NIS2-Richtlinie: Ist Ihr Unternehmen betroffen?
Viele mittelständische Unternehmen haben NIS2 lange für ein Thema großer Konzerne und kritischer Infrastrukturen gehalten. Das war ein Irrtum. Die neue EU-Richtlinie erweitert den Kreis der verpflichteten Unternehmen erheblich – und sie nimmt erstmals die Geschäftsführung persönlich in die Verantwortung. Wer betroffen ist, muss Sicherheitsmaßnahmen nachweisen, Vorfälle innerhalb von Stunden melden und mit empfindlichen Bußgeldern rechnen, wenn er es nicht tut. Dieser Ratgeber klärt die drei Fragen, die jetzt zählen: Fällt mein Unternehmen darunter? Was genau muss ich tun? Und was passiert, wenn ich es lasse?
Was ist die NIS2-Richtlinie?
NIS2 ist die Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Europäischen Union. Sie löst die erste NIS-Richtlinie von 2016 ab, die in der Praxis zu wenige Unternehmen erfasst und zu unterschiedlich in den Mitgliedstaaten gegolten hatte.
Der Grundgedanke: Die Wirtschaft hängt an Lieferketten und digitalen Diensten. Fällt ein einzelner Zulieferer durch einen Cyberangriff aus, stehen schnell auch seine Kunden still. Deshalb verpflichtet NIS2 nicht nur Betreiber kritischer Infrastrukturen, sondern einen breiten Kreis mittelgroßer und großer Unternehmen aus 18 Sektoren zu einem Mindestniveau an IT-Sicherheit.
Die Richtlinie war bis zum 17. Oktober 2024 in nationales Recht umzusetzen. Deutschland hat diese Frist überschritten; die Umsetzung erfolgt über das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz. Für betroffene Unternehmen ändert die Verzögerung wenig: Die inhaltlichen Anforderungen stehen fest, und der Aufbau eines Sicherheitsmanagements dauert erfahrungsgemäß länger als jede Übergangsfrist.
Diese Sektoren fallen unter NIS2
NIS2 unterscheidet zwischen Sektoren mit hoher Kritikalität und weiteren kritischen Sektoren. Für den Mittelstand besonders relevant sind vor allem diese Bereiche:
- Energie, Wasser und Abwasser – auch kleinere Versorger und Netzbetreiber
- Gesundheitswesen, einschließlich Labore und Hersteller von Medizinprodukten
- Verkehr und Logistik, von Speditionen bis zu Hafen- und Flughafendienstleistern
- Verarbeitendes Gewerbe: Maschinenbau, Elektrotechnik, Fahrzeugbau, Medizintechnik
- IT-Dienstleister, Rechenzentren, Cloud-Anbieter und Managed Service Provider
- Post- und Kurierdienste, Abfallwirtschaft, Chemie sowie Produktion und Vertrieb von Lebensmitteln
Wesentliche oder wichtige Einrichtung: Wo steht Ihr Unternehmen?
Ob Sie betroffen sind, entscheidet sich aus zwei Angaben: Ihrem Sektor und Ihrer Unternehmensgröße. Die Größenschwellen orientieren sich an der EU-Definition für mittlere und große Unternehmen.
Wesentliche Einrichtungen sind in der Regel Unternehmen aus Sektoren mit hoher Kritikalität ab 250 Beschäftigten oder mit mehr als 50 Millionen Euro Jahresumsatz und einer Bilanzsumme über 43 Millionen Euro. Sie unterliegen einer laufenden, auch anlasslosen Aufsicht.
Wichtige Einrichtungen sind Unternehmen ab 50 Beschäftigten oder mit mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme. Für sie gelten dieselben Sicherheitspflichten, die Aufsicht greift jedoch erst, wenn es Hinweise auf Verstöße gibt.
Entscheidend und oft übersehen: Es gibt keine Benachrichtigung von oben. Unternehmen müssen selbst prüfen, ob sie unter die Regelung fallen, und sich anschließend selbst registrieren. Wer die Prüfung unterlässt, ist nicht entschuldigt – Unkenntnis schützt hier ausdrücklich nicht.
Ein zweiter Weg in die Betroffenheit führt über die Lieferkette. Auch wenn Sie die Schwellen nicht erreichen, werden Ihre Kunden aus dem NIS2-Kreis vertraglich Sicherheitsnachweise von Ihnen verlangen, weil sie ihre Lieferkette absichern müssen. Faktisch wirkt die Richtlinie damit weit über ihren formalen Anwendungsbereich hinaus.
