Was ist NIS2?
NIS2 (Network and Information Security Directive 2) ist die überarbeitete EU-Richtlinie zur Cybersicherheit. Sie ersetzt die ursprüngliche NIS-Richtlinie von 2016 und erweitert den Anwendungsbereich erheblich.
Wer ist betroffen?
- Wesentliche Einrichtungen: Energie, Verkehr, Gesundheit, Trinkwasser, Digitale Infrastruktur
- Wichtige Einrichtungen: Chemie, Lebensmittel, verarbeitendes Gewerbe, Abfallwirtschaft, Post, Forschung
- Größenkriterien: Ab 50 Mitarbeiter ODER ab 10 Mio. € Jahresumsatz
Die 10 wichtigsten NIS2-Anforderungen
1. Risikomanagement etablieren
Unternehmen müssen einen systematischen Prozess zur Identifikation, Bewertung und Behandlung von Cyberrisiken einführen.
Was zu tun ist:
- Risikobewertung durchführen
- Maßnahmenplan erstellen
- Regelmäßige Überprüfung (mind. jährlich)
2. Incident Response Plan erstellen
Ein dokumentierter Notfallplan für Sicherheitsvorfälle ist Pflicht.
Muss enthalten:
- Meldewege und Verantwortlichkeiten
- Eskalationsstufen
- Kommunikationsplan (intern/extern)
- Wiederherstellungsverfahren
3. Meldepflichten einhalten
Erhebliche Sicherheitsvorfälle müssen innerhalb von 24 Stunden an das BSI gemeldet werden.
| Frist | Anforderung |
|---|---|
| 24 Stunden | Erstmeldung |
| 72 Stunden | Detaillierter Bericht |
| 1 Monat | Abschlussbericht |
4. Geschäftsführung einbinden
Die Geschäftsleitung trägt persönliche Verantwortung für Cybersicherheit.
Konsequenzen:
- Pflicht zur Überwachung der Maßnahmen
- Schulungspflicht für Führungskräfte
- Persönliche Haftung bei Verstößen möglich
5. Lieferketten-Sicherheit gewährleisten
Die Sicherheit von Zulieferern und Dienstleistern muss überprüft werden.
Maßnahmen:
- Sicherheitsanforderungen in Verträgen
- Regelmäßige Überprüfung der Partner
- Notfallpläne für Lieferantenausfälle
6. Zugangskontrollen implementieren
Identity & Access Management wird zur Pflicht.
Anforderungen:
- Rollenbasierte Zugriffsrechte
- Multi-Faktor-Authentifizierung (MFA)
- Regelmäßige Überprüfung der Berechtigungen
- Sichere Passwortverwaltung
7. Verschlüsselung einsetzen
Kryptografie muss zum Schutz sensibler Daten eingesetzt werden.
Bereiche:
- Daten in Übertragung (TLS/SSL)
- Daten im Ruhezustand (Festplattenverschlüsselung)
- E-Mail-Verschlüsselung bei sensiblen Inhalten
8. Mitarbeiter schulen
Regelmäßige Security Awareness Trainings sind verpflichtend.
Inhalte:
- Phishing-Erkennung
- Sichere Passwörter
- Social Engineering
- Meldepflichten
9. Business Continuity sicherstellen
Notfallpläne für den Weiterbetrieb bei Cyberangriffen müssen existieren.
Elemente:
- Backup-Strategie (3-2-1-Regel)
- Wiederherstellungszeiten definieren
- Regelmäßige Tests der Backups
- Alternative Kommunikationswege
10. Regelmäßige Audits durchführen
Überprüfungen der Sicherheitsmaßnahmen müssen dokumentiert werden.
Optionen:
- Interne Audits
- Externe Penetrationstests
- Zertifizierungen (ISO 27001)
Strafen bei Verstößen
| Kategorie | Maximale Strafe |
|---|---|
| Wesentliche Einrichtungen | 10 Mio. € oder 2% des Jahresumsatzes |
| Wichtige Einrichtungen | 7 Mio. € oder 1,4% des Jahresumsatzes |
Nächste Schritte
- Betroffenheitsanalyse durchführen
- Gap-Analyse der aktuellen Maßnahmen
- Maßnahmenplan erstellen
- Umsetzung starten