NIS2 für Internetdienstanbieter

Haben Sie ein Schreiben von der UKE erhalten? Informieren Sie sich, welche Verpflichtungen auf Internetdienstanbieter zukommen

Am 13. April 2026 wurde das Verzeichnis der Schlüssel- und wichtigen Unternehmen in Kraft gesetzt. Ab diesem Tag begann die Eintragung von Unternehmen in das Verzeichnis. Die Einträge von Amts wegen betreffen ausgewählte Kategorien von Unternehmen, darunter Telekommunikationsunternehmen. Die meisten Telekommunikationsbetreiber haben bereits Schreiben von der Behörde für elektronische Kommunikation erhalten. Diese stellen keine Mitteilung über die Einleitung eines Verfahrens dar. Sie dienen als Information darüber, dass die Eintragung erfolgt ist und der Betreiber über eine konkrete, gesetzlich festgelegte Frist verfügt, um den nächsten Schritt zu vollziehen.

Sollte ein solches Schreiben bereits bei Ihrem Unternehmen eingegangen sein, sollten Sie sich genau darüber im Klaren sein, was darin konkret steht. Dies gilt sowohl für die Fristen als auch für die Verpflichtungen, die Sie bereits jetzt in Angriff nehmen müssen.

Was bedeutet ein Schreiben der UKE für Sie?

Was genau ist in der Aufforderung enthalten?

Das Schreiben enthält zwei wesentliche Elemente:

• Mitteilung über die von Amts wegen erfolgte Eintragung des Unternehmens in das Verzeichnis der Schlüsselakteure und wichtigen Akteure,
• Aufforderung zur Ergänzung fehlender Daten im S46-System innerhalb von 6 Monaten ab dem Tag der Zustellung der Aufforderung.

Dies ist eine wichtige Unterscheidung. Die Eintragung in das Verzeichnis ist nicht etwas, auf das man erst warten muss. Sie erfolgte automatisch und von Amts wegen. Die sechsmonatige Frist bezieht sich hingegen ausschließlich auf die Vervollständigung der Daten im System und nicht auf den gesamten Prozess der Anpassung an NIS2.

Bedeutet das, dass Sie bereits unter die NIS2 fallen?

Ja. Da die Eintragung in das Verzeichnis von Amts wegen erfolgt ist, gelten die Verpflichtungen aus dem Gesetz über das nationale Cybersicherheitssystem bereits jetzt für Ihre Organisation. Dies gilt unabhängig davon, ob die Daten im S46-System bereits ergänzt wurden.

Wichtig ist, dass gemäß den Erläuterungen des Ministeriums für Digitalisierung die Fristen für die Erfüllung der einzelnen Verpflichtungen ab dem Tag berechnet werden, an dem die gesetzlichen Voraussetzungen für die Einstufung als Schlüssel- oder wichtige Einrichtung erfüllt sind. In der Praxis ist dies für die meisten Betreiber der 3. April 2026, also der Tag des Inkrafttretens des geänderten Gesetzes, und nicht der Tag der Eintragung in das Verzeichnis oder der Vervollständigung der Daten.

Welche Fristen gelten tatsächlich?

Für einen Betreiber, der die Kriterien bereits am 3. April 2026 erfüllt hat, sieht der Zeitplan wie folgt aus:

• bis zum 3. Oktober 2026 – Frist für die Eintragung in das Verzeichnis (sofern diese nicht von Amts wegen erfolgt ist) oder für die Vervollständigung der Angaben nach einer Aufforderung. In Ihrem Fall beträgt die Frist 6 Monate ab dem Tag der Zustellung des Schreibens;
• bis zum 3. April 2027 – Frist für den Anschluss an das S46-System sowie für die erstmalige Einführung des Informationssicherheits-Managementsystems (SZBI);
• bis zum 3. April 2028 – Termin für das erste Sicherheitsaudit bei Schlüsselakteuren (wichtige Akteure führen das Audit auf Verlangen der Aufsichtsbehörde durch).

