NIS2-Richtlinie für Unternehmen: Wer betroffen ist und was jetzt zu tun ist

Was die NIS2-Richtlinie für Unternehmen bedeutet

NIS steht für Netz- und Informationssicherheit. Amtlich heißt der Text NIS-2-Richtlinie, im Sprachgebrauch finden sich ebenso NIS2 und NIS 2. Die erste Richtlinie von 2016 erfasste einen überschaubaren Kreis von Betreibern kritischer Infrastrukturen. Die Nachfolgerin, Richtlinie (EU) 2022/2555, zieht den Kreis erheblich weiter: 18 Sektoren statt sieben, feste Mindestanforderungen an das Risikomanagement, kurze Meldefristen und eine Verantwortung, die ausdrücklich bei der Geschäftsleitung liegt.

Was NIS2 für den Mittelstand bedeutet, ist ein Bruch mit der bisherigen Logik. Bislang war IT-Sicherheit eine Frage der Sorgfalt und des Budgets. Jetzt ist sie eine Frage der Rechtspflicht, mit Nachweisen, Fristen und Bußgeldern.

Die Richtlinie fragt nicht, ob Ihre IT gut aufgestellt ist. Sie fragt, ob Sie belegen können, dass sie es ist.

Vom NIS2-Umsetzungsgesetz zum neuen BSI-Gesetz

Deutschland hat die Richtlinie über das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz in nationales Recht überführt. Praktisch relevant ist deshalb nicht der europäische Text, sondern das neu gefasste BSI-Gesetz. Dort stehen die Paragrafen, an denen sich eine Prüfung entlanghangelt: § 28 regelt, wer erfasst ist, § 30 die Maßnahmen, § 32 die Meldepflichten, § 33 die Registrierung und § 38 die Pflichten der Geschäftsleitung.

Wichtig für die Praxis: Die gesetzliche Registrierungsfrist ist bereits abgelaufen. Unternehmen, die erst jetzt merken, dass sie betroffen sind, holen die Registrierung nach, statt auf eine Übergangsregelung zu warten.

Was ist NIS2 im Unterschied zu KRITIS?

KRITIS beschreibt Betreiber kritischer Anlagen, also Einrichtungen, deren Ausfall die Versorgung der Bevölkerung unmittelbar gefährdet. Dieser Kreis bleibt bestehen und gilt automatisch als besonders wichtige Einrichtung. NIS2 legt sich darüber und erfasst zusätzlich einen großen Teil des gehobenen Mittelstands, der bisher außerhalb der Regulierung stand. Ein Zulieferer mit 80 Beschäftigten aus dem Maschinenbau ist kein KRITIS-Betreiber, kann aber sehr wohl eine wichtige Einrichtung nach dem BSIG sein.

NIS2: Wer ist betroffen?

Die Betroffenheit ergibt sich aus zwei Fragen, die zusammen beantwortet werden müssen: Gehört das Unternehmen zu einer der im Gesetz genannten Einrichtungsarten, und überschreitet es die Größenschwellen?

Die 18 Sektoren nach Anlage 1 und Anlage 2

Anlage 1 des BSIG listet elf Sektoren hoher Kritikalität: Energie, Verkehr und Transport, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten im B2B-Bereich, öffentliche Verwaltung und Weltraum.

Anlage 2 nennt sieben weitere Sektoren: Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe einschließlich Maschinen-, Fahrzeug- und Elektronikbau, Anbieter digitaler Dienste sowie Forschung. Gerade der Punkt verarbeitendes Gewerbe zieht viele produzierende Betriebe in der Oberpfalz und in ganz Bayern in den Anwendungsbereich, die sich bisher nicht angesprochen fühlten.

Schwellenwerte für besonders wichtige und wichtige Einrichtungen

Das Gesetz unterscheidet zwei Klassen, die sich in der Aufsichtsintensität und in der Bußgeldhöhe unterscheiden. Die Pflichten selbst sind weitgehend gleich.

Unabhängig von der Größe erfasst das Gesetz Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Registries, DNS-Diensteanbieter sowie Anbieter öffentlicher Telekommunikationsdienste und -netze. Bei der Berechnung von Beschäftigtenzahl und Umsatz zählen Partnerunternehmen und verbundene Unternehmen mit, ein Punkt, der in Konzernstrukturen regelmäßig übersehen wird.

