NIS2-Richtlinie: Alles was Unternehmen wissen müssen

Im Oktober 2024 ist es soweit: Die NIS2-Richtlinie wird in nationales Recht umgewandelt und neue Sicherheitsanforderungen für Unternehmen treten in Kraft. Die EU-Richtlinie NIS2 erhöht die Anforderungen an Cyber-Resilienz für Unternehmen. Für Unternehmen bedeutet dies zusätzliche Compliance-Anforderungen, deren Umsetzung jedoch auch deren eigene Cybersicherheit stärken kann. Als teccle group verschaffen wir Unternehmen einen Überblick, welche Anforderungen mit der NIS2-Richtlinie einhergehen und welche Unternehmen tatsächlich betroffen sind.

NIS2: Steigerung der Cyber-Sicherheit in der EU

Die zweite Richtlinie über Netzwerk- und Informationssysteme sieht vor, dass die gesamte Cybersecurity der EU gesteigert wird und stellt eine Erweiterung der bestehenden Richtlinie dar. Mit NIS2 wird innerhalb der EU auf gestiegene Cyberangriffe und kritische Infrastrukturen reagiert. Außerdem weißen Unternehmen in der EU ein teils sehr uneinheitliches Schutzniveau auf, eine Tatsache, die die Expertinnen und Experten der teccle group auch bei den verschiedenen Kundensegmenten feststellen. Überdies soll NIS2 als Richtlinie die EU als Wirtschaftsstandort wettbewerbsfähiger und souveräner machen, etwaige hohe Schäden sollen vermieden werden und die grundlegende Cybersicherheit gesteigert. Doch was steckt wirklich hinter der Richtlinie und wie ist diese entstanden?

NIS2-Hintergrund: Woher kommt die Richtlinie NIS2?

Die NIS-Richtlinie wurde 2016 von der EU verabschiedet, um ein einheitliches Cybersicherheitsniveau in der Europäischen Union zu gewährleisten. Sie zielte darauf ab, die Zusammenarbeit zwischen den Mitgliedstaaten zu verstärken und Mindestsicherheitsanforderungen sowie Meldepflichten für Kritische Infrastrukturen (KRITIS) und bestimmte digitale Dienstleister einzuführen. Im Oktober 2022 wurde dann die NIS-2-Richtlinie (Network and Information Systems Directive 2) von der EU verabschiedet, um die Cybersicherheit in Europa weiter zu verbessern.

Gilt NIS2 für alle Unternehmen?

Nein, nicht alle Unternehmen müssen die Vorgaben der NIS2-Richtlinie umsetzen. Der Geltungsbereich der NIS2 ist zwar deutlich erweitert worden, betrifft aber nicht alle Unternehmen in gleichem Maße:

• Kerngeltungsbereich: Unternehmen in Schlüsselsektoren wie Energie, Verkehr, Gesundheit, Finanzwesen und digitale Infrastrukturen sind verpflichtet, NIS2 vollumfänglich zu erfüllen.
• Erweiterter Geltungsbereich: Zusätzlich fallen nun auch mittelgroße und große Unternehmen aus weiteren Branchen wie Lebensmittelproduktion, chemische Industrie, Abfallwirtschaft, Raumfahrt und E-Commerce unter NIS2.
• Ausnahmen: Kleine und Kleinstunternehmen sind generell von der NIS2-Richtlinie ausgenommen, soweit sie keine kritischen Funktionen in den erfassten Sektoren übernehmen.

Ihr seid unsicher, ob Ihr betroffen seid? Hier könnt Ihr eine Betroffenheitsprüfung durchführen.

NIS2-Auswirkungen: Welche Bedeutung hat die Richtlinie?

• Erweiterter Geltungsbereich: Im Vergleich zur ersten NIS-Richtlinie deckt NIS2 mehr Sektoren und Unternehmen ab.
• Risikomanagement: Organisationen müssen wegen NIS2 angemessene technische und organisatorische Maßnahmen zur Bewältigung von Cyberrisiken ergreifen.
• Meldepflichten: Vorfälle mit erheblichen Auswirkungen müssen zwecks NIS2 den zuständigen Behörden gemeldet werden.
• Stärkere Zusammenarbeit: Förderung des Informationsaustauschs und der Zusammenarbeit zwischen den EU-Mitgliedstaaten durch NIS2.
• Härtere Strafen: Bei Nichteinhaltung der NIS2-Richtlinie drohen höhere Bußgelder als unter der vorherigen Richtlinie.
• Umsetzungsfrist: Die EU-Mitgliedstaaten haben bis Oktober 2024 Zeit, die NIS2-Richtlinie in nationales Recht umzusetzen. Das Gesetz zur Umsetzung in Deutschland wird derzeit erarbeitet.

Ihr benötigt Unterstützung bei der ganzheitlichen und sicheren Umsetzung der NIS2-Richtlinie? Unsere Expertinnen und Experten stehen Euch zur Seite. Hier könnt Ihr mehr dazu erfahren oder direkt Kontakt aufnehmen.

NIS2-Richtlinie als Chance für jedes Unternehmen

Ob ein Unternehmen den NIS-2-Anforderungen unterliegt, hängt also maßgeblich von Branche, Größe und Relevanz für die Versorgungssicherheit ab. Betroffene Unternehmen müssen die Vorgaben dann jedoch verbindlich umsetzen, um Strafen zu vermeiden. Wir von der teccle group empfehlen überdies allen Unternehmen, die Standards der NIS2 unabhängig davon zu erfüllen, um im Unternehmen hohe und zukunftsgerichtete Sicherheitsstandards aufzuweisen.

Die NIS2-Richtlinie kann als Startschuss gesehen werden, um Cybersicherheit im Unternehmen ganz oben auf die Agenda zu setzen, etwaige Security-Prozesse und Richtlinien im Unternehmen zu prüfen und ggf. neu aufzustellen. Durch eine ausgeklügelte Sicherheitsstrategie wappnen sich Unternehmen für die Zukunft – und gegen Mitbewerber, die das Thema nach wie vor nur am Rande angehen.

M365 Summit in Mainz: Trefft uns am Stand 27

Ihr möchtet mehr zum Thema NIS2 in Unternehmen erfahren? Besucht uns auf dem M365 Summit in Mainz am Stand 27 und führt direkt bei uns den Self Check durch. Wir freuen uns Euch persönlich anzutreffen und alle individuellen Fragen zu klären.

Ihr sucht einen passenden Partner zur Umsetzung der NIS2-Richtlinie oder habt noch offene Fragen? Sprecht uns direkt an.