Die Vervollständigung der Daten im Verzeichnis ist daher nur ein erster Schritt. Denn für die tatsächliche Umsetzung der Sicherheitsmaßnahmen und der Dokumentation läuft bereits ein eigener, früher begonnener Zeitplan.

Was sollten Sie nun tun?

Zunächst sollten Sie sich im S46-System anmelden und prüfen, welche Daten noch fehlen. Planen Sie anschließend die Vervollständigung dieser Daten mit einem angemessenen Zeitpuffer ein. Warten Sie daher am besten nicht bis zur letzten Woche vor Ablauf der Frist. Hilfsmaterialien zum System und zu den Änderungen nach der Gesetzesnovelle finden Sie auf den Websites gov.pl und cyber.gov.pl.

Parallel dazu empfiehlt es sich, mit der Strukturierung der fachlichen Bereiche zu beginnen. Dabei geht es vor allem um die Bestandsaufnahme der Infrastruktur, die Risikobewertung und die Sicherheitsdokumentation – darauf wird im weiteren Verlauf des Artikels näher eingegangen.

Warum fallen Telekommunikationsbetreiber unter die NIS2-Richtlinie?

Anbieter elektronischer Kommunikationsdienste sind für die Infrastruktur verantwortlich, ohne die kein anderes unter NIS2 fallendes Unternehmen funktionieren kann. Dies gilt für Krankenhäuser, Banken, Behörden und Energieversorger. Jedes dieser Unternehmen benötigt ein stabiles Netz, um seine eigenen Verpflichtungen im Hinblick auf die Geschäftskontinuität zu erfüllen. Der Gesetzgeber hat daher den Telekommunikationssektor in den Kreis der regulierten Sektoren aufgenommen, da die Stabilität und Sicherheit des Netzes wesentliche Bestandteile der Sicherheit der gesamten Wirtschaft sind.

Im Vergleich zur vorherigen Richtlinie hat sich vor allem geändert, dass nun deutlich mehr Akteure in den Geltungsbereich der Regelung fallen. Zudem erfolgt die Einstufung heute weitgehend automatisch und von Amts wegen und nicht mehr auf der Grundlage einzelner Verwaltungsentscheidungen.

Wichtig ist, dass das KSC-Gesetz für alle Telekommunikationsunternehmen gilt, unabhängig von der Unternehmensgröße oder den Umsätzen. Große und mittlere Unternehmen gelten als „Schlüsselunternehmen“, kleine und Kleinstunternehmen hingegen als „wichtige Unternehmen“. Die grundlegenden Pflichten, wie beispielsweise das Risikomanagement, der Netzschutz oder die Meldung von Vorfällen, sind für beide Kategorien identisch. Der Unterschied liegt vor allem in der Art der Aufsicht: Bei den Schlüsselakteuren führen die Behörden regelmäßige Kontrollen durch, bei den wichtigen Akteuren hingegen hauptsächlich nach dem Auftreten eines Vorfalls oder der Meldung von Unregelmäßigkeiten.

Welche Pflichten ergeben sich aus der Eintragung in das Verzeichnis?

Die Aufnahme in das Verzeichnis der Schlüssel- oder wichtigen Unternehmen erlegt den Telekommunikationsunternehmen eine Reihe konkreter Verpflichtungen auf. Im Folgenden haben wir die wichtigsten davon erläutert.

Risikoanalyse

Der Betreiber muss die Schlüsselkomponenten der Infrastruktur identifizieren: Backbone-Knoten, Routing-Systeme, Netzwerkmanagement-Plattformen sowie BSS- und OSS-Systeme. Anschließend sind für jedes dieser Elemente die Risiken und die potenziellen Auswirkungen eines Vorfalls zu ermitteln. Es handelt sich hierbei nicht um ein einmaliges Dokument, das für die Zwecke eines Audits erstellt wird, sondern um einen Prozess, der nach jeder wesentlichen Änderung an der Infrastruktur aktualisiert werden muss.

