Cyberangriffe in der EU nehmen zu und werden immer ausgefeilter. Dennoch fühlen sich weniger als ein Drittel der Unternehmen ausreichend vorbereitet, um solche Angriffe zu verhindern oder im Ernstfall schnell zu reagieren. Um die digitale Sicherheit zu stärken und kritische Infrastrukturen besser zu schützen, hat die EU in den vergangenen Jahren mehrere Richtlinien auf den Weg gebracht – darunter auch NIS2. 

Die ursprüngliche NIS-Richtlinie legte den Grundstein für ein gemeinsames Sicherheitsniveau. Sie verpflichtete bestimmte Betreiber wesentlicher Dienste zu Risikomanagement und Meldepflichten. Allerdings blieb der Geltungsbereich begrenzt, viele Branchen blieben unreguliert – und damit anfällig. Mit NIS2 zieht die EU jetzt deutlich größere Kreise und schließt diese Lücken. 

Was ist NIS2? – eine moderne Richtlinie für ein vernetztes Europa

Die NIS2-Richtlinie über Netz- und Informationssicherheit ist seit dem 16. Januar 2023 in Kraft. Sie baut auf der ursprünglichen NIS-Richtlinie auf, erweitert deren Anwendungsbereich und schließt gezielt bestehende Lücken. 

Das Ziel bleibt unverändert: die Sicherheit von Netz- und Informationssystemen in der EU zu verbessern. Neu ist jedoch der deutlich größere Geltungsbereich sowie strengere Anforderungen an Cybersicherheitsstandards, Berichterstattung, Unternehmensführung und die Überwachung von Lieferketten – ein Schritt, der die stark vernetzte digitale Wirtschaft von heute widerspiegelt. 

Was sind die wichtigsten Anforderungen von NIS2?

Die NIS2-Richtlinie bringt verbindliche Vorgaben in vier zentralen Bereichen: Risikomanagement, Meldepflichten, Unternehmensverantwortung und Geschäftskontinuität. Verstöße können zu hohen Strafen führen. 

Robustes Risikomanagement

Unternehmen müssen Cybersicherheitsrisiken systematisch bewerten und mindern. Dabei gibt die Richtlinie keine festen Technologien vor, definiert aber wichtige Mindestanforderungen, etwa: 

• Einsatz von Multi-Faktor-Authentifizierung (MFA), wo sinnvoll
• Verschlüsselung und Backups sensibler Daten für eine schnelle Wiederherstellung
• Firewalls und Systeme zur Erkennung und Verhinderung von Angriffen (IDS/IPS)
• klare Prozesse zur Reaktion auf Vorfälle
• Analyse von Cyberrisiken in der Lieferkette

Verantwortung des Managements

Die Verantwortung für Cybersicherheit liegt ausdrücklich beim Top-Management. Damit wird Cybersicherheit zur strategischen Führungsaufgabe. Zu den Pflichten gehören: 

• Entwicklung und Freigabe einer Cybersicherheitsstrategie 
• Teilnahme an Schulungen, um Risiken und Compliance-Anforderungen besser zu verstehen 
• persönliche Verantwortung im Falle von Verstößen 

Strenge Meldepflichten

Sicherheitsvorfälle müssen zeitnah an die zuständigen Behörden gemeldet werden: 

• erste Meldung innerhalb von 24 Stunden 
• vollständiger Bericht innerhalb von 72 Stunden 
• Abschlussbericht spätestens nach einem Monat 

Verspätete oder fehlende Meldungen können zu empfindlichen Geldstrafen führen. 

Geschäftskontinuität und Resilienz

Unternehmen sollen einen Business-Continuity-Plan vorhalten, um Ausfälle zu minimieren und schnell zu reagieren, etwa durch: 

• schnelle Systemwiederherstellung und Notfallmaßnahmen 
• Einrichtung von Krisenteams für eine schnelle Reaktion 

Wer ist betroffen? Erweiterter Geltungsbereich von NIS2

NIS2 weitet den Kreis der betroffenen Unternehmen deutlich aus. Die Richtlinie unterscheidet zwischen hochkritischen und weiteren kritischen Sektoren (laut Anhang I und II). 

Neu ist: Neben öffentlichen Einrichtungen fallen nun auch deutlich mehr private Unternehmen unter die Vorschriften. Ob Ihr Unternehmen dazugehört, lässt sich grob so prüfen: 

• Ihr Unternehmen ist in einem der in Anhang I oder II genannten Sektoren tätig und 
• es beschäftigt mindestens 50 Mitarbeitende oder hat eine Bilanzsumme von über 10 Mio. € (mittelständisches Unternehmen) oder 
• es beschäftigt mindestens 250 Mitarbeitende oder erwirtschaftet mehr als 50 Mio. € Jahresumsatz bei einer Bilanzsumme von über 43 Mio. € (großes Unternehmen) 

Auch Unternehmen außerhalb der EU können betroffen sein, wenn sie kritische Dienstleistungen innerhalb der EU anbieten. 

Vereinfachte NIS2-Compliance mit dem osapiens HUB 

Der osapiens HUB for NIS2 bietet eine schlanke, skalierbare Lösung, mit der Unternehmen die Richtlinie effizient und transparent umsetzen können. Entwickelt gemeinsam mit Cybersicherheitsexpert:innen von VICCON, ist die Lösung vollständig auf die Anforderungen von NIS2 abgestimmt und kann optional durch Fachberatung ergänzt werden. 

Die Plattform bündelt Risikomanagement, Beschaffung und Lieferantengovernance auf einer Oberfläche, deckt Themen wie Cyberrisiken und Nachhaltigkeit ab und bietet Funktionen wie Risikoanalysen, Vorfallmeldungen, Fallmanagement und Automatisierung. Geführte Workflows reduzieren den manuellen Aufwand, integrieren sich in bestehende Prozesse und vereinfachen auch komplexe Abläufe. 

Ist Ihr Unternehmen bereit, die wachsenden NIS2-Anforderungen souverän zu erfüllen? 

Starten Sie jetzt mit dem osapiens HUB for NIS2 und profitieren Sie von einer integrierten Plattform für Sicherheit, Effizienz und Transparenz.