NIS 2: Was Unternehmen jetzt wissen müssen

mit der NIS-2-Richtlinie steigen die Anforderungen an die Cybersicherheit in Europa deutlich. Ziel ist ein höheres gemeinsames Sicherheitsniveau für Netz- und Informationssysteme in der EU. Für betroffene Unternehmen bedeutet dies: Cybersicherheit wird nicht mehr nur als IT-Thema betrachtet, sondern als verbindliche Organisations- und Leitungsaufgabe.

Die Richtlinie betrifft insbesondere wesentliche und wichtige Einrichtungen. Sie verpflichtet be­troffene Unternehmen unter anderem zu strukturierten Sicherheitsmaßnahmen, Reg­istrierung, Schulung, klarer Governance und einem wirksamen Risikomanagement. Gerade Un­ternehmen mit komplexen Lieferketten, zentralen IT-Strukturen oder bestehenden Informa­tionssicherheitsstandards wie TISAX oder ISO 27001 sollten frühzeitig prüfen, welche zusät­zlichen Anforderungen sich aus NIS 2 ergeben.

Anwendungsbereich – wer fällt unter die NIS 2 Richtlinie?

Die NIS-2-Richtlinie erweitert den Kreis der betroffenen Unternehmen gegenüber der bisherigen NIS-Richtlinie erheblich. Erfasst werden nicht nur klassische Betreiber kritischer Infrastrukturen, sondern auch zahlreiche Unternehmen aus weiteren wirtschaftlich relevanten Sektoren. Dazu gehören unter anderem Energie, Transport, Gesundheit, Trinkwasser, Abwasser, digitale Infras­truktur, öffentliche Verwaltung, Weltraum, Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, Maschinenbau, digitale Dienste und bestimmte Forschungseinrichtungen.

Auch Unternehmen aus der Automobilindustrie und deren Zulieferer können unter den Anwen­dungsbereich fallen. Dies kann insbesondere dann der Fall sein, wenn sie als Hersteller oder Zulief­erer in relevanten Industriebereichen tätig sind, eine bestimmte Unternehmensgröße erreichen oder für Lieferketten, Produktion, Versorgungssicherheit oder digitale Prozesse eine bedeutende Rolle spielen. Für Automobilzulieferer ist daher nicht allein entscheidend, ob sie unmittelbar kritis­che Dienstleistungen erbringen. Auch ihre Einbindung in komplexe industrielle Wertschöpfungs- und Lieferketten kann dazu führen, dass NIS-2-Pflichten relevant werden.

Besonders wichtig ist außerdem: Die Betroffenheit kann sich nicht nur aus dem Endprodukt eines Unternehmens ergeben. Auch interne IT-Organisationen innerhalb eines Konzerns können relevant sein, wenn sie zentrale IT-Dienstleistungen für mehrere Gesellschaften, Standorte oder Geschäfts­bereiche bereitstellen. Eine konzerninterne IT kann beispielsweise zentrale Rechenzentren, Netzw­erke, Identitäts- und Berechtigungsmanagement, Cloud-Plattformen, Security Operations, ERP-Sys­teme oder Kommunikationsdienste betreiben.

Für Unternehmen bedeutet das: Die Prüfung des Anwendungsbereichs sollte nicht nur anhand der Produktpalette erfolgen. Entscheidend ist eine Gesamtbetrachtung von Branche, Un­ternehmensgröße, Konzernstruktur, IT-Dienstleistungen, Lieferkettenfunktion und tatsächlicher Bedeutung der erbrachten Leistungen. Gerade in Unternehmensgruppen sollte analysiert werden, ob einzelne Gesellschaften, Shared-Service-Einheiten oder zentrale IT-Funktionen eigenständig NIS-2-relevant sein können.

Ob Ihr Unternehmen betroffen ist, hängt insbesondere von Branche, Unternehmensgröße, Tätigkeit, Konzernstruktur und Bedeutung der erbrachten Dienstleistungen ab. Die Einordnung er­folgt grundsätzlich als „wesentliche Einrichtung“ oder „wichtige Einrichtung“. Beide Kategorien un­terliegen Pflichten, wobei sich Aufsicht und Sanktionsmechanismen unterscheiden können.

Schulungspflicht für Geschäftsführung und Mitarbeiter

NIS 2 macht Cybersicherheit zur Aufgabe der Geschäftsleitung. Leitungsorgane müssen die Maß­nahmen zum Cyber-Risikomanagement billigen, deren Umsetzung überwachen und können bei Pflichtverletzungen verantwortlich gemacht werden. Damit wird Informationssicherheit ausdrück­lich zu einer Führungs- und Organisationsverantwortung.

