Von der Betroffenheitsprüfung bis zur Meldekette – NIS2 strukturiert umsetzen.
Die NIS2-Richtlinie weitet die Cybersicherheitspflichten in der EU massiv aus: Statt weniger hundert KRITIS-Betreiber sind nun zehntausende Unternehmen erfasst – inklusive persönlicher Verantwortung der Geschäftsleitung. Diese Checkliste zeigt, wer betroffen ist, was gefordert wird und womit Sie anfangen sollten.
NIS2 ist die EU-Richtlinie über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau (Network and Information Security). Sie ersetzt die erste NIS-Richtlinie und verschärft die Anforderungen deutlich: mehr betroffene Sektoren, konkrete Mindestmaßnahmen, strenge Meldepflichten und empfindliche Sanktionen. In Deutschland erfolgt die Umsetzung über das NIS2-Umsetzungsgesetz; zuständige Aufsicht ist das BSI.
NIS2 unterscheidet wesentliche und wichtige Einrichtungen in 18 Sektoren – von Energie, Transport und Gesundheit über digitale Infrastruktur bis zu verarbeitendem Gewerbe, Lebensmitteln und Chemie. Als Faustregel gilt: Unternehmen ab 50 Beschäftigten oder 10 Millionen Euro Jahresumsatz in einem der Sektoren fallen in den Anwendungsbereich; für besonders kritische Bereiche gelten keine Größenschwellen.
Wichtig: Auch wer selbst nicht direkt erfasst ist, bekommt NIS2 über die Lieferkette zu spüren – betroffene Kunden müssen die Sicherheit ihrer Lieferanten bewerten und reichen Anforderungen vertraglich weiter. Eine dokumentierte Notfallvorsorge wird damit faktisch zur Geschäftsvoraussetzung.
Die Richtlinie schreibt einen Katalog von Risikomanagement-Maßnahmen vor, die jede betroffene Einrichtung umsetzen muss:
Erhebliche Sicherheitsvorfälle müssen gestaffelt gemeldet werden: eine Frühwarnung binnen 24 Stunden nach Kenntnis, eine ausführlichere Meldung binnen 72 Stunden und ein Abschlussbericht spätestens nach einem Monat. Parallel kann bei Datenpannen die 72-Stunden-Meldung nach DSGVO an die Datenschutzbehörde fällig sein.
Diese Fristen sind unter Stress nur zu halten, wenn die Meldekette vorbereitet ist: Wer erkennt und bewertet den Vorfall, wer meldet an welche Stelle, welche Informationen müssen rein? Genau dafür gehören Meldewege und Kommunikationsvorlagen ins Notfallhandbuch.
NIS2 nimmt die Leitungsebene ausdrücklich in die Verantwortung: Die Geschäftsleitung muss die Risikomanagement-Maßnahmen billigen, ihre Umsetzung überwachen und an Schulungen teilnehmen – und haftet bei Verstößen persönlich. Delegieren lässt sich die Arbeit, nicht die Verantwortung. Ein nachvollziehbar gepflegtes Notfall- und Krisenmanagement mit Aktivitätsprotokoll ist hier der wichtigste Entlastungsnachweis.
Für den Einstieg hat sich diese Reihenfolge bewährt:
Direkt meist erst ab 50 Beschäftigten oder 10 Millionen Euro Umsatz in einem der 18 Sektoren – mit Ausnahmen für besonders kritische Bereiche. Indirekt aber häufig ja: Betroffene Kunden müssen ihre Lieferkette absichern und geben Anforderungen an kleinere Zulieferer weiter.
Die Richtlinie sieht Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes für wesentliche Einrichtungen vor (7 Millionen bzw. 1,4 Prozent für wichtige). Hinzu kommt die persönliche Verantwortung der Geschäftsleitung.
Mit dem, was im Ernstfall sofort trägt und zugleich Pflicht ist: Vorfallbewältigung, Business Continuity und Meldewege – also Krisenorganisation und Notfallhandbuch. Diese Bausteine liefern den schnellsten Risiko- und Compliance-Gewinn; die übrigen Maßnahmen folgen aus der Gap-Analyse.
Sie deckt viele Anforderungen ab, ersetzt die NIS2-Pflichten aber nicht vollständig – insbesondere Registrierung, Meldepflichten und die spezifischen Business-Continuity-Anforderungen bleiben eigenständig nachzuweisen. ISO 27001 ist eine sehr gute Basis, kein Freifahrtschein.
PlanB führt Schritt für Schritt durch alle Bausteine – von Rollen und Wiederanlaufplänen bis zu Szenario-Checklisten und Compliance-Nachweisen.