Mit der NIS-2-Richtlinie hat die EU die Anforderungen an die Cybersicherheit deutlich verschärft und auf viele neue Sektoren ausgeweitet. In Deutschland wird sie durch das NIS-2-Umsetzungsgesetz umgesetzt. Statt bisher einiger Tausend Betreiber kritischer Infrastrukturen fallen nun Zehntausende Unternehmen unter die Regeln – darunter viele Mittelständler aus Produktion, Logistik und Dienstleistung.
Bin ich betroffen?
Grundsätzlich betroffen sind Unternehmen in den aufgeführten Sektoren – etwa Energie, Transport und Logistik, Gesundheit, digitale Infrastruktur, Abfallwirtschaft, Herstellung bestimmter Waren (u. a. Maschinen, Elektronik, Fahrzeuge, Metall), Lebensmittel und digitale Dienste – ab 50 Beschäftigten oder mehr als 10 Mio. € Jahresumsatz und Bilanzsumme. Sie werden als „wichtige“ oder „besonders wichtige Einrichtungen“ eingestuft.
Auch wenn Sie kleiner sind, kann NIS-2 Sie treffen: Betroffene Unternehmen müssen ihre Lieferkette absichern und verlangen von Zulieferern und Dienstleistern Nachweise zur Informationssicherheit.
Welche Pflichten gelten?
- Registrierung beim Bundesamt für Sicherheit in der Informationstechnik (BSI)
- Risikomanagement: angemessene technische und organisatorische Maßnahmen, u. a. Zugriffskontrolle, Verschlüsselung, Backup, Notfallmanagement, MFA
- Meldepflichten bei erheblichen Sicherheitsvorfällen: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht nach einem Monat
- Verantwortung der Geschäftsleitung: Sie muss Maßnahmen billigen, überwachen und sich regelmäßig schulen lassen – mit persönlicher Haftung
- Bußgelder von bis zu 10 Mio. € bzw. 2 % des weltweiten Umsatzes für besonders wichtige und bis zu 7 Mio. € bzw. 1,4 % für wichtige Einrichtungen
Fünf Sofortmaßnahmen
- Betroffenheit klären und dokumentieren – auch, wenn das Ergebnis „nicht betroffen“ lautet.
- Multi-Faktor-Authentifizierung für alle Fernzugänge, E-Mail und Administratorkonten einführen.
- Backups unveränderbar speichern und die Wiederherstellung testen.
- Notfallplan mit Meldewegen, Ansprechpartnern und Wiederanlaufreihenfolge erstellen.
- Mitarbeitende und Geschäftsführung schulen – Phishing bleibt das Einfallstor Nummer eins.
Wie wir unterstützen
Unsere zertifizierten IT-Sicherheitsbeauftragten prüfen mit Ihnen die Betroffenheit, erstellen eine Risikoanalyse und setzen die technischen Maßnahmen um – in einer Größenordnung, die zu Ihrem Betrieb passt. Mehr dazu auf unserer Seite NIS-2 & Informationssicherheit.
Hinweis: Dieser Beitrag ersetzt keine Rechtsberatung. Maßgeblich sind die jeweils aktuellen gesetzlichen Regelungen.
Fragen zu diesem Thema?
Wir beraten Unternehmen in Menden, Iserlohn, Hemer, Arnsberg und ganz Südwestfalen persönlich.
