Die NIS2-Richtlinie – für wen gilt sie, was verlangt sie und wer ist verantwortlich?

Die NIS2-Richtlinie (Network and Information Security Directive 2) ist eine EU-Rechtsvorschrift, die Standards für die Cybersicherheit festlegt, die in der gesamten Europäischen Union gelten. Das Gesetz ist bereits in allen Mitgliedsstaaten als hartes Gesetz in Kraft. Nicht als Empfehlung. Nicht als Industriestandard für gute Praktiken. Als erzwungene Vorschrift – mit Geldstrafen von bis zu 10 Millionen Euro und persönlicher Haftung des Geschäftsführers bei Nichtumsetzung.

Was ist bei NIS1 schief gelaufen?

Die erste NIS-Richtlinie von 2016 hatte ein strukturelles Problem: Die Mitgliedstaaten setzten sie nach eigenem Ermessen um. Infolgedessen musste ein Unternehmen, das zur gleichen Zeit in Polen und Deutschland tätig war, mit zwei verschiedenen Rechtssystemen zurechtkommen, die zwar aus demselben Quelldokument stammten, sich aber im Detail drastisch unterschieden.

Hinzu kam ein wachsender Katalog von Vorfällen im Bereich der Computersicherheit, der deutlich machte, dass NIS1 nicht dort ansetzte, wo die Bedrohungen tatsächlich zuschlugen – bei digitalen Dienstleistern, Cloud-Betreibern und IT-Lieferketten. Angriffe auf SolarWinds, Colonial Pipeline oder Krankenhäuser in ganz Europa erfolgten in Sektoren, die von NIS1 nur am Rande behandelt oder übersehen wurden.

Die NIS2 zieht daraus Lehren: Sie erweitert die Liste der regulierten Sektoren, vereinheitlicht die Anforderungen in allen EU-Mitgliedsstaaten und identifiziert zum ersten Mal ausdrücklich den Vorstand als die Partei, die für den Sicherheitsstatus einer Organisation verantwortlich ist.

Wer ist von der NIS2-Richtlinie betroffen? Zentrale und wichtige Akteure

Die NIS2 unterteilt die beaufsichtigten Organisationen in zwei Kategorien: wichtige Unternehmen und wichtige Unternehmen (auch bekannt als materielle Unternehmen). Diese Unterscheidung legt nicht fest, was Sie zu tun haben, die Verpflichtungen sind in beiden Fällen sehr ähnlich. Stattdessen legt sie fest, wie intensiv die Aufsichtsbehörden Sie prüfen werden und wie hoch die Strafen bei Verstößen sind.

Schlüsselakteure – kritische Sektoren für Staat und Gesellschaft

Schlüsselakteure sind in Sektoren tätig, deren Versagen eine echte Bedrohung für das Funktionieren des Staates oder das Leben der Bürger bedeutet:

• Energie – Strom, Fernwärme, Gasnetzbetreiber;
• Transport – Fluggesellschaften, Eisenbahnen, See- und Binnenhäfen, Straßeninfrastrukturbetreiber;
• Bankensektor – Kreditinstitute;
• Infrastruktur der Finanzmärkte – Börsen, Clearing-Systeme;
• Gesundheitswesen – Gesundheitseinrichtungen, Forschungslabors, Hersteller von Medikamenten und medizinischen Geräten;
• Wasserwirtschaft – Trinkwasserversorger und Betreiber von Kläranlagen;
• Digitale Infrastruktur – Internet Traffic Exchange Points (IXPs), DNS-Register, TLD-Domain-Namen-Register, Cloud-Service-Anbieter, Content Delivery Networks (CDNs), Rechenzentren;
• ICT Service Management – Managed Service Provider und Managed Security Services;
• Raumfahrt – Betreiber von terrestrischen Infrastrukturen, die Raumfahrtdienste unterstützen;
• Öffentliche Verwaltung – Regierung und lokale Behörden;
• Staatliche Sicherheit – Verteidigung und nationale Sicherheitsakteure.
• Unternehmer der elektronischen Kommunikation – Betreiber von Kommunikationsnetzen und -diensten

