Eigentlich sollte es am 17. Oktober so weit sein: Bis dahin müssen die EU-Mitgliedstaaten die NIS2-Richtlinie in nationales Recht übertragen haben. Inzwischen ist klar, dass Deutschland diesen Termin nicht schaffen wird. Das Bundeskabinett hat den Entwurf für das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz im Juli beschlossen, nun berät der Bundestag. Mit einem Inkrafttreten wird nicht vor dem kommenden Jahr gerechnet. Viele Unternehmen fragen uns: Können wir uns zurücklehnen, bis die NIS2-Umsetzung in Deutschland abgeschlossen ist? Unsere klare Antwort: Lieber nicht.
Worum geht es bei NIS2?
NIS2 ist die überarbeitete EU-Richtlinie zur Netz- und Informationssicherheit. Sie erweitert den Kreis der Unternehmen, die verbindliche Pflichten zur Cybersicherheit erfüllen müssen, ganz erheblich. Während bisher vor allem Betreiber kritischer Infrastrukturen im Fokus standen, kommen nun zahlreiche mittelgroße Unternehmen aus vielen Branchen hinzu. Nach Schätzungen der Bundesregierung werden in Deutschland rund 30.000 Einrichtungen betroffen sein.
Der Gesetzentwurf unterscheidet zwei Gruppen:
- Besonders wichtige Einrichtungen: in der Regel große Unternehmen ab 250 Beschäftigten oder mit mehr als 50 Millionen Euro Umsatz und mehr als 43 Millionen Euro Bilanzsumme in den besonders kritischen Sektoren, dazu Betreiber kritischer Anlagen.
- Wichtige Einrichtungen: mittlere Unternehmen ab 50 Beschäftigten oder mit mehr als 10 Millionen Euro Umsatz und Bilanzsumme in den erfassten Sektoren.
Erfasst sind unter anderem Energie, Transport, Gesundheit, digitale Infrastruktur, IT-Dienstleister, Abfallwirtschaft, Lebensmittel, Chemie, Teile des verarbeitenden Gewerbes, Post- und Kurierdienste. Für einige Bereiche gelten Sonderregeln unabhängig von der Größe.
Was die Verzögerung bedeutet und was nicht
Solange das deutsche Gesetz nicht in Kraft ist, gelten die neuen Pflichten hierzulande noch nicht unmittelbar. Das bedeutet aber nicht, dass Sie Zeit gewinnen. Drei Gründe:
- Keine Übergangsfrist geplant: Nach dem aktuellen Entwurf sollen die meisten Pflichten mit Inkrafttreten gelten. Wer erst dann anfängt, ist vom ersten Tag an im Verzug.
- Die Inhalte stehen weitgehend fest: Die Richtlinie gibt den Rahmen vor. Am Kern, also Risikomanagement, Meldepflichten und Verantwortung der Geschäftsleitung, wird sich im parlamentarischen Verfahren kaum etwas ändern.
- Ihre Kunden warten nicht: Große Unternehmen, die selbst unter NIS2 fallen, müssen die Sicherheit ihrer Lieferkette berücksichtigen. Fragebögen zur Informationssicherheit landen deshalb schon jetzt bei Zulieferern und Dienstleistern, die selbst gar nicht direkt betroffen sind.
Die wichtigsten Pflichten im Überblick
| Pflicht | Was dahintersteckt |
|---|---|
| Registrierung | Betroffene Einrichtungen müssen sich beim BSI registrieren. |
| Risikomanagement | Geeignete technische und organisatorische Maßnahmen, u. a. zu Risikoanalyse, Vorfallbewältigung, Backup und Notfallmanagement, Lieferkette, Zugriffskontrolle, Verschlüsselung und Mehr-Faktor-Authentisierung. |
| Meldepflichten | Erhebliche Sicherheitsvorfälle gestuft melden: frühe Erstmeldung innerhalb von 24 Stunden, Meldung nach 72 Stunden, Abschlussbericht nach einem Monat. |
| Geschäftsleitung | Muss die Maßnahmen billigen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Eine Haftung der Leitung ist vorgesehen. |
| Sanktionen | Die Richtlinie sieht Bußgelder in Millionenhöhe bzw. einen Prozentsatz des weltweiten Umsatzes vor. |
Fünf Dinge, die Sie trotzdem jetzt tun sollten
1. Betroffenheit klären
Prüfen Sie anhand von Sektor, Mitarbeiterzahl, Umsatz und Bilanzsumme, ob Sie voraussichtlich unter das Gesetz fallen. Achtung bei Unternehmensgruppen: Hier können Daten verbundener Unternehmen mitzählen. Das BSI stellt auf seiner Website Informationen zur Einordnung bereit.
