NIS-2: Jetzt die Weichen für mehr Cybersicherheit stellen
So gestalten Unternehmen den Wandel erfolgreich – für Mitarbeitende, Organisation und Technik
+++ 30.000 Unternehmen betroffen +++
+++ Kontrolle und Sanktion durch das BSI +++
Mit der neuen EU-Richtlinie zur Netzwerk- und Informationssicherheit (NIS-2) steigen die Anforderungen an die Cybersicherheit. Künftig fallen mehr Unternehmen – auch aus bislang nicht erfassten Sektoren – sowie öffentliche Verwaltungen unter die verschärften Vorgaben. Sie sind verpflichtet, umfassende Maßnahmen zum Schutz vor Cyberangriffen umzusetzen. Für Betreiber kritischer Infrastrukturen gilt neben NIS-2 zusätzlich die CER-Richtlinie.
Das deutsche Umsetzungsgesetz zu NIS-2 wird voraussichtlich erst im Herbst 2025 in Kraft treten – doch auf Übergangsfristen sollten sich betroffene Organisationen nicht verlassen. Die Inhalte des Gesetzes sind aus Entwürfen der vormaligen Bundesregierung bereits absehbar, größere Änderungen sind nicht zu erwarten.
Lasst euch bei diesem Wandel begleiten– ganzheitlich und mit Weitblick
Die Umsetzung der NIS-2-Richtlinie bedeutet mehr als das Abarbeiten gesetzlicher Vorgaben. Sie erfordert einen grundlegenden Wandel – in Technik, Organisation und Unternehmenskultur. Denn Cybersicherheit entsteht nicht allein durch neue Systeme, sondern durch klare Prozesse, definierte Rollen und vor allem durch die Menschen, die sie mit Leben füllen.
Als Teil der europäischen Cybersicherheitsstrategie betrifft NIS-2 das gesamte Unternehmen. Es geht um Strukturen, die Sicherheit ermöglichen – und um Mitarbeitende, die diese Strukturen verstehen, anwenden und weiterentwickeln. Bei Verstößen drohen nicht nur hohe Bußgelder – auch die persönliche Haftung der Geschäftsleitung steht im Raum.
Lasst euch von uns begleiten, NIS-2 nicht als Belastung, sondern als strategische Chance zu nutzen. Unsere langjährige Erfahrung in komplexen IT- und Compliance-Transformationen hilft dabei.
In Zusammenarbeit mit eurer Rechtsabteilung oder eurem Rechtsbeistand unterstützen wir euch bei der fachlichen Feststellung, ob und in welchem Umfang euer Unternehmen zur Umsetzung der Anforderungen aus NIS-2 verpflichtet ist.
Die Betroffenheit hängt neben der Unternehmensgröße auch von der Zugehörigkeit zu einem in NIS-2 genannten (Teil-) Sektor ab. Eine erste, rechtlich nicht verbindliche Orientierung zur Betroffenheitsprüfung stellt das Bundesamt für Sicherheit in der Informationstechnik (BSI) Unternehmen in Form eines Fragenkatalogs auf seiner Website zur Verfügung (Stand: Februar 2025).
Sind eure Systeme ausreichend gegen Cyberbedrohungen geschützt – und bereit für die Anforderungen der NIS-2-Richtlinie?
Unsere Enabler prüfen im Rahmen einer strukturierten Reifegradanalyse, welche Sicherheitsmaßnahmen ihr bereits umgesetzt habt und wo noch Handlungsbedarf besteht.
Dabei gleichen wir euren aktuellen Stand toolgestützt mit den Vorgaben aus NIS-2 ab, identifizieren bestehende Lücken und bewerten den Abdeckungsgrad im Detail. Ihr erhaltet von uns einen fundierten Report mit empfohlenen, technisch-organisatorischen Mindestmaßnahmen inkl. Prioritäten und Aufwandsschätzungen – als klaren Fahrplan für die nächsten Schritte auf dem Weg zur vollständigen NIS-2-Konformität.
NIS-2 verlangt von Unternehmen, Risiken für die Sicherheit in der Informationstechnik systematisch zu identifizieren, zu bewerten und geeignete Maßnahmen abzuleiten – und deren Wirksamkeit nachweislich sicherzustellen.
Genau hier setzt unser Beratungsangebot an: Wir führen eine initiale Risikoanalyse durch, die bestehende Schwachstellen in euren IT-Systemen, -Komponenten und -Prozessen im Abgleich mit den NIS-2-Anforderungen offenlegt. Auf Basis der toolgestützten Analyse zeigen wir konkrete Mitigationsmaßnahmen auf, priorisieren sie und machen so Risiken steuerbar. Gemeinsam mit euch entwickeln wir daraus einen strukturierten und nachhaltigen Prozess zur kontinuierlichen Risikoanalyse.
