Das Gesetz zu NIS2 wird zwar erst in der nächsten Legislaturperiode umgesetzt – mit einer verkürzten Übergangszeit. Doch wenn trifft das eigentlich, wieviel Zeit bleibt noch und was ist zu tun?

NIS2 – Wer ist betroffen?

12. Februar 2025 Das Gesetzgebungsverfahren zur NIS-2-Umsetzung in Deutschland ist vorerst gescheitert und wird voraussichtlich erst nach den Neuwahlen wieder angegangen.

Bei uns melden sich derzeit immer wieder Kunden, deren Lieferanten oder Kunden, die Erfüllung der NIS2-Richtlinien und deren Nachweis einfordern.

Unternehmen sollten nicht darauf warten, bis das NIS-2-Umsetzungsgesetz offiziell in Kraft tritt.

NIS2 betrifft auch Zulieferer. Wir beleuchten, wer unmittelbar betroffen ist und haben eine kurze Checkliste für NIS2 für Sie zusammengestellt.

Was ist NIS2?

Die NIS2-Richtlinie ist eine überarbeitete Version der NIS-Richtlinie, die erstmals 2016 von der Europäischen Union verabschiedet wurde. Die Richtlinie über Netz- und Informationssicherheit (NIS2) dient dazu, die Sicherheit kritischer Infrastrukturen und Dienstleistungen zu gewährleisten.
Ziel der NIS2-Richtlinie ist es, die Cyberresilienz und Sicherheitsstandards für essenzielle Dienste und kritische Infrastrukturen zu stärken.

Sektoren: NIS 2 wer ist betroffen

NIS2 erweitert den Geltungsbereich der ursprünglichen NIS-Richtlinie und umfasst nun eine breitere Palette von Sektoren und Dienstleistungen. Betroffen sind unter anderem:

NIS2 - Schaubild der betroffenen Sektoren

Die Sektoren, die von NIS2 betroffen sind.

Energie: Elektrizitäts- und Gasversorger, Ölunternehmen und erneuerbare Energien.
Transport: Luftfahrt, Schiene, Straßenverkehr und Schifffahrt.
Finanzmarktinfrastrukturen: Banken, Versicherungen und Finanzmarktplätze.
Gesundheitswesen: Krankenhäuser, Gesundheitsdienstleister und pharmazeutische Unternehmen.
Wasserversorgung: Anbieter von Trinkwasser und Wasserabflussdiensten.
Digitale Infrastrukturen: Internet-Exchange-Points, DNS-Dienste und Cloud-Service-Anbieter.

Organisationen: NIS 2 wer ist betroffen

Nicht nur die Sektoren, sondern auch bestimmte Arten von Organisationen innerhalb dieser Sektoren sind der NIS2-Richtlinie unterworfen. Hierzu zählen:

Betreiber wesentlicher Dienste: Unternehmen und Organisationen, die essenzielle Dienste bereitstellen und deren Ausfall erhebliche Auswirkungen auf die Wirtschaft und Gesellschaft haben könnte.
Digitale Dienstleister: Dazu gehören Anbieter von Suchmaschinen, Online-Marktplätzen und Cloud-Diensten.

Was müssen betroffene Organisationen tun?

Betroffene Organisationen müssen mehrere Maßnahmen ergreifen, um die Anforderungen der NIS2-Richtlinie zu erfüllen:

Risikomanagement: Umsetzung von Maßnahmen zur Identifizierung und Minderung von Cyberrisiken.
Vorfallsmanagement: Einrichtung von Protokollen zur Meldung und Bewältigung von Sicherheitsvorfällen.
Schutzmaßnahmen: Implementierung technischer und organisatorischer Maßnahmen zum Schutz vor Cyberangriffen.
Compliance: Regelmäßige Überprüfungen und Audits, um die Einhaltung der NIS2-Vorgaben sicherzustellen.

Wir haben eine kurze Checkliste für NIS2 für Sie erstellt – dort können sich schnell checken, wie gut Sie vorbereitet sind. Diese können Sie weiter unten downloaden.

Fazit

Die NIS2-Richtlinie ist ein wichtiger Schritt zur Stärkung der Cybersicherheit in der EU. Sie betrifft eine breite Palette von Sektoren und Organisationen, die wesentliche Dienste und digitale Infrastrukturen bereitstellen. Unternehmen, die in den Geltungsbereich der NIS2 fallen, sollten sich proaktiv mit den Anforderungen auseinandersetzen und entsprechende Sicherheitsmaßnahmen implementieren. Dies wird nicht nur helfen, gesetzliche Anforderungen zu erfüllen, sondern auch die allgemeine Cyberresilienz und das Vertrauen in digitale Dienstleistungen stärken.