Betroffen über die Lieferkette

Auch Unternehmen unterhalb der Schwellen bekommen NIS2 zu spüren. Die Absicherung der Lieferkette gehört zu den Pflichtmaßnahmen der regulierten Einrichtungen. In der Folge geben große Auftraggeber ihre Anforderungen vertraglich an Zulieferer und Dienstleister weiter. Wer als Lieferant Sicherheitsnachweise nicht liefern kann, verliert Aufträge, ohne selbst je unter das Gesetz gefallen zu sein.

Diese Anforderungen stellt das neue BSI-Gesetz

Aus der Betroffenheit folgen vier Pflichtenblöcke: Maßnahmen, Registrierung, Meldung und Verantwortung der Geschäftsleitung.

Zehn Risikomanagementmaßnahmen nach § 30 BSIG

Der Gesetzgeber beschreibt keine Produkte, sondern Themenfelder. § 30 Absatz 2 nennt zehn Bereiche, die eine Einrichtung mindestens abdecken muss:

1. Konzepte für Risikoanalyse und Informationssicherheit
2. Bewältigung von Sicherheitsvorfällen
3. Aufrechterhaltung des Betriebs, Backup-Management, Wiederherstellung und Krisenmanagement
4. Sicherheit der Lieferkette einschließlich der Beziehungen zu direkten Anbietern
5. Sicherheit bei Beschaffung, Entwicklung und Wartung, inklusive Schwachstellenmanagement
6. Verfahren zur Bewertung der Wirksamkeit der eigenen Maßnahmen
7. Schulungen und Sensibilisierung im Bereich Informationssicherheit
8. Konzepte für den Einsatz von Kryptografie und Verschlüsselung
9. Personalsicherheit, Zugriffskontrolle und Verwaltung der IKT-Systeme
10. Mehr-Faktor-Authentifizierung und gesicherte Kommunikation, gegebenenfalls einschließlich Notfallkommunikation

Die Maßnahmen müssen dem Stand der Technik entsprechen und verhältnismäßig sein. Ein Betrieb mit 60 Beschäftigten braucht kein Sicherheitszentrum rund um die Uhr, aber er braucht dokumentierte Prozesse. Punkt 7 und Punkt 10 sind erfahrungsgemäß die beiden, die sich am schnellsten umsetzen lassen und den größten Unterschied machen. Wie Sensibilisierung im Alltag aussieht, zeigt unser Beitrag dazu, wie Mitarbeitende Phishing erkennen.

Registrierung beim BSI

Betroffene Einrichtungen müssen sich nach § 33 BSIG innerhalb von drei Monaten selbst beim Bundesamt für Sicherheit in der Informationstechnik registrieren. Zu melden sind unter anderem Name und Rechtsform, Kontaktdaten samt öffentlicher IP-Adressbereiche, der einschlägige Sektor und die EU-Mitgliedstaaten, in denen die Einrichtung tätig ist. Die Registrierung läuft zweistufig über ein Organisationskonto und das BSI-Portal. Eine Benachrichtigung durch die Behörde gibt es nicht, die Initiative liegt beim Unternehmen.

Meldepflichten: 24 Stunden, 72 Stunden, ein Monat

Bei einem erheblichen Sicherheitsvorfall greift ein dreistufiges Verfahren nach § 32 BSIG:

• Innerhalb von 24 Stunden nach Kenntnis eine frühe Erstmeldung mit der Einschätzung, ob eine böswillige Handlung vorliegt und ob grenzüberschreitende Auswirkungen möglich sind.
• Innerhalb von 72 Stunden eine Meldung mit erster Bewertung von Schweregrad, Auswirkungen und, sofern vorhanden, Kompromittierungsindikatoren.
• Spätestens einen Monat nach dieser Meldung eine Abschlussmeldung mit ausführlicher Beschreibung, Ursache und getroffenen Abhilfemaßnahmen.

Diese Fristen laufen auch am Freitagabend und über Feiertage. Sie sind der Grund, warum Erreichbarkeit vor der Technik kommt: Wer erst am Montag jemanden erreicht, hat die erste Frist bereits gerissen. Ein IT-Support mit Service Desk und festen Reaktionszeiten ist deshalb kein Komfort, sondern Teil der Compliance.

