Unternehmen ab 50 Mitarbeitern oder 10 Millionen Euro Umsatz in kritischen Sektoren müssen Risikomanagement, Meldepflichten und technische Schutzmaßnahmen nach NIS2 nachweisen.
NIS2 gilt ab 50 Mitarbeitern ODER 10 Millionen Euro Jahresumsatz in bestimmten Sektoren – und Bußgelder bis 10 Millionen Euro oder 2 % des weltweiten Umsatzes sind möglich.
Was ist NIS2 und wen betrifft es?
NIS2-Checkliste: Was Unternehmen prüfen müssen
- Betroffenheitsprüfung: Fällt das Unternehmen nach Größe und Sektor unter NIS2?
- Registrierung beim BSI: Betroffene Einrichtungen müssen sich beim Bundesamt für Sicherheit in der Informationstechnik registrieren
- Risikomanagement implementieren: Risikoanalyse, Sicherheitsrichtlinien, Business-Continuity-Plan
- Technische Schutzmaßnahmen: Verschlüsselung, Zugriffskontrollen, Patch-Management, Multi-Faktor-Authentifizierung
- Meldepflicht: Sicherheitsvorfälle müssen innerhalb von 24 Stunden (Erstmeldung) und 72 Stunden (Folgemeldung) dem BSI gemeldet werden
- Supply-Chain-Sicherheit: Auch Lieferanten und Dienstleister müssen auf Sicherheitsstandards geprüft werden
- Schulungen: Geschäftsführung und Mitarbeiter müssen nachweislich in Cybersicherheit geschult werden
- Dokumentation: Alle Maßnahmen müssen nachvollziehbar dokumentiert und auf Anfrage nachgewiesen werden
NIS2-Umsetzung strukturiert angehen
-
Schritt 1: Betroffenheitsanalyse
Prüfen Sie anhand der Sektoren-Liste des BSI, ob Ihr Unternehmen unter NIS2 fällt. Beim Zweifel: Juristen oder spezialisierte IT-Sicherheitsberater einschalten. Das BSI stellt einen Selbsttest bereit.
-
Schritt 2: Gap-Analyse der bestehenden Maßnahmen
Vergleichen Sie Ihre bestehenden IT-Sicherheitsmaßnahmen mit den NIS2-Anforderungen. Typische Lücken: fehlende Meldeprozesse, kein Patch-Management-System, unzureichende Lieferantenbewertung.
-
Schritt 3: Risikomanagement-System aufbauen
Implementieren Sie ein systematisches Risikomanagement: Risikoidentifikation, Bewertung, Behandlung und regelmäßige Überprüfung. ISO 27001 ist eine anerkannte Grundlage.
-
Schritt 4: Meldeprozess für Sicherheitsvorfälle einrichten
Definieren Sie intern, wer bei einem Vorfall benachrichtigt wird, wer die BSI-Meldung erstellt und wer die Kommunikation nach außen übernimmt. Die 24-Stunden-Frist ist sportlich – ohne Prozess nicht zu schaffen.
-
Schritt 5: Geschäftsführung in die Pflicht nehmen
NIS2 macht die Geschäftsführung persönlich verantwortlich. Haftungsausschlüsse durch Delegation an die IT reichen nicht. Schulung und aktive Beteiligung der Führungsebene sind Pflicht.
Achtung: Geschäftsführerhaftung
Praxistipp: BSI-Ressourcen nutzen
Fazit
Wollen Sie wissen, ob Ihr Unternehmen unter NIS2 fällt und was zu tun ist? INREMA führt die Betroffenheitsanalyse mit Ihnen durch.
Jetzt beraten lassenHäufige Fragen
Ab wann gilt NIS2 für mein Unternehmen?
Was muss ich beim BSI melden?
Wie hoch sind die NIS2-Bußgelder?
Muss auch ein kleines IT-Dienstleistungsunternehmen NIS2 beachten?
War dieser Artikel hilfreich?