NIS-2: Wer ist betroffen?

Die NIS-2-Richtlinie weitet die europäischen Cybersicherheitspflichten deutlich aus. Viele Unternehmen fragen sich: Fallen wir überhaupt darunter? Dieser Überblick zeigt Sektoren, Schwellenwerte und die wichtigsten Pflichten.

Was ist NIS-2?

NIS-2 ist die überarbeitete EU-Richtlinie zur Netz- und Informationssicherheit. In Deutschland wird sie über das BSI-Gesetz (BSIG) umgesetzt. Ziel ist ein einheitlich höheres Cybersicherheitsniveau in besonders relevanten Wirtschaftszweigen – mit klaren Pflichten zu Risikomanagement, Meldewesen und Business Continuity.

Zwei Kategorien: wesentliche und wichtige Einrichtungen

NIS-2 unterscheidet zwischen „wesentlichen" und „wichtigen" Einrichtungen. Die Einstufung richtet sich nach Sektor und Unternehmensgröße. Als grobe Orientierung gelten Unternehmen ab rund 50 Beschäftigten oder 10 Mio. Euro Jahresumsatz als potenziell betroffen; einzelne Sektoren sind unabhängig von der Größe erfasst.

Betroffene Sektoren (Auswahl)

NIS-2 nennt insgesamt 18 Sektoren in den Gruppen „hohe Kritikalität" und „sonstige kritische Sektoren".

Welche Pflichten kommen auf betroffene Unternehmen zu?

• Risikomanagement und technisch-organisatorische Maßnahmen
• Business Continuity Management, Backup- und Krisenmanagement
• Bewältigung und Meldung von Sicherheitsvorfällen (Meldefristen)
• Sicherheit in der Lieferkette
• Nachweis- und Dokumentationspflichten gegenüber Behörden

So gelingt der Einstieg

Ein dokumentierter IT-Notfallplan mit Business-Impact-Analyse und Wiederanlaufplänen ist die Grundlage der NIS-2-Anforderungen an Business Continuity. Mit dem Notfallmanager für NIS-2 erstellen Sie diese Dokumentation in nur 1 Tag – ausgerichtet am BSI-Standard 200-4.

Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung. Maßgeblich ist die konkrete Einstufung nach BSIG.