Framework

NIS2-Compliance für wesentliche und wichtige Einrichtungen

Die NIS2-Richtlinie erhöht die Anforderungen an die Cybersicherheit in der EU. Matproof hilft Ihnen, die neuen Anforderungen zu erfüllen — vom Risikomanagement bis zur 24-Stunden-Vorfallmeldung.

Demo anfragen

Was ist die NIS2-Richtlinie?

Die NIS2-Richtlinie (EU-Richtlinie 2022/2555) ist die umfassende Cybersicherheitsgesetzgebung der Europäischen Union, die die ursprüngliche NIS-Richtlinie von 2016 ablost und erheblich verstärkt. Im Dezember 2022 verabschiedet, etabliert NIS2 ein hohes gemeinsames Cybersicherheitsniveau in der EU, indem sie einheitliche Risikomanagement- und Vorfallmeldepflichten für einen deutlich erweiterten Kreis von Sektoren und Einrichtungen auferlegt. Die Mitgliedstaaten waren verpflichtet, die Richtlinie bis zum 17. Oktober 2024 in nationales Recht umzusetzen.

Die ursprüngliche NIS-Richtlinie litt unter inkonsistenter Umsetzung in den Mitgliedstaaten, begrenztem Geltungsbereich und unzureichenden Durchsetzungsmechanismen. NIS2 adressiert diese Mängel, indem sie 18 Sektoren abdeckt (statt zuvor 7), größenbasierte Kriterien zur Bestimmung der erfassten Einrichtungen einführt, Cybersicherheitsanforderungen harmonisiert, strengere Vorfallmeldefristen festlegt und ein wirksames Durchsetzungsregime mit erheblichen Sanktionen für Nichtkonformität schafft.

Eine der bedeutendsten Neürungen von NIS2 ist die explizite Einführung der Managementverantwortung. Art. 20 verlangt von Leitungsorganen, Cybersicherheits-Risikomanagementmaßnahmen zu genehmigen und zu überwachen, regelmäßige Cybersicherheitsschulungen zu absolvieren und persönlich für Compliance-Versäumniße zu haften. Dies stellt einen fundamentalen Wandel dar - von der Behandlung der Cybersicherheit als rein technische Funktion hin zur Anerkennung als Governance-Aufgabe auf Vorstandsebene.

In Deutschland wird die NIS2-Richtlinie durch das NIS2UmsuCG (NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz) umgesetzt, das das bestehende BSI-Gesetz (BSIG) ändert. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) fungiert als nationale zuständige Behörde und zentrale Anlaufstelle. Die deutsche Umsetzung ergänzt nationale Bestimmungen in Bereichen wie Registrierungspflichten, spezifischen technischen Anforderungen und Durchsetzungsverfahren und baut auf dem bestehenden deutschen Rahmenwerk zum Schutz kritischer Infrastrukturen (KRITIS) auf.

Wer muss NIS2 einhalten?

NIS2 verwendet einen größenbasierten Ansatz in Kombination mit einer Sektorklassifizierung, um zu bestimmen, welche Einrichtungen im Geltungsbereich liegen. Generell fallen mittlere Organisationen (50+ Beschäftigte oder 10 Mio. EUR+ Jahresumsatz) und große Organisationen in den 18 bezeichneten Sektoren in den Geltungsbereich. Die Richtlinie unterscheidet zwischen wesentlichen Einrichtungen (unterliegen proaktiver Aufsicht) und wichtigen Einrichtungen (unterliegen reaktiver Aufsicht).

