NIS2 ist keine ferne Zukunft – die EU-Cybersecurity-Richtlinie ist Realität. Und sie trifft weit mehr Unternehmen als ihr Vorgänger: Geschätzte 30.000 Unternehmen in Deutschland müssen sich anpassen.
Dieser Guide erklärt, was NIS2 bedeutet, wer betroffen ist, und welche konkreten Schritte du JETZT unternehmen musst.
Verwandt: Für das Sicherheitskonzept dahinter siehe Zero Trust Security.
Was ist NIS2?
NIS2 (Network and Information Security Directive 2) ist die überarbeitete EU-Richtlinie zur Cybersicherheit. Sie ersetzt NIS1 von 2016 und verschärft die Anforderungen deutlich.
Die wichtigsten Änderungen:
| NIS1 | NIS2 |
|---|---|
| ~5.000 betroffene Unternehmen (DE) | ~30.000 betroffene Unternehmen (DE) |
| Fokus auf kritische Infrastruktur | Erweiterung auf 18 Sektoren |
| Vage Anforderungen | Konkrete Maßnahmen |
| Geringe Strafen | Bis zu 10 Mio. € oder 2% Umsatz |
| Keine persönliche Haftung | Persönliche Haftung der Geschäftsführung |
Bist du betroffen?
Die Sektoren
NIS2 unterscheidet zwischen "wesentlichen" und "wichtigen" Einrichtungen:
Wesentliche Einrichtungen (Essential Entities):
- Energie (Strom, Gas, Öl, Wasserstoff)
- Transport (Luft, Schiene, Wasser, Straße)
- Bankwesen
- Finanzmarkt-Infrastruktur
- Gesundheitswesen
- Trinkwasser
- Abwasser
- Digitale Infrastruktur
- ICT-Service-Management
- Öffentliche Verwaltung
- Weltraum
Wichtige Einrichtungen (Important Entities):
- Post- und Kurierdienste
- Abfallwirtschaft
- Chemie
- Lebensmittel
- Herstellung (Medizinprodukte, Computer, Elektronik, Maschinen, Fahrzeuge)
- Digitale Dienste (Online-Marktplätze, Suchmaschinen, Social Networks)
- Forschung
Die Größenkriterien
Du bist betroffen, wenn dein Unternehmen:
Mittleres Unternehmen:
- 50-250 Mitarbeiter ODER
- 10-50 Mio. € Jahresumsatz UND < 43 Mio. € Bilanzsumme
Großes Unternehmen:
-
250 Mitarbeiter ODER
-
50 Mio. € Jahresumsatz ODER > 43 Mio. € Bilanzsumme
Ausnahme: Manche Sektoren sind unabhängig von der Größe betroffen (z.B. DNS-Anbieter, TLD-Registries, kritische Infrastruktur).
Schnellcheck
| Frage | Ja | Nein |
|---|---|---|
| Gehörst du zu einem der 18 Sektoren? | → Weiter | → Nicht betroffen |
| Hast du > 50 Mitarbeiter ODER > 10 Mio. € Umsatz? | → Betroffen | → Prüfe Ausnahmen |
| Bist du kritische Infrastruktur oder IT-Dienstleister? | → Wahrscheinlich betroffen | → Nicht betroffen |
Die 10 Kernanforderungen
1. Risikomanagement
Was NIS2 verlangt:
- Systematische Risikoanalyse
- Dokumentierte Risikobewertungen
- Regelmäßige Überprüfung
Konkrete Maßnahmen:
- Asset-Inventar erstellen (alle IT-Systeme, Daten)
- Risiko-Assessment durchführen
- Risiko-Register führen
- Quartalsweise Review
2. Incident Handling
Was NIS2 verlangt:
- Erkennung von Sicherheitsvorfällen
- Analyse und Response
- Recovery-Prozesse
Konkrete Maßnahmen:
- Security Information & Event Management (SIEM) implementieren
- Incident Response Plan erstellen
- Runbooks für häufige Incidents
- Regelmäßige Übungen
3. Business Continuity
Was NIS2 verlangt:
- Backup-Management
- Disaster Recovery
- Krisenmanagement
Konkrete Maßnahmen:
- Business Impact Analysis durchführen
- Backup-Strategie definieren (3-2-1-Regel)
- Disaster Recovery Plan erstellen
- DR-Tests durchführen
4. Lieferketten-Sicherheit
Was NIS2 verlangt:
- Sicherheit der Lieferanten
- Risikobewertung von Dienstleistern
- Vertragliche Anforderungen
Konkrete Maßnahmen:
- Lieferanten-Inventar erstellen
- Sicherheits-Assessments durchführen
- Verträge mit Security-Klauseln ergänzen
- Regelmäßige Überprüfung
5. Netzwerk-Sicherheit
Was NIS2 verlangt:
- Sichere Beschaffung und Entwicklung
- Schwachstellen-Management
- Netzwerk-Segmentierung
Konkrete Maßnahmen:
- Secure Development Lifecycle implementieren
- Vulnerability Scanning einführen
- Penetration Tests durchführen
- Netzwerk-Segmente einrichten
6. Cyber-Hygiene
Was NIS2 verlangt:
- Basis-Sicherheitsmaßnahmen
- Schulungen
- Awareness-Programme
Konkrete Maßnahmen:
- Security Awareness Training für alle Mitarbeiter
- Phishing-Simulationen
- Passwort-Policies
- Regelmäßige Updates
7. Kryptografie
Was NIS2 verlangt:
- Verschlüsselung von Daten
- Krypto-Policies
- Schlüsselmanagement
Konkrete Maßnahmen:
- Verschlüsselung at-rest und in-transit
- Kryptografie-Policy erstellen
- Key Management implementieren
- Krypto-Inventar führen
8. Zugangskontrollen
Was NIS2 verlangt:
- Human Resources Security
- Access Control Policies
- Asset Management
Konkrete Maßnahmen:
- Identity & Access Management (IAM) implementieren
- Least Privilege Principle
- Multi-Faktor-Authentifizierung
- Regelmäßige Access Reviews
9. Sichere Kommunikation
Was NIS2 verlangt:
- Multi-Faktor-Authentifizierung
- Sichere Sprach-, Video- und Textkommunikation
- Sichere Notfall-Kommunikation
Konkrete Maßnahmen:
- MFA für alle Systeme
- Ende-zu-Ende-Verschlüsselung
- Sichere Collaboration-Tools
- Notfall-Kommunikationsplan
10. Meldepflichten
Was NIS2 verlangt:
- Frühwarnung innerhalb 24 Stunden
- Incident Notification innerhalb 72 Stunden
- Abschlussbericht innerhalb 1 Monat
Konkrete Maßnahmen:
- Meldeprozesse definieren
- Zuständigkeiten klären
- Vorlagen erstellen
- Kommunikationswege testen
Persönliche Haftung der Geschäftsführung
Das ist neu: Geschäftsführer haften persönlich für die Einhaltung.
