NIS2-Beratung

Ob und wie NIS2 Sie trifft, klären wir in der Betroffenheitsanalyse. Danach übersetzen wir die Pflichten des deutschen Umsetzungsgesetzes in einen konkreten Fahrplan: Risikomanagement, Meldewege, Lieferkettensicherheit und die Verantwortung der Leitungsebene. Sie erhalten die Nachweise, die die Aufsicht sehen will – ohne mehr aufzubauen, als das Gesetz verlangt.

NIS2 ist in Deutschland umgesetzt: Das neu gefasste BSI-Gesetz (BSIG) gilt und unterscheidet besonders wichtige Einrichtungen und wichtige Einrichtungen (§ 28 BSIG). Vereinfacht: Wer in einem der Sektoren der Anlagen 1 und 2 tätig ist – von Energie, Transport und Gesundheit über digitale Infrastruktur bis zu verarbeitendem Gewerbe wie Maschinenbau, Fahrzeugbau, Chemie oder Medizinprodukten – und mindestens 50 Mitarbeitende oder über 10 Millionen Euro Jahresumsatz und Bilanzsumme hat, ist in der Regel betroffen. Besonders wichtige Einrichtungen beginnen bei 250 Mitarbeitenden oder 50 Millionen Euro Umsatz; Betreiber kritischer Anlagen zählen unabhängig von der Größe dazu.

Es gibt Sonderfälle: Finanzunternehmen fallen unter DORA statt unter die NIS2-Pflichten (§ 28 Abs. 6 BSIG), Telekommunikation und Energie haben eigene Regime. Und die Schwellenwerte folgen der EU-KMU-Empfehlung – verbundene Unternehmen können mitzählen. Für eine erste Orientierung genügt unser Schnell-Check – die verbindliche Antwort liefert die Betroffenheitsanalyse, bevor Sie in Umsetzung investieren.

Kern der Pflichten sind die Risikomanagementmaßnahmen nach § 30 BSIG: geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen nach dem Stand der Technik. Das Gesetz zählt zehn Mindestbereiche auf – die Farben zeigen unsere Einordnung nach Handlungsfeld:

Registrierung (§ 33 BSIG)

Betroffene Einrichtungen müssen sich spätestens drei Monate, nachdem sie unter das Gesetz fallen, über die gemeinsame Registrierungsmöglichkeit von BSI und BBK registrieren.

Meldepflichten (§ 32 BSIG)

Bei erheblichen Sicherheitsvorfällen: Erstmeldung innerhalb von 24 Stunden, ausführlichere Meldung innerhalb von 72 Stunden, Abschlussmeldung nach spätestens einem Monat – an die gemeinsame Meldestelle von BSI und BBK.

Pflichten der Geschäftsleitung (§ 38 BSIG)

Die Geschäftsleitung muss die Risikomanagementmaßnahmen selbst umsetzen und überwachen – bei Pflichtverletzung haftet sie der Einrichtung für schuldhaft verursachte Schäden. Dazu kommt die Pflicht zu regelmäßigen Schulungen.

Sanktionen

Verstöße können mit empfindlichen Bußgeldern geahndet werden – die NIS2-Richtlinie sieht für besonders wichtige Einrichtungen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes vor.

Unsere NIS2-Beratung beginnt mit der Betroffenheitsanalyse: Sektor, Schwellenwerte, Sonderregeln, verbundene Unternehmen – schriftlich und belastbar. Danach prüfen wir in einer Gap-Analyse, wo Sie gegenüber den zehn Maßnahmenbereichen des § 30 BSIG stehen, und übersetzen die Lücken in einen priorisierten Umsetzungsfahrplan: Risikomanagement, Detection und Meldewege, Business Continuity, Lieferkettensicherheit, MFA und Kryptografie.

Die Meldeprozesse üben wir mit Ihnen durch, die Leitungsebene bereiten wir auf ihre Pflichten und Schulungen nach § 38 BSIG vor. Am Ende stehen die Nachweise, die die Aufsicht sehen will – ohne mehr aufzubauen, als das Gesetz verlangt. Wer bereits ein ISMS betreibt, integriert die NIS2-Pflichten dort; wer keines hat, braucht für NIS2 auch keines aufzubauen – ein strukturiertes Sicherheitsprogramm genügt.

Zwei Anforderungen des Gesetzes werden gern überlesen: Die Maßnahmen müssen wirksam sein (§ 30 Abs. 1 BSIG), und es braucht Verfahren, diese Wirksamkeit zu bewerten (§ 30 Abs. 2 Nr. 6). Ein Ordner voller Konzepte erfüllt das nicht. Wir priorisieren die Umsetzung entlang der Techniken Ihrer realen Angreifer (Threat-Informed Defense), nutzen die CIS Controls als abarbeitbaren Maßnahmenkatalog – und belegen die Wirksamkeit mit Tests, die dem tatsächlichen Angreiferverhalten folgen. So wird aus der Compliance-Pflicht ein Sicherheitsgewinn.