NIS2: NIS2 ist die zweite EU-Richtlinie zur Netzwerk- und Informationssicherheit; sie verpflichtet Betreiber wichtiger und besonders wichtiger Einrichtungen zu Risikomanagement, Meldepflichten und Nachweisen der Cybersicherheit.
Die Richtlinie 2022/2555 löst die erste NIS-Richtlinie ab und weitet den Anwendungsbereich erheblich aus. Betroffen sind Unternehmen ab 50 Beschäftigten beziehungsweise 10 Millionen Euro Jahresumsatz in 18 definierten Sektoren, unterteilt in besonders wichtige Einrichtungen (z. B. Energie, Gesundheit, Finanzwesen) und wichtige Einrichtungen (z. B. Produktion, Post, digitale Dienste). Die Umsetzung in deutsches Recht erfolgt über das NIS2-Umsetzungsgesetz.
Artikel 21 der Richtlinie schreibt zehn Mindestmaßnahmen vor, darunter Risikoanalyse, Vorfallbehandlung, Business Continuity, Lieferkettensicherheit und Multi-Faktor-Authentifizierung. Sicherheitsvorfälle müssen gestaffelt gemeldet werden: eine Frühwarnung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden und ein Abschlussbericht nach einem Monat. Geschäftsleitungen haften persönlich für die Umsetzung.
Die Einstufung als besonders wichtige oder wichtige Einrichtung hat praktische Konsequenzen für die Aufsicht: Besonders wichtige Einrichtungen unterliegen proaktiven Prüfungen durch die zuständige Behörde, während wichtige Einrichtungen primär anlassbezogen kontrolliert werden. Für die Betroffenheitsprüfung reicht die reine Unternehmensgröße allein nicht aus – auch kleinere Unternehmen können erfasst sein, wenn sie eine besonders kritische Funktion innerhalb ihres Sektors erfüllen. Da das nationale Umsetzungsgesetz zum Zeitpunkt der Erstellung dieses Textes noch nicht final verabschiedet war, sollten Unternehmen den aktuellen Gesetzgebungsstand laufend beobachten. Für die Umsetzung empfiehlt sich ein pragmatischer Fahrplan: zunächst die eigene Betroffenheit rechtssicher klären, danach eine Gap-Analyse gegen die zehn Pflichtmaßnahmen durchführen und priorisierte Maßnahmen mit realistischen Fristen hinterlegen, statt alle Anforderungen gleichzeitig umsetzen zu wollen.
Relevanz für die Zertifizierung
Für NIS2-betroffene Unternehmen ist ISO 27001 der pragmatischste Weg, das geforderte Risikomanagement für Cybersicherheit strukturiert und auditierbar nachzuweisen: Die meisten der zehn Pflichtmaßnahmen aus Artikel 21 lassen sich direkt auf Controls aus Anhang A der Norm abbilden. Unternehmen, die ihre NIS2-Betroffenheit noch nicht geprüft haben, sollten dies unabhängig vom endgültigen Gesetzestext zeitnah nachholen, da die inhaltlichen Pflichten aus der EU-Richtlinie bereits weitgehend feststehen. Auch Unternehmen, die aktuell knapp unterhalb der Schwellenwerte liegen, sollten die Entwicklung ihrer Mitarbeiterzahl und ihres Umsatzes im Blick behalten, um eine künftige Betroffenheit rechtzeitig zu erkennen.
Häufige Fragen zu NIS2
Grundsätzlich Unternehmen ab 50 Beschäftigten oder 10 Millionen Euro Jahresumsatz in einem der 18 definierten Sektoren. Die reine Größe reicht als Kriterium aber nicht immer aus: Auch kleinere Unternehmen können erfasst sein, wenn sie eine besonders kritische Funktion innerhalb ihres Sektors erfüllen. Eine individuelle Betroffenheitsprüfung ist daher ratsam.
Eine Frühwarnung ist innerhalb von 24 Stunden fällig, eine detailliertere Meldung innerhalb von 72 Stunden und ein Abschlussbericht spätestens nach einem Monat. Diese gestaffelten Fristen gelten laut Artikel 23 der Richtlinie für besonders wichtige und wichtige Einrichtungen gleichermaßen. Auch eine ausbleibende oder verspätete Meldung kann bereits als eigenständiger Pflichtverstoß mit Bußgeldfolge gewertet werden.
ISO 27001 deckt die meisten der zehn Mindestmaßnahmen aus Artikel 21 strukturell ab und ist der pragmatischste Weg zum Nachweis eines Risikomanagements. Vollständige NIS2-Konformität erfordert zusätzlich unternehmensspezifische Elemente wie Meldeprozesse an die zuständige Behörde. Da das deutsche Umsetzungsgesetz sich weiterentwickelt, lohnt eine laufende Beobachtung.