NIS-2, KRITIS: Pflichten für Unternehmen

Das NIS2-Umsetzungsgesetz setzt die EU-Richtlinie auf nationaler Ebene um und erweitert die Pflichten zu IT-Sicherheit, Meldepflichten und Risikomanagement für Unternehmen.

Welche Unternehmen sind betroffen?

Die NIS-2-Richtlinie (2022/2555) betrifft Unternehmen aus zahlreichen kritischen und „sonstigen wichtigen“ Sektoren – darunter Energie, Verkehr, Gesundheit, digitale Infrastruktur, Lebensmittel, Chemie, verarbeitendes Gewerbe wie der Maschinen- und Fahrzeugbau, Post‑ und Kurierdienste oder Forschung. Entscheidend sind Sektorzugehörigkeit und Unternehmensgröße:
  • Besonders wichtige Einrichtungen (bwE): meist ab 250 Mitarbeitenden oder >50 Millionen Euro Umsatz / >43 Millionen Euro Bilanzsumme
  • Wichtige Einrichtungen (wE): ab 50 Mitarbeitenden oder >10 Millionen Euro Umsatz / >10 Millionen Euro Bilanzsumme
Auch Unternehmen, die selbst nicht direkt unter NIS-2 fallen, können mittelbar betroffen sein. NIS-2‑pflichtige Firmen müssen die Sicherheit ihrer Lieferkette nachweisen – und fordern daher zunehmend Cyber-Sicherheitsstandards und Dokumentationen von ihren Zulieferern und Dienstleistern.

Handlungsbedarfe für Unternehmen

Unternehmen müssen Prozesse, Verantwortlichkeiten und Strukturen für Cybersicherheit klar definieren – inklusive eines wirksamen Incident‑Response- (geregeltes Vorgehen bei IT‑Sicherheitsvorfällen) und Business‑Continuity-Managements (Maßnahmen, damit der Betrieb auch bei Störungen weiterläuft).
Gefordert sind technische und organisatorische Maßnahmen „nach Stand der Technik“. Dazu gehören Risikoanalysen, Schulungen, Zugriffskontrollen, sichere Softwareentwicklung, Backup‑Konzepte und Lieferketten-Sicherheit. Diese müssen dokumentiert werden, zum Beispiel in Form von Richtlinien, Checklisten, Schulungsnachweisen oder Auditberichten.
Bei erheblichen Sicherheitsvorfällen gelten strenge Meldefristen an das BSI. Gesetzlich vorgesehen sind eine frühe Erstmeldung innerhalb von 24 Stunden, eine Vorfallsmeldung innerhalb von 72 Stunden sowie gegebenenfalls Zwischen‑ und Abschlussmeldungen.

Handlungsempfehlungen

NIS-2 verlangt Maßnahmen, die geeignet und verhältnismäßig sind. Das schafft Freiräume für pragmatische Lösungen, die zur Unternehmensgröße und zum Risiko passen.
Viele Anforderungen lassen sich gut über etablierte Rahmenwerke beziehungsweise Zertifizierungen wie ISO 27001 oder bestehende Informationssicherheits-Managementsysteme erfüllen. Wichtig bleibt eine Gap‑Analyse, da ISO allein NIS-2 nicht vollständig abdeckt.
Das BSI stellt dazu viele Informationen auf seiner Website bereit.
Von der Prüfung der eigenen Betroffenheit eines Unternehmens über die Erhebung des eigenen Status Quo und den daraus resultierenden Handlungsbedarfen bis hin zur Erstellung individueller Aktionspläne ist der Navigator von FitNIS2 konzipiert worden, der Unternehmen bei der Umsetzung der NIS2-Richtlinie unterstützt.

FAQ

Deutlich mehr Unternehmen als bisher – sowohl direkt als "wichtige" oder "besonders wichtige Einrichtungen" als auch indirekt über die Lieferkette. Prüfen Sie, ob Sie direkt oder indirekt betroffen sind.
Sie müssen zusätzliche Melde-, Nachweis- und Dokumentationspflichten erfüllen. Besonders die Prüfpflichten in der Lieferkette erhöhen den Aufwand deutlich.
Das Bundesamt für Sicherheit und Informationstechnik (BSI) soll stärker koordinieren, vereinheitlicht Meldewege und bietet ein Information Sharing Portal.
Durch Betroffenheitsprüfung, Aufbau eines angemessenen Risikomanagementsystems, klare interne Prozesse für Cybervorfälle und frühzeitige Auseinandersetzung mit Zertifizierungen und Prüfpflichten.
  • Betroffenheit frühzeitig prüfen: Gerade mittelständische Betriebe sollten klären, ob sie unter die Definition "wichtige" oder "besonders wichtige Einrichtungen" fallen.
  • Lieferkette im Blick behalten: Unternehmen müssen mehr Verantwortung für die Cyber-Resilienz ihrer Zulieferer übernehmen.
  • Risikomanagement vorbereiten: Dokumentations- und Sicherheitsnachweise werden umfangreicher. Zertifizierungen können helfen.
  • Meldewege kennen: Cybervorfälle müssen künftig schneller und umfassender gemeldet werden. Unternehmen sollten interne Prozesse darauf vorbereiten.
  • Informationsangebote nutzen