Ein Maschinenbau-Unternehmen mit 400 Mitarbeitenden erfährt aus einem Branchen-Newsletter, dass es als „wichtige Einrichtung” unter NIS2 fällt. Die Geschäftsleitung erkennt: Risikomanagement, Vorfallmeldung, Lieferantenbewertung und persönliche Haftung müssen innerhalb weniger Monate aufgestellt sein — andernfalls drohen Bußgelder bis 7 Mio. € oder 1,4 % des weltweiten Umsatzes. Die bisherige IT-Compliance reicht nicht aus; eine systematische Lückenanalyse muss her.
Die Richtlinie (EU) 2022/2555 (NIS2) löste die NIS-1-Richtlinie ab und erweitert die EU-weite Cybersicherheits-Aufsicht erheblich. Sie galt formal ab dem 16. Januar 2023, die Umsetzungsfrist in nationales Recht endete am 17. Oktober 2024. Für Deutschland bedeutet das eine deutliche Erweiterung des Adressatenkreises gegenüber dem bisherigen KRITIS-Regime — vom Mittelstand bis zum Großkonzern, mit klaren Anforderungen an Governance, Lieferketten und Reaktion.
Wer ist betroffen?
NIS2 erweitert den NIS-1-Geltungsbereich erheblich. Die Richtlinie unterscheidet zwei Kategorien:
- Besonders wichtige Einrichtungen (Anhang I) — Sektoren mit besonders hoher Bedeutung: Energie, Verkehr, Bankwesen, Finanzmarkt, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, IKT-Dienst-Management, öffentliche Verwaltung, Weltraum.
- Wichtige Einrichtungen (Anhang II) — weitere Sektoren: Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe (Medizinprodukte, Elektronik, Maschinenbau, Kraftfahrzeuge), digitale Anbieter (Online-Marktplätze, Suchmaschinen, soziale Netzwerke), Forschung.
Die Größenschwelle liegt bei 50 Mitarbeitenden oder 10 Mio. € Jahresumsatz (mittlere Unternehmen). Bestimmte Schlüssel-Anbieter sind unabhängig von der Größe erfasst — etwa qualifizierte Vertrauensdienste, TLD-Registries, DNS-Diensteanbieter und Anbieter öffentlicher elektronischer Kommunikationsnetze.
Was verlangt das Gesetz?
NIS2 stützt sich auf drei Säulen: Governance, Risikomanagement, Vorfallmeldung.
- Geschäftsleiter-Verantwortung (Art. 20) — die Leitungsorgane billigen die Risikomanagement-Maßnahmen, überwachen die Umsetzung und können persönlich haftbar gemacht werden. Pflicht zur Schulung der Geschäftsleitung in Cybersicherheit.
- Risikomanagement-Maßnahmen (Art. 21) — angemessene technische, operative und organisatorische Maßnahmen, mit zehn Pflicht-Themenfeldern:
- Risikoanalyse und Sicherheitsrichtlinien
- Behandlung von Sicherheitsvorfällen
- Geschäftskontinuität und Krisenmanagement
- Sicherheit der Lieferkette
- Sicherheit bei Beschaffung, Entwicklung und Wartung
- Bewertung der Wirksamkeit der Risikomanagement-Maßnahmen
- Cyberhygiene und Schulung
- Kryptografie und Verschlüsselung
- Personalsicherheit, Zugriffskontrolle, Asset-Management
- Mehrfaktor-Authentisierung, gesicherte Sprach-/Video-/Text-Kommunikation
- Meldepflichten (Art. 23) — gestufte Meldung erheblicher Vorfälle:
- Frühwarnung innerhalb von 24 Stunden nach Kenntnis
- Vorfallmeldung innerhalb von 72 Stunden mit erster Bewertung
- Schlussbericht innerhalb eines Monats
- Registrierung (Art. 27) — nationale Aufsichtsbehörden führen ein Register, betroffene Organisationen registrieren sich aktiv.
- Aufsicht und Durchsetzung (Art. 31 ff.) — Audits, Inspektionen, Anweisungen, Bußgelder und im Extremfall vorübergehende Untersagung der Geschäftstätigkeit.
In der Praxis
Lückenanalyse gegen die zehn Themenfelder fahren. Die zehn Themenfelder aus Art. 21 sind das Pflicht-Curriculum. Jede Organisation sollte den Status pro Themenfeld dokumentieren — was existiert, was fehlt, welcher Reifegrad erreicht wird. Das ist der Ausgangspunkt für die Roadmap.
