Was ist das eigentlich?
Denken Sie an die wiederkehrenden Prüfungen in Ihrem Betrieb. Die Leitern werden geprüft, die Elektrogeräte bekommen eine Plakette, der Aufzug hat sein Prüfbuch. Niemand fragt Sie dabei, ob schon einmal jemand gestürzt ist. Die Pflicht besteht unabhängig davon. Wer im Ernstfall keine Prüfplakette und keine Unterschrift vorweisen kann, hat ein zweites Problem zusätzlich zum ersten.
Genau diese Logik überträgt NIS2 auf die Technik in Ihrem Unternehmen. Der Name steht für die zweite Fassung einer EU-Richtlinie zur Netz- und Informationssicherheit. Sie stammt aus dem Jahr 2022, und die Mitgliedsstaaten mussten sie in eigene Gesetze übersetzen; in Deutschland regelt das ein eigenes Umsetzungsgesetz. Neu daran ist weniger, was zu tun ist, denn das meiste ist seit Jahren guter Standard. Neu ist, dass es verpflichtend wird, dass es dokumentiert sein muss und dass deutlich mehr Unternehmen darunterfallen als früher.
Was macht das konkret?
- Risiken schriftlich betrachten. Sie halten fest, welche Systeme Ihr Geschäft tragen, was passiert, wenn sie ausfallen, und welche Maßnahmen Sie dagegen ergreifen. Kein Roman, aber eben auf Papier statt im Kopf.
- Grundschutz verpflichtend umsetzen. Dazu gehören geregelte Updates, gesicherte Zugänge, verschlüsselte Verbindungen, getestete und ein Plan für den Notfall.
- Störungen melden. Erhebliche Sicherheitsvorfälle sind der zuständigen Behörde zu melden, und zwar in Stufen mit sehr kurzen Fristen. Die erste Meldung ist innerhalb eines Tages fällig. Dafür muss vorher feststehen, wer meldet.
- Die Lieferkette einbeziehen. Sie müssen auch prüfen, wie sicher Ihre Dienstleister arbeiten. Deshalb reichen betroffene Unternehmen die Fragen an ihre Zulieferer weiter.
- Die Leitung in die Pflicht nehmen. Geschäftsführung und Vorstand müssen die Maßnahmen freigeben, deren Umsetzung überwachen und sich schulen lassen. Delegieren dürfen sie die Arbeit, nicht die Verantwortung.
Warum ist das für Ihr Unternehmen wichtig?
Der wichtigste Satz vorweg: Auch wer nicht direkt betroffen ist, spürt NIS2. Weil betroffene Unternehmen ihre Lieferanten prüfen müssen, kommen die Fragebögen bei den Zulieferern an, also beim Metallbauer, beim Softwarehaus und beim Reinigungsdienst mit Schlüsselgewalt. Wer dort nicht antworten kann, verliert Aufträge an jemanden, der es kann. Diese Wirkung ist längst da, während über Fristen noch diskutiert wird.
Für direkt betroffene Betriebe ändert sich vor allem die Beweislast. Bisher genügte es, sicher zu arbeiten. Künftig müssen Sie zeigen können, dass Sie es tun: Wer hat wann welches Update eingespielt, wann wurde die Wiederherstellung zuletzt geprobt, wer wird nachts angerufen. Diese Nachweise entstehen nicht rückwirkend. Sie entstehen nur, wenn man sie von Anfang an mitschreibt.
Und dann ist da der Nutzen jenseits der Pflicht. Ein Unternehmen, das seine wichtigsten Systeme kennt, geprüfte Sicherungen hat und einen besitzt, steht nach einem Vorfall nach Stunden wieder, nicht nach Wochen. Diesen Vorteil hätten Sie auch ohne Gesetz gern. Die Richtlinie sorgt nur dafür, dass die Aufgabe nicht länger liegen bleibt.
Brauchen Sie das?
- Sie arbeiten in Energie, Wasser, Gesundheit, Verkehr, Abfall, Chemie, Lebensmitteln oder der Industrie
- Sie beliefern Unternehmen aus diesen Bereichen
- Ein Auftraggeber hat Ihnen bereits einen Sicherheitsfragebogen geschickt
- Sie können heute nicht belegen, wann Ihre Datensicherung zuletzt erfolgreich zurückgespielt wurde
- In Ihrem Betrieb ist nicht schriftlich geregelt, wer bei einem IT-Notfall was tut
So setzen wir das bei Ihnen um
Wir fangen mit einer Bestandsaufnahme an: Welche Systeme tragen Ihr Geschäft, was ist bereits abgesichert, was fehlt. Danach schließen wir die Lücken in der Reihenfolge ihrer Wirkung und dokumentieren jeden Schritt so, dass Sie ihn einem Prüfer oder Auftraggeber vorlegen können. Für die rechtliche Einstufung Ihres Betriebs holen Sie sich Ihren Anwalt dazu. Die Technik und die Nachweise übernehmen wir.
Womit wir Betriebe absichern und wie wir dabei vorgehen, lesen Sie auf unserer Seite zur IT-Sicherheit.
Häufige Fragen
Ist mein Betrieb von NIS2 betroffen?
Das hängt von Ihrer Branche und Ihrer Größe ab. Erfasst sind unter anderem Energie, Wasser, Gesundheit, Verkehr, Abfall, Lebensmittel, Chemie, Post- und Kurierdienste, Teile der Industrie sowie Anbieter digitaler Dienste, jeweils erst ab einer bestimmten Unternehmensgröße. Das Bundesamt für Sicherheit in der Informationstechnik stellt dafür eine Prüfhilfe bereit. Im Zweifel klären Sie die Einstufung mit Ihrem Anwalt.
Wir sind nicht betroffen. Müssen wir trotzdem etwas tun?
Vermutlich ja, nur nicht wegen des Gesetzes. Betroffene Unternehmen müssen auch ihre Lieferanten in den Blick nehmen. Deshalb landen die Anforderungen als Fragebogen oder Vertragsklausel bei ihren Zulieferern und Dienstleistern. Wer dann keine Antworten hat, verliert im schlechtesten Fall den Auftrag.
Was ist der Unterschied zwischen NIS2 und der DSGVO?
Die DSGVO schützt Daten über Menschen. NIS2 schützt die Funktionsfähigkeit von Unternehmen und Versorgung. Es geht um Verfügbarkeit, nicht um Privatsphäre. Die DSGVO gilt für jeden, NIS2 nur für bestimmte Branchen und Größen. Technisch überschneiden sich beide stark, sodass viele Maßnahmen doppelt zählen.
Haftet wirklich die Geschäftsführung persönlich?
Die Richtlinie nimmt die Leitungsebene ausdrücklich in die Pflicht. Sie muss die Sicherheitsmaßnahmen billigen, ihre Umsetzung überwachen und sich dafür schulen lassen. Diese Verantwortung lässt sich nicht vollständig an die IT-Abteilung oder einen Dienstleister abgeben. Wie weit die Haftung im Einzelfall reicht, beantwortet Ihnen ein Anwalt.
Was kostet die Umsetzung?
Das hängt davon ab, wie Ihre IT heute aufgestellt ist. Viele Anforderungen sind Selbstverständlichkeiten, die Sie wahrscheinlich schon erfüllen: regelmäßige Updates, geprüfte Datensicherungen, geregelte Zugriffe. Aufwand entsteht meist bei der Dokumentation und bei den Notfallabläufen. Wir sehen uns Ihre Umgebung an und rechnen Ihnen die fehlenden Schritte vorher aus.