So wird Risikomanagement zu einem wirksamen Bestandteil eurer Cybersicherheitsstrategie.
Die Sicherheit in der gesamten Lieferkette zählt zu den zentralen Anforderungen der NIS-2-Richtlinie – und stellt viele Unternehmen vor neue Herausforderungen.
Wir unterstützen euch dabei, sicherheitsrelevante Risiken in der Zusammenarbeit mit IT-Dienstleistern und -Lieferanten bei Beschaffung, Entwicklung und Wartung von IT-Systemen frühzeitig zu identifizieren und wirksam abzusichern, und zwar technisch, organisatorisch und vertraglich. Das umfasst die toolgestützte Betrachtung der gesamten Lieferkette, also damit auch nachbeauftragte Subdienstleister und Sublieferanten.
Dabei profitiert ihr von unserer Expertise aus dem IT-Provider-Management bzw. dem IKT-Drittdienstleister-Risikomanagement (DORA) – damit aus eurer Lieferkette ein stabiler Teil eurer Strategie für Cybersicherheit wird.
NIS-2 verlangt von Unternehmen ein strukturiertes Vorgehen im Umgang mit Sicherheitsvorfällen – von der schnellen Erkennung bis zur fristgerechten Meldung.
Wir unterstützen euch beim Aufbau wirksamer Prozesse zur Detektion und Reaktion auf Cybervorfälle. Wir helfen euch, Meldeverfahren toolgestützt an die zuständigen Behörden zu etablieren – inklusive Bewertung, Format, Fristen und Kommunikationswegen – und sorgen dafür, dass Erst-, Folge- und Abschlussmeldungen innerhalb der geforderten Zeiträume erfolgen.
Darüber hinaus begleiten wir euch bei der Erstellung von Reaktionsplänen und beim Aufbau eines wirksamen Krisen- und Notfallmanagements. Auch Simulationen und Übungen zur Vorbereitung auf den Ernstfall gehören zu unserem Angebot – damit ihr im Fall der Fälle schnell, koordiniert und rechtskonform handeln könnt.
Die NIS-2-Richtlinie stellt klare Anforderungen an das Sicherheitsbewusstsein im Unternehmen – sowohl bei den Mitarbeitenden als auch auf Ebene der Geschäftsführung.
Wir unterstützen euch mit gezielten Schulungen und Trainings dabei, das notwendige Wissen im Bereich Cyber- und IT-Sicherheit aufzubauen und zu vertiefen.
Dabei sensibilisieren wir Mitarbeitende für sicherheitsrelevante Risiken im Arbeitsalltag und klären die Geschäftsleitung über ihre persönliche Verantwortung auf. So stärkt ihr nicht nur eure Sicherheitskultur, sondern erfüllt auch die gesetzlichen Vorgaben wirksam und nachvollziehbar.
Die Anforderungen zur Sicherstellung der Cybersicherheit – insbesondere nach NIS-2 – sind vielfältig und erfordern einen ganzheitlichen Blick:
Es gibt nicht die eine Perspektive, vielmehr greifen zahlreiche Themen ineinander. Dazu zählen u.a. Business Continuity Management (BCM), Disaster Recovery Management (DRM), Identity & Access Management (IAM), Information Security Management (ISMS), IT Service Continuity Management (ITSCM) sowie Supply Chain Security Management.
Wir unterstützen euch dabei, potenzielle Schwachstellen in den zugehörigen Richtlinien, Konzepten, Rollen und Prozessen systematisch zu identifizieren und gezielt zu beheben. Dabei legen wir besonderen Wert auf die Angemessenheit und tatsächliche Wirksamkeit der Maßnahmen im konkreten Unternehmenskontext. Unser Ziel: eine robuste Sicherheitsarchitektur, die regulatorischen Vorgaben entspricht und gleichzeitig praxisnah umsetzbar ist.
Für noch mehr fachliche Tiefe und spezifisches Know-how arbeiten wir im Kontext von NIS-2 eng mit unseren Kolleginnen und Kollegen von ISW (IT-Security@Work) zusammen, einem langjährigen Partner mit ausgewiesener Expertise im Bereich Informationssicherheit.
Wir haben Lösungen für dich
Lass uns besprechen, wie wir die NIS-2-Umsetzung in deiner Organisation angehen, auch toolgestützt mit CloudGate.
NIS-2 als strategische Chance
Schafft Cybersicherheit mit Weitblick!
Die NIS-2-Richtlinie und das Umsetzungsgesetz im Überblick
Mehr Sektoren als vorher fallen unter NIS-2
Dadurch steigt auch die Anzahl der betroffenen Unternehmen.
