NIS2 Umsetzung: Checkliste für betroffene Unternehmen in Deutschland

Rechtlicher Rahmen: Richtlinie und deutsches Umsetzungsgesetz

Grundlage ist die Richtlinie (EU) 2022/2555, kurz NIS2. Die Mitgliedstaaten mussten sie bis zum 17. Oktober 2024 in nationales Recht überführen. Deutschland hat diese Frist verpasst; das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) wurde erst später verabschiedet und hat vor allem das BSI-Gesetz (BSIG) grundlegend neu gefasst.

Für Unternehmen bedeutet das: Die Pflichten ergeben sich aus dem neuen BSIG, nicht direkt aus der Richtlinie. Übergangsfristen, Formulare und Portale legt das BSI fest. Weil sich Details wie Registrierungsfristen und Verordnungen zu einzelnen Sektoren noch bewegen können, sollten Sie den aktuellen Stand immer auf den Seiten des BSI prüfen, bevor Sie Termine intern verbindlich planen.

Schritt 1: Betroffenheit sauber prüfen und dokumentieren

Die erste Frage lautet nicht, wie man NIS2 umsetzt, sondern ob man überhaupt darunter fällt. Maßgeblich sind zwei Kriterien: die Tätigkeit in einem der in den Anhängen genannten Sektoren und die Unternehmensgröße. Die Richtlinie knüpft an die KMU-Definition der EU an. Ab 50 Beschäftigten oder mehr als 10 Mio. Euro Jahresumsatz und Bilanzsumme kommt eine Einstufung als wichtige Einrichtung in Betracht, ab 250 Beschäftigten oder mehr als 50 Mio. Euro Umsatz und mehr als 43 Mio. Euro Bilanzsumme in der Regel als besonders wichtige Einrichtung.

Einige Anbieter sind unabhängig von ihrer Größe erfasst, etwa bestimmte Anbieter von DNS-Diensten oder Vertrauensdiensten. Achten Sie auch auf Konzernstrukturen: Bei verbundenen Unternehmen können Mitarbeiterzahlen und Umsätze zusammengerechnet werden. Das BSI bietet eine Betroffenheitsprüfung online an, die als Orientierung hilft, aber keine verbindliche Auskunft ist.

• Sektorzuordnung für jede Geschäftstätigkeit festhalten, nicht nur für die Haupttätigkeit
• Beschäftigte, Umsatz und Bilanzsumme nach KMU-Definition inklusive Partner- und verbundener Unternehmen ermitteln
• Ergebnis schriftlich begründen und von der Geschäftsleitung abzeichnen lassen
• Prüfung jährlich oder bei Umstrukturierungen wiederholen

Schritt 2: Registrierung beim BSI

Betroffene Einrichtungen müssen sich selbst beim BSI registrieren. Eine Aufforderung durch die Behörde gibt es nicht. Typische Angaben sind Name und Rechtsform, Kontaktdaten, Sektor und Art der Einrichtung, die Mitgliedstaaten, in denen Dienste erbracht werden, sowie die öffentlichen IP-Adressbereiche. Die Registrierung erfolgt über das BSI-Portal; dafür wird in der Regel ein Unternehmenskonto benötigt, das vorab eingerichtet werden muss.

Planen Sie dafür mehr Zeit ein als gedacht. Die Einrichtung des Unternehmenskontos kann einige Tage dauern, und interne Abstimmungen zur Sektorzuordnung ziehen sich oft. Änderungen der Angaben müssen später ebenfalls gemeldet werden. Legen Sie deshalb fest, wer im Unternehmen für die Pflege der Registrierungsdaten verantwortlich ist.

Schritt 3: Geschäftsleitung in die Pflicht nehmen

NIS2 macht Cybersicherheit ausdrücklich zur Chefsache. Die Geschäftsleitung muss die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen, um Risiken beurteilen zu können. Bei Pflichtverletzungen droht eine persönliche Haftung gegenüber der Gesellschaft. Eine pauschale Delegation an die IT-Abteilung reicht nicht aus.

In der Praxis bewährt sich ein kurzer, aber regelmäßiger Berichtsweg: ein quartalsweiser Lagebericht zur Informationssicherheit, ein dokumentierter Beschluss zur Freigabe der Maßnahmen und ein Nachweis über die Schulung der Geschäftsführer. Genau diese Dokumente werden bei einer behördlichen Prüfung als Erstes angefragt.

Schritt 4: Risikomanagementmaßnahmen umsetzen

Artikel 21 der Richtlinie nennt einen Mindestkatalog an Maßnahmen, den das BSIG übernimmt. Gefordert ist ein gefahrenübergreifender Ansatz, der technische, organisatorische und operative Maßnahmen umfasst und dem Stand der Technik entspricht. Die Maßnahmen müssen verhältnismäßig sein, also zur Größe, Risikoexposition und Kritikalität des Unternehmens passen.