Wichtige (bedeutende) Akteure – breiterer Anwendungsbereich, geringeres Maß an Aufsicht

Zu den wichtigen Akteuren gehören öffentliche und private Akteure aus Sektoren wie z.B.:

• Post- und Kurierdienste
• Abfallwirtschaft
• Produktion, Herstellung und Vertrieb von Chemikalien
• Lebensmittelvertrieb – Fabriken und Großhändler für Lebensmittel
• Fertigung – Medizinische Geräte, elektronische Produkte, Maschinen, Kraftfahrzeuge
• Anbieter digitaler Dienste – Online-Handelsplattformen, Suchmaschinen, soziale Netzwerke
• Forschung

Größenkriterium – große und mittlere Unternehmen

In der Regel gilt die NIS2 für große Unternehmen (mehr als 250 Beschäftigte oder ein Umsatz von mehr als 50 Mio. EUR) und mittlere Unternehmen (50-250 Beschäftigte oder ein Umsatz von 10-50 Mio. EUR), die in den aufgeführten Sektoren tätig sind.

Es gibt jedoch bestimmte Kriterien, die unabhängig von der Größe eine Deckung auslösen: wenn das Unternehmen der einzige Anbieter des fraglichen Dienstes in einem Mitgliedstaat ist, wenn sein Ausfall unmittelbare Auswirkungen auf die staatliche Sicherheit oder die öffentliche Ordnung hätte oder wenn es zu einer digitalen Infrastruktur gehört – hier gilt die NIS2 ohne Schwellenwert für Beschäftigung oder Einnahmen.

Was bedeutet die NIS2-Richtlinie für Ihre Organisation in der Praxis?

Die NIS2 schreibt drei Arten von Verantwortlichkeiten vor: die Umsetzung von Risikomanagementmaßnahmen, die Meldung von Vorfällen und die Rechenschaftspflicht des Managements. Jede dieser Aufgaben führt zu spezifischen Aktionen.

Anforderungen an das Risikomanagement für Cybersicherheit

Die Richtlinie verlangt keine Perfektion – sie verlangt Verhältnismäßigkeit und dokumentierte Sorgfalt. Die Organisation muss nachweisen, dass sie Risiken identifiziert, angemessene Maßnahmen ergriffen und diese auf dem neuesten Stand gehalten hat. Dies beinhaltet:

1. risikobewertung und sicherheitspolitik

Regelmäßige Risikobewertungen für Netzwerke und IT-Systeme – nicht als einmalige Übung bei der Implementierung, sondern als lebendiges Dokument, das jedes Mal aktualisiert wird, wenn sich die Umgebung wesentlich ändert. Die Bewertung muss auch die Risiken einbeziehen, die von Lieferanten und Partnern ausgehen: Die Kompromittierung eines externen IT-Dienstleisters ist heute eine der beliebtesten Angriffsmöglichkeiten.

2. Umgang mit Vorfällen

Verfahren zur Reaktion auf Cybersecurity-Vorfälle, festgelegte Rollen, definierte interne und externe Kommunikationskanäle. Die NIS2 legt Fristen für die Meldung schwerwiegender Vorfälle an die zuständigen Aufsichtsbehörden fest – die erste Meldung muss innerhalb von 24 Stunden nach der Entdeckung erfolgen.

3. die Kontinuität der Operationen

Business Continuity-Pläne umfassen Backup-Management, Verfahren zur Wiederherstellung von Systemen nach einem Angriff und Krisenmanagement. Schlüsselfrage: Wie lange braucht Ihr Unternehmen, um wichtige Daten nach einem Ransomware-Vorfall wiederherzustellen? Wenn Sie das nicht wissen, gibt es den Plan in der Praxis nicht, sondern nur auf dem Papier.

