Für wen ist diese Seite relevant?
Diese Seite richtet sich an Geschäftsführungen, IT- und Security-Verantwortliche, Compliance-Funktionen und Risikomanagement-Teams in Organisationen, die potenziell in den NIS2-Anwendungsbereich fallen oder über Lieferketten betroffen sind.
Was ist NIS2?
NIS2 ist die Nachfolgerin der ersten europäischen NIS-Richtlinie. Sie erweitert den Kreis der erfassten Sektoren und Organisationen erheblich und verlangt unter anderem ein systematisches Risikomanagement, technische und organisatorische Maßnahmen, Meldepflichten und eine ausdrückliche Verantwortung der Leitung.
NIS2 ist eine Richtlinie. Sie wird in nationales Recht umgesetzt. Die konkreten Pflichten ergeben sich aus dem jeweiligen nationalen Gesetz.
Ziel der Richtlinie
Ziel ist ein höheres, einheitlicheres Cyber-Security-Niveau in der EU und mehr Resilienz wichtiger Dienste. Sektoren wie Energie, Verkehr, Gesundheit, Finanzen, digitale Infrastruktur, Verwaltung und Lebensmittel sollen besser gegen Cyber-Vorfälle gewappnet sein.
Wer kann betroffen sein?
NIS2 unterscheidet vereinfacht zwischen besonders wichtigen und wichtigen Einrichtungen in den genannten Sektoren. Die genauen Schwellenwerte und Definitionen ergeben sich aus den nationalen Umsetzungsgesetzen.
Auch wer selbst nicht direkt erfasst ist, kann über Lieferantenbeziehungen mittelbar betroffen sein, etwa über vertragliche Anforderungen von Kunden.
Typische Themenfelder
Die zentralen Themen, die Organisationen vorbereiten sollten, umfassen:
- Risikomanagement für Cyber Security
- Technische und organisatorische Maßnahmen (TOM)
- Lieferketten- und Drittparteienrisiko
- Vorfallmeldung innerhalb knapper Fristen
- Schulung der Leitung und Mitarbeitenden
- Business Continuity und Wiederherstellung
- Verantwortung und Haftung der Leitung
Pragmatische Vorbereitung
Sinnvoll ist ein strukturierter Soll-Ist-Abgleich gegen einen anerkannten Rahmen wie ISO 27001, BSI IT-Grundschutz oder das CIS-Kontrollset. Wer das bereits implementiert, ist meist gut vorbereitet und muss vor allem Lücken in Meldewegen, Lieferantenmanagement und Leitungsverantwortung schließen.
Wichtig sind außerdem geübte Meldeketten und eine klare Dokumentation, denn im Vorfall zählt Tempo.
Typische Missverständnisse
Häufig zu hören:
- 'Wir sind zu klein.' Lieferanten können trotzdem betroffen sein.
- 'Wir haben ISO 27001, also fertig.' Hilft, ersetzt aber nicht die expliziten NIS2-Themen Meldung, Lieferkette und Leitungsverantwortung.
- 'NIS2 ist nur für die IT.' Nein. Leitung, Risikomanagement und Recht sind eingebunden.
Rechtlicher Hinweis
Dieser Beitrag bietet eine redaktionelle Orientierung. Er ist keine Rechtsberatung. Für die konkrete Anwendbarkeit und Pflichten ist das jeweilige nationale Umsetzungsgesetz maßgeblich. Eine qualifizierte rechtliche Prüfung ist empfehlenswert.
Checkliste
- Anwendbarkeit prüfen und Ergebnis dokumentieren
- Risikoanalyse und Maßnahmenkatalog aktualisiert
- Meldeprozess und Frühwarnung geübt
- Lieferkette und kritische Dienstleister bewertet
- Leitungs- und Mitarbeitenden-Schulung dokumentiert
- Asset- und Schwachstellenmanagement etabliert
- Business-Continuity und Wiederherstellung getestet
- Verantwortlichkeiten der Leitung schriftlich geregelt
Häufige Fragen
+Ist NIS2 unmittelbar geltendes Recht?
Nein. NIS2 ist eine Richtlinie und wird in nationales Recht überführt. Die konkreten Pflichten richten sich nach dem jeweiligen nationalen Gesetz.
+Was gilt für Lieferanten?
Auch nicht direkt erfasste Lieferanten können über vertragliche Anforderungen ihrer Kunden mittelbar in die Pflicht genommen werden.
+Reicht ISO 27001?
ISO 27001 hilft erheblich, ersetzt aber nicht die expliziten NIS2-Themen wie Meldung, Lieferkette und Leitungsverantwortung.
Verwandte Themen
Wirksame Unternehmenssicherheit verbindet Governance mit konkreten technischen und organisatorischen Maßnahmen. Diese Seite zeigt, worauf Entscheider und IT-Verantwortliche zuerst achten sollten - sachlich, ohne Panik und mit klarer Priorisierung.
DORA bündelt die europäischen Anforderungen an digitale operationale Resilienz im Finanzsektor. Diese Seite ordnet die wichtigsten Bausteine ein - sachlich und ohne Rechtsberatung.
Ein Sicherheitsvorfall verlangt einen klaren Prozess, geübte Rollen und vorbereitete Kommunikation. Wer im Ernstfall improvisiert, verliert Zeit und macht Fehler. Diese Seite zeigt die Phasen, Verantwortlichkeiten und typischen Stolpersteine.
Awareness wirkt, wenn sie kontinuierlich, relevant und fair messbar ist. Eine Pflichtschulung pro Jahr reicht nicht. Diese Seite zeigt, was gute Awareness im Unternehmen ausmacht.
TIBER-EU ist das europäische Rahmenwerk für bedrohungsgeführte Resilienztests in kritischen Funktionen. Diese Seite erklärt die Grundidee, Phasen und den Bezug zu DORA und TLPT - bewusst auf hoher Ebene und ohne Anleitung zu konkreten Angriffstechniken.
Ein Security Operations Center bündelt Menschen, Prozesse und Technik, um Cyber-Vorfälle früh zu erkennen, strukturiert zu behandeln und nachhaltig zu lernen. Diese Seite zeigt Aufgaben, Modelle und typische Fallstricke.