Die neue EU-Richtlinie für Cybersicherheit.
Die NIS2-Richtlinie stellt Unternehmen vor neue Herausforderungen: Verschärfte Meldepflichten, persönliche Geschäftsführerhaftung und umfassende Anforderungen an Ihr Risikomanagement. Wir begleiten Sie von der Betroffenheitsanalyse bis zur vollständigen Compliance.
Erfahrung seit 2018
Die NIS2-Richtlinie (EU 2022/2555) ist die umfassendste europäische Gesetzgebung zur Cybersicherheit. Sie ersetzt die bisherige NIS-Richtlinie und erweitert den Anwendungsbereich drastisch – mit erheblichen Konsequenzen für Unternehmen in Deutschland.
Am 16. Januar 2023 in Kraft getreten, mussten die EU-Mitgliedstaaten die Richtlinie bis Oktober 2024 in nationales Recht umsetzen. In Deutschland erfolgt dies durch das NIS2-Umsetzungsgesetz (NIS2UmsuCG).
Umfassende Pflichten zu Risikomanagement, Incident Response, Business Continuity, Lieferkettensicherheit und technisch-organisatorischen Maßnahmen.
Statt bislang rund 4.500 sind nun über 29.000 Unternehmen in Deutschland betroffen – aus 18 verschiedenen Sektoren.
Geschäftsführer und Vorstände haften persönlich für die Einhaltung der Cybersicherheitsanforderungen – eine völlig neue Dimension der Verantwortung.
Die Sanktionen orientieren sich am DSGVO-Modell: Bis zu 10 Millionen Euro oder 2% des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist.
Die NIS2-Richtlinie unterscheidet zwischen wesentlichen und wichtigen Einrichtungen. Die Einstufung hängt vom Sektor und der Unternehmensgröße ab. Bereits ab 50 Mitarbeitenden oder 10 Mio. Euro Jahresumsatz können Sie betroffen sein.
Energie, Verkehr, Bankwesen, Finanzmarktinfrastruktur, Gesundheit, Trinkwasser, Abwasser, Digitale Infrastruktur, Weltraum, öffentliche Verwaltung – strengere Aufsicht und höhere Bußgelder.
Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittelproduktion und -vertrieb, Produktion (Medizinprodukte, Elektronik, Maschinenbau, Fahrzeuge), Digitale Dienste, Forschungseinrichtungen.
Mehr als 50 Mitarbeitende ODER mehr als 10 Mio. Euro Jahresumsatz. Einige Sektoren (z. B. DNS-Dienste, TLD-Registries) sind unabhängig von der Größe betroffen.
Die NIS2-Richtlinie definiert umfassende technische und organisatorische Maßnahmen, die betroffene Unternehmen implementieren müssen. Diese Anforderungen orientieren sich am Stand der Technik und sind verhältnismäßig umzusetzen.
Systematische Identifikation, Bewertung und Behandlung von Cyberrisiken. Regelmäßige Überprüfung und Aktualisierung der Risikoanalyse.
24 Stunden Frühwarnung, 72 Stunden Erstmeldung, 1 Monat Abschlussbericht an das BSI. Klare Prozesse für die Erkennung und Behandlung von Sicherheitsvorfällen.
Notfallpläne, Backup-Strategien und Wiederherstellungsverfahren. Sicherstellung des Geschäftsbetriebs auch bei schwerwiegenden Cybervorfällen.
Sicherheitsanforderungen an Zulieferer und Dienstleister. Bewertung der Cybersicherheit in der gesamten Lieferkette.
Verschlüsselung, Zugangskontrollen, Asset Management und Multi-Faktor-Authentifizierung als Mindeststandards. Cyberhygiene und regelmäßige Schulungen für alle Mitarbeitenden.
Die NIS2-Richtlinie definiert ein gestuftes Meldesystem für erhebliche Sicherheitsvorfälle. Die Fristen sind streng – und die Nichteinhaltung kann zu empfindlichen Bußgeldern führen. Wir helfen Ihnen, die Prozesse aufzubauen, damit Sie im Ernstfall vorbereitet sind.
Innerhalb von 24 Stunden nach Kenntnis eines erheblichen Sicherheitsvorfalls muss eine Frühwarnung an das Bundesamt für Sicherheit in der Informationstechnik (BSI) erfolgen. Diese muss angeben, ob der Vorfall auf rechtswidrige Handlungen zurückzuführen ist.
Spätestens 72 Stunden nach Kenntniserlangung ist eine detailliertere Erstmeldung erforderlich. Diese enthält eine erste Bewertung des Vorfalls, den Schweregrad, die Auswirkungen und ggf. Kompromittierungsindikatoren (IoC).
