Was ist die NIS2-Richtlinie?

NIS2 ist die Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Europäischen Union. Sie erweitert die erfassten Sektoren und Einrichtungen gegenüber ihrer Vorgängerin und stärkt Managementverantwortung, Risikomanagement, Vorfallmeldungen, Lieferkettensicherheit und Aufsicht.

Als Richtlinie wird NIS2 durch nationales Recht umgesetzt. Die EU-Umsetzungsfrist endete am 17. Oktober 2024; nationale Details unterscheiden sich dennoch. Unternehmen müssen das Recht jedes relevanten Mitgliedstaats betrachten, statt Richtlinientext oder allgemeine Größenschwellen als vollständige Antwort zu verwenden.

Welche Organisationen können betroffen sein?

Die Richtlinie erfasst benannte Sektoren wie Energie, Verkehr, Gesundheit, digitale Infrastruktur, öffentliche Verwaltung sowie verschiedene Produktions- und Digitaldienstkategorien. Größenschwellen sind wichtig, Sonderfälle können aber kleinere Einrichtungen einbeziehen. Anforderungen an Lieferketten betreffen außerdem nicht direkt regulierte Anbieter.

Ob ein Unternehmen tatsächlich erfasst ist, lässt sich nicht allein aus Branche oder Mitarbeiterzahl ableiten. Zu prüfen sind Rechtsform, Tätigkeit, Größe, Niederlassungen, Mitgliedstaat und mögliche Sonderregeln. Bestimmte Anbieter digitaler Infrastruktur und öffentlicher Dienste können unabhängig von allgemeinen Schwellen erfasst sein. Konzerne müssen außerdem klären, auf welcher Ebene Größen berechnet werden und welche Gesellschaft den regulierten Dienst erbringt. Eine dokumentierte Betroffenheitsanalyse ist deshalb der erste belastbare Schritt.

Besonders wichtige und wichtige Einrichtungen

NIS2 unterscheidet auf europäischer Ebene zwischen „essential entities“ und „important entities“. Beide Kategorien müssen die Risikomanagement- und Meldepflichten erfüllen. Unterschiede bestehen vor allem bei Aufsicht und möglichen Maßnahmen der Behörden. Die konkrete deutsche Terminologie und Zuordnung richtet sich nach dem nationalen Umsetzungsgesetz.

Was sind zentrale Pflichten?

• - Aufsicht und Schulung des Managements.
• - Verhältnismäßige technische, operative und organisatorische Risikokontrollen.
• - Incident Handling, Business Continuity, Krisenmanagement und Lieferkettensicherheit.
• - Frühwarnung und gestufte Meldung erheblicher Vorfälle im jeweils geltenden nationalen Verfahren.

Artikel 21 nennt unter anderem Risikoanalyse, Incident Handling, Business Continuity, Backup- und Krisenmanagement, Sicherheit der Lieferkette, sichere Beschaffung und Entwicklung, Wirksamkeitsprüfung, Cyberhygiene, Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentifizierung. Die Maßnahmen müssen verhältnismäßig zum Risiko sein. Eine einzelne Firewall oder ein jährlicher Schwachstellenscan erfüllt diese Anforderungen nicht; entscheidend ist ein gesteuerter, belegbarer Prozess über Technik, Organisation und Personal hinweg.

Welche Meldefristen sieht NIS2 vor?

1. Frühwarnung:
   grundsätzlich innerhalb von 24 Stunden nach Kenntnis eines erheblichen Sicherheitsvorfalls.
2. Vorfallmeldung:
   grundsätzlich innerhalb von 72 Stunden mit erster Bewertung, Schweregrad und bekannten Auswirkungen.
3. Zwischenbericht:
   auf Anforderung der zuständigen Behörde oder des CSIRT.
4. Abschlussbericht:
   grundsätzlich spätestens einen Monat nach der Vorfallmeldung; bei laufenden Vorfällen zunächst ein Fortschrittsbericht.

Diese Fristen beginnen mit der Kenntnis des erheblichen Vorfalls, nicht erst nach vollständiger forensischer Aufklärung. Unternehmen benötigen deshalb einen klaren Bewertungs- und Eskalationsprozess, erreichbare Ansprechpartner und vorbereitete Meldewege. Datenschutzmeldungen, Kundenkommunikation und branchenspezifische Pflichten können parallel hinzukommen.

Welche Verantwortung trägt das Management?

Leitungsorgane müssen die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und an Schulungen teilnehmen. Informationssicherheit lässt sich damit nicht vollständig an IT oder einen externen Dienstleister delegieren. Das Management muss Risiken, Prioritäten, Ressourcen und akzeptierte Restrisiken nachvollziehen können. Für die Praxis bedeutet das regelmäßige Berichte mit verständlichen Kennzahlen, dokumentierte Entscheidungen und klare Verantwortlichkeiten statt einer bloßen Unterschrift unter Richtlinien.

Wie lässt sich NIS2 praktisch umsetzen?

Rechtliche Betroffenheit fachkundig bestimmen, wesentliche Dienste und Abhängigkeiten erfassen, vorhandene Kontrollen mit nationalen Anforderungen vergleichen, Managementverantwortung zuweisen und Lücken nachvollziehbar schließen. In Deutschland sollten betroffene Organisationen die aktuellen BSI-Hinweise und das BSI-Portal nutzen; das BSI weist darauf hin, dass die gesetzliche Registrierungsfrist bereits abgelaufen ist.

1. Betroffenheit und Scope:
   Regulierte Gesellschaften, Dienste, Standorte, Systeme und Abhängigkeiten bestimmen.
2. Verantwortung:
   Management, Informationssicherheit, Betrieb, Recht, Datenschutz und Kommunikation mit klaren Rollen verbinden.
3. Gap-Analyse:
   Vorhandene Kontrollen gegen die nationalen Anforderungen und Artikel 21 der Richtlinie prüfen.
4. Risiken behandeln:
   Maßnahmen priorisieren, Verantwortliche und Termine festlegen und Ausnahmen begründen.
5. Vorfälle üben:
   Erkennung, Bewertung, 24-/72-Stunden-Meldungen und Krisenkommunikation in Tabletop-Übungen testen.
6. Wirksamkeit prüfen:
   Kontrollen durch technische Tests, Audits, Kennzahlen und Nachverfolgung von Findings belegen.

Welche Nachweise sind sinnvoll?

Nachvollziehbarkeit entsteht durch ein aktuelles Asset- und Dienstverzeichnis, Risikobewertungen, Richtlinien, Schulungsnachweise, Lieferantenprüfungen, Backup- und Wiederherstellungstests, Incident-Protokolle und dokumentierte Wirksamkeitsprüfungen. Ein ISMS kann diese Nachweise strukturieren. Penetrationstests liefern Belege für ausgewählte technische Kontrollen, ersetzen aber weder Governance noch kontinuierliches Risikomanagement.

NIS2, DORA und ISO 27001 im Vergleich

DORA ist unmittelbar geltendes EU-Recht für den Finanzsektor und enthält detaillierte Anforderungen an digitale operationale Resilienz. NIS2 erfasst zahlreiche Sektoren und wird national umgesetzt. ISO/IEC 27001 ist dagegen ein freiwillig zertifizierbarer Managementstandard. Die Regelwerke überschneiden sich bei Risikomanagement, Vorfällen, Lieferanten und Wirksamkeitskontrolle. Vorhandene ISO-27001-Prozesse sind daher eine gute Grundlage, belegen aber nicht automatisch vollständige NIS2-Konformität.