Was das bedeutet:
- Pflicht zur Genehmigung von Cybersecurity-Maßnahmen
- Pflicht zur Überwachung der Umsetzung
- Pflicht zur Teilnahme an Schulungen
- Persönliche Haftung bei Verstößen
Empfehlung:
- Board-Level-Reporting zu Cybersecurity etablieren
- Regelmäßige Security-Briefings für Geschäftsführung
- Dokumentation aller Entscheidungen
- D&O-Versicherung prüfen
Die NIS2-Checkliste
Sofort-Maßnahmen (Priorität: Hoch)
- Betroffenheit prüfen (Sektor + Größe)
- Verantwortlichen benennen (CISO oder Äquivalent)
- Asset-Inventar erstellen
- Risiko-Assessment durchführen
- Incident Response Plan erstellen
Kurzfristig (1-3 Monate)
- Gap-Analyse zu NIS2-Anforderungen
- Business Impact Analysis
- Lieferanten-Assessment
- Security Awareness Training starten
- Meldeprozesse definieren
Mittelfristig (3-6 Monate)
- Technische Maßnahmen umsetzen
- SIEM implementieren
- MFA ausrollen
- Netzwerk-Segmentierung
- Backup-Strategie umsetzen
- Policies und Prozesse dokumentieren
- Schulungsprogramm etablieren
- Lieferantenverträge anpassen
Langfristig (6-12 Monate)
- Kontinuierliche Verbesserung
- Regelmäßige Audits
- Penetration Tests
- Übungen (Incident Response, DR)
- Zertifizierungen anstreben (ISO 27001)
Kosten und Ressourcen
Typische Kostenfaktoren
| Maßnahme | Einmalig | Jährlich |
|---|---|---|
| Gap-Analyse | 15.000-50.000 € | - |
| SIEM-Implementierung | 30.000-100.000 € | 20.000-50.000 € |
| Awareness-Training | 5.000-20.000 € | 10.000-30.000 € |
| Penetration Tests | - | 15.000-50.000 € |
| Externer CISO | - | 50.000-120.000 € |
| ISO 27001 Zertifizierung | 30.000-100.000 € | 10.000-30.000 € |
Personalaufwand
Minimum für mittleres Unternehmen:
- 1 FTE für Security (CISO/Security Manager)
- 0,5 FTE für Compliance/Dokumentation
- Schulungszeit für alle Mitarbeiter
Strafen und Konsequenzen
Für wesentliche Einrichtungen:
- Bis zu 10 Mio. € ODER
- 2% des weltweiten Jahresumsatzes
Für wichtige Einrichtungen:
- Bis zu 7 Mio. € ODER
- 1,4% des weltweiten Jahresumsatzes
Zusätzlich:
- Persönliche Haftung der Geschäftsführung
- Temporäres Berufsverbot für Manager möglich
- Reputationsschaden
- Mögliche Betriebsuntersagung
Nächste Schritte
Woche 1: Betroffenheit klären
- Sektor-Zugehörigkeit prüfen
- Größenkriterien analysieren
- Rechtliche Beratung einholen
- Geschäftsführung informieren
Woche 2-4: Status Quo erfassen
- Asset-Inventar erstellen
- Bestehende Maßnahmen dokumentieren
- Gap-Analyse durchführen
- Risiken priorisieren
Monat 2-3: Quick Wins umsetzen
- Incident Response Plan erstellen
- Meldeprozesse definieren
- Awareness-Training starten
- Kritische Lücken schließen
Monat 4-12: Systematische Umsetzung
- Technische Maßnahmen implementieren
- Prozesse etablieren
- Dokumentation vervollständigen
- Audits durchführen
Fazit
NIS2 ist keine Option – es ist Pflicht. Die gute Nachricht: Viele Anforderungen entsprechen ohnehin Best Practices in der IT-Sicherheit. Wer strukturiert vorgeht, kann Compliance erreichen und gleichzeitig die echte Sicherheit verbessern.
Der wichtigste Schritt: Jetzt starten. Nicht warten.
Du brauchst Unterstützung bei der NIS2-Umsetzung? Wir helfen mit Gap-Analysen, Roadmap-Erstellung und technischer Implementierung. Kontakt aufnehmen
