NIS-2-Umsetzungsgesetz: Aktueller Stand
NIS-2 tritt in Kraft: Was Unternehmen jetzt wissen müssen!
Der Bundestag hat das neue IT-Sicherheitsgesetz NIS-2 beschlossen. Ziel ist es, die Cyber-Resilienz von Unternehmen in Deutschland branchenübergreifend zu stärken. Dahinter steht die Erkenntnis, dass die IT-Systeme von Unternehmen heute das Rückgrat unserer vernetzten Wirtschaft und Gesellschaft sind. Ein Ausfall, etwa in der Logistik oder im Maschinenbau, kann schnell ganze Lieferketten stören. NIS-2 sorgt daher für ein einheitlich hohes Schutzniveau in der gesamten EU.
Für wen gilt das Gesetz?
NIS-2 erweitert den Kreis der erfassten Unternehmen erheblich. Ob Ihr Unternehmen die neuen Vorgaben umsetzen muss, hängt von der Branche und der Unternehmensgröße ab. Man unterscheidet zwei Hauptkategorien:
1. Besonders wichtige Einrichtungen:
- Sektoren: Energie, Verkehr, Finanz- und Bankwesen, Gesundheitswesen, Wasserversorgung, Digitale Infrastruktur.
- Größe: In der Regel ab 250 Mitarbeitern oder 50 Mio. € Umsatz.
2. Wichtige Einrichtungen:
- Sektoren: Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittelproduktion und -handel, Maschinen- und Anlagenbau, Fahrzeughersteller, Anbieter digitaler Dienste (z. B. soziale Netzwerke, Online-Marktplätze).
- Größe: In der Regel ab 50 Mitarbeitern oder 10 Mio. € Umsatz.
Wichtig: Unabhängig von der Größe kann ein Unternehmen als relevant eingestuft werden, wenn es eine kritische Rolle für die Gesellschaft oder die Wirtschaft spielt.
Die Kernpflichten
Im Kern fordert NIS-2 einen proaktiven und umfassenden Schutz Ihrer IT-Systeme. Sie müssen nachweisbare Maßnahmen etablieren, die das gesamte Spektrum der Cybersicherheit abdecken – von technischen Sicherheitsmaßnahmen über eine Risikoanalyse und den Schutz der Lieferkette bis hin zu Notfallplänen für den Ernstfall. Dabei nimmt NIS-2 erstmals explizit die Geschäftsführung in die Pflicht. Sie ist persönlich für die Umsetzung der Cybersicherheitsmaßnahmen verantwortlich und haftet bei Verstößen. Zudem drohen empfindliche Bußgelder.
Ihr nächster Schritt
Die NIS-2-Anforderungen gelten ab sofort – verlieren Sie keine Zeit bei der Umsetzung.
Sind Sie überhaupt betroffen? Prüfen Sie es ganz einfach mit unserem digitalen Fragebogen. Füllen Sie das Formular aus und erhalten Sie sofortige Klarheit.
Ergibt die Prüfung, dass Handlungsbedarf besteht, kümmert sich das Team von Austing um Sie: Wir melden uns persönlich bei Ihnen, um pragmatische Lösungen für Ihr Unternehmen zu besprechen.
Wichtige Anforderungen des NIS2-Gesetzes
1. Erhöhte Sicherheitsvorkehrungen
Unternehmen müssen technische und organisatorische Maßnahmen umsetzen, um ihre Systeme vor Cyberangriffen zu schützen. Hierzu gehören u.a. Firewalls, Verschlüsselung und Intrusion-Detection-Systeme.
2. Meldepflichten bei Sicherheitsvorfällen
Sicherheitsvorfälle müssen innerhalb von 24 Stunden an die zuständigen Behörden gemeldet werden. Dies ermöglicht eine schnelle Reaktion und verringert das Risiko größerer Schäden.
3. Risikomanagement und kontinuierliche Verbesserung
Unternehmen müssen ein Risikomanagementsystem einführen, das regelmäßig auf neue Bedrohungen überprüft wird. Sicherheitsstrategien und -maßnahmen müssen kontinuierlich an neue Entwicklungen und Bedrohungen angepasst werden.
4. Schulungen und Sensibilisierung der Mitarbeiter
Das Gesetz fordert regelmäßige Schulungen und Sensibilisierungsmaßnahmen für alle Mitarbeiter, um ein grundlegendes Sicherheitsbewusstsein zu schaffen und das Risiko menschlicher Fehler zu verringern.
Wie Sie sich auf das NIS2-Gesetz vorbereiten können
1. IT-Sicherheitsstrategie überprüfen
Überprüfen Sie Ihre bestehenden IT-Sicherheitsmaßnahmen und stellen Sie sicher, dass sie den neuen Anforderungen entsprechen. Bei Bedarf sollten Sie neue Lösungen wie Firewall-Systeme, Intrusion Detection und Cloud-Sicherheitslösungen integrieren.
