NIS-2: Was Unternehmen jetzt bei der IT-Sicherheit tun müssen

Die EU-Richtlinie NIS-2 (Network and Information Security) erweitert die Kreise der Unternehmen, die besondere IT-Sicherheitsanforderungen erfüllen müssen, erheblich. Während NIS-1 primär Betreiber kritischer Infrastrukturen betraf, bringt NIS-2 deutlich mehr Branchen und Unternehmensgrößen in die Pflicht. Für viele mittelständische IT-Dienstleister und deren Kunden stellt sich die Frage: Betrifft uns das — und wenn ja, was müssen wir tun?

Wer ist betroffen?

NIS-2 unterscheidet zwischen „wesentlichen" und „wichtigen" Einrichtungen. Betroffen sind unter anderem Unternehmen in den Sektoren Energie, Transport, Gesundheitswesen, Finanzwesen, Trinkwasser, digitale Infrastruktur, ICT-Dienstleistungen (Managed Service Provider, Cloud-Anbieter) und öffentliche Verwaltung. Als Faustregel gilt: Unternehmen ab 50 Mitarbeitern oder 10 Millionen Euro Jahresumsatz in einem der genannten Sektoren sollten prüfen, ob sie unter NIS-2 fallen.

Kernanforderungen im Überblick

Die Richtlinie verlangt ein Risikomanagement für IT-Sicherheit, das mindestens folgende Bereiche abdeckt:

• Policies für Risikoanalyse und Informationssicherheit
• Incident Handling und Business Continuity
• Sicherheit der Lieferkette (Supply Chain Security)
• Sicherheit bei Erwerb, Entwicklung und Wartung von IT-Systemen
• Schulung und Sensibilisierung der Mitarbeiter
• Multi-Faktor-Authentifizierung und Verschlüsselung

Bei schwerwiegenden Sicherheitsvorfällen besteht eine Meldepflicht — innerhalb von 24 Stunden an die zuständige Behörde (in Deutschland voraussichtlich das BSI).

Pragmatischer Umsetzungsplan

Für Unternehmen, die NIS-2 erstmals betrifft, empfehlen wir einen dreistufigen Ansatz:

Phase 1 — Gap-Analyse (4–6 Wochen): Bestandsaufnahme der aktuellen Sicherheitsmaßnahmen gegen die NIS-2-Anforderungen. Ergebnis ist ein priorisierter Maßnahmenkatalog.

Phase 2 — Quick Wins (4–8 Wochen): Umsetzung der dringendsten Maßnahmen: MFA, Patch-Management, Backup-Strategie, Incident-Response-Plan.

Phase 3 — ISMS-Aufbau (3–6 Monate): Einführung eines Informationssicherheits-Managementsystems nach ISO 27001 oder BSI IT-Grundschutz — je nach Branche und Anforderung.

Was das für IT-Dienstleister bedeutet

Als ICT-Dienstleister können Unternehmen selbst als „wichtige Einrichtung" eingestuft werden. Gleichzeitig müssen sie gegenüber Kunden nachweisen, dass sie NIS-2-konform arbeiten — insbesondere im Bereich Supply Chain Security. AV-Verträge, dokumentierte Sicherheitsprozesse und regelmäßige Audits werden zur Pflicht.

Fazit

NIS-2 ist kein reines Compliance-Thema — es zwingt Unternehmen dazu, ihre IT-Sicherheit systematisch aufzubauen. Wer frühzeitig startet, vermeidet Bußgelder und stärkt gleichzeitig die Widerstandsfähigkeit gegen Cyberangriffe. Der beste Zeitpunkt für die Gap-Analyse ist jetzt.

NIS-2-Readiness prüfen lassen — wir unterstützen Sie bei der Gap-Analyse und Umsetzung.