Die Geschäftsleitung muss daher regelmäßig geschult werden, um Cyberrisiken, rechtliche Pflichten, persönliche Verantwortlichkeiten und die Auswirkungen von Sicherheitsvorfällen angemessen beurteilen zu können. Dazu gehören insbesondere Risikoverständnis, Governance, Melde- und Eskalationsprozesse, Lieferkettenrisiken, Notfallmanagement sowie die Bewertung von Maßnahmen zur Risikoreduzierung.

Darüber hinaus sind auch Mitarbeiterschulungen ein wesentlicher Bestandteil eines wirksamen Cy­bersicherheitskonzepts. Denn viele Sicherheitsvorfälle entstehen nicht allein durch technische Schwachstellen, sondern auch durch menschliches Fehlverhalten, unklare Prozesse oder fehlendes Sicherheitsbewusstsein. Mitarbeitende sollten deshalb regelmäßig und zielgruppengerecht sensi­bilisiert werden.

Für Sie bedeutet das: Schulungen sollten nicht als einmalige Pflichtveranstaltung verstanden wer­den. Sinnvoll ist ein kontinuierliches Schulungskonzept, das Geschäftsleitung, IT, Fachbereiche und Mitarbeitende entsprechend ihrer jeweiligen Rolle einbindet. Ergänzend können Awareness-Kam­pagnen, Phishing-Simulationen, kurze Lerneinheiten und regelmäßige Wiederholungen dazu beitragen, Sicherheitsbewusstsein dauerhaft im Unternehmen zu verankern.

Gerade in Konzernstrukturen und Unternehmen mit zentraler IT sollten Schulungen außerdem ein­heitliche Mindeststandards vermitteln. So stellen Sie sicher, dass alle Gesellschaften, Standorte und Fachbereiche vergleichbare Sicherheitsanforderungen kennen und im Alltag anwenden.

Registrierungspflicht

Betroffene Unternehmen müssen sich bei der zuständigen Stelle registrieren. Die Reg­istrierungspflicht ist ein zentraler Baustein, damit Behörden betroffene Einrichtungen identi­fizieren, kontaktieren und im Sicherheitsfall schnell einbinden können.

Praktisch sollten Sie sicherstellen, dass Ihre Registrierungsdaten vollständig, aktuell und intern nachvollziehbar dokumentiert sind. Dazu zählen insbesondere Unternehmensdaten, die Einord­nung als betroffene Einrichtung, zuständige Kontaktpersonen, Angaben zu relevanten Diensten sowie eine erreichbare Stelle für Sicherheitsvorfälle.

Gerade bei Konzernstrukturen sollte frühzeitig geklärt werden, welche Gesellschaft oder Organisa­tionseinheit registrierungspflichtig ist.

Wenn Sie hierzu Fragen haben oder sich unsicher sind, ob Ihr Unternehmen registrierungspflicht ist oder nicht, prüfen wir das gerne für Sie.

Risikomanagementkomponenten

NIS 2 verlangt angemessene und verhältnismäßige technische, operative und organisatorische Maßnahmen zur Steuerung von Cyberrisiken. Diese Maßnahmen sollen sicherstellen, dass Netz- und Informationssysteme widerstandsfähig betrieben und Sicherheitsvorfälle möglichst verhindert oder wirksam begrenzt werden.

Zu den zentralen Risikomanagementkomponenten gehören insbesondere:

• Risikoanalyse und Sicherheitsrichtlinien für Informationssysteme
• Behandlung und Management von Sicherheitsvorfällen
• Business Continuity, Backup-Management, Disaster Recovery und Krisenmanagement
• Sicherheit der Lieferkette und Dienstleistersteuerung
• Sicherheit bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen
• Schwachstellenmanagement und Prozesse zur Offenlegung von Schwachstellen
• Verfahren zur Bewertung der Wirksamkeit von Sicherheitsmaßnahmen
• Cyberhygiene und Cybersicherheitsschulungen
• Kryptografie und Verschlüsselung
• Personalsicherheit, Zugriffskontrolle und Asset-Management
• Einsatz von Multi-Faktor-Authentifizierung oder vergleichbaren sicheren Authentifizierungsver­fahren
• sichere Sprach-, Video- und Textkommunikation sowie sichere Notfallkommunikation

• Diese Anforderungen sollten nicht isoliert umgesetzt werden. Sinnvoll ist ein integriertes Informa­tionssicherheitsmanagementsystem, das Risiken regelmäßig bewertet, Maßnahmen dokumentiert, Verantwortlichkeiten definiert und die Wirksamkeit fortlaufend überprüft.