2. Risikomanagement etablieren
Erstellen Sie ein Risikomanagementsystem, das regelmäßig überprüft und angepasst wird. Risikomanagement hilft Ihnen dabei, potenzielle Bedrohungen frühzeitig zu erkennen und abzuwehren.
3. Schulungen und Awareness-Programme
Organisieren Sie regelmäßige Schulungen für Ihre Mitarbeiter, um deren Sicherheitsbewusstsein zu erhöhen. So stellen Sie sicher, dass Ihre Mitarbeiter aktiv zur IT-Sicherheit beitragen.
4. Sicherheitszertifikate und Audits
Lassen Sie Ihre IT-Infrastruktur regelmäßig von Experten auf Sicherheitslücken überprüfen. Dies hilft Ihnen, Schwachstellen frühzeitig zu erkennen und zu beheben.
NIS2-Beratung: Wir helfen Ihnen, die Anforderungen umzusetzen
Die Austing GmbH ist Ihr Partner bei der Umsetzung des NIS2-Umsetzungsgesetzes. Mit mehr als 30 Jahren Erfahrung in der IT-Branche bieten wir Ihnen maßgeschneiderte Beratung und Lösungen zur Verbesserung Ihrer IT-Sicherheit.
Unsere Dienstleistungen umfassen:
- IT-Sicherheitsberatung: Wir entwickeln eine maßgeschneiderte Strategie, die den Anforderungen des NIS2-Gesetzes entspricht.
- Risikomanagement und Compliance: Wir helfen Ihnen dabei, die passenden Sicherheitsmaßnahmen zu implementieren.
- Schulungen und Sensibilisierung: Wir bieten maßgeschneiderte Schulungen für Ihre Mitarbeiter, um das Sicherheitsbewusstsein zu stärken.
- Sicherheitslösungen: Wir setzen moderne IT-Sicherheitslösungen um, die Ihre Infrastruktur dauerhaft absichern.
Welche Unternehmen sind vom neuen NIS2-Umsetzungsgesetz betroffen?
Das neue NIS2-Umsetzungsgesetz verpflichtet nun neben großen Unternehmen auch mittelständische Unternehmen ab 50 Mitarbeitern. Neben der Mindestanzahl an Mitarbeitern muss das Unternehmen, um betroffen zu sein, aus einer der folgenden Branchen stammen: Energie, Wasserwirtschaft, Gesundheit, Lebensmittel, Chemie, Maschinenbau, Fahrzeugbau, Abfall, digitale Infrastruktur, Transport, Finanzen, Weltraumtechnik oder Forschung. Das NIS2-Umsetzungsgesetz wurde dementsprechend so ausgeweitet, dass insgesamt rund 30.000 Unternehmen in Deutschland betroffen sind.
Welche Maßnahmen muss ich in meinem Unternehmen umsetzen?
Die umzusetzenden Maßnahmen werden im NIS2-Umsetzungsgesetz vorgegeben. Insgesamt gibt es zehn Kategorien, in welchen verschiedene Bausteine definiert werden. Dazu gehören beispielsweise Multi-Faktor-Authentifizierung, Inventarlisten, Patch- und Schwachstellenmanagement, Zugriffskontrollen, IT-Notfallpläne oder Schulungen von Mitarbeitern. Dabei ist es wichtig, die Maßnahmen zu priorisieren, zu planen und am Ende auch schrittweise umzusetzen.
Was erwartet mein Unternehmen bei Nichtumsetzung?
Bei Nichteinhaltung können Strafen von bis zu 10 Millionen Euro oder bis zu 2% des weltweiten Jahresumsatzes verhängt werden, je nachdem, welcher Betrag höher ist. Darüber hinaus beinhaltet die NIS2-Gesetzgebung, dass Geschäftsführer persönlich haftbar gemacht werden können, was zusätzliche Rechtsfolgen und -kosten für die Unternehmensführung mit sich bringt.
Wie sehen die nächsten Schritte aus?
Das NIS2-Umsetzungsgesetz wurde Ende Juli 2024 im Bundeskabinett beschlossen. Es folgt nun der weitere Weg der Gesetzgebung über Bundestag und Bundesrat. Ab 2025 beginnt das BSI mit den Prüfungen auf Einhaltung der Vorgaben, weshalb im Umkehrschluss nur noch wenige Monate zur Umsetzung der Maßnahmen bleiben.
Als IT-Dienstleister stehen wir Ihnen gerne bei der Evaluierung des Ist- und Soll-Zustands sowie der schrittweisen Umsetzung zur Verfügung.