4 Sicherheit der Lieferkette

Einer der Bereiche, die Unternehmen am häufigsten vernachlässigen. NIS2 verlangt von Ihnen, dass Sie die Risiken, die sich aus den Lieferantenbeziehungen ergeben, bewerten und Sicherheitsanforderungen bereits bei der Beschaffung neuer Dienstleistungen und Technologien berücksichtigen. Das bedeutet u.a. Sicherheitsklauseln in Verträgen, das Recht, Lieferanten zu prüfen und Verifizierungsverfahren.

5. die Sicherheit bei der Anschaffung und Wartung von Netzwerken

Sichere Designprinzipien für den gesamten Lebenszyklus der Systeme – vom Kauf von Hardware und Software über die Netzwerkwartung und -verwaltung bis hin zur Außerbetriebnahme. Veraltete Software ohne Herstellersupport ist de facto ein offenes Tor.

6. die Verwendung der Multi-Faktor-Authentifizierung

In NIS2 wird die Multi-Faktor-Authentifizierung (MFA) ausdrücklich als eine der obligatorischen Risikomanagementmaßnahmen erwähnt. Dies gilt für den Zugriff auf IT-Systeme, nicht nur für externe Anwendungen. Interne Tools und der Fernzugriff auf die Infrastruktur erfordern den gleichen Ansatz.

7. regelmäßige Schulungen zur Cybersicherheit

Schulungen sind sowohl für Mitarbeiter als auch für das Management erforderlich. Nicht einmalig, nicht bei der Einführung – regelmäßig, aufgefrischt, wenn sich die Bedrohungslandschaft ändert. Der Mensch ist nach wie vor der Hauptangriffsvektor: Phishing, Social Engineering und Konfigurationsfehler sind für die Mehrzahl der realen Vorfälle verantwortlich.

Pflicht zur Meldung von Vorfällen

Die betroffenen Organisationen müssen Cybersicherheitsvorfälle melden, die erhebliche Auswirkungen auf die Kontinuität oder Qualität der erbrachten Dienstleistungen haben. Die Fristen sind streng:

• 24 Stunden – erste Warnung an das zuständige CSIRT oder die Aufsichtsbehörde;
• 72 Stunden – vollständige Benachrichtigung mit erster Bewertung des Vorfalls;
• 1 Monat – Abschlussbericht mit Analyse der Ursachen und ergriffenen Abhilfemaßnahmen.

Das Versäumnis, einen Vorfall oder eine Verzögerung zu melden, kann als separater Verstoß behandelt werden – unabhängig davon, ob die Organisation in anderen Bereichen ordnungsgemäße Verfahren hatte.

Persönliche Haftung des Vorstandes – was bedeutet das in der Praxis?

Dies ist das Element von NIS2, das die Diskussion auf Vorstandsebene verändert. Bislang wurde die Cybersicherheit manchmal nach unten delegiert und eher als technisches denn als strategisches Thema behandelt. NIS2 beseitigt dies durch einen rechtlichen Mechanismus.

Die Richtlinie legt ausdrücklich fest, dass die Vorstände der Unternehmen, die in den Anwendungsbereich der Richtlinie fallen:

• muss Maßnahmen zum Management von Cybersicherheitsrisiken genehmigen;
• sind für ihre Umsetzung und Wirksamkeit verantwortlich;
• können für Verstöße, die zu schwerwiegenden Vorfällen führen, persönlich haftbar gemacht werden.

Die Durchführungsbestimmungen der einzelnen EU-Mitgliedstaaten können die Möglichkeit vorsehen, den Vorsitzenden oder das Mitglied des Verwaltungsrats vorübergehend von seinem Amt zu suspendieren, wenn die Verstöße eklatant oder wiederholt waren.

