Bislang war Cybersicherheitsregulierung in Deutschland vor allem etwas für Betreiber kritischer Infrastrukturen: Stromnetze, Wasserwerke, große Krankenhäuser. Das ändert sich gerade grundlegend. Mit der europäischen NIS2-Richtlinie wird der Kreis der regulierten Unternehmen deutlich größer, und darunter sind viele Mittelständler, die bisher nie etwas mit dem BSI-Gesetz zu tun hatten. Die wichtigste Frage lautet deshalb: Ist mein Unternehmen von NIS2 betroffen? Wir zeigen, wie Sie das prüfen und was auf Betroffene zukommt.
Der Zeitplan: Was feststeht und was nicht
- NIS2-Richtlinie: Sie wurde Ende 2022 im Amtsblatt der EU veröffentlicht und ist im Januar 2023 in Kraft getreten.
- Umsetzung in nationales Recht: Die Mitgliedstaaten müssen die Richtlinie bis zum 17. Oktober 2024 umsetzen, die Regeln sollen ab dem 18. Oktober 2024 gelten.
- Deutschland: Das Bundesinnenministerium arbeitet an einem NIS-2-Umsetzungsgesetz, Entwürfe sind bereits bekannt geworden. Beschlossen ist noch nichts, Details wie Begriffe, Zuständigkeiten und Ausnahmen können sich noch ändern.
Ein Jahr klingt lang. Wer aber bei null anfängt und ein Informationssicherheitsmanagement aufbauen muss, wird die Zeit brauchen.
NIS2: Wer ist betroffen?
Die Richtlinie arbeitet mit zwei Kriterien: Branche und Größe. Betroffen sind grundsätzlich Unternehmen, die in einem der genannten Sektoren tätig sind und mindestens als mittleres Unternehmen gelten.
Schritt 1: Die Größe
| Kategorie | Beschäftigte | oder Umsatz und Bilanzsumme |
|---|---|---|
| Mittleres Unternehmen | ab 50 | Jahresumsatz und Jahresbilanzsumme jeweils über 10 Mio. Euro |
| Großes Unternehmen | ab 250 | Jahresumsatz über 50 Mio. Euro und Jahresbilanzsumme über 43 Mio. Euro |
Maßgeblich ist die EU-Definition für kleine und mittlere Unternehmen. Achtung: Bei Unternehmensgruppen werden Partner- und verbundene Unternehmen unter Umständen mitgezählt. Für einige Bereiche, etwa bestimmte digitale Dienste oder Vertrauensdienste, gilt die Richtlinie unabhängig von der Größe.
Schritt 2: Die Branche
Die Richtlinie unterscheidet Sektoren mit hoher Kritikalität und sonstige kritische Sektoren:
- Hohe Kritikalität (Anhang I): Energie, Verkehr, Bankwesen, Finanzmarktinfrastruktur, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten für Unternehmen (z. B. Managed Service Provider), öffentliche Verwaltung, Weltraum.
- Sonstige kritische Sektoren (Anhang II): Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe (u. a. Medizinprodukte, Elektronik, elektrische Ausrüstung, Maschinenbau, Fahrzeugbau), Anbieter digitaler Dienste (Online-Marktplätze, Suchmaschinen, soziale Netzwerke), Forschung.
Gerade das verarbeitende Gewerbe überrascht viele: Ein Maschinenbauer mit 60 Mitarbeitern kann betroffen sein, ohne je von „kritischer Infrastruktur“ gesprochen zu haben.
Schritt 3: Wesentlich oder wichtig?
Betroffene Unternehmen werden als wesentliche oder als wichtige Einrichtungen eingestuft, vereinfacht abhängig von Größe und Sektor. Die Pflichten sind weitgehend gleich, unterschiedlich sind vor allem die Aufsicht und die Höhe möglicher Bußgelder. Der deutsche Gesetzentwurf verwendet teils eigene Begriffe, gemeint ist aber dasselbe Prinzip.
