IT-Sicherheit
NIS-2 im Mittelstand: Wer betroffen ist und was jetzt zu tun ist
NIS-2 ist eine EU-Richtlinie für mehr Cybersicherheit. Sie betrifft deutlich mehr Unternehmen als die bisherigen Regeln, darunter viele mittelständische Betriebe ab etwa 50 Beschäftigten oder 10 Millionen Euro Jahresumsatz in bestimmten Sektoren. Betroffene Unternehmen müssen Risiken systematisch steuern, schwere Sicherheitsvorfälle melden, und die Geschäftsleitung trägt dafür persönlich Verantwortung.
Die Richtlinie wird in Deutschland und Österreich durch nationale Gesetze umgesetzt. Maßgeblich sind diese nationalen Regeln. Ob und wie Ihr Unternehmen betroffen ist, sollten Sie im Einzelfall prüfen, bei Unklarheiten mit rechtlicher Beratung.
Welche Unternehmen fallen unter NIS-2?
Ob ein Unternehmen unter NIS-2 fällt, hängt von zwei Fragen ab: In welchem Sektor ist es tätig, und wie groß ist es? Die Richtlinie listet Sektoren mit hoher Kritikalität, etwa Energie, Verkehr, Gesundheit, digitale Infrastruktur und IT-Dienstleistungen für andere Unternehmen. Dazu kommen weitere kritische Sektoren wie Abfallwirtschaft, Lebensmittel, Chemie und Teile des verarbeitenden Gewerbes, zum Beispiel Maschinenbau, Elektrotechnik und Fahrzeugbau.
Als Größenschwelle gilt in der Regel die Definition für mittlere Unternehmen: ab 50 Beschäftigten oder ab 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme. Für einige Einrichtungen gilt NIS-2 unabhängig von der Größe. Die Richtlinie unterscheidet außerdem zwischen besonders wichtigen und wichtigen Einrichtungen. Davon hängen Aufsicht und Höhe möglicher Bußgelder ab.
Die genaue Einordnung ist oft nicht trivial, etwa bei Firmengruppen oder Unternehmen mit mehreren Geschäftsfeldern. Prüfen Sie Ihre Betroffenheit im Einzelfall anhand des nationalen Gesetzes und holen Sie bei Zweifeln rechtlichen Rat ein.
NIS-2 betrifft auch Zulieferer und Dienstleister
Auch Unternehmen, die selbst nicht unter NIS-2 fallen, spüren die Richtlinie. Betroffene Unternehmen müssen die Sicherheit ihrer Lieferkette berücksichtigen. Sie fragen deshalb bei Zulieferern und IT-Dienstleistern nach, wie diese ihre Systeme schützen.
In der Praxis bedeutet das: Kunden verlangen Nachweise, Fragebögen oder vertragliche Zusagen zur Informationssicherheit. Wer hier gut vorbereitet ist, kann Anfragen schneller beantworten und bleibt als Lieferant attraktiv.
Welche Pflichten bringt NIS-2 mit sich?
Die Pflichten lassen sich in drei Bereiche gliedern. Die genaue Ausgestaltung regelt das jeweilige nationale Gesetz.
- Risikomanagement: Unternehmen müssen angemessene technische und organisatorische Maßnahmen treffen. Dazu zählen unter anderem Konzepte für Risikoanalyse, Umgang mit Sicherheitsvorfällen, Backup und Notfallwiederherstellung, Sicherheit in der Lieferkette, Zugriffskontrolle, Verschlüsselung und Mehr-Faktor-Authentifizierung.
- Meldepflichten: Erhebliche Sicherheitsvorfälle müssen in mehreren Stufen an die zuständige Behörde gemeldet werden, beginnend mit einer frühen Erstmeldung innerhalb kurzer Frist. In Deutschland ist das BSI zuständig, das Bundesamt für Sicherheit in der Informationstechnik.
- Verantwortung der Geschäftsleitung: Die Geschäftsleitung muss die Maßnahmen billigen, ihre Umsetzung überwachen und sich regelmäßig schulen lassen. Bei Verstößen kann sie haftbar gemacht werden.
Erste Schritte zur Umsetzung von NIS-2
Der erste Schritt ist die Klärung, ob Ihr Unternehmen betroffen ist. Gleichen Sie dazu Sektor, Beschäftigtenzahl und Umsatz mit den Kriterien des nationalen Gesetzes ab. Prüfen Sie auch, ob eine Registrierung bei der zuständigen Behörde erforderlich ist.
Danach lohnt sich eine Bestandsaufnahme: Welche Systeme und Daten sind für den Betrieb kritisch? Welche Schutzmaßnahmen gibt es schon, und wo fehlen sie? Aus dieser Lückenanalyse entsteht ein Maßnahmenplan mit Prioritäten.
Parallel sollten Sie Zuständigkeiten festlegen und einen Ablauf für Sicherheitsvorfälle beschreiben, damit Meldungen im Ernstfall rechtzeitig erfolgen. Viele Unternehmen orientieren sich dabei an etablierten Standards wie ISO/IEC 27001 oder dem IT-Grundschutz des BSI. Beide geben eine Struktur vor, mit der sich die Anforderungen von NIS-2 gut abdecken lassen.
So unterstützt S.WERK bei NIS-2
S.WERK ist selbst nach ISO/IEC 27001 zertifiziert und arbeitet im Service-Management nach ITIL. Wir helfen bei der Bestandsaufnahme, setzen technische Maßnahmen wie Backup, Zugriffskontrolle und Überwachung um und unterstützen beim Aufbau von Abläufen für Sicherheitsvorfälle. Die rechtliche Bewertung Ihrer Betroffenheit ersetzt das nicht.
Mehr dazu: IT-Security bei S.WERK · IT-Beratung und Projekte · Termin vereinbaren
Häufige Fragen
Ab wie vielen Mitarbeitern gilt NIS-2?
In der Regel ab 50 Beschäftigten oder ab 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme, sofern das Unternehmen in einem der erfassten Sektoren tätig ist. Für einige Einrichtungen gilt NIS-2 unabhängig von der Größe.
Haftet der Geschäftsführer bei NIS-2 persönlich?
Die Geschäftsleitung muss die Sicherheitsmaßnahmen billigen und ihre Umsetzung überwachen. Bei Pflichtverletzungen kann sie haftbar gemacht werden. Die Details regelt das nationale Gesetz.
Betrifft NIS-2 auch mein Unternehmen, wenn ich nur Zulieferer bin?
Direkt nur, wenn Sie selbst die Kriterien erfüllen. Indirekt sind viele Zulieferer betroffen, weil ihre Kunden die Sicherheit der Lieferkette nachweisen müssen und deshalb Anforderungen weitergeben.
Brauche ich für NIS-2 eine ISO-27001-Zertifizierung?
Eine Zertifizierung ist nicht grundsätzlich vorgeschrieben. Ein Informationssicherheits-Managementsystem nach ISO/IEC 27001 hilft aber, die Anforderungen strukturiert umzusetzen und gegenüber Kunden nachzuweisen.
Wie sieht das bei Ihnen aus?
Wie das bei Ihnen aussieht, klären wir am besten im Gespräch. Wir sagen Ihnen, was davon für Ihren Betrieb wichtig ist.