Was ist die NIS-2? 

Die ursprüngliche NIS-Richtlinie wurde von der Europäischen Union eingeführt, um auf die wachsenden Cyberrisiken für Netz- und Informationssysteme zu reagieren. Gleichzeitig sollte sie einen einheitlichen Rahmen schaffen, da die Anforderungen an die Cybersicherheit in den einzelnen Mitgliedstaaten zuvor sehr unterschiedlich waren. Ein weiteres Ziel war es, die nationalen Cybersicherheitsfähigkeiten innerhalb der EU gezielt auszubauen. 

Mit der NIS-2-Richtlinie verfolgt die EU diese Ziele konsequent weiter. Sie erweitert den Anwendungsbereich deutlich, verschärft die Anforderungen an betroffene Organisationen und ersetzt die bisherige NIS-Richtlinie vollständig.  

Neben den Vorgaben für Unternehmen verpflichtet die NIS-2 jetzt auch die Mitgliedstaaten der EU dazu, eine nationale Cybersicherheitsstrategie zu entwickeln und umzusetzen. Damit soll sichergestellt werden, dass Cybersicherheit nicht nur auf Unternehmensebene, sondern auch auf staatlicher Ebene systematisch gestärkt wird. 

Für Unternehmen besonders relevant sind jedoch die konkreten organisatorischen, technischen und operativen Anforderungen der Richtlinie. Dazu gehören unter anderem Maßnahmen zum Risikomanagement, zur Absicherung von Lieferketten, zum Umgang mit Sicherheitsvorfällen sowie Meldepflichten gegenüber den zuständigen Behörden.  

Welche Unternehmen sind von NIS-2 betroffen? 

Mit der NIS-2-Richtlinie erweitert die EU den Kreis der betroffenen Unternehmen. Während die ursprüngliche NIS-Richtlinie nur wenige kritische Branchen erfasste, umfasst NIS-2 nun insgesamt 18 Sektoren. Dadurch fallen deutlich mehr Unternehmen unter die neuen Cybersicherheitsanforderungen. 

Zu den betroffenen Branchen gehören unter anderem: 

Sektoren mit hoher Kritikalität 

• Energie 

• Verkehr und Transport 

• Bankwesen und Finanzmarktinfrastrukturen 

• Gesundheitswesen 

• Trinkwasser- und Abwasserversorgung 

• Digitale Infrastruktur 

• IT- und Managed-Service-Dienstleister 

• Öffentliche Verwaltung 

• Raumfahrt 

Weitere kritische Sektoren 

• Post- und Kurierdienste

• Abfallwirtschaft

• Chemische Industrie

• Lebensmittelproduktion und -verarbeitung

• Verarbeitendes Gewerbe

• Digitale Dienste

• Forschungseinrichtungen

Innerhalb dieser Sektoren unterscheidet die NIS-2 zusätzlich verschiedene Teilbranchen und Unternehmensarten. Dadurch lässt sich genauer bestimmen, welche Organisationen tatsächlich unter die Richtlinie fallen.  

Wichtige oder besonders wichtige Einrichtung? 

In Deutschland ist das Bundesamt für Sicherheit in der Informationstechnik (BSI) die zuständige Behörde für die Umsetzung und Aufsicht von NIS-2. Für in Deutschland ansässige Unternehmen werden die NIS-2-Vorgaben also durch das BSI-Gesetz (BSIG) konkretisiert. Dabei erfolgt eine Einteilung in zwei Kategorien: Besonders wichtige Einrichtungen und wichtige Einrichtungen.

Welche Kategorie zutrifft, hängt in erster Linie von drei Faktoren ab: 

1. Der Branche bzw. dem Sektor des Unternehmens 

2. Der Art der angebotenen Dienstleistungen 

3. Der Unternehmensgröße (Mitarbeiterzahl und Umsatz) 

Als besonders wichtige Einrichtungen gelten beispielsweise Betreiber kritischer Infrastrukturen, bestimmte DNS- und Vertrauensdiensteanbieter sowie Betreiber öffentlicher Telekommunikationsnetze. 

Für viele Unternehmen ist jedoch vor allem die Größenbetrachtung relevant. Vereinfacht lässt sich sagen: 

Besonders wichtige Einrichtungen 

• mindestens 250 Mitarbeitende oder 

• mehr als 50 Mio. € Jahresumsatz und mehr als 43 Mio. € Bilanzsumme 

Wichtige Einrichtungen

• mindestens 50 Mitarbeitende oder 

• mehr als 10 Mio. € Jahresumsatz und mehr als 10 Mio. € Bilanzsumme 

Unternehmen, die diese Schwellenwerte nicht erreichen, fallen in vielen Fällen nicht unter die NIS-2. Allerdings gibt es Ausnahmen, beispielsweise für Betreiber kritischer Infrastrukturen oder bestimmte digitale Dienste. Daher sollte die Betroffenheit immer individuell geprüft werden.