Sicherheitsmaßnahmen

Zu den Maßnahmen, die NIS2 in der Praxis erwartet, gehören unter anderem die mehrstufige Authentifizierung für den administrativen Zugriff sowie die Trennung der Netzwerkverwaltungsumgebungen von den Client-Umgebungen. Wichtig ist zudem die Absicherung des Routings, beispielsweise durch Mechanismen wie RPKI, sowie die laufende Überwachung von Ereignissen und Anomalien im Netzwerk.

Meldung von Vorfällen

Das Gesetz legt konkrete Fristen für die Meldung an das zuständige CSIRT fest:

• Vorläufige Meldung: spätestens 24 Stunden nach Feststellung des Vorfalls;
• Ergänzender Bericht: innerhalb von 72 Stunden nach Bekanntwerden des Vorfalls;
• Abschlussbericht: innerhalb eines Monats nach Beendigung des Vorfalls.

Die Frist beginnt ab dem Zeitpunkt, zu dem die Organisation von dem Vorfall Kenntnis erlangt, und nicht ab dem Zeitpunkt seines tatsächlichen Eintretens. Daher ist es ohne die Fähigkeit zur schnellen Erkennung von Bedrohungen kaum möglich, diese Fristen überhaupt einzuhalten.

Geschäftskontinuität

NIS2 schreibt Geschäftskontinuitätspläne vor, die nicht nur technische Ausfälle, sondern auch Szenarien von Cyberangriffen abdecken. Dabei geht es beispielsweise um die Übernahme des Infrastruktur-Managementsystems. Entscheidend ist, ob Sie die Zeit, die für die Wiederherstellung einer sicheren Konfiguration und die Wiederaufnahme der Dienste benötigt wird, jemals in der Praxis gemessen haben oder ob dies lediglich in einer Verfahrensanweisung beschrieben ist.

Sicherheit der Lieferanten

Der Betreiber muss die Risiken im Zusammenhang mit Anbietern von Hardware, Software und IKT-Dienstleistungen bewerten – von Router-Herstellern bis hin zu Anbietern von Netzwerkmanagementsystemen. Es ist daher zu prüfen, ob die Verträge Bestimmungen zu Sicherheitsanforderungen enthalten. Es empfiehlt sich zudem, neue Lösungen vor der Implementierung zu überprüfen und die Schwachstellen der verwendeten Hardware laufend zu überwachen.

Dokumentation

Sicherheitsrichtlinien, Verfahren zur Reaktion auf Vorfälle, Ergebnisse der Risikobewertung und Grundsätze für das Lieferantenmanagement müssen dokumentiert werden. Die Dokumentation sollte in einer Form vorliegen, die die Organisation bei einer Prüfung vorlegen kann. Das Fehlen einer Dokumentation ist nämlich – selbst bei ordnungsgemäß funktionierenden Prozessen – einer der häufigsten Feststellungen bei Konformitätsaudits.

Warum sollten Sie nicht warten?

Das Warten mit den Formalitäten bis zum letzten Tag der Frist verschafft Ihnen keine zusätzliche Zeit für die Umsetzung. Die Frist für die Erfüllung der inhaltlichen Verpflichtungen läuft nämlich bereits ab April 2026, unabhängig davon, wie schnell die Daten im Verzeichnis ergänzt werden.

Es lohnt sich zudem, den Zeitplan für die durchzuführenden Maßnahmen zu berücksichtigen. Die Umsetzung von Sicherheitsverfahren – von der Reaktion auf Vorfälle bis hin zum Lieferantenmanagement – dauert in der Praxis Wochen, in größeren Organisationen sogar Monate. Zu berücksichtigen ist zudem, dass dieser Prozess eine Abstimmung der Maßnahmen zwischen der technischen Abteilung, der Geschäftsleitung und häufig auch externen Partnern erfordert. Darüber hinaus erfordert eine fundierte Risikoanalyse eine Bestandsaufnahme der Infrastruktur sowie eine Bewertung der Risiken für jedes Schlüsselelement, was bei einem umfangreichen Netzwerk keine Aufgabe ist, die sich in einer einzigen Sitzung erledigen lässt.