Drei Beispiele zur Orientierung
- Lebensmittelhersteller mit 80 Beschäftigten: Sektor aus Anhang II, mittlere Größe, also voraussichtlich als wichtige Einrichtung betroffen.
- IT-Systemhaus mit 55 Mitarbeitern, das Netzwerke seiner Kunden betreut: Als Managed Service Provider im Anhang I, also ebenfalls im Anwendungsbereich.
- Steuerkanzlei mit 30 Beschäftigten: Weder Sektor noch Größe passen, also nicht direkt betroffen, aber möglicherweise über Mandanten indirekt.
Die Einstufung im Einzelfall kann knifflig sein, etwa wenn ein Unternehmen mehrere Tätigkeiten hat. Dokumentieren Sie Ihre Prüfung, damit Sie später nachvollziehen können, warum Sie zu Ihrem Ergebnis gekommen sind.
Was auf betroffene Unternehmen zukommt
- Risikomanagement: Angemessene technische und organisatorische Maßnahmen, unter anderem Risikoanalyse, Umgang mit Sicherheitsvorfällen, Backup und Notfallmanagement, Sicherheit in der Lieferkette, Schulungen, Zugriffskontrolle, Verschlüsselung und Multi-Faktor-Authentifizierung.
- Meldepflichten: Erhebliche Sicherheitsvorfälle müssen gestaffelt gemeldet werden: eine Frühwarnung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden und ein Abschlussbericht nach einem Monat.
- Verantwortung der Geschäftsleitung: Die Leitung muss die Maßnahmen billigen, ihre Umsetzung überwachen und sich selbst schulen lassen. Bei Verstößen droht auch eine persönliche Haftung.
- Registrierung: Betroffene Unternehmen sollen sich bei der zuständigen Behörde registrieren, in Deutschland voraussichtlich beim BSI.
- Bußgelder: Für wesentliche Einrichtungen bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes, für wichtige Einrichtungen bis zu 7 Mio. Euro oder 1,4 %, jeweils der höhere Betrag.
Nicht direkt betroffen? Vorsicht, Lieferkette!
Auch wenn Ihr Unternehmen zu klein ist oder in keinem der Sektoren arbeitet, kann NIS2 Sie erreichen. Betroffene Unternehmen müssen die Sicherheit ihrer Lieferkette berücksichtigen. Das bedeutet: Ihre Kunden werden Fragebögen schicken, Nachweise verlangen und Sicherheitsanforderungen in Verträge schreiben. IT-Dienstleister, Zulieferer und Softwareanbieter sollten sich darauf einstellen.
Ihre ersten Schritte
- Betroffenheit anhand von Größe und Sektor prüfen und das Ergebnis dokumentieren
- Geschäftsführung informieren, denn sie trägt künftig die Verantwortung
- Bestandsaufnahme: Welche Sicherheitsmaßnahmen gibt es schon, wo sind Lücken?
- Einen Ablauf für Sicherheitsvorfälle festlegen: Wer entscheidet, wer meldet, wer ist erreichbar?
- Backups und Wiederherstellung testen, nicht nur einrichten
- Den Aufbau eines ISMS planen, zum Beispiel orientiert an ISO 27001 oder dem BSI-IT-Grundschutz
Unser Fazit
NIS2 ist für viele Mittelständler ein Weckruf. Die gute Nachricht: Die geforderten Maßnahmen sind kein Selbstzweck, sondern genau das, was gegen Ransomware und Betriebsausfälle hilft. Wer jetzt prüft, ob er betroffen ist, und strukturiert anfängt, hat bis Oktober 2024 eine realistische Chance, gut aufgestellt zu sein.
Wir helfen Ihnen gerne
Sie sind unsicher, ob NIS2 Ihr Unternehmen betrifft, oder möchten gleich mit der Umsetzung beginnen? Das Team Informationssicherheit der Mittelstandsoptimierer prüft Ihre Betroffenheit und begleitet Sie beim Aufbau Ihres Sicherheitsmanagements. Rufen Sie uns an: 06131 144928-0.
Herzliche Grüße aus Mainz
