NIS2: die neue Cybersecurity-Pflicht für den Mittelstand
Die NIS2-Richtlinie der EU ist die bisher umfassendste Regulierung zur IT-Sicherheit. Sie betrifft nicht nur Konzerne und kritische Infrastruktur, sondern erstmals auch tausende mittelständische Unternehmen in Deutschland.
Das Problem: Viele KMU wissen nicht, dass sie betroffen sind. Und die Umsetzungsfristen laufen.
Was ist NIS2?
NIS2 (Network and Information Security Directive 2) ist die überarbeitete EU-Richtlinie zur Cybersicherheit. Sie ersetzt die erste NIS-Richtlinie von 2016 und erweitert den Geltungsbereich massiv.
In Deutschland wird NIS2 durch das NIS2-Umsetzungsgesetz (NIS2UmsuCG) in nationales Recht überführt. Die Anforderungen sind verbindlich, mit empfindlichen Strafen bei Nichteinhaltung.
Bin ich betroffen?
Die große Frage. NIS2 unterscheidet zwei Kategorien:
Wesentliche Einrichtungen (Essential Entities)
- Energie, Transport, Gesundheit, Wasser, Finanzwesen
- Digitale Infrastruktur, öffentliche Verwaltung
- Ab 250 Mitarbeiter oder 50 Mio. € Umsatz in diesen Sektoren
Wichtige Einrichtungen (Important Entities)
Hier wird es für den Mittelstand relevant:
- Herstellung: Maschinenbau, Lebensmittel, Chemie, Medizinprodukte
- Digitale Dienste: IT-Dienstleister, Managed Service Provider, Online-Marktplätze
- Post und Kurier: Logistikunternehmen
- Abfallwirtschaft: Entsorgungsunternehmen
- Forschung: Forschungseinrichtungen
Schwellenwerte für wichtige Einrichtungen:
- Ab 50 Mitarbeiter oder
- Ab 10 Mio. € Jahresumsatz
Achtung: Auch kleinere Unternehmen können betroffen sein, wenn sie als Zulieferer für wesentliche Einrichtungen arbeiten. Die Lieferketten-Regelung zieht viele KMU indirekt mit rein.
Was muss ich umsetzen?
NIS2 fordert ein umfassendes Cybersecurity-Management. Die Kernanforderungen:
1. Risikomanagement
- Systematische Identifikation und Bewertung von IT-Risiken
- Dokumentierte Maßnahmen zur Risikominderung
- Regelmäßige Überprüfung und Aktualisierung
2. Technische Schutzmaßnahmen
- Netzwerksicherheit und Zugangskontrolle
- Verschlüsselung sensibler Daten
- Multi-Faktor-Authentifizierung
- Regelmäßige Backups mit getesteter Wiederherstellung
- Schwachstellenmanagement und Patch-Prozesse
3. Incident Management
- Verfahren zur Erkennung von Sicherheitsvorfällen
- Meldepflicht: Erstmeldung innerhalb von 24 Stunden an das BSI
- Vollständiger Bericht innerhalb von 72 Stunden
- Abschlussbericht innerhalb eines Monats
4. Business Continuity
- Notfallpläne für kritische Geschäftsprozesse
- Wiederherstellungsverfahren dokumentiert und getestet
- Krisenmanagement und Kommunikationspläne
5. Lieferkettensicherheit
- Sicherheitsanforderungen an Dienstleister und Zulieferer
- Vertragliche Regelungen zur IT-Sicherheit
- Regelmäßige Überprüfung der Lieferkette
6. Schulung und Awareness
- Regelmäßige Cybersecurity-Schulungen für alle Mitarbeiter
- Spezifische Schulung für die Geschäftsleitung
- Phishing-Awareness-Training
Was passiert bei Nichteinhaltung?
NIS2 hat Zähne. Die Strafen sind deutlich höher als bei der Vorgänger-Richtlinie:
- Wesentliche Einrichtungen: Bis zu 10 Mio. € oder 2% des weltweiten Jahresumsatzes
- Wichtige Einrichtungen: Bis zu 7 Mio. € oder 1,4% des weltweiten Jahresumsatzes
Und: Die Geschäftsführung haftet persönlich. Geschäftsführer und Vorstände können bei Verstößen persönlich zur Verantwortung gezogen werden.
Der Fahrplan: Was du jetzt tun solltest
Sofort: Betroffenheit prüfen
Fällt dein Unternehmen unter einen der genannten Sektoren? Erfüllst du die Schwellenwerte? Bist du Zulieferer für betroffene Unternehmen?
Kurzfristig: Gap-Analyse durchführen
Wo stehst du heute? Ein IT-Sicherheitscheck zeigt dir, welche NIS2-Anforderungen du bereits erfüllst und wo Lücken sind.
Mittelfristig: Maßnahmen umsetzen
Priorisiert nach Risiko und Aufwand:
- Incident-Response-Prozess einrichten (Meldepflicht!)
- MFA und Zugangskontrolle verschärfen
- Backup-Strategie überprüfen
- Risikomanagement dokumentieren
- Mitarbeiter schulen
Laufend: Dokumentation und Nachweis
NIS2 ist kein einmaliges Projekt. Du musst nachweisen können, dass du die Anforderungen kontinuierlich erfüllst. Das bedeutet:
- Regelmäßige Audits
- Aktualisierte Risikobewertungen
- Dokumentierte Schulungen
- Getestete Notfallpläne
Fazit: NIS2 ist kein Papiertiger
NIS2 ist die bisher größte Veränderung in der Cybersecurity-Regulierung für den Mittelstand. Wer betroffen ist und nicht handelt, riskiert nicht nur Strafen, sondern auch persönliche Haftung der Geschäftsleitung.
Die gute Nachricht: Viele der Anforderungen sind Dinge, die ohnehin sinnvoll sind. Backup, MFA, Schulungen: wer seine IT-Sicherheit ernst nimmt, hat einen Großteil der Arbeit bereits erledigt.
Lass uns gemeinsam prüfen, ob du von NIS2 betroffen bist und was zu tun ist. Im kostenlosen Erstgespräch geben wir dir eine erste Einschätzung.