2. Bestandsaufnahme machen
Welche Systeme, Daten und Prozesse sind für Ihr Geschäft unverzichtbar? Wer hat Zugriff? Welche Dienstleister sind beteiligt? Ohne diese Übersicht lässt sich kein Risiko bewerten.
3. Grundschutz umsetzen
Mehr-Faktor-Authentisierung für E-Mail und Fernzugriff, getestete Backups, aktuelle Systeme, ein Berechtigungskonzept. Diese Maßnahmen sind unabhängig von NIS2 sinnvoll und bilden das Fundament.
4. Meldeprozess vorbereiten
24 Stunden sind kurz. Legen Sie fest, wer einen Vorfall erkennt, wer entscheidet, ob er meldepflichtig ist, und wer die Meldung abgibt. Schreiben Sie das auf, bevor es brennt.
5. Geschäftsleitung ins Boot holen
NIS2 macht Informationssicherheit ausdrücklich zur Chefsache. Eine kurze Schulung für die Leitung und eine regelmäßige Berichterstattung über den Stand der Sicherheit schaffen die Grundlage dafür.
Typische Fragen aus Lieferanten-Fragebögen
Damit Sie einschätzen können, was auf Sie zukommt, hier eine Auswahl von Fragen, die wir in Sicherheitsfragebögen großer Kunden immer wieder sehen:
- Gibt es eine benannte verantwortliche Person für Informationssicherheit?
- Ist für alle externen Zugänge eine Mehr-Faktor-Authentisierung aktiv?
- Wie oft werden Backups erstellt, wo liegen sie und wann wurde die Wiederherstellung zuletzt getestet?
- Wie schnell werden kritische Sicherheitsupdates eingespielt?
- Gibt es einen dokumentierten Prozess für Sicherheitsvorfälle, und informieren Sie uns als Kunden im Ernstfall?
- Werden Mitarbeitende regelmäßig zu Phishing und sicherem Verhalten geschult?
- Welche Unterauftragnehmer haben Zugriff auf unsere Daten?
Wer diese Fragen heute schon mit gutem Gewissen beantworten kann, ist für NIS2 ein gutes Stück vorbereitet, ganz gleich, wann das Gesetz am Ende in Kraft tritt.
Wer nicht betroffen ist, profitiert trotzdem
Auch wenn Ihr Unternehmen unter den Schwellenwerten liegt: Die Anforderungen von NIS2 sind im Grunde eine Liste dessen, was jeder Betrieb ohnehin für seine Informationssicherheit tun sollte. Angriffe mit Ransomware treffen auch kleine Firmen, und die Fragebögen Ihrer Kunden kommen unabhängig davon, ob Sie selbst registrierungspflichtig sind. Wer seine Hausaufgaben gemacht hat, beantwortet sie in einer Stunde statt in einer Woche.
Wir helfen Ihnen gerne
Sie wollen wissen, ob NIS2 Sie betrifft, oder suchen einen pragmatischen Einstieg ins Risikomanagement? Das Team Informationssicherheit der Mittelstandsoptimierer prüft Ihre Betroffenheit, macht eine Bestandsaufnahme und erstellt mit Ihnen einen umsetzbaren Maßnahmenplan, ohne Papierberge. Rufen Sie uns an: 06131 144928-0.
Herzliche Grüße aus Mainz
