Haftung der Geschäftsführung
Was droht bei Nichtumsetzung?
Die Bußgeldrahmen sind in NIS-2 erheblich strenger als in der Vorgängerrichtlinie:
| Kategorie | Maximales Bußgeld |
|---|---|
| Besonders wichtige Einrichtungen | 10 Mio. € oder 2 % des Jahresumsatzes |
| Wichtige Einrichtungen | 7 Mio. € oder 1,4 % des Jahresumsatzes |
In 5 Schritten zur NIS-2-Konformität
Die Umsetzung von NIS-2 lässt sich strukturiert angehen. Diese fünf Schritte bilden eine solide Grundlage:
- Schritt 1 – Betroffenheit prüfen: Fällt Ihr Unternehmen unter NIS-2? Sektor, Mitarbeiterzahl und Umsatz bestimmen die Einstufung.
- Schritt 2 – Ist-Analyse durchführen: Wo steht Ihre IT-Sicherheit aktuell? Ein technisches Audit deckt Lücken auf.
- Schritt 3 – Maßnahmen priorisieren: Nicht alles muss sofort umgesetzt werden. Kritische Schwachstellen zuerst, dann systematisch weiter.
- Schritt 4 – Prozesse und Dokumentation aufsetzen: Notfallpläne, Meldeprozesse und Sicherheitsrichtlinien müssen schriftlich vorliegen.
- Schritt 5 – Registrierung beim BSI: Die Registrierungspflicht ist gesetzlich vorgeschrieben, auch wenn noch keine Vorfälle gemeldet werden müssen.
Wichtiger Hinweis:
So unterstützt CompiPower bei der NIS-2-Umsetzung
- NIS-2 Betroffenheitscheck: Wir klären gemeinsam, ob und in welchem Umfang Ihr Unternehmen betroffen ist
- Technisches IT-Security Audit: Schwachstellenanalyse Ihrer bestehenden Systeme und Infrastruktur
- Maßnahmenplan und Umsetzungsbegleitung: Priorisierte Roadmap, die zu Ihrem Budget und Betrieb passt
- Penetrationstests: Gezielte Angriffssimulationen, um Sicherheitslücken vor echten Angreifern zu finden
- Awareness-Schulungen: Damit Ihre Mitarbeiter wissen, wie sie Phishing und Social Engineering erkennen
- Laufendes Monitoring: Dauerhafter Schutz durch kontinuierliche Überwachung Ihrer IT-Systeme
Jetzt handeln, nicht abwarten
FAQs
Möglicherweise ja. NIS-2 gilt nicht nur für Großkonzerne. Wenn Ihr Unternehmen mehr als 50 Mitarbeiter beschäftigt oder mehr als 10 Millionen Euro Jahresumsatz erzielt und in einem der betroffenen Sektoren tätig ist, fallen Sie unter die Richtlinie. Auch kleinere Unternehmen können betroffen sein, wenn sie als kritische Zulieferer oder Dienstleister für eine betroffene Einrichtung tätig sind.
Bei Verstößen drohen empfindliche Bußgelder! Bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes für besonders wichtige Einrichtungen, bis zu 7 Millionen Euro oder 1,4 % für wichtige Einrichtungen. Darüber hinaus können Behörden den Betrieb einschränken oder Führungskräfte vorübergehend aus ihren Funktionen aussetzen. Besonders relevant: Geschäftsführer haften persönlich!
Die EU-Frist zur nationalen Umsetzung war der Oktober 2024. In Deutschland läuft das Gesetzgebungsverfahren (NIS2UmsuCG) noch, die Anforderungen sind jedoch bereits anwendbar. Unternehmen sollten jetzt mit der Umsetzung beginnen, wer wartet, riskiert, bei Inkrafttreten des deutschen Gesetzes sofort in Verzug zu sein.
Ja. Betroffene Einrichtungen sind verpflichtet, sich beim Bundesamt für Sicherheit in der Informationstechnik (BSI) zu registrieren und grundlegende Unternehmensdaten zu übermitteln. Die Registrierung ist unabhängig davon, ob bereits ein Sicherheitsvorfall aufgetreten ist.
Das hängt stark vom aktuellen Stand Ihrer IT-Sicherheit ab. Unternehmen mit einer soliden IT-Infrastruktur und bestehenden Sicherheitsprozessen können in wenigen Monaten konform sein. Wer von Grund auf neu aufsetzen muss, sollte 6 bis 12 Monate einplanen. Eine professionelle Ist-Analyse am Anfang spart dabei viel Zeit und Budget, CompiPower unterstützt Sie dabei von der ersten Bestandsaufnahme bis zur vollständigen Umsetzung.