Die NIS-2-Richlinie listet jetzt
- 11 besonders kritische und
- 7 kritische Sektoren
Auch mittlere Unternehmen sind betroffen
Neben KRITIS-Betreibern müssen Unternehmen schon dann NIS-2 einhalten, wenn sie mehr als
- 50 Mitarbeiter oder
- 10 Mio. Euro Jahresumsatz oder Bilanzsumme haben
Pflichten gelten für alle betroffenen Unternehmen
Risikomanagement mit zahlreichen Mindestmaßnahmen
Nutzung von zertifizierten IT-Produkten und -Diensten
Melde- und Informationspflichten
Das Management ist gefordert
Die Geschäftsleitung trägt die Verantwortung für
- das Risikomanagement
- die Umsetzung der Mindestmaßnahmen
Schulungen in der Cybersicherheit sind daher verpflichtend
Aufsichtsmaßnahmen und Sanktionen
Überwachung bis hin zu Vor-Ort-Prüfungen und Sicherheits-Scans
Möglichkeit verbindlicher Anweisungen der Aufsicht
Bußgelder von bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes
NIS-2-Richtlinie: Hintergründe, Umsetzung und wichtige Quellen im Überblick
Die Erwägungen und Hintergründe, die zur Entwicklung der NIS-2-Richtlinie durch den europäischen Gesetzgeber geführt haben, sind vielfältig. Ziel ist es, ein höheres und einheitliches Niveau der Cybersicherheit in der gesamten EU zu etablieren – als Antwort auf die zunehmenden Bedrohungen für kritische Infrastrukturen und digitale Dienste.
Für die konkrete Umsetzung der Richtlinie ist jedoch ein Zusammenspiel zwischen der europäischen und der nationalen Ebene erforderlich. In Deutschland kommt es daher im nächsten Schritt auf das nationale Umsetzungsgesetz an, das den Rahmen für die praktische Anwendung der NIS-2-Vorgaben schaffen soll.
Damit du dich schnell und fundiert in den offiziellen Dokumenten zurechtfindest, haben wir dir die wichtigsten Quellen zusammengestellt:
Jetzt aktiv werden und die Übergangszeit nutzen
Die NIS-2-Richtlinie hätte bis zum 18.10.2024 in deutsches Gesetz umgesetzt werden müssen – diese Frist hat der deutsche Gesetzgeber aber gerissen. Die neuesten Pläne (Stand: Februar 2025) gehen von einer Umsetzung im Herbst 2025 aus. Durch die Neuwahlen zum Bundestag ist das bisher geplante NIS-2-Umsetzungs- und Cybersicherheitsförderungsgesetz (NIS2UmsuCG) obsolet geworden. Der neue Bundestag wird es neu fassen und damit dann insbesondere das BSI-Gesetz ergänzen und in Teilen neu fassen.
Zum Tag des Inkrafttretens müssen Betreiber kritischer Anlagen sich bereits beim Bundesamt für Informationssicherheit (BSI) registrieren. Für alle anderen betroffenen Unternehmen – und das sind nach Schätzungen ca. 30.000 in Deutschland – gilt eine dreimonatige Übergangsfrist für die Registrierung. Und auch auf die IT-Dienstleister dieser Unternehmen kommen Änderungen zu, da die Sicherheit auch in der Lieferkette gewährleistet werden muss.
Deshalb gilt: Wer jetzt aktiv wird, verschafft sich einen klaren Vorteil. Die Übergangszeit bietet die Chance, sich strategisch und strukturell aufzustellen – und potenzielle Risiken frühzeitig zu identifizieren und abzusichern. So gelingt nicht nur die gesetzeskonforme Umsetzung, sondern auch eine nachhaltige Stärkung der eigenen Resilienz gegenüber Cyberbedrohungen.
Werde jetzt aktiv!
Lass uns besprechen, wie wir die NIS-2-Umsetzung in deiner Organisation angehen, auch toolgestützt mit CloudGate.
Warum du dich dringend mit der NIS-2-Richtlinie befassen solltest
-
Umsetzungsfrist in Deutschland voraussichtlich im Herbst 2025
Die europäische NIS-2-Richtlinie wurde bereits Ende 2022 veröffentlicht. Darin ist geregelt, dass die Umsetzung in nationales Recht zum September 2024 abgeschlossen sein müsse. Der deutsche Gesetzgeber wird aber voraussichtlich erst im Herbst 2025 ein Umsetzungsgesetz verabschieden. Die Regelungen gelten dann aber sofort, da eine Übergangsfrist in dem Gesetzesentwurf nicht vorgesehen ist.