Innerhalb eines Monats nach der Erstmeldung muss ein vollständiger Abschlussbericht vorgelegt werden: Detaillierte Beschreibung des Vorfalls, Ursachenanalyse, ergriffene Maßnahmen und grenzüberschreitende Auswirkungen.
Erkennung eines erheblichen Sicherheitsvorfalls – der Countdown beginnt.
Erste Meldung mit Grundinformationen: Art des Vorfalls, verdächtige Ursache, ggf. rechtswidrige Handlungen.
Detaillierte Bewertung: Schweregrad, Auswirkungen, IoC, erste Gegenmaßnahmen.
Vollständige Analyse: Ursache, ergriffene und geplante Maßnahmen, grenzüberschreitende Auswirkungen.
Ein Informationssicherheits-Managementsystem (ISMS) ist das Rückgrat Ihrer NIS2-Compliance. Es bildet den strukturierten Rahmen für alle Maßnahmen zur Informationssicherheit und orientiert sich am bewährten PDCA-Zyklus (Plan-Do-Check-Act).
Systematische Bewertung des Schutzbedarfs aller Informationswerte, Systeme und Prozesse – die Grundlage für alle weiteren Maßnahmen.
Identifikation von Bedrohungen und Schwachstellen, Bewertung der Eintrittswahrscheinlichkeit und des potenziellen Schadensausmaßes für jedes Asset.
Definition und Implementierung technischer und organisatorischer Maßnahmen auf Basis der Risikoanalyse – verhältnismäßig und wirksam.
Plan-Do-Check-Act: Regelmäßige Audits, Management Reviews und Anpassung der Maßnahmen an veränderte Bedrohungslagen und Geschäftsprozesse.
Von der ersten Bestandsaufnahme bis zur vollständigen NIS2-Compliance begleiten wir Sie Schritt für Schritt. Unser strukturierter Ansatz stellt sicher, dass keine Anforderung übersehen wird – und Sie jederzeit den Überblick behalten.
Prüfung, ob und in welchem Umfang Ihr Unternehmen von NIS2 betroffen ist. Einstufung als wesentliche oder wichtige Einrichtung.
Detaillierter Abgleich Ihrer bestehenden Sicherheitsmaßnahmen mit den NIS2-Anforderungen. Identifikation aller Lücken.
Strukturierte Bewertung aller identifizierten Cyberrisiken nach Eintrittswahrscheinlichkeit und Schadensausmaß.
Priorisierte Maßnahmenplanung, technische und organisatorische Umsetzung sowie abschließendes Audit mit vollständiger Dokumentation für die Aufsichtsbehörde.
Sektor, Größe und Einstufung ermitteln. Klarheit in 1–2 Tagen.
IST-Zustand vs. NIS2-SOLL. Detaillierter Bericht mit allen Abweichungen.
Strukturierte Bewertung und Priorisierung aller identifizierten Risiken.
Konkrete technische und organisatorische Maßnahmen mit Zeitplan.
Umsetzung aller Maßnahmen mit Begleitung und Qualitätssicherung.
Abschlussprüfung und vollständige Compliance-Dokumentation.
Eine der gravierendsten Neuerungen der NIS2-Richtlinie: Die Geschäftsführung haftet persönlich für die Einhaltung der Cybersicherheitsanforderungen. Diese Verantwortung kann nicht delegiert werden und erfordert nachweisbares Engagement auf höchster Managementebene.
Geschäftsführer, Vorstände und leitende Organe können persönlich haftbar gemacht werden, wenn angemessene Cybersicherheitsmaßnahmen nicht implementiert wurden. Dies umfasst zivilrechtliche Schadenersatzansprüche und behördliche Sanktionen.
Die Geschäftsleitung muss an Cybersicherheitsschulungen teilnehmen – nicht nur diese für Mitarbeitende anordnen. Wir bieten spezielle Führungskräfte-Schulungen an.
Die Geschäftsführung muss Risikomanagementmaßnahmen billigen und deren Umsetzung überwachen. Regelmäßige Management Reviews sind Pflicht.
Dokumentation ist entscheidend: Nur wer nachweisen kann, dass angemessene Maßnahmen ergriffen wurden, kann die persönliche Haftung begrenzen. Wir erstellen eine lückenlose Compliance-Dokumentation.
Warum Unternehmen auf Dezor & Kollegen vertrauen.
Vereinbaren Sie jetzt Ihre kostenlose Erstberatung. Wir prüfen Ihre Betroffenheit und zeigen konkrete nächste Schritte auf.
Wir freuen uns auf Ihre Anfrage – unkompliziert und unverbindlich.