Die NIS-2-Richtlinie ist eine Überarbeitung der ursprünglichen NIS-Richtlinie, die 2016 eingeführt wurde. Sie zielt darauf ab, die Cybersicherheitsmaßnahmen innerhalb der EU zu harmonisieren und zu verstärken. Die neue Richtlinie erweitert den Geltungsbereich, wodurch die Richtlinie für mehr Unternehmen rechtsgültig ist. Gleichzeitig stellt NIS-2 auch strengere Anforderungen an die Sicherheitsmaßnahmen und die Meldung von Sicherheitsvorfällen.
Der Regierungsentwurf zum NIS2-Umsetzungsgesetz (NIS2UmsuCG) wurde am 30.07.2025 vom Bundeskabinett beschlossen. Das parlamentarische Verfahren läuft. Ein Inkrafttreten ist für den Jahreswechsel 2025/2026 zu erwarten.
Die NIS2-Richtlinie betrifft Organisationen aus 18 spezifischen Sektoren (Anhang I/II). Einrichtungen in diesen Sektoren werden – je nach Größe/Kritikalität – als besonders wichtig (essential) oder wichtig (important) eingestuft.
- Elektrizität
- Fernwärme
- Erdöl
- Erdgas
- Wasserstoff
- Luftverkehr
- Schienenverkehr
- Schifffahrt
- Straßenverkehr
- Kreditinstitute
- Handelsplätze
- Zentrale Gegenpartien
- Gesundheitsdienstleister
- EU Labore
- Medizinforschung
- Pharmazeutik
- Medizingeräte
- Wasserversorgung
- Abwasserentsorgung
- Internet-Knoten (IXP)
- DNS (ohne Root)*
- TLD Registries*
- Cloud Provider
- Rechenzentren
- CDNs
- Vertrauensdienste (TSP)*
- Elektronische Kommunikation*
- Managed Service Providers
- Managed Security Service Providers
- Zentralregierung*
- Regionale Regierung*
- Bodeninfrastruktur
- Postdienste
- Abfallbewirtschaftung
- Produzierende Unternehmen
- Herstellung
- Handel
- Produktion
- Verarbeitung
- Vertrieb
- Medizinprodukte und In-vitro
- DV (Computer), Elektronik, Optik
- Elektrische Ausrüstung
- Maschinenbau
- Kraftwagen und Teile
- Fahrzeugbau
- Marktplätze
- Suchmaschinen
- Soziale Netzwerke
- Forschende Institute
Die Unterschiede zwischen "besonders wichtigen" und "wichtigen" Sektoren Einrichtungen:
- Besonders wichtige Einrichtungen werden proaktiv durch die Behörden beaufsichtigt (ohne Anlass).
Bußgeldrahmen: bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes (je nachdem, was höher ist) - Wichtige Einrichtungen müssen grds. nur anlassbezogen einer Aufsicht unterzogen.
Bußgeldrahmen: bis 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes.
Unabhängig von der Größe oder dem Umsatz eines Unternehmens gibt es bestimmte Ausnahmen. Zum Beispiel können Unternehmen, die kritische Tätigkeiten ausführen, Auswirkungen auf die öffentliche Ordnung haben oder vom Staat als "wichtig" eingestuft werden, unter die NIS2-Richtlinie fallen. Dies gilt auch, wenn sie weniger als 50 Mitarbeiter haben oder ihr Jahresumsatz unter 10 Millionen Euro liegt.
Verteidigung oder Geheimdienste können teilweise oder ganz von den Regelungen ausgenommen sein.
Unternehmen müssen ein Risikomanagementsystem einführen und angemessene Sicherheitsmaßnahmen implementieren, um sich wirksam gegen Cyberbedrohungen zu schützen. Dazu gehören eine Risikoanalyse mit Sicherheitskonzepten, Business Continuity Management einschließlich Backups, Incident-Handling und Forensik, Patch- und Schwachstellenmanagement, Logging, Monitoring und Anomalieerkennung, ein Zugriffs- und Identitätsmanagement, Kryptomanagement, Maßnahmen zur Absicherung der Lieferkette sowie regelmäßige Schulungen und Awareness-Maßnahmen für Mitarbeitende.
Sicherheitsvorfälle müssen unverzüglich an die zuständigen Behörden gemeldet werden. Dies soll eine schnelle Reaktion und Minimierung der Auswirkungen ermöglichen. Hierbei sind klare Meldefristen definiert.
