NIS2 ist da – was jetzt konkret zu tun ist
Die wichtigsten Pflichten aus NIS2 und wie Sie sie ohne Papierkrieg in den Betrieb bringen.
NIS2 betrifft deutlich mehr Unternehmen als die bisherigen KRITIS-Regelungen – nach gängigen Schätzungen allein in Deutschland zehntausende. Und anders als viele Compliance-Themen zielt NIS2 direkt auf den IT-Betrieb: auf Prozesse, Systeme und Dienstleister, nicht auf Ordner im Regal.
Bin ich betroffen?
Die Richtlinie unterscheidet „wesentliche“ und „wichtige“ Einrichtungen in 18 Sektoren – von Energie und Transport über verarbeitendes Gewerbe bis zu digitalen Diensten. Die Faustformel: ab 50 Mitarbeitenden oder 10 Millionen Euro Umsatz in einem der Sektoren sollten Sie die Frage nicht mehr ungeprüft mit Nein beantworten. Und selbst wer nicht direkt betroffen ist, wird es oft indirekt – als Teil der Lieferkette eines betroffenen Kunden.
Die Pflichten, in Betriebssprache übersetzt
Hinter den Artikeln der Richtlinie stehen erstaunlich bodenständige Anforderungen:
- Risikomanagement: Risiken kennen, bewerten, behandeln – nachweisbar und wiederholbar, nicht einmalig fürs Audit.
- Incident-Handling und Meldepflichten: Vorfälle erkennen, bewältigen und fristgerecht melden – Erstmeldung binnen 24 Stunden. Das setzt voraus, dass Erkennung und Meldeweg vorher geübt sind.
- Kontinuität: Backup, Wiederanlauf, Krisenkommunikation – getestet, nicht nur dokumentiert.
- Lieferkettensicherheit: Die Sicherheit Ihrer Dienstleister ist Ihre Pflicht. Wer den Betrieb ausgelagert hat, muss Anforderungen vertraglich verankern und ihre Einhaltung prüfen können.
- Verantwortung der Leitung: Die Geschäftsführung haftet, muss Maßnahmen billigen und sich selbst schulen lassen. NIS2 ist Chefsache – wörtlich.
Der Punkt, den viele übersehen
Die meisten Unternehmen scheitern nicht an der Technik, sondern an der Lieferkette: Sie sollen Sicherheit nachweisen, die ihr Dienstleister betreibt. Ohne vertragliche Grundlage und ohne eigenes Prüfrecht wird jeder Nachweis zur Bittstellerei. Hier greifen Provider-Steuerung und Compliance ineinander – wer beides getrennt behandelt, bezahlt doppelt.
Ohne Papierkrieg ans Ziel
Der pragmatische Weg beginnt nicht mit einem Ordner, sondern mit einer ehrlichen Standortbestimmung: Was ist schon da, was fehlt wirklich, was ist das Risiko? Danach werden Anforderungen dort verankert, wo sie erfüllt werden – in Prozessen, Systemen und Verträgen. Die Nachweise entstehen dann als Nebenprodukt des Betriebs statt als Sonderprojekt vor dem Audit. Compliance, die im Betrieb verankert ist, kostet einmal Aufwand – Compliance im Ordner kostet ihn jedes Jahr wieder.