NIS2-Richlinie: Was Unternehmen jetzt wissen und in der Praxis beachten müssen

Die Digitalisierung hat den unternehmerischen Alltag für viele Firmen enorm erleichtert und Prozesse effizienter gestaltet, allerdings ergibt sich dadurch auch eine zunehmende Bedrohungslage. Cyberangriffe auf Energieversorger, Logistikzentren oder Gesundheitsbetriebe zeigen, wie verwundbar die Infrastruktur tatsächlich ist.

Mit der überarbeiteten NIS2-Richtlinie (Network and Information Security Directive) reagiert die Europäische Union nun auf die veränderten Gefährdungen – und erhöht damit deutlich die Anforderungen an Unternehmen. Wir zeigen, was jetzt beachtet werden muss.

Was ist NIS2 konkret und was ändert sich im Vergleich zur bisherigen Richtlinie?

Erstmalig wurde die NIS-Richtlinie von der Europäischen Union im Jahr 2016 ins Leben gerufen, um einheitliche Anforderungen an die Cybersicherheit von Unternehmen zu schaffen. Der Fokus lag dabei vor allem auf Betreibern sogenannter „kritischer Infrastruktur“. Also beispielsweise auf Energie-, Verkehrs- und Wasserversorgern. Mit NIS2 wird dieser Geltungsbereich nun deutlich ausgeweitet, um alle Felder abzudecken.

Neu sind unter anderem die folgenden Aspekte:

• Einheitlichere Sicherheitsstandards für eine große Bandbreite an Unternehmen.
• Verbindliche Meldepflichten bei jeglichen Sicherheitsvorfällen.
• Persönliche Haftung der Geschäftsleitung bei Versäumnissen und deren Folgen.
• Sanktionen, die sich an der europäischen DSGVO orientieren und empfindlich hoch ausfallen können.
• Einbindung auch von jeglichen Zulieferern und Dienstleistern in Sicherheitsfragen.

Hauptziel der NIS2-Richtlinie: Es soll ein höheres, allgemeines Sicherheitsniveau für die Europäische Union geschaffen werden, zudem sollen Informationen effizienter übermittelt werden. Gleichzeitig ist angedacht, durch die Maßnahmen Resilienz gegenüber zunehmenden Bedrohungsszenarien aufzubauen.

Unterscheidungen innerhalb der NIS2-Richtlinie

Die neue Richtlinie unterscheidet konkret zwischen wesentlichen Einrichtungen und wichtigen Einrichtungen. Zu den wesentlichen zählen unter anderem:

• Trinkwasserversorgung
• Transport und Verkehr
• Gesundheitswesen
• Banken und Finanzmärkte

Wichtige Einrichtungen und Unternehmen sind beispielsweise diese Branchen:

• Lebensmittel- und Chemieindustrie
• Post- und Kurierdienste
• Digitale Dienste wie z. B. Rechenzentren
• Maschinenbau- und Forschungseinrichtungen

Maßgeblich ist immer die Größe des Unternehmens. Bereits ab 50 Mitarbeitenden und einem Jahresumsatz von mehr als 10 Millionen Euro kann eine Einstufung erfolgen. Es ist deshalb empfehlenswert, bereits früh eine NIS2-Beratung in Anspruch zu nehmen, um Strafzahlungen und Konsequenzen zu vermeiden.

Was gibt es für betroffene Unternehmen jetzt zu tun?

Mehr zu den Kriterien und Schwellenwerten der NIS2 erfahren Unternehmen auch auf der Website der Europäischen Union. Betroffene Organisationen und Betriebe sollten sich in erster Linie auf die folgenden Aspekte konzentrieren:

Kategorisierung prüfen: Gehört mein Unternehmen zu einer der genannten Branchen? Überschreitet es die genannten Schwellenwerte?

• Risikoanalyse durchführen: Bewertung der bestehenden Schutzmaßnahmen und Analyse von Schwachstellen, bestenfalls mit einem Fachunternehmen.
• Melde- und Risikoprozesse: Sicherstellen, dass Vorfälle innerhalb von 24 Stunden gemeldet werden können. Auch der Aufbau eines First-Response-Teams ist empfehlenswert.
• Haftung und Verantwortung klären: Geschäftsführung haftet hier für Verstöße, deshalb sind Schulungen und Nachweisdokumente immer essenziell.
• Zulieferer und Dienstleister einbinden: Auch Partner des Unternehmens müssen die Mindeststandards erfüllen, Sicherheitsvereinbarungen und Audits sollten vorbereitet werden.

Daneben sollten wichtige, angemessene technische und organisatorische Maßnahmen zum Schutz der IT-Systeme ausgebaut werden. Dazu gehören beispielsweise Zugriffskontrollen, Netzwerksegmentierung, Mitarbeiterschulungen oder Backup- und Wiederherstellungsstrategien.

Tipp: Die konkrete Ausgestaltung dieser technischen Anpassungen orientiert sich an etablierten Standards wie ISO 27001 oder dem IT-Grundschutz des BSI.

Konkreter Standpunkt der Geschäftsleitung

Ein zentrales Unterscheidungsmerkmal der NIS2-Richtlinie gegenüber ihrem Vorgänger ist die explizite Verantwortung der Geschäftsführung für die Cybersicherheit im Unternehmen. Hierbei geht es nicht nur um die Bereitstellung von Ressourcen, sondern auch um die aktive Überwachung der Einhaltung aller Richtlinien. Das bedeutet: Die Geschäftsleitung muss regelmäßig über den Stand der Umsetzung informiert sein, Risiken bewerten und Entscheidungen nachvollziehbar treffen.

Verstöße und Versäumnisse bei Fristen können zu persönlicher Haftung führen – etwa bei einer unzureichenden Reaktion auf bekannte Schwachstellen oder fehlende Kontrolle über ausgelagerte IT-Dienstleistungen. Sicherheitsmanagement ist damit nach neuer Gesetzgebung nicht länger eine rein technische Aufgabe, sondern wird zur originären Führungsverantwortung auf strategischer Ebene – mit deutlichen Auswirkungen bei Verstößen und Missachtung.

Sanktionen bei Verstößen und mögliche Kontrollen

Bei Verstößen gegen die Vorgaben der NIS2 drohen empfindliche Sanktionen von Seiten der EU. Diese orientieren sich an der Schwere und den Auswirkungen und können bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes betragen. Zusätzlich besteht das Risiko von Reputationsverlusten sowie Haftungsansprüchen gegenüber der Geschäftsleitung und verantwortlichen Mitarbeitenden.

Gerade für mittelständische Unternehmen, die bisher aufgrund der Gesetzeslage keine Notwendigkeit sahen, sich um eine Sicherheitszertifizierung zu kümmern, ist NIS2 ein Anstoß zur Weiterentwicklung. Wer sich frühzeitig vorbereitet, der profitiert von besserer IT-Sicherheit, effizienteren Prozessen und einem gestärkten Vertrauen bei Kunden und Partnern.