In der Praxis bedeutet das, dass der CEO eines Unternehmens, das unter die NIS2 fällt, in der Lage sein sollte, die Frage zu beantworten: „Was war das Ergebnis der letzten Risikobewertung und welche Korrekturmaßnahmen wurden ergriffen?“ Das Fehlen von Antworten ist nicht das Problem des IT-Direktors, sondern das Problem des CEOs.

Finanzielle Sanktionen – Zahlen, die zum Handeln auffordern

Die NIS2-Richtlinie legt die folgenden Höchstgrenzen für Geldbußen fest:

• Wichtige Unternehmen – bis zu 10 Millionen Euro oder 2% des gesamten Jahresumsatzes (der höhere Betrag gilt)
• Gültige Unternehmen – bis zu 7 Millionen EUR oder 1,4% des gesamten Jahresumsatzes

Erheblicher Unterschied zur vorherigen Regelung: Geldstrafen können für die Nichteinhaltung durchgesetzter Anforderungen verhängt werden – unabhängig davon, ob ein Vorfall eingetreten ist. Die Aufsichtsbehörde muss nicht auf einen Angriff warten. Ein Audit reicht aus, um das Fehlen angemessener Verfahren, Strategien oder technischer Maßnahmen nachzuweisen.

NIS2 und das nationale Cybersicherheitssystem in Polen

Polen setzt die NIS2-Richtlinie durch eine Änderung des Gesetzes über das nationale Cybersicherheitssystem (KSC) um. Das Gesetz definiert die Rolle der einzelnen Institutionen im polnischen Ökosystem für digitale Sicherheit:

• CSIRT NASK, CSIRT GOV und CSIRT MON – die drei nationalen Teams für die Reaktion auf Computersicherheitsvorfälle, die Meldungen aus verschiedenen Bereichen erhalten;
• Minister, die für bestimmte Sektoren zuständig sind und als Aufsichtsorgane für die in ihrem Bereich tätigen Unternehmen fungieren;
• Regierungsbevollmächtigter für Cybersicherheit – die Koordinierung der Politik auf nationaler Ebene.

Es ist wissenswert, dass die polnische Umsetzung in mehreren Punkten über die Mindestanforderungen der Richtlinie hinausgeht – unter anderem wird der Kreis der von der Verordnung erfassten Einrichtungen erweitert. Das bedeutet, dass es nicht ausreicht, nur den Text der NIS2-Richtlinie zu überprüfen; entscheidend sind die nationalen Vorschriften.

Von der NIS2 erfasste Sektoren – was bedeutet sie für bestimmte Branchen?

Energie und kritische Infrastruktur

Betreiber im Energiesektor – Anbieter von Strom-, Gas-, Öl-, Verteilungs- und Übertragungsnetzen – gehören zu den wichtigsten Akteuren mit der höchsten Überwachungspriorität. Die Auswirkungen eines Angriffs auf das Stromnetz gehen weit über die Organisation selbst hinaus: Krankenhäuser, Wasseraufbereitungsanlagen und Transportsysteme sind davon betroffen. Aus diesem Grund sind die Sicherheitsanforderungen in diesem Sektor so streng formuliert.

Einrichtungen des Gesundheitswesens

Der Gesundheitssektor ist seit einigen Jahren eines der Hauptziele von Ransomware-Angriffen weltweit. Einrichtungen des Gesundheitswesens – Krankenhäuser, Kliniken, Labore – haben ein spezifisches Risikoprofil: Die Systeme sind oft alt und mit moderneren Plattformen verbunden, und der Ausfall von IT-Systemen hat direkte klinische Folgen. Die NIS2 behandelt sie als kritische Einrichtungen und verlangt von ihnen, die gleichen Maßnahmen zu ergreifen wie Banken oder Energieversorger.

Digitale Infrastruktur und Anbieter digitaler Dienste

Cloud Computing, CDNs, DNS-Dienste, Rechenzentren – ein Verstoß in diesem Bereich hat eine mehrfache Reichweite: ein angegriffener digitaler Dienstleister bedeutet, dass Hunderte oder Tausende von Organisationen gleichzeitig den Zugang zu ihren Tools verloren haben. Daher gilt NIS2 hier unabhängig von der Größe des Unternehmens – es gibt keine Beschäftigungsschwelle für Einrichtungen dieser Kategorie.

