Die NIS-2-Richtlinie (EU 2022/2555) hebt das Cybersicherheitsniveau in der Europäischen Union auf eine neue Stufe. Sie erweitert den Anwendungsbereich der bisherigen NIS-Richtlinie erheblich und nimmt deutlich mehr Unternehmen und Organisationen in die Pflicht. Für viele – gerade im Mittelstand – ist Cybersicherheit damit erstmals kein „Nice-to-have“ mehr, sondern eine gesetzliche Anforderung mit persönlicher Haftung.

Wen betrifft NIS-2?

NIS-2 unterscheidet zwischen wesentlichen und wichtigen Einrichtungen. Betroffen sind Sektoren mit hoher Kritikalität – Energie, Verkehr, Bankwesen, Gesundheit, Trinkwasser, digitale Infrastruktur – sowie weitere wichtige Sektoren wie Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe und digitale Dienste. Als Faustregel gilt: mittlere und große Unternehmen ab 50 Beschäftigten oder 10 Mio. Euro Jahresumsatz in einem der genannten Sektoren sollten von einer Betroffenheit ausgehen und dies sorgfältig prüfen.

Wichtig: Auch wer selbst nicht direkt reguliert ist, kann über die Lieferkette betroffen sein, weil regulierte Kunden Sicherheitsanforderungen weitergeben.

Die Kernpflichten im Überblick

Im Zentrum stehen angemessene und verhältnismäßige technische sowie organisatorische Maßnahmen. Die Richtlinie benennt dafür einen konkreten Mindestkatalog, darunter:

  • Risikoanalyse und Konzepte für die Sicherheit von Informationssystemen
  • Bewältigung von Sicherheitsvorfällen (Incident Management)
  • Business Continuity, Backup-Management und Krisenmanagement
  • Sicherheit der Lieferkette und Beziehungen zu Dienstleistern
  • Sicherheit bei Beschaffung, Entwicklung und Wartung
  • Bewertung der Wirksamkeit von Maßnahmen
  • Cyberhygiene und Schulungen
  • Kryptografie und Verschlüsselung
  • Zugriffskontrolle und Asset-Management
  • Multi-Faktor-Authentifizierung und gesicherte Kommunikation

Melde- und Registrierungspflichten

Betroffene Einrichtungen müssen erhebliche Sicherheitsvorfälle in einem gestuften Verfahren melden: eine erste Frühwarnung typischerweise binnen 24 Stunden, eine detailliertere Meldung binnen 72 Stunden und ein Abschlussbericht innerhalb eines Monats. Hinzu kommen Registrierungspflichten bei der zuständigen Behörde. Prozesse und Verantwortlichkeiten dafür sollten vor dem ersten Ernstfall definiert und geübt sein.

Haftung der Geschäftsleitung

Ein zentraler Hebel von NIS-2 ist die persönliche Verantwortung der Leitungsebene. Geschäftsführung und Vorstand müssen die Risikomanagement-Maßnahmen billigen, ihre Umsetzung überwachen und sich regelmäßig fortbilden. Bei Verstößen drohen empfindliche Bußgelder – und die Verantwortung lässt sich nicht vollständig delegieren. Cybersicherheit wird damit endgültig zur Chefsache.

Was jetzt zu tun ist

Die nationale Umsetzung in Deutschland (NIS-2-Umsetzungsgesetz) konkretisiert die Vorgaben. Unabhängig vom genauen Zeitpunkt des Inkrafttretens gilt: Wer früh handelt, verschafft sich Vorsprung und vermeidet Hektik. Ein pragmatischer Fahrplan beginnt mit einer Gap-Analyse gegen den Maßnahmenkatalog, priorisiert die größten Lücken, etabliert ein ISMS (etwa nach ISO 27001) als tragfähiges Rahmenwerk und verankert Melde- und Notfallprozesse fest im Betrieb. So wird aus einer Pflichtübung ein messbar höheres Sicherheitsniveau.

NIS-2 und ISO 27001: kein Widerspruch

Viele Organisationen fragen sich, ob sie für NIS-2 ein völlig neues System aufbauen müssen. Die gute Nachricht: Wer bereits ein Informationssicherheits-Managementsystem nach ISO 27001 betreibt, erfüllt einen großen Teil der Anforderungen. Die Norm liefert genau die Struktur, die NIS-2 verlangt – von der Risikobewertung über Richtlinien bis zur kontinuierlichen Verbesserung. Ein zertifiziertes ISMS ist zwar keine automatische NIS-2-Konformität, aber ein tragfähiges Fundament, auf dem sich die spezifischen Pflichten – etwa Melde- und Registrierungsprozesse – gezielt ergänzen lassen.

Der typische Stolperstein

Der häufigste Fehler ist, NIS-2 als reines IT-Thema zu behandeln. In Wahrheit betrifft die Richtlinie das gesamte Unternehmen: Einkauf (Lieferantenbewertung), Recht (Verträge und Haftung), Personal (Schulungen) und die Geschäftsleitung (Billigung und Aufsicht). Erfolgreiche Programme verankern Verantwortlichkeiten deshalb bereichsübergreifend – nicht allein in der IT-Abteilung.