NIS2 — was jetzt?

NIS2 ist die überarbeitete EU-Richtlinie zur Netz- und Informationssicherheit. Sie löst die bisherige NIS-Richtlinie ab und weitet den Kreis betroffener Unternehmen erheblich aus — auf mehr Sektoren, mehr Unternehmensgrößen, mehr Verantwortung. Das Ziel: ein einheitlich hohes Cybersicherheitsniveau in Europa, das verbindlich ist und kontrolliert wird.

NIS2 unterscheidet zwischen wesentlichen und wichtigen Einrichtungen. Betroffen sind Unternehmen aus zahlreichen Sektoren — darunter IT-Dienstleister, verarbeitendes Gewerbe, Energie, Transport, Gesundheit, Logistik und mehr — ab einer Mindestgröße von 50 Mitarbeitenden oder 10 Mio. Euro Jahresumsatz. Wer nicht direkt betroffen ist, gerät häufig indirekt in den Scope: Auftraggeber und Abnehmer, die selbst unter NIS2 fallen, stellen zunehmend Anforderungen an ihre Lieferanten — unabhängig von deren eigener Betroffenheit.

NIS2 verlangt konkrete Maßnahmen in drei Bereichen: Angemessene technische und organisatorische Sicherheitsmaßnahmen müssen nachweislich umgesetzt und dokumentiert sein. Erhebliche Sicherheitsvorfälle sind innerhalb von 24 Stunden zu melden. Und — das ist das Neue — Geschäftsführerinnen und Geschäftsführer haften persönlich für die Umsetzung. Nicht der IT-Leiter, nicht die Fachabteilung: die Geschäftsführung.

Die Anforderungen von NIS2 und ISO 27001 überschneiden sich erheblich. Ein bestehendes ISMS nach ISO 27001 deckt einen Großteil der NIS2-Pflichten bereits ab und lässt sich mit überschaubarem Aufwand erweitern. Wer noch kein ISMS hat, kann NIS2 als strukturierten Einstieg nutzen — und dabei ISO 27001-Kompatibilität von Anfang an mitdenken. Beides schließt sich nicht aus, im Gegenteil.