Wer bereits ein Informationssicherheits-Managementsystem nach ISO/IEC 27001:2022 betreibt, deckt einen großen Teil ab. Die 93 Controls aus Anhang A, gegliedert in organisatorische, personelle, physische und technologische Maßnahmen, lassen sich gut auf den NIS2-Katalog abbilden. Ein ISO-Zertifikat ersetzt die gesetzlichen Pflichten aber nicht automatisch, besonders nicht die Meldepflichten und die Registrierung.

Besonders aufwendig ist meist die Lieferkette. Erstellen Sie eine Liste aller IT- und Cloud-Dienstleister, bewerten Sie deren Kritikalität und ergänzen Sie Verträge um Sicherheitsanforderungen, Meldepflichten bei Vorfällen und Auditrechte. Für die wichtigsten Dienstleister sollten Sie Nachweise wie Zertifikate oder Prüfberichte anfordern und deren Gültigkeit und Geltungsbereich kontrollieren. Ein Zertifikat, das nur ein Rechenzentrum abdeckt, sagt wenig über den Support-Dienst desselben Anbieters aus.

• Konzepte für Risikoanalyse und Sicherheit von Informationssystemen
• Bewältigung von Sicherheitsvorfällen
• Aufrechterhaltung des Betriebs, Backup-Management, Wiederherstellung und Krisenmanagement
• Sicherheit der Lieferkette einschließlich der Beziehungen zu direkten Dienstleistern
• Sicherheit bei Erwerb, Entwicklung und Wartung, inklusive Umgang mit Schwachstellen
• Bewertung der Wirksamkeit der Maßnahmen
• Cyberhygiene und Schulungen
• Kryptografie und Verschlüsselung
• Personalsicherheit, Zugriffskontrolle und Asset-Management
• Multi-Faktor-Authentisierung und gesicherte Kommunikation

Schritt 5: Meldeprozess für erhebliche Sicherheitsvorfälle

Die Meldepflichten sind der Teil von NIS2, der im Ernstfall am meisten Druck erzeugt. Für erhebliche Sicherheitsvorfälle gilt ein mehrstufiges Verfahren: eine frühe Erstmeldung innerhalb von 24 Stunden nach Kenntnis, eine Meldung mit erster Bewertung innerhalb von 72 Stunden und ein Abschlussbericht spätestens einen Monat nach der Meldung. Ist der Vorfall dann noch nicht abgeschlossen, folgt ein Fortschrittsbericht.

Die Fristen sind kaum einzuhalten, wenn erst im Vorfall geklärt wird, wer entscheidet, ob ein Vorfall erheblich ist. Definieren Sie deshalb vorab Kriterien, Rollen und Vertretungen, und legen Sie Vorlagen für die Meldungen an. Prüfen Sie außerdem, ob parallel andere Meldepflichten greifen, zum Beispiel nach Artikel 33 DSGVO bei Verletzungen des Schutzes personenbezogener Daten.

• Kriterien für erhebliche Vorfälle schriftlich festlegen
• Meldeverantwortliche und Vertretung rund um die Uhr benennen
• Vorlagen für 24-Stunden-, 72-Stunden- und Abschlussmeldung vorbereiten
• Zugang zum Meldeweg des BSI vorab testen
• Einmal pro Jahr eine Übung mit realistischem Szenario durchführen

Schritt 6: Nachweise und typische Lücken

Das BSI kann von Einrichtungen Nachweise über die Umsetzung verlangen. Bei besonders wichtigen Einrichtungen sind die Aufsichtsbefugnisse weitergehend als bei wichtigen Einrichtungen. Die Richtlinie sieht Bußgelder von bis zu 10 Mio. Euro oder 2 Prozent des weltweiten Jahresumsatzes für besonders wichtige und bis zu 7 Mio. Euro oder 1,4 Prozent für wichtige Einrichtungen vor; maßgeblich ist jeweils der höhere Betrag.

In der Praxis fehlen bei mittelständischen Unternehmen selten die Firewalls, sondern die Belege. Häufige Lücken sind ein veraltetes oder fehlendes Asset-Inventar, keine dokumentierte Risikoanalyse, Lieferanten ohne Sicherheitsanforderungen im Vertrag, ungetestete Backups und eine MFA, die für Administratoren, aber nicht für Fernzugriffe aller Mitarbeitenden gilt. Auch Schulungsnachweise der Geschäftsleitung fehlen oft vollständig.

Ein guter erster Schritt ist eine ehrliche Bestandsaufnahme entlang der Anforderungen. Eine kostenlose Selbstbewertung auf baltum.ai zeigt, wo Ihr Unternehmen bei den ISO-27001-Grundlagen steht, die einen großen Teil der NIS2-Maßnahmen abdecken.

Dieser Artikel dient der allgemeinen Information und ist keine Rechtsberatung. baltum.ai ist eine unabhängige Software, keine Zertifizierungsstelle.