Sektoren wesentlicher Einrichtungen

Energie (Strom, Öl, Gas, Waßerstoff, Fernwärme)
Verkehr (Luft, Schiene, Waßer, Straße)
Bankwesen und Finanzmarktinfrastrukturen
Gesundheit (Krankenhäuser, Labore, Pharma, Medizinprodukte)
Trinkwaßer und Abwaßer
Digitale Infrastruktur (IXPs, DNS, TLDs, Cloud, Rechenzentren)
IKT-Dienstleistungsmanagement (B2B) und öffentliche Verwaltung
Weltraum

Sektoren wichtiger Einrichtungen

Post- und Kurierdienste
Abfallwirtschaft
Chemische Herstellung und Vertrieb
Lebensmittelproduktion, -verarbeitung und -vertrieb
Verarbeitendes Gewerbe (Medizinprodukte, Elektronik, Maschinenbau, Fahrzeuge)
Digitale Anbieter (Marktplätze, Suchmaschinen, soziale Netzwerke)
Forschungseinrichtungen

Einige Einrichtungen sind unabhängig von ihrer Größe erfasst, darunter Anbieter öffentlicher elektronischer Kommunikationsnetze, DNS-Dienstleister, TLD-Registrierungsstellen und Einrichtungen, die der einzige Anbieter eines kritischen Dienstes in einem Mitgliedstaat sind. Organisationen in der Lieferkette wesentlicher und wichtiger Einrichtungen können ebenfalls indirekt betroffen sein, da NIS2 von den erfassten Einrichtungen verlangt, Cybersicherheitsrisiken in ihren Lieferketten zu managen. In Deutschland schätzt das BSI, dass rund 30.000 Einrichtungen in den Geltungsbereich des NIS2UmsuCG fallen werden.

Not sure if you're compliant?

Take the free NIS2 readiness assessment — 10 questions, 3 minutes.

Check your readiness

NIS2-Kernanforderungen im Detail

1. Cybersicherheits-Risikomanagementmaßnahmen (Art. 21)

Wesentliche und wichtige Einrichtungen müssen angemeßene und verhältnismäßige technische, operationelle und organisatorische Maßnahmen zur Steürung von Cybersicherheitsrisiken ergreifen. Art. 21(2) spezifiziert Mindestmaßnahmen einschließlich Risikoanalyse und Sicherheitsrichtlinien für Informationssysteme, Vorfallbehandlung, Business Continuity und Krisenmanagement, Lieferkettensicherheit, Sicherheit bei Erwerb von Netz- und Informationssystemen, Richtlinien zur Bewertung der Wirksamkeit von Maßnahmen, grundlegende Cyberhygiene-Praktiken und Schulungen, Kryptografie- und Verschlüsselungsrichtlinien, Personalsicherheit sowie Multi-Faktor-Authentifizierung.

2. Vorfallmeldung (Art. 23-24)

NIS2 führt einen strukturierten mehrstufigen Vorfallmeldeprozess ein. Organisationen müssen innerhalb von 24 Stunden nach Bekanntwerden eines erheblichen Vorfalls eine Frühwarnung an die zuständige Behörde oder das CSIRT übermitteln. Eine Vorfallmeldung mit einer ersten Bewertung muss innerhalb von 72 Stunden folgen. Ein Abschlußbericht mit Ursachenanalyse, Folgenabschätzung und Abhilfemaßnahmen muss innerhalb eines Monats vorgelegt werden. Ein Vorfall gilt als erheblich, wenn er schwere operationelle Störungen oder finanzielle Verluste verursacht oder verursachen kann, oder andere Personen durch erheblichen materiellen oder immateriellen Schaden betrifft.

3. Managementverantwortung (Art. 20)

NIS2 verlangt ausdrücklich von Leitungsorganen, Cybersicherheits-Risikomanagementmaßnahmen zu genehmigen, deren Umsetzung zu überwachen und für Nichtkonformität verantwortlich zu sein. Mitglieder der Leitungsorgane müssen regelmäßige und angemeßene Cybersicherheitsschulungen absolvieren, um ausreichende Kenntniße und Fähigkeiten zur Risikoidentifizierung, Bewertung von Cybersicherheitsmanagementpraktiken und Beurteilung ihrer Auswirkungen auf Dienste zu entwickeln. Diese Pflicht ist nicht delegierbar, und die Leitung kann bei Compliance-Versäumnißen persönlich sanktioniert werden.