Hinzu kommt ein Faktor, auf den der Betreiber keinen Einfluss hat: Gleichzeitig treffen zahlreiche andere Telekommunikationsunternehmen, die entsprechende Schreiben erhalten haben, ähnliche Vorbereitungen. Infolgedessen steigt die Auslastung von Beratungs- und Wirtschaftsprüfungsgesellschaften, und damit verlängern sich die Wartezeiten auf externe Unterstützung, je näher die Fristen rücken.

Was sollten Sie in den kommenden Wochen unternehmen?

• Melden Sie sich im S46-System an und überprüfen Sie, welche Daten zu Ihrem Unternehmen dort bereits gespeichert sind.
• Ermitteln Sie, welche Informationen fehlen, und planen Sie deren Ergänzung mit einem zeitlichen Puffer ein.
• Wählen Sie ein Team aus, das für die Koordinierung der Maßnahmen im Zusammenhang mit NIS2 zuständig sein soll.
• Führen Sie eine Bestandsaufnahme der Netzwerkinfrastrukturkomponenten und IT-Systeme durch.
• Bitte überprüfen Sie, ob Sie über dokumentierte Verfahren zur Reaktion auf Vorfälle verfügen. Diese müssen sich von den Verfahren zur Bewältigung gewöhnlicher Störungen unterscheiden.
• Prüfen Sie, wie der Zugriff auf die Netzwerkmanagementsysteme in Ihrem Unternehmen geregelt ist und ob Sie eine Multi-Faktor-Authentifizierung einsetzen.
• Überprüfen Sie die Verträge mit Ihren IT-Anbietern hinsichtlich der Bestimmungen zur Sicherheit.
• Sprechen Sie mit den Vorstandsmitgliedern über die Verantwortlichkeiten, die sich aus der NIS2-Richtlinie ergeben.
• Planen Sie ein Compliance-Audit, das Schwachstellen aufdeckt und aufzeigt, womit Sie Ihre Maßnahmen am besten beginnen sollten.

Besprechen Sie Ihre Situation mit den Experten von ITH

Das Schreiben der UKE ist ein gutes Signal, um den Sachverhalt zu klären. Dies betrifft sowohl die Daten im S46-System als auch die tatsächliche Bereitschaft Ihres Unternehmens, die Anforderungen von NIS2 zu erfüllen. ITH unterstützt Telekommunikationsbetreiber in jeder Phase dieses Prozesses: vom Audit und der Erstellung der Dokumentation über die schrittweise Umsetzung von NIS2 bis hin zu Schulungen zum Thema Cybersicherheit für Mitarbeiter und die Geschäftsführung.

Die Unterstützung durch ITH umfasst sowohl die technologische Ebene als auch den Aufbau eines Informationssicherheits-Managementsystems (ISMS). Zur technologischen Ebene gehören die Konfiguration und Absicherung der Netzwerkinfrastruktur, der Zugriffsmanagementsysteme sowie der Bedrohungsüberwachung. Das SZBI hingegen ist ein umfassendes Bündel aus Verfahren, Sicherheitsrichtlinien, Schulungsprogrammen und technischen Sicherheitsmaßnahmen, das die Anforderungen der NIS2 zu einem einheitlichen, verwaltbaren System zusammenführt – und nicht nur eine Sammlung loser Dokumente darstellt, die für die Zwecke eines einzelnen Audits erstellt wurden.

Durch die Zusammenführung dieser beiden Bereiche muss der Betreiber technische, organisatorische und formale Kompetenzen nicht selbst miteinander verbinden. Das ITH-Team begleitet das Unternehmen durch den gesamten Prozess: von der ersten Schwachstellenanalyse über die Implementierung von Sicherheitsmaßnahmen und die Dokumentation bis hin zur laufenden Aufrechterhaltung der Compliance.

Wenn Sie prüfen möchten, wie es um die Bereitschaft Ihres Unternehmens steht, sehen Sie sich das Angebot von ITH für Internetdienstanbieter an oder vereinbaren Sie ein kurzes Gespräch mit unserem Team.