So finden Sie heraus, ob Ihr Unternehmen betroffen ist 

Für die meisten Unternehmen reicht eine einfache Prüfung anhand der folgenden Fragen: 

1. Gehört mein Unternehmen zu einem der 18 NIS-2-Sektoren? 

2. Erreichen wir die relevanten Größenkriterien? 

3. Erbringen wir besondere digitale oder kritische Dienstleistungen? 

Wenn alle Fragen mit „Ja“ beantwortet werden können, ist eine NIS-2-Betroffenheit wahrscheinlich und sollte detailliert geprüft werden. 

Welche Rolle spielt das BSI? 

In Deutschland ist das Bundesamt für Sicherheit in der Informationstechnik (BSI) die zuständige Behörde für die Umsetzung und Aufsicht von NIS-2. 

Betroffene Unternehmen müssen ihre Betroffenheit gegenüber dem BSI registrieren und nachweisen können, dass sie die geforderten Cybersicherheitsmaßnahmen umsetzen. Dazu gehören unter anderem Risikomanagement, Incident Response, Sicherheitsmaßnahmen in der Lieferkette sowie Meldeprozesse für Sicherheitsvorfälle. 

Tipp: Unternehmen sollten  daher nicht erst auf eine behördliche Anfrage warten.  Wer frühzeitig prüft, ob eine NIS-2-Betroffenheit vorliegt, kann die notwendigen organisatorischen und technischen Maßnahmen rechtzeitig planen und umsetzen. 

Verstöße gegen die Anforderungen können mit erheblichen Bußgeldern und aufsichtsrechtlichen Maßnahmen geahndet werden. Deshalb sollte die Betroffenheitsanalyse für viele Unternehmen der erste Schritt auf dem Weg zur NIS-2-Compliance sein. 

Welche Maßnahmen müssen betroffene Unternehmen jetzt umsetzen? 

Die NIS-2 schreibt keine konkreten Technologien oder Produkte vor. Stattdessen definiert sie Sicherheitsziele, die betroffene Unternehmen durch geeignete organisatorische und technische Maßnahmen erreichen müssen. Im Kern fordert die Richtlinie ein systematisches Management von Cyberrisiken über den gesamten Lebenszyklus von IT- und OT-Systemen hinweg. Zu den wichtigsten Anforderungen gehören: 

• Risikomanagement und Sicherheitskonzepte: Unternehmen müssen ihre Cyberrisiken regelmäßig identifizieren, bewerten und geeignete Schutzmaßnahmen festlegen. Dazu gehören beispielsweise Sicherheitsrichtlinien, Risikobewertungen und dokumentierte Prozesse. 

• Erkennung und Bewältigung von Sicherheitsvorfällen: Sicherheitsvorfälle müssen frühzeitig erkannt, bewertet und bearbeitet werden können. Dafür benötigen Unternehmen definierte Incident-Response-Prozesse, Verantwortlichkeiten und Meldewege. 

• Business Continuity und Krisenmanagement: Auch im Falle eines Cyberangriffs müssen kritische Geschäftsprozesse weiterlaufen oder schnell wiederhergestellt werden können. Die NIS-2 fordert daher unter anderem: 

  • Backup- und Wiederherstellungskonzepte

  • Notfall- und Krisenmanagement

  • Wiederanlaufpläne für kritische Systeme

  • Regelmäßige Tests der Notfallprozesse 

• Sicherheit in der Lieferkette: Cyberrisiken entstehen häufig nicht im eigenen Unternehmen, sondern bei Dienstleistern, Lieferanten oder Softwareanbietern. Deshalb müssen Unternehmen die Sicherheit ihrer Lieferkette berücksichtigen und nicht nur die eigenen Risiken, sondern auch bei externen Partnern bewerten.

• Sichere Entwicklung und Wartung von Systemen: Sicherheitsanforderungen sollen bereits bei der Beschaffung, Entwicklung und Wartung von IT- und OT-Systemen berücksichtigt werden. Dazu gehören beispielsweise: 

  • Schwachstellenmanagement 

  • Patch-Management 

  • Secure Development 

  • Regelmäßige Sicherheitsprüfungen 

• Wirksamkeitskontrolle: Sicherheitsmaßnahmen dürfen nicht nur existieren, sondern müssen auch nachweislich funktionieren. Unternehmen sollten deshalb regelmäßig Audits, Assessments oder technische Prüfungen durchführen. 

