NIS-2 Richtlinie

Die Bundesregierung will die von der EU beschlossenen Regeln für den Schutz wichtiger Anlagen und Unternehmen vor Cyberangriffen bis Anfang 2026 gesetzlich verankern. Dazu hat der Bundestag hat den Gesetzentwurf zur Umsetzung der NIS-2-Richtlinie der EU am 13. November 2025 verabschiedet.

Ist Ihr Unternehmen betroffen?

Durch das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) der Bundesregierung werden etwa 29000 (KRITIS) Unternehmen zum Aufbau und der Pflege einer Cyberabwehr verpflichtet. Durch eine ausgereiften Strategie kann ISMS nahtlos in bestehende Geschäftsprozesse integriert werden.

Kernpflichten der NIS-2-Richtlinie

Informationssicherheits-Risikomanagement-Maßnahmen:

Unternehmen müssen technische und organisatorische Maßnahmen ergreifen, um die Sicherheit ihrer Netzwerk- und Informationssysteme zu garantieren.

Dazu gehören:
– Konzepte für Risikoanalysen und Sicherheit in Informationssystemen.
– Handhabung von Sicherheitsvorfällen.
– Business Continuity Management und Notfallbewältigung.
– Sicherheit in der Lieferkette.
– Sicherheitsmaßnahmen bei der Beschaffung, Entwicklung und Wartung von Netzwerk- und Informationssystemen.
– Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen.
– Cybersicherheitshygiene und Schulungen.
– Einsatz von Kryptografie und gegebenenfalls Verschlüsselung.
– Sicherheit des Personals, Konzepte für die Zugriffskontrolle und Asset Management.
– Multi-Faktor-Authentifizierung oder kontinuierlicher Authentifizierung.

Meldepflichten:

Erhebliche Sicherheitsvorfälle müssen den nationalen Behörden (BSI) gemeldet werden..

Registrierungspflicht:

-Betroffene Einrichtungen müssen sich in einem nationalen Register anmelden, sobald das nationale Umsetzungsgesetz wirksam ist.

Viele Pflichten decken sich mit den Anforderungen der ISO 27001, das bedeutet, wer diese Zertifizierung besitzt hat den Großteil der Pflichten bereits erfüllt. Ganz zu schweigen von dem Vorteil, auch für den Fall der Fälle gerüstet zu sein.