Finanzsektor und Finanzmarktinfrastruktur

Banken und Finanzmarktinfrastrukturen unterliegen seit Jahren separaten Sicherheitsvorschriften (z.B. DORA für den Finanzsektor). NIS2 harmonisiert diese Anforderungen mit einem EU-weiten Cybersicherheitsstandard und schafft so ein einheitliches Schutzniveau in der gesamten Europäischen Union.

Öffentliche Verwaltung

Öffentliche Einrichtungen: Ämter, Ministerien, Kommunalverwaltungen sind in den letzten Jahren zu Zielen von Angriffen mit eindeutig geopolitischer Färbung geworden. Lecks in den Daten der Bürger, Lahmlegung der öffentlichen Aufzeichnungen, Desinformation durch gekaperte Kommunikationskanäle – das sind reale Szenarien, die NIS2 zu verhindern versucht.

Unternehmer der elektronischen Kommunikation

Betreiber von Telekommunikationsnetzen und Internetdienstleister bilden die Infrastruktur, durch die der gesamte digitale Verkehr fließt. Als Unternehmer im Bereich der elektronischen Kommunikation haben sie nicht nur die Pflicht, ihre eigenen Systeme zu sichern, sondern auch den sicheren und kontinuierlichen Zugang zu den Diensten für die Dienstleistungsempfänger zu gewährleisten.

Wassermanagement, Platz, Nahrungsmittelverteilung

NIS2 deckt auch Sektoren ab, deren Anwesenheit auf der Liste überraschend sein mag. Die Wasserwirtschaft – Anbieter von Trinkwasser und Betreiber von Kläranlagen – ist abgedeckt, da ein Cyberangriff auf Kontrollsysteme buchstäblich das Trinkwasser verseuchen könnte. Lebensmittelproduktionsfabriken und Betreiber von Lebensmittelverteilern gehören zu den wichtigen Akteuren. Die Raumfahrt (Betreiber terrestrischer Satelliteninfrastrukturen) wurde in die NIS2 aufgenommen, nachdem die Viasat-Kommunikationssatelliten wenige Stunden vor dem Einmarsch in die Ukraine angegriffen wurden, wodurch Tausende von Nutzern in Europa keinen Netzzugang mehr hatten.

Technische und organisatorische Maßnahmen – was ist konkret zu tun?

Die NIS2 legt Kategorien von Risikomanagementmaßnahmen fest, die Organisationen umsetzen müssen. Das Wort ‚verhältnismäßig‘ in Verbindung mit ‚technischen Maßnahmen‘ ist hier von Bedeutung: die Richtlinie verlangt nicht dasselbe von einer kleinen Klinik wie von einem Datenzentrum, das die Hälfte des polnischen E-Commerce bedient.

Sicherheit der IT-Infrastruktur:

• Schwachstellenmanagement und regelmäßige Software-Updates;
• Netzwerksegmentierung und Zugriffskontrolle;
• Verschlüsselung von Daten im Ruhezustand und bei der Übertragung;
• Multikomponenten-Authentifizierung auf allen Systemen mit privilegiertem Zugriff.

Überwachung und Erkennung von Bedrohungen:

• SIEM-Systeme (Security Information and Event Management);
• Kontinuierliche Überwachung von Netzwerken und IT-Systemen auf Anomalien;
• Definierte Verfahren zur Reaktion auf Vorfälle.

Sicherung und Wiederherstellung:

• Regelmäßige, getestete Datensicherungen;
• Disaster Recovery-Pläne mit gemessenen RTO- und RPO-Zielen;
• Verfahren zur Wiederherstellung kritischer Systeme innerhalb einer bestimmten Zeit.