• Cyberhygiene und Awareness: Mitarbeitende spielen eine zentrale Rolle für die Cybersicherheit. Die NIS-2 fordert daher grundlegende Sicherheitsmaßnahmen wie:  

  • Security-Awareness-Schulungen 

  • Passwort-Richtlinien 

  • Phishing-Sensibilisierung 

  • Sicheren Umgang mit Daten und Systemen 

• Kryptografie und Verschlüsselung: Wo erforderlich, sollen Daten durch moderne kryptografische Verfahren geschützt werden – sowohl bei der Speicherung als auch bei der Übertragung. 

• Zugriffs- und Berechtigungsmanagement: Unternehmen müssen sicherstellen, dass Mitarbeitende nur auf die Systeme und Informationen zugreifen können, die sie für ihre Arbeit benötigen. 

• Starke Authentifizierung: Die NIS-2 fordert den Einsatz moderner Authentifizierungsverfahren. In der Praxis bedeutet dies häufig die Einführung von Multi-Faktor-Authentifizierung (MFA) für kritische Systeme und Benutzerkonten. 

Was bedeutet das konkret für Unternehmen? 

Die meisten Unternehmen müssen für die Umsetzung der NIS-2 keine komplett neuen Sicherheitsmaßnahmen erfinden. Viele der Anforderungen entsprechen etablierten Best Practices der Informationssicherheit. 

Typische Projekte im Rahmen einer NIS-2-Umsetzung sind (Art. 21 Abs. 2 lit. a-j NIS-2): 

• Aufbau oder Erweiterung eines Informationssicherheitsmanagementsystems (ISMS); 

• Einführung eines Risikomanagementprozesses; 

• Implementierung eines Incident-Response-Prozesses; 

• Durchführung von Lieferantenbewertungen; 

• Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung;  

• Verbesserung von Backup- und Recovery-Konzepten; 

• Sicherheit des Personals, Konzepte für die Zugriffskontrolle und Management von Anlagen; 

• Security-Awareness-Programme für Mitarbeitende und Geschäftsführer Schulung; 

• Technische Schwachstellenanalysen und Penetrationstests 

Die Herausforderung besteht daher meist nicht in einzelnen technischen Maßnahmen, sondern darin, diese strukturiert, dokumentiert und dauerhaft nachweisbar umzusetzen. 

NIS-2, CRA, KRITIS, ISO 27001 und BSI-Grundschutz – wie hängt das zusammen? 

Bei der Umsetzung von Cybersicherheitsanforderungen begegnen Unternehmen schnell einer Vielzahl von Abkürzungen und Regelwerken. Tatsächlich erfüllen diese jedoch unterschiedliche Aufgaben. 

Vereinfacht lassen sie sich in drei Kategorien einteilen: 

1. Gesetze und regulatorische Vorgaben 

Diese Regelwerke definieren, welche Anforderungen Unternehmen erfüllen müssen. 

Diese Vorgaben beschreiben das „Was“ – also welche Anforderungen erfüllt werden müssen. 

2. Normen und Standards 

Normen beschreiben, wie Unternehmen ihre Sicherheitsorganisation aufbauen können. 

Diese Standards liefern strukturierte Vorgehensweisen zur Umsetzung der regulatorischen Anforderungen. 

3. Frameworks und Maßnahmenkataloge 

Frameworks und Best Practices unterstützen Unternehmen bei der konkreten Umsetzung. 

Diese Frameworks beschreiben konkrete technische und organisatorische Maßnahmen. 

Vom Gesetz zur technischen Umsetzung 

Für viele Unternehmen lässt sich der Zusammenhang einfach darstellen: 

NIS-2 → BSIG → ISO 27001 / ISA/IEC 62443 → BSI-Grundschutz & technische Maßnahmen 

Die NIS-2 definiert die regulatorischen Anforderungen. Das BSI-Gesetz überführt diese in deutsches Recht. Standards wie ISO 27001 oder ISA/IEC 62443 liefern einen strukturierten Umsetzungsansatz. Frameworks wie der BSI-Grundschutz helfen anschließend bei der konkreten Auswahl und Implementierung technischer und organisatorischer Maßnahmen. 

Abbildung 1: Zusammenhang EU-Recht und nationalem Recht 

 CarByte unterstützt Unternehmen aktiv von der ersten Bewertung bis zur Umsetzung der erforderlichen Sicherheitsmaßnahmen. Wenn Sie Unterstützung bei der Einordnung, Bewertung oder Umsetzung Ihrer regulatorischen Anforderungen benötigen, können Sie sich gerne an unser Cybersecurity-Team wenden.