   

Für Unternehmen mit zentraler Konzern-IT ist dabei besonders wichtig, dass auch interne IT-Ser­vices in das Risikomanagement einbezogen werden. Dazu gehören beispielsweise Netzwerkbetrieb, Rechenzentren, Cloud-Umgebungen, zentrale Benutzerverwaltung, ERP-Systeme, Produktions-IT, Schnittstellen zu Lieferanten und Dienstleistern sowie Security-Monitoring. Die Verantwortung für Cybersicherheit endet nicht an der Grenze einzelner Gesellschaften oder Standorte, sondern muss entlang der tatsächlichen IT-Abhängigkeiten organisiert werden.

Abgrenzung zu TISAX und ISO 27001

NIS 2, TISAX und ISO 27001 verfolgen alle das Ziel, Informationssicherheit und Cyberresilienz zu stärken. Dennoch unterscheiden sie sich deutlich in Zweck, Rechtscharakter und Anwendungsbere­ich.

Die NIS-2-Richtlinie ist eine gesetzliche beziehungsweise regulatorische Anforderung. Sie verpflichtet betroffene Unternehmen zur Umsetzung angemessener technischer, organisatorischer und operativer Maßnahmen, zur Registrierung, zur Wahrnehmung von Leitungsverantwortung, zu Schulungen und zu einem strukturierten Cyber-Risikomanagement. NIS 2 ist daher nicht freiwillig, sondern für betroffene Einrichtungen verbindlich. Maßgeblich ist, ob Ihr Unternehmen unter den gesetzlichen Anwendungsbereich fällt.

ISO 27001 ist hingegen ein international anerkannter Standard für Informationssicherheitsman­agementsysteme. Eine Zertifizierung nach ISO 27001 ist grundsätzlich freiwillig, kann aber von Kun­den, Geschäftspartnern oder Konzernvorgaben verlangt werden. Der Standard bietet einen systema­tischen Rahmen, um Informationssicherheit zu organisieren, Risiken zu bewerten, Maßnah­men festzulegen und deren Wirksamkeit kontinuierlich zu verbessern. ISO 27001 kann damit eine sehr gute Grundlage sein, um viele Anforderungen aus NIS 2 strukturiert umzusetzen. Eine ISO-27001-Zertifizierung ersetzt die NIS-2-Pflichten jedoch nicht automatisch.

TISAX ist ein branchenspezifisches Standard für Informationssicherheit in der Automobilindustrie. Es basiert auf dem VDA ISA-Katalog und wird häufig von Automobilherstellern und deren Zulieferern als Nachweis für Informationssicherheit, Prototypenschutz oder Daten­schutzanforderungen verlangt. TISAX ist vor allem in Lieferketten der Automobilbranche relevant und dient dazu, Prüfergebnisse standardisiert zwischen Geschäftspartnern auszutauschen. Auch TI­SAX kann wichtige Sicherheitsmaßnahmen abdecken, ersetzt aber ebenfalls nicht automatisch eine NIS-2-Bewertung oder die gesetzlichen Pflichten nach NIS 2.

Zusammengefasst gilt: ISO 27001 und TISAX können die Umsetzung von NIS 2 erheblich erle­ichtern. Sie sind jedoch keine automatische Befreiung von den gesetzlichen Pflichten. Entscheidend ist eine Gap-Analyse, die vorhandene Standards und Nachweise mit den konkreten NIS-2-An­forderungen abgleicht.

Fazit

NIS 2 erhöht den Handlungsdruck für viele Unternehmen deutlich. Entscheidend ist nicht nur, einzelne technische Maßnahmen umzusetzen, sondern Cybersicherheit als dauerhaftes Manage­mentsystem zu etablieren. Prüfen Sie daher frühzeitig, ob Ihr Unternehmen betroffen ist, ob die Registrierung vorbereitet oder abgeschlossen wurde, ob Geschäftsleitung und Mitarbeitende angemessen geschult sind und ob ein belastbares Risikomanagement besteht.

Besonders Unternehmen in Konzernstrukturen, Automobilzulieferer und Organisationen mit zen­traler interner IT sollten den Anwendungsbereich sorgfältig prüfen. Die Betroffenheit kann sich nicht nur aus dem hergestellten Produkt ergeben, sondern auch aus der Rolle des Unternehmens innerhalb einer Lieferkette oder aus der Bedeutung zentraler IT-Dienstleistungen.

Wer NIS 2 strukturiert angeht, erfüllt nicht nur regulatorische Anforderungen, sondern stärkt auch die eigene Resilienz gegenüber Cyberangriffen, Betriebsunterbrechungen und Lieferkettenrisiken. Damit wird NIS 2 zu einer Chance, Sicherheit, Vertrauen und Geschäftskontinuität nachhaltig zu verbessern.

 

Ihre Ansprechpartner zu diesem Thema

Thomas Sedlmayr
Rechtsanwalt
Betriebswirt (IWW)

sedlmayr@sws-p.de

Katharina Sigl
Betriebswirtin (B. A.)
Wirtschaftsjuristin (LL. M.)

sigl@sws-p.de