Organisatorische und rechtliche Maßnahmen

Neben der Technologie erfordert NIS2 auch den Aufbau eines organisatorischen Rahmens:

• Schriftliche Richtlinien zur Informationssicherheit und zum Risikomanagement;
• Verfahren zur Verwaltung von Vorfällen mit festgelegten Rollen und Eskalationskanälen;
• Regelmäßige Schulungen für Mitarbeiter auf allen Ebenen, einschließlich des Managements;
• Mechanismen für den Austausch von Risikoinformationen mit den zuständigen Behörden und sektoralen Partnern;
• Sicherheitsklauseln und Bewertungen beim Erwerb neuer Technologien und Dienstleistungen.

Wie führt man eine Bewertung der NIS2-Konformität durch?

Schritt 1: Bestimmen Sie, ob NIS2 für Sie gilt und in welcher Rolle

Prüfen Sie den Sektor und die Größe der Organisation. Denken Sie an die Ausnahmen von der Größenschwelle – digitale Infrastruktur, die einzigen Dienstleister im Land, Einrichtungen von besonderer Bedeutung für die öffentliche Sicherheit. Im Zweifelsfall ist die Annahme, dass die Richtlinie nicht auf Sie zutrifft, riskanter, als übermäßig vorsichtig zu sein.

Schritt 2: Führen Sie eine Risikobewertung durch

Identifizieren Sie Vermögenswerte, Bedrohungen und Schwachstellen in Ihrem Netzwerk und Ihren IT-Systemen. Berücksichtigen Sie die Risiken, die mit externen Lieferanten verbunden sind – jedes Unternehmen, das Zugang zu Ihren Systemen hat, ist ein potenzieller Angriffsvektor. Eine Risikobewertung ist ein Dokument, das Sie der Aufsichtsbehörde auf Anfrage vorlegen müssen.

Schritt 3: Identifizieren Sie Lücken

Vergleichen Sie die Ergebnisse der Risikobewertung mit der NIS2-Liste der Sicherheitsanforderungen. Welche Bereiche sind ungesichert? Wo gibt es einen Mangel an Dokumentation? Wo existieren Verfahren nur in der Theorie? Die Ergebnisse dieser Übung werden Ihnen zeigen, wie weit Sie von der Einhaltung der Vorschriften entfernt sind und worauf Sie sofort achten müssen.

Schritt 4: Umsetzung des Sanierungsplans unter Einbeziehung des Managements

Legen Sie auf der Grundlage der Lückenanalyse Prioritäten und Zeitpläne fest. Es ist wichtig, neue Prozesse zu implementieren, aber auch den Vorstand einzubeziehen – nicht als Aushängeschilder, die Dokumente genehmigen, sondern als Bereichsverantwortliche, die den Sicherheitsstatus des Unternehmens verstehen und dafür zur Rechenschaft gezogen werden können.

Schritt 5: Pflegen und Überprüfen

Die NIS2-Konformität ist ein Zustand, der proaktiv aufrechterhalten werden muss. Regelmäßige Überprüfungen der Sicherheitsrichtlinien, Testen von Notfallverfahren, Aktualisieren von Risikobewertungen nach jeder bedeutenden Änderung der IT-Umgebung – all dies gehört zum Standardbetriebszyklus einer betroffenen Organisation.

Compliance-Bewertung und Audits – wie sieht die Überwachung aus?

Die Aufsichtsbehörden in den verschiedenen Mitgliedstaaten haben weitreichende Aufsichtsbefugnisse über NIS2-Unternehmen. Im Falle der wichtigsten Unternehmen sind dies vor allem:

• Sicherheitsaudits, die von Amts wegen oder von akkreditierten Prüfern durchgeführt werden;
• Inspektionen vor Ort und aus der Ferne;
• Anforderung von Unterlagen und Nachweisen für die Umsetzung;
• Scannen der Infrastruktur auf Schwachstellen.