Was die Geschäftsleitung persönlich trifft

§ 38 BSIG verlagert die Verantwortung nach oben. Geschäftsleitungen müssen die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen. Verletzen sie diese Pflicht, haften sie ihrer Einrichtung für schuldhaft verursachte Schäden nach den Regeln des jeweiligen Gesellschaftsrechts. Hinzu kommt eine eigene Schulungspflicht: Geschäftsführung und Vorstand müssen regelmäßig an Schulungen teilnehmen, um Risiken erkennen und bewerten zu können. Delegieren an die IT-Abteilung oder den Dienstleister ist möglich, die Verantwortung wandert dabei aber nicht mit.

NIS2-Umsetzung in fünf Schritten

Die Erfahrung aus Projekten zeigt: Unternehmen scheitern selten an der Technik, sondern an der Reihenfolge. Diese fünf Schritte haben sich bewährt.

Schritt 1: Betroffenheit klären und dokumentieren. Sektor bestimmen, Beschäftigtenzahl und Umsatz inklusive verbundener Unternehmen berechnen, Ergebnis schriftlich festhalten. Das BSI stellt dafür eine NIS-2-Betroffenheitsprüfung online bereit. Auch ein negatives Ergebnis gehört dokumentiert, damit die Einschätzung später nachvollziehbar bleibt.

Schritt 2: Registrieren. Wenn die Prüfung positiv ausfällt, sofort registrieren. Der Aufwand liegt im Beschaffen des Organisationszertifikats, nicht im Formular.

Schritt 3: Bestandsaufnahme gegen die zehn Maßnahmenfelder. Für jedes Feld aus § 30 festhalten, was bereits existiert, was lückenhaft ist und was fehlt. Ergebnis ist eine Liste mit Verantwortlichen und Terminen, keine Präsentation.

Schritt 4: Lücken schließen, beginnend bei den Grundlagen. Mehr-Faktor-Authentifizierung, geprüfte Backups, Patchmanagement und ein belastbarer Meldeweg decken einen erheblichen Teil der Anforderungen ab. Vieles davon lässt sich in einer bestehenden Microsoft-Umgebung umsetzen, etwa über die Möglichkeiten von Microsoft 365 für Unternehmen.

Schritt 5: Nachweisfähigkeit herstellen. Richtlinien, Protokolle, Testberichte und Schulungsnachweise gehören an eine Stelle, auf die im Prüffall zugegriffen werden kann. Ein Vorfall, der gut bewältigt, aber nicht dokumentiert wurde, zählt gegenüber der Aufsicht nicht.

Checkliste für die ersten Wochen

• Sektor und Größenklasse geprüft und schriftlich festgehalten
• Registrierung beim BSI abgeschlossen oder terminiert
• Meldeweg für Sicherheitsvorfälle festgelegt, inklusive Erreichbarkeit außerhalb der Bürozeiten
• Mehr-Faktor-Authentifizierung für alle externen Zugänge aktiv
• Backup-Konzept vorhanden und Rückspielung mindestens einmal getestet
• Schulungstermin für die Geschäftsleitung gesetzt
• Verantwortliche Person für Informationssicherheit benannt

Bußgelder, Aufsicht und die Kosten des Nichtstuns

Die Bußgeldvorschriften des BSIG sehen gestaffelte Bußgelder vor. Bei besonders wichtigen Einrichtungen sind bis zu zehn Millionen Euro möglich, bei wichtigen Einrichtungen bis zu sieben Millionen Euro. Daneben kann die Aufsicht Anordnungen treffen und Nachweise verlangen.

Die wirtschaftlich größere Zahl steht allerdings woanders. Die Bitkom-Studie Wirtschaftsschutz 2025 beziffert den jährlichen Gesamtschaden durch Datendiebstahl, Spionage und Sabotage in der deutschen Wirtschaft auf 289,2 Milliarden Euro, davon 202,4 Milliarden Euro allein durch Cyberangriffe. Gegen diese Größenordnung ist NIS2 weniger eine Belastung als eine Struktur, die ohnehin nötig gewesen wäre. Wo Ihr Unternehmen bei Firewall, Endpoint-Schutz und Monitoring steht, klärt ein Blick auf unsere Cyber Security Services, und einen breiteren Überblick über die Bedrohungslage gibt unser Beitrag zur IT-Sicherheit für KMU.