Geschäftsleitung in die Pflicht nehmen — und schulen. Die Geschäftsleiter-Haftung ist real. Geschäftsführer und Vorstände müssen die Cybersicherheits-Strategie billigen, Schulungen besuchen und ihre Aufsichtspflicht dokumentiert wahrnehmen. Eine jährliche Cyber-Schulung mit Anwesenheits-Nachweis gehört zum Standard.
Lieferketten als eigenes Programm aufstellen. Lieferanten-Sicherheit ist eines der zehn Pflicht-Themenfelder. Massgeblich ist nicht nur der direkte Lieferant, sondern auch dessen Vorlieferanten (Software-Bibliotheken, Cloud-Komponenten, Managed Services). Die ENISA hat Sektor-spezifische Empfehlungen veröffentlicht, die als Maßstab dienen.
Mapping zu ISO 27001
NIS2-Art.-21-Themenfelder decken sich substantiell mit dem ISO-27001-Annex-A-Katalog. Eine ISO-27001-Zertifizierung ist kein NIS2-Nachweis, vereinfacht die Compliance aber erheblich.
Direkt relevante Kontrollen:
- A.5.4 — Verantwortung der Leitung: Brückenpunkt zur Geschäftsleiter-Verantwortung nach Art. 20.
- A.5.7 — Bedrohungsinformationen: Auswertung nationaler und EU-weiter Lagebilder (CSIRT-Netzwerk, ENISA).
- A.5.19 — Informationssicherheit in den Lieferantenbeziehungen: Lieferanten-Bewertung nach NIS2-Lieferketten-Pflicht.
- A.5.20 — Adressierung der Informationssicherheit in Lieferantenvereinbarungen: vertragliche Verankerung.
- A.5.21 — Verwaltung der Informationssicherheit in der IKT-Lieferkette: mehrstufige Lieferketten-Bewertung.
- A.5.23 — Informationssicherheit für die Nutzung von Cloud-Diensten: Bewertung kritischer Cloud-Anbieter.
- A.5.24 — Planung der Informationssicherheitsvorfallreaktion: Voraussetzung für die 24-/72-Stunden-Meldung.
- A.5.25 — Bewertung und Entscheidung zu Informationssicherheitsereignissen: Klassifikation der Erheblichkeit.
- A.5.26 — Reaktion auf Informationssicherheitsvorfälle: strukturierte Eindämmung.
- A.5.29 — Informationssicherheit bei Störung: Aufrechterhaltung kritischer Dienste.
- A.5.30 — IKT-Bereitschaft für Geschäftskontinuität: Wiederanlauf-Pläne.
- A.5.36 — Einhaltung von Richtlinien: Compliance-Prüfung gegen NIS2-Anforderungen.
- A.6.3 — Informationssicherheitsbewusstsein: Cyberhygiene-Schulungen, einschließlich Geschäftsleitung.
- A.8.7 — Schutz vor Schadsoftware: Basisschutz.
- A.8.8 — Umgang mit technischen Schwachstellen: Schwachstellen-Management.
- A.8.16 — Aktivitätsüberwachung: Voraussetzung für rechtzeitige Vorfall-Erkennung.
Typische Audit-Befunde
- Selbstprüfung der NIS2-Betroffenheit fehlt — die Organisation gehört zu Anhang II, hat sich aber nicht beim BSI registriert.
- Geschäftsleiter-Schulung ohne Nachweis — Geschäftsführer haben sich nicht messbar mit Cybersicherheit befasst, eine Aufsichtspflicht-Verletzung steht im Raum.
- Lieferketten-Bewertung lückenhaft — direkte Lieferanten sind erfasst, Sub-Lieferanten und Open-Source-Abhängigkeiten fehlen.
- 24-Stunden-Frühwarnung nicht eingeübt — die SOC-Stelle hat keinen direkten Meldeweg zum BSI, jede Meldung muss über die Rechtsabteilung laufen.
- Risikomanagement nicht auf alle zehn Themenfelder bezogen — Mehrfaktor-Authentisierung oder Cyberhygiene-Schulungen fehlen, das Pflicht-Curriculum ist unvollständig.
- Wirksamkeits-Bewertung der Maßnahmen fehlt — die Maßnahmen sind dokumentiert, aber niemand prüft, ob sie wirken (kein Penetrationstest, kein Reifegrad-Review).
Quellen
- Richtlinie (EU) 2022/2555 — NIS2 (EUR-Lex) — amtliche Fassung in allen EU-Sprachen
- ENISA — NIS2 Directive — Leitlinien, Sektorprofile, Implementierungs-Hilfen
- BMI — Informationen zur deutschen NIS2-Umsetzung — Stand des NIS2UmsuCG, Hintergrundinformationen
- BSI — NIS-2 Informationen für betroffene Einrichtungen — Registrierung, Meldepflichten, Mindestmaßnahmen