Die Hauptakteure unterliegen einer reaktiven Aufsicht – die Behörden schalten sich nach einem Vorfall oder einer Beschwerde ein, nicht aus eigenem Antrieb. Das bedeutet jedoch nicht, dass sie ohne Pläne und Verfahren handeln können: Wenn eine Überprüfung stattfindet, müssen sie die gleiche Sorgfalt wie die Hauptakteure an den Tag legen. Der Unterschied besteht darin, wann diese Überprüfung stattfindet – nicht ob sie stattfindet.

Wie sieht die Implementierung von NIS2 mit ITH aus?

Die Anpassung einer Organisation an die NIS2-Anforderungen sollte nicht bedeuten, dass Sie mit mehreren Anbietern zusammenarbeiten, die Dokumentation selbst erstellen und mehrere unabhängige Projekte koordinieren müssen. Bei ITH implementieren wir NIS2 in einem End-to-End-Modell – von der Bewertung der Konformität bis zur laufenden Sicherheitsüberwachung.

Stufe 1 Konformitätsprüfung

Wir beginnen den Prozess mit einer detaillierten Analyse der Organisation im Hinblick auf die Anforderungen von NIS2, ISO 27001 und dem National Cyber Security System (NSC) Act.

Als Teil der Prüfung:

• bewerten wir den aktuellen Grad der Einhaltung;
• identifizieren wir Lücken und Ungereimtheiten;
• analysieren wir die Prozesse, die Dokumentation und die technischen Sicherheitsvorkehrungen;
• einen Bericht mit Handlungsempfehlungen zu erstellen.

Das Ergebnis ist ein detaillierter Bericht mit einer Liste von Umsetzungsprioritäten.

Stufe 2 Dokumentation und Einhaltung der Vorschriften

NIS2 erfordert nicht nur angemessene technische Sicherheitsvorkehrungen, sondern auch dokumentierte Cybersicherheits-Managementprozesse.

Wir helfen unter anderem bei der Vorbereitung:

• Informationssicherheitspolitik;
• Verfahren zur Behandlung von Vorfällen;
• Verfahren zur Meldung von Vorfällen an die zuständigen Behörden;
• Risikomanagement-Dokumentation;
• Prinzipien der Geschäftskontinuität und Notfallwiederherstellung;
• Sicherheitsanforderungen für Lieferanten und Partner.

So kann das Unternehmen nicht nur während eines Audits, sondern auch im Falle eines tatsächlichen Vorfalls die Einhaltung der Vorschriften nachweisen.

Phase 3: Schulung und Vorbereitung der Organisation

NIS2 erlegt nicht nur der IT-Abteilung, sondern auch dem Management und den Mitarbeitern Verantwortung auf.

Daher ist die nächste Stufe die Ausbildung:

• Management;
• Mitarbeiter der Organisation;
• die für die Sicherheit und den Umgang mit Zwischenfällen verantwortlich sind.

Am Ende des Prozesses verfügt die Organisation über Schulungsunterlagen und eine Bestätigung der durchgeführten Schulungen, die bei Audits und Inspektionen benötigt werden.

Stufe 4 Abschluss der Implementierung und SOC 24/7

In der letzten Phase werden die durchgeführten Maßnahmen überprüft und die Mechanismen der kontinuierlichen Sicherheitsüberwachung aktiviert.

Als Teil dieser Phase:

• führen wir eine Abschlussprüfung durch;
• wir bestätigen die Umsetzung der Dokumentation und der Verfahren;
• wir bereiten die Organisation auf die Aufsichtskontrolle vor;
• betreiben wir ein Security Operations Centre (SOC), das 24/7/365 arbeitet.

Auf diese Weise endet die NIS2-Konformität nicht mit den Dokumenten, sondern wird durch kontinuierliche Überwachung und Reaktion auf Vorfälle unterstützt.