-
Neue Anforderungen für ca. 30.000 Unternehmen
KRITIS-Betreiber werden zwar nicht von den Anforderungen überrascht sein, die durch die NIS-2-Richtlinie und das kommende Umsetzungsgesetz an sie gestellt werden, doch viele andere Unternehmen, die jetzt neu im Anwendungsbereich liegen, werden sich hier eventuell strecken müssen. Zahlreiche Maßnahmen im Risikomanagement reihen sich an eine mögliche verpflichtende Nutzung von zertifizierten IT-Produkten und -Diensten. Melde- und Informationspflichten mit sehr kurzen Fristen müssen bei einem Cybersicherheits-Vorfall eingehalten werden. Und Auslagerungen können die Meldewege gegebenenfalls zusätzlich verlängern – Verträge mit IT-Providern werden angepasst werden müssen.
-
Geschäftsführung ohne Know-how ist ein No-Go
Die Zeiten, in denen sich die Geschäftsleitung mithilfe von kurzen Berichten des CISO über den Stand der IT-Sicherheit hat aufklären lassen, sind vorbei. NIS-2 sorgt dafür, dass das Know-how auch ganz oben angesiedelt ist – und verpflichtet die Unternehmensführung dazu, die Verantwortung für das Risikomanagement und die Umsetzung der aufgelisteten Cybersicherheits-Maßnahmen zu übernehmen. Kenntnis ist also schon vor Etablierung des Management-Systems und der entsprechenden Maßnahmen erforderlich. Dass auch alle anderen Mitarbeiter über Awareness-Schulungen etc. fit im Thema IT-Sicherheit gemacht werden müssen, versteht sich von selbst.
-
Das BSI kontrolliert – und sanktioniert bei Bedarf
Je nach Kritikalität werden Unternehmen sich auch auf anlasslose Vor-Ort-Prüfungen durch das BSI einstellen müssen. Dabei sind umfangreiche Dokumentationen, Daten, Nachweise und sonstige Dokumente vorzulegen. Verstöße können gegebenenfalls öffentlich bekannt gemacht werden, was für den Ruf abträglich sein könnte. Anweisungen können erteilt, Zertifizierungen zurückgenommen und sogar leitenden Personen ein Tätigkeitsverbot auferlegt werden. Und Bußgelder von bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes tun ihr Übriges, um eine Durchsetzung der Pflichten zu gewährleisten.
-
ISO 27001: Gute Basis, aber NIS-2 verlangt mehr
Verfügt ein Unternehmen bereits über eine ISO-27001-Zertifizierung, ist das ein wichtiger erster Schritt in Richtung NIS-2-Compliance. Denn viele Anforderungen der NIS-2-Richtlinie werden durch ISO 27001 zumindest teilweise adressiert. Die Norm beschreibt, wie ein Informationssicherheits-Managementsystem (ISMS) aufgebaut, betrieben, kontinuierlich verbessert und in den organisatorischen Kontext eingebettet wird. Doch während ISO 27001 den Rahmen vorgibt, legt NIS-2 den Fokus deutlich stärker auf die praktische Umsetzung – und das organisationsweit. NIS-2 geht über formale Anforderungen hinaus: Es verlangt einen echten kulturellen Wandel. Cybersicherheit muss zur Priorität werden – nicht nur auf dem Papier, sondern im täglichen Handeln aller Beteiligten.
Auch interessant für dich
DORA-Tool: CloudGate
Kennst du CloudGate, unser RegTech-Tool für Governance, Risk & Compliance? Hier erfährst du mehr und kannst es kostenlos testen.
Aufsichtsmitteilung Cloud-Auslagerungen
Lies nach, welche Neuerungen es gibt und wie du heute schon starten kannst mit der Umsetzung der BaFin-Neuregelungen. Infos hier!
GRC-Seminare
Du willst mit deinem Team Innovationen vorantreiben, wenn es um GRC geht? Dann buche für euch eines unserer Seminare!
Whitepaper: DORA-Informationsregister
Lest im kostenlosen Whitepaper, wie Finanzunternehmen ihre IKT-Drittdienstleister dokumentieren und überwachen sollten - inklusive Update 2025. Jetzt downloaden!
Whitepaper: Umsetzungshinweise DORA
Erfahre im kostenlosen Whitepaper alles über die neuesten Hinweise der BaFin zur Umsetzung des Digital Operational Resilience Act (Stand Januar 2025). Jetzt downloaden!
Whitepaper: DORA
Lies im kostenlosen Whitepaper alles, was du über den Digital Operational Resilience Act wissen musst - inklusive Update 2025. Jetzt downloaden!
NIS-2
Sebastian Dosch
Enabler und Principal Consultant
Du hast Fragen zu NIS-2 oder einem anderen Regulatorik-Thema? Sebastian Dosch hat die Antworten und freut sich über deine Kontaktaufnahme.
Tel +49 6172 177 630