Was ist die NIS2-Richtlinie?

Wer betroffen ist: Sektor und Größe

Ob ein Unternehmen unter NIS2 fällt, entscheiden zwei Fragen. Erstens: Gehört die Tätigkeit zu einem der genannten Sektoren? Anlage 1 des BSI-Gesetzes umfasst die besonders kritischen Bereiche wie Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten für andere Unternehmen sowie Weltraum. Anlage 2 ergänzt weitere Sektoren, darunter Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, Teile des verarbeitenden Gewerbes wie Maschinenbau, Fahrzeugbau, Elektrotechnik und Medizinprodukte, Anbieter digitaler Dienste sowie Forschung.

Zweitens: Erreicht das Unternehmen die Größenschwelle? Das deutsche Gesetz bildet daraus zwei Kategorien. Die Richtlinie spricht von wesentlichen und wichtigen Einrichtungen, das deutsche BSI-Gesetz nennt die erste Gruppe besonders wichtige Einrichtungen.

Zwei Details entscheiden oft den Einzelfall. Geschäftstätigkeiten, die im Verhältnis zur gesamten Tätigkeit vernachlässigbar sind, dürfen bei der Zuordnung unberücksichtigt bleiben. Und Zahlen von Partner- oder verbundenen Unternehmen werden nicht hinzugerechnet, wenn das Unternehmen bei seiner IT tatsächlich unabhängig von ihnen ist. Von der öffentlichen Verwaltung erfasst das deutsche Gesetz die Bundesverwaltung, für Landes- und Kommunalverwaltungen sind die Länder zuständig. Das BSI bietet online eine Betroffenheitsprüfung an, die durch diese Fragen führt.

Die zehn Mindestmaßnahmen nach Artikel 21

Artikel 21 der Richtlinie, in Deutschland § 30 BSI-Gesetz, verlangt geeignete, verhältnismäßige technische und organisatorische Maßnahmen nach dem Stand der Technik. Sie müssen auf einem gefahrenübergreifenden Ansatz beruhen, also auch Stromausfall oder Brand mitdenken, und zumindest diese zehn Bereiche abdecken:

1. 1

   Risikoanalyse und Sicherheitskonzepte

   Eine dokumentierte Bewertung der Risiken und daraus abgeleitete Regeln für die IT-Sicherheit.

2. 2

   Bewältigung von Sicherheitsvorfällen

   Erkennen, Analysieren, Eindämmen und Beheben von Vorfällen nach einem festgelegten Ablauf.

3. 3

   Aufrechterhaltung des Betriebs

   Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement.

4. 4

   Sicherheit der Lieferkette

   Sicherheitsanforderungen an direkte Lieferanten und Dienstleister, vertraglich geregelt und überprüft.

5. 5

   Sicherheit bei Erwerb, Entwicklung und Wartung

   Sichere Beschaffung und Entwicklung von Systemen, einschließlich Umgang mit und Offenlegung von Schwachstellen.

6. 6

   Bewertung der Wirksamkeit

   Verfahren, mit denen du prüfst, ob die Maßnahmen tatsächlich wirken, etwa Audits oder Tests.

7. 7

   Schulung und Sensibilisierung

   Grundlegende Cyberhygiene und Sicherheitsschulungen für die Beschäftigten.

8. 8

   Kryptografie

   Konzepte für den Einsatz von Verschlüsselung, gegebenenfalls einschließlich Schlüsselverwaltung.

9. 9

   Personal, Zugriff und Anlagen

   Sicherheit beim Personal, Zugriffskontrolle und die Verwaltung der IT-Systeme und Werte.

10. 10

    Starke Authentifizierung und sichere Kommunikation

    Multi-Faktor-Authentifizierung oder kontinuierliche Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikation.