Die NIS-2-Richtlinie sieht erhebliche Sanktionen für Unternehmen vor, die ihre Verpflichtungen nicht erfüllen. Dies umfasst finanzielle Strafen und andere regulatorische Maßnahmen.
Für betroffene Unternehmen ist es entscheidend, frühzeitig Maßnahmen zu ergreifen, um die Anforderungen der NIS-2-Richtlinie zu erfüllen. Wir empfehlen ein mehrstufiges Vorgehen:
Bewertung des aktuellen Sicherheitsniveaus: Führen Sie eine umfassende Bewertung Ihrer aktuellen Sicherheitsmaßnahmen und -protokolle durch, um Schwachstellen zu identifizieren.
Entwicklung eines Risikomanagementplans: Erstellen Sie einen detaillierten Risikomanagementplan, der spezifische Maßnahmen zur Verbesserung der Cybersicherheit beinhaltet. Es gilt klare Richtlinien und Verfahren für den Umgang mit Sicherheitsvorfällen zu definieren.
Schulung und Sensibilisierung: Stellen Sie sicher, dass Ihre Mitarbeiter regelmäßig geschult werden und sich der Bedeutung der Cybersicherheit bewusst sind. Die größte Schwachstelle bei Cyberangriffen ist nach wie vor der Mensch.
Implementierung von Sicherheitsmaßnahmen: Implementieren Sie die erforderlichen Sicherheitsmaßnahmen, einschließlich technologischer Lösungen und organisatorischer Prozesse. Ein Informationssicherheitskonzept kann dabei hilfreich sein.
Regelmäßige Überprüfung und Aktualisierung: Überprüfen und aktualisieren Sie regelmäßig Ihre Sicherheitsmaßnahmen, um mit den sich ständig weiterentwickelnden Bedrohungen Schritt zu halten.
Schutz der Vertraulichkeit und Integrität von Daten während der Übertragung und Speicherung.
Evaluierung von Sicherheitsrichtlinien, Prozessen und Technologien zur Identifizierung von Schwachstellen und Implementierung von Verbesserungen.
Regelmäßige Awareness-Schulungen sensibilisieren Mitarbeitende für Cyber-Bedrohungen und vermitteln Best Practices (z. B. Phishing-Prävention, sichere Passwortverwendung, Erkennung verdächtiger Aktivitäten); darüber hinaus verpflichtet NIS-2 die Unternehmensleitung, die Cybersicherheits-Maßnahmen zu genehmigen und zu überwachen, selbst an Schulungen teilzunehmen und persönliche Verantwortung zu tragen.
Simulationen von Cyberangriffen durch Sicherheitsexperten zur Aufdeckung von Schwachstellen in Systemen und Netzwerken, um potenzielle Sicherheitslücken zu identifizieren und zu beheben.
Regelmäßige Aktualisierung von Software und Betriebssystemen, um bekannte Schwachstellen zu schließen und die Angriffsfläche zu reduzieren.
Grundlegende Schutzmechanismen zum Blockieren unerlaubten Zugriffs und schädlicher Software.
Mit Tools wie zum Beispiel WEBCON BPS können Unternehmen ihre Sicherheits- und Compliance-Prozesse im Rahmen der NIS2-Richtlinie schnell digitalisieren, transparent steuern und flexibel an neue Anforderungen anpassen.
Fazit
Die NIS-2-Richtlinie kann einen bedeutenden Schritt zur Verbesserung der Cybersicherheit in der EU darstellen, wiewohl die Umsetzung gerade für den Mittelstand entsprechende Ressourcen erfordert.
Durch eine frühzeitige Vorbereitung und kann die fristgerechte Umsetzung robuster Sicherheitsmaßnahmen gewährleistet werden.Unternehmen stelle somit nicht nur die Compliance sicher, sondern stärken auch ihre Widerstandsfähigkeit gegenüber Cyberbedrohungen.
Bei Fragen zur praktischen Umsetzung stehen wir Ihnen jederzeit gerne unterstützend zur Seite
Sonntag & Partner
Partnerschaftsgesellschaft mbB
Wirtschaftsprüfer, Steuerberater, Rechtsanwälte
Schertlinstraße 23
86159 Augsburg
Telefon: +49 821 57058-0
Telefax: +49 821 57058-153