4. Lieferkettensicherheit (Art. 21(2)(d))

Einrichtungen müssen Cybersicherheitsrisiken in ihren Lieferketten und Beziehungen zu Lieferanten adressieren. Dies umfasst die Bewertung der Sicherheitslage direkter Lieferanten, die Einbeziehung von Cybersicherheitsanforderungen in vertragliche Vereinbarungen, die Überwachung der Lieferantenkonformität und das Management von Risiken aus der Nutzung von IKT-Produkten und -Diensten. Lieferketten-Risikobewertungen sollten die Gesamtqualität und Resilienz von Produkten, die Cybersicherheitspraktiken der Lieferanten und länderspezifische Risiken im Zusammenhang mit Lieferantenstandorten berücksichtigen.

5. Business Continuity und Krisenmanagement (Art. 21(2)(c))

Organisationen müssen Business-Continuity-Management einschließlich Backup-Management und Disaster Recovery sowie Krisenmanagementverfahren implementieren. Pläne müssen die Kontinuität kritischer Dienste abdecken, Rollen und Verantwortlichkeiten während Vorfällen definieren, Kommunikationsverfahren festlegen und regelmäßige Test- und Übungsprogramme umfassen. Business-Continuity-Pläne sollten Abhängigkeiten von Drittdienstleistern berücksichtigen und alternative Vorkehrungen für kritische Dienste enthalten.

6. Schwachstellenmanagement und -offenlegung (Art. 12-13)

NIS2 etabliert ein koordiniertes Schwachstellenoffenlegungs-Rahmenwerk über die EU-Agentur für Cybersicherheit (ENISA). Einrichtungen müssen Verfahren zur Schwachstellenbehandlung und -offenlegung implementieren, regelmäßige Schwachstellenbewertungen durchführen und Sicherheitspatches zeitnah einspielen. ENISA pflegt eine europäische Schwachstellendatenbank, und CSIRTs fungieren als vertraünswürdige Vermittler für die koordinierte Schwachstellenoffenlegung. Organisationen müssen auch an Schwachstellenmeldeprozessen teilnehmen, wenn sie von Behörden benachrichtigt werden.

7. Registrierung und Kooperation (Art. 3, 25-29)

Wesentliche und wichtige Einrichtungen müssen sich bei der zuständigen Behörde registrieren und Informationen über ihre Einrichtung, Sektor, Untersektor, Kontaktdaten und IP-Bereiche bereitstellen. Die Richtlinie etabliert einen Kooperationsrahmen einschließlich der Kooperationsgruppe (strategische Leitlinien), des CSIRTs-Netzwerks (operationelle Kooperation) und EU-CyCLONe (Krisenmanagement). Einrichtungen müssen bei Aufsichtstätigkeiten und Vorfalluntersuchungen mit Behörden kooperieren.

8. Multi-Faktor-Authentifizierung und Zugriffskontrolle

NIS2 verlangt ausdrücklich die Nutzung von Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierungslösungen, gesicherter Sprach-, Video- und Textkommunikation sowie gesicherter Notfallkommunikationssysteme, soweit angemeßen. Zugriffskontrollrichtlinien müssen dem Prinzip der geringsten Berechtigung folgen, und Organisationen müssen Identitätsmanagementsysteme, Privileged Access Management und regelmäßige Zugriffsreviews implementieren. Diese Anforderungen gelten sowohl für interne Systeme als auch für nach außen gerichtete Dienste.

Strafen bei NIS2-Nichtkonformität

NIS2 führt ein gegenüber der ursprünglichen NIS-Richtlinie deutlich verstärktes Durchsetzungsregime ein. Zuständige Behörden verfügen über weitreichende Aufsichtsbefugniße, und Sanktionen sind wirksam, verhältnismäßig und abschreckend gestaltet. Die Richtlinie differenziert Strafen zwischen wesentlichen und wichtigen Einrichtungen.