Die Liste ist ein Mindestkatalog, kein Prüfschema mit festen Werten. Wie tief eine Maßnahme gehen muss, richtet sich nach Risiko, Größe und Kosten. Für Anbieter digitaler Infrastruktur und Dienste, etwa Cloud-, Rechenzentrums- und Managed-Service-Anbieter, konkretisiert die Durchführungsverordnung (EU) 2024/2690 die Anforderungen deutlich genauer. Die Maßnahmen müssen außerdem dokumentiert sein, denn die Dokumentation ist selbst eine Pflicht.

Meldepflichten: vier Stufen, drei Fristen

Erhebliche Sicherheitsvorfälle meldest du in Deutschland an die gemeinsame Meldestelle von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe, praktisch über das BSI-Portal. Erheblich ist ein Vorfall, wenn er schwere Betriebsstörungen oder finanzielle Verluste verursachen oder andere Personen erheblich schädigen kann. Die Fristen laufen ab dem Zeitpunkt, an dem du von dem Vorfall Kenntnis erlangst:

Dauert der Vorfall nach einem Monat noch an, reichst du statt der Abschlussmeldung eine Fortschrittsmeldung ein und lieferst den Abschluss nach, sobald der Vorfall bearbeitet ist. Die 24 Stunden sind knapp, wenn erst geklärt werden muss, wer melden darf und über welchen Kanal. Meldewege, Vorlagen und Vertretungsregeln gehören deshalb in den Notfallplan, geübt und nicht nur beschrieben.

Registrierung und Nachweise

Betroffene Einrichtungen müssen sich selbst beim BSI registrieren, und zwar spätestens drei Monate, nachdem sie erstmals unter das Gesetz fallen. Die Registrierung läuft über das BSI-Portal mit dem Dienst „Mein Unternehmenskonto“ und verlangt unter anderem Kontaktdaten, öffentliche IP-Adressbereiche, Sektor und die Mitgliedstaaten, in denen du tätig bist. Ändern sich diese Angaben, musst du das innerhalb von zwei Wochen nachtragen. Wer schon seit dem Start des Gesetzes betroffen ist, hat die Frist bereits hinter sich und sollte die Registrierung umgehend nachholen.

Das Gesetz kommt nicht mit einer Behörde vorbei, die von sich aus jedes Unternehmen prüft. Es verlangt aber, dass du deine Maßnahmen dokumentierst und auf Verlangen nachweisen kannst. Bei besonders wichtigen Einrichtungen kann das BSI Nachweise jederzeit anfordern, bei wichtigen Einrichtungen dann, wenn es Hinweise auf Mängel gibt, etwa nach einem gemeldeten Vorfall.

Die Geschäftsleitung steht persönlich in der Pflicht

Nach § 38 BSI-Gesetz muss die Geschäftsleitung die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen. Verletzt sie diese Pflicht schuldhaft, haftet sie ihrer Einrichtung für den Schaden nach dem jeweiligen Gesellschaftsrecht, bei der GmbH also nach den Regeln für Geschäftsführer. Außerdem muss sie regelmäßig an Schulungen teilnehmen, um Risiken und Risikomanagement in der IT-Sicherheit selbst beurteilen zu können.

Damit ist IT-Sicherheit an dieser Stelle keine Angelegenheit mehr, die sich vollständig an die IT delegieren lässt. Für die IT bedeutet das vor allem, Risiken so aufzubereiten, dass die Geschäftsführung sie ohne Fachjargon bewerten und dokumentiert entscheiden kann.

Bußgelder

Wer Maßnahmen nicht ergreift, nicht dokumentiert oder Meldungen nicht rechtzeitig abgibt, handelt ordnungswidrig. Die Höchstbeträge hängen an der Kategorie und bei großen Unternehmen am weltweiten Umsatz:

Für andere Verstöße, etwa eine versäumte Registrierung, sieht das Gesetz niedrigere Bußgelder vor. Teurer als jedes Bußgeld ist in der Regel aber der Vorfall selbst, und bei Ausschreibungen und Kundenaudits wird die Erfüllung der Pflichten längst abgefragt.