Wir haben eine kurze Checkliste für den Einstieg für NIS2 erstellt – wie man NIS2 umsetzen kann – haben wir in Blogpost „NIS2 zusammengefasst.

NIS2 Checkliste unverbindlich downloaden

Ihre Ansprechpartnerin

Franka Theis
Strategic Account Managerin Cyber Security

E-Mail: Franka.Theis@systag.com
Telefon: +49 7123 / 92 02 – 16

Nachricht senden

Exkurs: NIS2 – welche Vorteile hat das für mein Unternehmen

Die Bedingungen, die an NIS2 geknüpft sind – bedeuten viel Arbeit in den betroffenen Unternehmen – doch es gibt durchaus Vorteile, die NIS2 mit sich bringt.

Strategische Vorteile durch Compliance

Wettbewerbsvorteil: Unternehmen, die die NIS2-Anforderungen frühzeitig umsetzen, können sich als vertrauenswürdige Partner positionieren, was ein erhebliches Differenzierungsmerkmal im Markt sein kann. Kunden und Geschäftspartner bevorzugen häufig Unternehmen, die nachweislich hohe Sicherheitsstandards einhalten.

Risikominimierung: Durch die proaktive Umsetzung von Cybersicherheitsmaßnahmen und die Einhaltung von NIS2-Vorgaben wird das Risiko von Sicherheitsvorfällen minimiert. Dies schützt nicht nur sensible Daten, sondern bewahrt auch den Ruf des Unternehmens.

Technologische Unterstützung

Automatisierung und KI: Der Einsatz von Künstlicher Intelligenz (KI) und Automatisierung kann die Erkennung und Abwehr von Bedrohungen erheblich verbessern. Automatisierte Systeme können rund um die Uhr potenzielle Angriffe erkennen und abwehren, wodurch menschliche Ressourcen entlastet werden. M

Integration von Sicherheitstools: Moderne Sicherheitslösungen bieten oft eine Integration von verschiedenen Tools und Diensten an. Beispielsweise können SIEM (Security Information and Event Management)-Systeme und SOAR (Security Orchestration, Automation, and Response)-Plattformen kombiniert werden, um eine umfassende Sicherheitsüberwachung und -reaktion zu gewährleisten.

Best Practices und Empfehlungen

Regelmäßige Audits: Um sicherzustellen, dass alle Sicherheitsmaßnahmen effektiv sind und den Anforderungen entsprechen, sollten regelmäßige interne und externe Audits durchgeführt werden. Diese Audits helfen, Schwachstellen zu identifizieren und kontinuierliche Verbesserungen vorzunehmen.

Incident Response Plan/IT-Notfallplan : Ein gut durchdachter Incident Response Plan (IRP) ist essenziell. Dieser Plan sollte detailliert beschreiben, wie das Unternehmen auf verschiedene Sicherheitsvorfälle reagiert und welche Schritte zu unternehmen sind, um den Schaden zu minimieren. Dieser ist auchTeil eines IT-Notfallhandbuchs.

Collaboration und Informationsaustausch: Der Austausch von Informationen über Bedrohungen und Best Practices mit anderen Unternehmen und Institutionen kann dazu beitragen, Sicherheitsmaßnahmen zu verbessern. Teilnahme an Branchenverbänden und Cybersicherheitsinitiativen kann wertvolle Einblicke und Unterstützung bieten.

Bedeutung der Unternehmenskultur

Leadership Engagement: Die Unternehmensführung muss Cybersicherheit als strategische Priorität anerkennen und aktiv unterstützen. Dies beinhaltet nicht nur die Bereitstellung von Ressourcen, sondern auch die Schaffung einer Kultur, in der Sicherheitsbewusstsein und Risikomanagement gefördert werden.

Kontinuierliche Weiterbildung: Fortlaufende Schulungen und Weiterbildungen für Mitarbeiter sind entscheidend, um auf aktuelle Bedrohungen vorbereitet zu sein. Sicherheitsbewusstsein sollte Bestandteil der Unternehmens-DNA werden.

Finanzielle Unterstützung und Förderprogramme

Förderprogramme und Zuschüsse: In vielen Ländern gibt es staatliche Förderprogramme und Zuschüsse, die Unternehmen bei der Umsetzung von Cybersicherheitsmaßnahmen unterstützen. Unternehmen sollten sich über verfügbare Finanzierungsmöglichkeiten informieren und diese nutzen. Fördergelder gibt es auf Landes- und auf Bundesebene – ein IT-Sicherheitscheck oder sogar die Umsetzung der IT-Sicherheitsstrategie und damit NIS2 sind förderfähig.