ITH – ein Partner, der für die gesamte Umsetzung verantwortlich ist

ITH kombiniert Audit-, rechtliche, organisatorische und technische Kompetenzen. Anstatt mit mehreren Stellen zusammenzuarbeiten, erhält das Unternehmen einen Partner, der für den gesamten Prozess der NIS2-Konformität verantwortlich ist – vom ersten Audit bis zur laufenden Wartung der Sicherheit.

Möchten Sie sehen, wie NIS2 in Ihrer Organisation umgesetzt wird?

Wenden Sie sich an die ITH-Experten und erhalten Sie eine erste Bewertung der Einhaltung der Vorschriften und einen auf die Besonderheiten Ihres Unternehmens zugeschnittenen Aktionsplan.

Häufig gestellte Fragen zu NIS2

• Gilt NIS2 auch für mein Unternehmen, wenn ich nur in Polen tätig bin?

Ja, solange Sie in einem der erfassten Sektoren tätig sind und das Größenkriterium oder spezifische Kriterien erfüllen. NIS2 ist eine EU-Richtlinie, die jedoch durch nationale Umsetzungsgesetze umgesetzt wird. In Polen ist dies das Gesetz über das nationale Cybersicherheitssystem. Die bloße Frage des territorialen Umfangs der Tätigkeit ist für den Geltungsbereich der Verordnung nicht entscheidend.

• Gilt NIS2 auch für meine Lieferanten?

Als eine von NIS2 erfasste Einrichtung sind Sie für die Sicherheit Ihrer Lieferkette verantwortlich. Sie müssen die Risiken, die sich aus Ihren Beziehungen zu Ihren Lieferanten ergeben, bewerten, die Sicherheitsanforderungen bereits im Beschaffungsprozess berücksichtigen und Verifizierungsmechanismen einrichten. Ihre Anbieter digitaler oder verwalteter IT-Dienste unterliegen möglicherweise selbst der NIS2 und es lohnt sich, dies bei der Auswahl eines Partners zu überprüfen.

• Wie lange dauert es, NIS2 zu implementieren?

Das hängt von der Ausgangssituation ab. Unternehmen mit ausgereiften Sicherheitsprozessen benötigen hauptsächlich Dokumentation und Anpassung der Verfahren – ein paar Wochen bis ein paar Monate. Unternehmen, die bei Null anfangen, müssen mit einem Zeithorizont von 6-18 Monaten für die vollständige Implementierung rechnen. Daher lohnt es sich nicht, die Einführung von NIS2 aufzuschieben.

Zusammenfassung

Die NIS2-Richtlinie ist kein weiteres Dokument, das aufgeschoben werden kann. Erzwungene Anforderungen, die persönliche Haftung des Managements und Geldstrafen von bis zu 10 Millionen Euro schaffen ein Umfeld, in dem Untätigkeit eine kostspieligere Wahl ist als die Umsetzung.

Die gute Nachricht ist, dass die Richtlinie keine Perfektion verlangt – sie verlangt eine angemessene und dokumentierte Sorgfaltspflicht. Ein Unternehmen, das eine Risikobewertung, Risikomanagementmaßnahmen, Verfahren zur Meldung von Vorfällen und regelmäßige Schulungen vorweisen kann, befindet sich in einer ganz anderen Lage als ein Unternehmen, das keine Maßnahmen ergriffen hat.

Der erste Schritt besteht darin, herauszufinden, ob und in welcher Rolle NIS2 für Ihre Organisation gilt. Der nächste – eine Risikobewertung und Lückenanalyse. Beide Schritte können mit externer Unterstützung durchgeführt werden, ohne ein komplettes Team für Monate zu binden.

Möchten Sie herausfinden, ob NIS2 für Ihr Unternehmen gilt?

Unsere Experten helfen Ihnen dabei, die Ausgangssituation zu bewerten und die nächsten Schritte zu planen.

Keine allgemeinen Präsentationen: eine konkrete Analyse Ihrer Infrastruktur und eine Liste der zu erfüllenden Anforderungen.