Bis zu 10 Mio. EUR / 2%

Höchstbußgelder für wesentliche Einrichtungen: 10 Millionen EUR oder 2% des weltweiten Jahresgesamtumsatzes, je nachdem, welcher Betrag höher ist

Bis zu 7 Mio. EUR / 1,4%

Höchstbußgelder für wichtige Einrichtungen: 7 Millionen EUR oder 1,4% des weltweiten Jahresgesamtumsatzes, je nachdem, welcher Betrag höher ist

Persönliche Haftung

Mitglieder des Leitungsorgans können persönlich haftbar gemacht werden und mit vorübergehenden Tätigkeitsverboten in Leitungsfunktionen für wesentliche Einrichtungen belegt werden

Dienstaußetzung

Bei wesentlichen Einrichtungen können Behörden vorübergehend natürlichen Personen die Ausübung von Leitungsfunktionen untersagen und Zertifizierungen oder Genehmigungen außetzen

Wesentliche Einrichtungen unterliegen proaktiver Aufsicht, was bedeutet, dass Behörden regelmäßige Audits, Sicherheitsscans, Vor-Ort-Prüfungen durchführen und jederzeit Compliance-Nachweise anfordern können. Wichtige Einrichtungen unterliegen reaktiver Aufsicht - Behörden greifen auf Basis von Hinweisen auf Nichtkonformität ein, wie Vorfallberichte oder Beschwerden. In Deutschland verfügt das BSI über zusätzliche Durchsetzungsbefugniße nach dem NIS2UmsuCG, einschließlich der Möglichkeit, verbindliche Anweisungen zu erteilen, Überwachungsbeauftragte zu bestellen und die Erbringung von Diensten einzuschränken oder zu untersagen.

So erreichen Sie NIS2-Compliance

Da die nationale Umsetzungsfrist im Oktober 2024 abgelaufen ist, sollten Organisationen im Geltungsbereich aktiv an der vollständigen NIS2-Compliance arbeiten. Hier ist ein strukturierter Ansatz:

1
Scoping und Selbstbewertung
Prüfen Sie, ob Ihre Organisation in den NIS2-Geltungsbereich fällt, indem Sie Ihren Sektor, Ihre Größe (Beschäftigte und Umsatz) und die Kritikalität Ihrer Dienste bewerten. Klassifizieren Sie sich als wesentliche oder wichtige Einrichtung basierend auf den Kriterien der Richtlinie. Prüfen Sie das nationale Umsetzungsgesetz (NIS2UmsuCG in Deutschland) auf zusätzliche nationale Anforderungen. Registrieren Sie sich bei der zuständigen Behörde (BSI in Deutschland) wie gefordert.
2
Lückenanalyse anhand der Art. 21-Anforderungen
Bewerten Sie Ihre aktülle Cybersicherheitslage anhand der 10 in Art. 21(2) spezifizierten Mindestmaßnahmen. Identifizieren Sie Lücken bei Risikomanagementrichtlinien, Vorfallbehandlung, Business Continuity, Lieferkettensicherheit, Schwachstellenmanagement, Kryptografie, Zugriffskontrolle und Mitarbeiterschulungen. Priorisieren Sie Abhilfemaßnahmen basierend auf Risiko und regulatorischen Erwartungen. Ordnen Sie bestehende Kontrollen aus ISO 27001, DORA oder anderen Rahmenwerken den NIS2-Anforderungen zu.
3
Engagement und Schulung des Leitungsorgans
Informieren Sie das Leitungsorgan über NIS2-Pflichten, einschließlich der persönlichen Verantwortung nach Art. 20. Organisieren Sie Cybersicherheitsschulungen für alle Mitglieder des Leitungsorgans. Etablieren Sie Governance-Prozesse für die Genehmigung von Risikomanagementmaßnahmen durch die Leitung und regelmäßige Berichterstattung zum Cybersicherheitsstatus. Dokumentieren Sie Leitungsentscheidungen und Überwachungsaktivitäten zum Nachweis der Compliance.
4
Cybersicherheits-Risikomanagementmaßnahmen implementieren
Implementieren oder stärken Sie die 10 in Art. 21 geforderten Mindestmaßnahmen. Dies umfasst die Einführung von Multi-Faktor-Authentifizierung, Implementierung von Netzwerksegmentierung und Verschlüsselung, Etablierung von Schwachstellenmanagementprozessen, Erstellung von Business-Continuity- und Disaster-Recovery-Plänen sowie den Aufbau eines umfassenden Lieferkettensicherheitsprogramms. Stellen Sie sicher, dass alle Maßnahmen verhältnismäßig zu Ihrem Risikoprofil und der Kritikalität Ihrer Dienste sind.
5
Vorfallmeldekapazitäten aufbaün
Baün Sie Prozesse zur Vorfallerkennung, -klassifizierung und -meldung auf, die den strengen NIS2-Fristen genügen: 24-Stunden-Frühwarnung, 72-Stunden-Vorfallmeldung und Einmonats-Abschlußbericht. Richten Sie Kommunikationskanäle mit der zuständigen Behörde (BSI) und den relevanten CSIRTs ein. Definieren Sie, was für Ihre Organisation einen 'erheblichen Vorfall' darstellt, und erstellen Sie vorab genehmigte Meldevorlagen. Führen Sie Planübungen durch, um Ihre Fähigkeit zur Einhaltung der Meldefristen zu testen.
6
Kontinuierliche Compliance und Monitoring
Implementieren Sie eine kontinuierliche Überwachung Ihrer Cybersicherheitslage, Lieferkettenrisiken und Kontrollwirksamkeit. Führen Sie regelmäßige Sicherheitsbewertungen, Schwachstellenscans und Penetrationstests durch. Überprüfen und aktualisieren Sie Risikomanagementmaßnahmen basierend auf sich entwickelnden Bedrohungen, Vorfällen und regulatorischen Leitlinien. Nutzen Sie Matproof zur Automatisierung der Kontrollüberwachung, Beweißammlung und Compliance-Berichterstattung, um die fortlaufende Bereitschaft für Aufsichtsaktivitäten sicherzustellen.

Häufig gestellte Fragen zu NIS2

Was ist die NIS2-Richtlinie?

NIS2 (EU-Richtlinie 2022/2555) ist die aktualisierte EU-Richtlinie zur Sicherheit von Netz- und Informationssystemen. Sie ersetzt die ursprüngliche NIS-Richtlinie von 2016 und erweitert deren Geltungsbereich erheblich, deckt 18 Sektoren ab und führt strengere Cybersicherheitsanforderungen, Vorfallmeldepflichten und Managementverantwortung ein. Die Mitgliedstaaten waren verpflichtet, NIS2 bis zum 17. Oktober 2024 in nationales Recht umzusetzen.

Was ist der Unterschied zwischen wesentlichen und wichtigen Einrichtungen unter NIS2?

NIS2 kategorisiert Einrichtungen basierend auf Sektor und Größe in zwei Gruppen. Wesentliche Einrichtungen umfassen Sektoren wie Energie, Verkehr, Bankwesen, Finanzmarktinfrastruktur, Gesundheit, Trinkwaßer, digitale Infrastruktur und öffentliche Verwaltung. Wichtige Einrichtungen umfassen Sektoren wie Postdienste, Abfallwirtschaft, Lebensmittelproduktion, verarbeitendes Gewerbe und digitale Anbieter. Wesentliche Einrichtungen unterliegen strengerer (proaktiver) Aufsicht und höheren Strafen (10 Mio. EUR oder 2%), während wichtige Einrichtungen reaktiv beaufsichtigt werden mit niedrigeren Strafen (7 Mio. EUR oder 1,4%).

Welche Vorfallmeldefristen gelten unter NIS2?