Die Pflichten im Überblick
NIS2 verlangt ein Risikomanagement, das dem Stand der Technik entspricht und zum Risiko des Unternehmens passt. Die Richtlinie nennt dafür einen Mindestkatalog:
- Risikoanalyse und ein dokumentiertes Konzept für die Sicherheit der Informationssysteme
- Bewältigung von Sicherheitsvorfällen mit klaren Abläufen und Zuständigkeiten
- Business Continuity: Backup-Management, Wiederherstellung und Krisenmanagement
- Sicherheit der Lieferkette, einschließlich der Bewertung Ihrer Dienstleister
- Sicherheit bei Beschaffung, Entwicklung und Wartung von IT-Systemen samt Schwachstellenmanagement
- Konzepte zur Bewertung der Wirksamkeit – Sicherheit muss messbar sein, nicht nur behauptet
- Schulungen im Bereich Cybersicherheit und grundlegende Cyberhygiene
- Kryptografie und Verschlüsselung nach einem festgelegten Konzept
- Personalsicherheit, Zugriffskontrolle und Verwaltung der Anlagen
- Multi-Faktor-Authentifizierung sowie gesicherte Sprach-, Video- und Textkommunikation
Meldepflichten: 24 Stunden, 72 Stunden, ein Monat
Der Teil von NIS2, der Unternehmen in der Praxis am häufigsten kalt erwischt, ist das dreistufige Meldeverfahren für erhebliche Sicherheitsvorfälle. Die Uhr läuft ab Kenntnisnahme, nicht ab dem Zeitpunkt, an dem Sie den Vorfall vollständig verstanden haben.
Innerhalb von 24 Stunden ist eine erste Frühwarnung abzugeben. Sie enthält lediglich die Einschätzung, ob ein rechtswidriger oder böswilliger Vorfall vorliegt und ob grenzüberschreitende Auswirkungen möglich sind.
Innerhalb von 72 Stunden folgt die eigentliche Meldung mit einer ersten Bewertung von Schweregrad, Auswirkungen und – soweit bekannt – den Angriffsindikatoren.
Innerhalb eines Monats ist ein Abschlussbericht fällig: detaillierte Beschreibung, Art der Bedrohung, ergriffene Abhilfemaßnahmen und grenzüberschreitende Auswirkungen.
Diese Fristen sind ohne Vorbereitung nicht einzuhalten. Wer im Ernstfall erst klären muss, wer meldeberechtigt ist, über welchen Kanal gemeldet wird und welche Informationen vorliegen müssen, verliert die entscheidenden ersten Stunden. Ein IT-Notfallplan mit benannten Verantwortlichen ist deshalb keine Kür, sondern die Voraussetzung dafür, die Meldepflicht überhaupt erfüllen zu können.
Bußgelder und die persönliche Haftung der Geschäftsführung
Für wesentliche Einrichtungen sieht NIS2 Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes vor – maßgeblich ist der höhere Betrag. Für wichtige Einrichtungen liegt der Rahmen bei bis zu 7 Millionen Euro oder 1,4 Prozent des weltweiten Jahresumsatzes.
Die eigentliche Neuerung liegt aber woanders. NIS2 verpflichtet die Leitungsorgane ausdrücklich dazu, die Risikomanagementmaßnahmen zu billigen und ihre Umsetzung zu überwachen. Geschäftsführer und Vorstände müssen zudem selbst an Schulungen teilnehmen. Verletzen sie diese Pflichten, haften sie persönlich – IT-Sicherheit lässt sich nicht mehr vollständig an die IT-Abteilung oder den Dienstleister delegieren.
Aufsichtsbehörden können darüber hinaus Anordnungen treffen, Sicherheitsaudits verlangen und bei wesentlichen Einrichtungen die Leitungsebene vorübergehend von ihren Aufgaben entbinden. Der Hebel ist damit deutlich schärfer als bei früheren Regelungen.
Was Sie jetzt tun sollten
Der erste Schritt kostet wenig Zeit und schafft Klarheit: Prüfen Sie anhand von Sektor, Mitarbeiterzahl und Umsatz, ob Ihr Unternehmen als wesentliche oder wichtige Einrichtung gilt. Halten Sie das Ergebnis schriftlich fest – auch ein begründetes Nein ist ein Nachweis.
Fallen Sie unter die Regelung, bewerten Sie im zweiten Schritt den Abstand zwischen Ihrem heutigen Sicherheitsniveau und dem Mindestkatalog. In den meisten mittelständischen Unternehmen fehlen nicht die Werkzeuge, sondern die Dokumentation, die Zuständigkeiten und der Nachweis der Wirksamkeit. Der BSI IT-Grundschutz bietet dafür einen bewährten Rahmen, mit dem sich die NIS2-Anforderungen strukturiert abarbeiten lassen.
Wir unterstützen Sie bei der Betroffenheitsanalyse, beim Aufbau des Risikomanagements und bei der technischen Umsetzung – von der Multi-Faktor-Authentifizierung über das Backup-Konzept bis zum Notfallplan.