NIS2 führt einen mehrstufigen Meldeprozess ein: eine Frühwarnung innerhalb von 24 Stunden nach Bekanntwerden eines erheblichen Vorfalls, eine Vorfallmeldung innerhalb von 72 Stunden mit einer ersten Bewertung von Schwere und Auswirkungen, einen Zwischenbericht auf Anforderung der zuständigen Behörde und einen Abschlußbericht innerhalb eines Monats nach der Vorfallmeldung mit Ursachenanalyse, Auswirkungen und Abhilfemaßnahmen. Grenzüberschreitende Vorfälle müssen auch den relevanten CSIRTs gemeldet werden.

Gilt NIS2 für meine Organisation?

NIS2 gilt für mittlere und große Organisationen (50+ Beschäftigte oder 10 Mio. EUR+ Umsatz) in 18 bezeichneten Sektoren: Energie, Verkehr, Bankwesen, Finanzmarktinfrastruktur, Gesundheit, Trinkwaßer, Abwaßer, digitale Infrastruktur, IKT-Dienstleistungsmanagement (B2B), öffentliche Verwaltung, Weltraum, Postdienste, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Anbieter und Forschung. Einige Einrichtungen sind unabhängig von der Größe erfasst, darunter DNS-Anbieter, TLD-Registrierungsstellen und Anbieter öffentlicher elektronischer Kommunikationsnetze.

Was ist das NIS2UmsuCG?

Das NIS2UmsuCG (NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz) ist das deutsche Gesetz zur Umsetzung der NIS2-Richtlinie. Es ändert das bestehende BSI-Gesetz (BSIG) und führt nationale Anforderungen ein, die mit NIS2 übereinstimmen, einschließlich Registrierungspflichten beim BSI (Bundesamt für Sicherheit in der Informationstechnik), Vorfallmeldung an das BSI und spezifischer Cybersicherheitsmaßnahmen. Die deutsche Umsetzung ergänzt einige nationale Bestimmungen über die NIS2-Mindestanforderungen hinaus.

Kann die Geschäftsführung unter NIS2 persönlich haftbar gemacht werden?

Ja. NIS2 führt in Art. 20 ausdrücklich die Managementverantwortung ein. Leitungsorgane wesentlicher und wichtiger Einrichtungen müssen Cybersicherheits-Risikomanagementmaßnahmen genehmigen, deren Umsetzung überwachen und können für Verstöße haftbar gemacht werden. Mitglieder des Leitungsorgans müssen auch Cybersicherheitsschulungen absolvieren. In Deutschland präzisiert das NIS2UmsuCG, dass die Geschäftsführung diese Verantwortung nicht delegieren kann und Geschäftsführer für Compliance-Versäumniße persönlich finanziell haften können.

NIS2 Readiness Assessment

Assess your NIS2 compliance readiness

Take the free assessment

Kernfunktionen

Cybersecurity-Risikomanagement

Die nach Artikel 21 erforderlichen Risikomanagement-Maßnahmen umsetzen. Automatisierte Risikobewertungen, Behandlungspläne und kontinuierliches Monitoring.

Vorfallmeldung (24h/72h)

NIS2-Meldefristen einhalten: Frühwarnung innerhalb von 24 Stunden, vollständige Meldung innerhalb von 72 Stunden an Ihr nationales CSIRT.

Lieferkettensicherheit

IKT-Lieferkettenrisiken bewerten und überwachen. Sicherheitsstatus von Lieferanten und vertragliche Anforderungen verfolgen.

Managementverantwortung

Aufsicht der Leitungsorgane, Schulungsanforderungen und persönliche Haftungskonformität gemäß Artikel 20 dokumentieren.

Geschäftskontinuität

Backup-Management, Disaster Recovery und Krisenmanagementpläne. Resilienzmaßnahmen dokumentieren und testen.

Sicherheitsrichtlinien & Schulungen

KI-generierte Cybersicherheitsrichtlinien und Mitarbeiter-Awareness-Schulungsprogramme gemäß NIS2-Anforderungen.