FAQ: NIS‒2 Richtlinie mit ISO 27001 und BSI IT‒Grundschutz
Was ist die NIS-2 Richtlinie und wie wirkt sie sich auf deutsche Unternehmen aus?
Die NIS-2 Richtlinie (Network and Information Security Directive 2) ist eine EU-Richtlinie zur Gewährleistung eines hohen gemeinsamen Cybersicherheitsniveaus in der Europäischen Union. Sie ersetzt die ursprüngliche NIS-Richtlinie und erweitert den Anwendungsbereich erheblich. In Deutschland wird sie durch das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz umgesetzt.
Wichtige Auswirkungen:
- Erhebliche Ausweitung des Anwendungsbereichs über kritische Infrastrukturen hinaus
- Neue Kategorien: "besonders wichtige Einrichtungen" und "wichtige Einrichtungen"
- Verschärfte Cybersicherheitsanforderungen und Meldepflichten
- Verstärkte Aufsichts- und Durchsetzungsbefugnisse des BSI
Welche Unternehmen fallen unter die NIS-2 Richtlinie?
Die NIS-2 Richtlinie erfasst deutlich mehr Unternehmen als ihre Vorgängerin. Betroffen sind:
Besonders wichtige Einrichtungen:
- Kritische Infrastrukturen in Sektoren wie Energie, Verkehr, Gesundheit, Wasser
- Größere Unternehmen ab bestimmten Schwellenwerten
Wichtige Einrichtungen:
- Unternehmen in digitalen Diensten (Cloud Computing, DNS-Dienste)
- Anbieter von Online-Marktplätzen und Suchmaschinen
- Managed Service Provider
- Hersteller kritischer Produkte
Größenkriterien:
- Wichtige Einrichtungen: ≥50 Beschäftigte oder >10 Mio. Euro Jahresumsatz und Jahresbilanzsumme
- Besonders wichtige Einrichtungen: Kritische Infrastrukturen und größere Unternehmen ab bestimmten Schwellenwerten
Wie hängen NIS-2, ISO 27001 und BSI IT-Grundschutz zusammen?
Diese drei Standards bilden ein komplementäres System für Informationssicherheit:
BSI IT-Grundschutz als nationales Fundament:
- Erfüllt automatisch die NIS-2 Risikomanagement-Anforderungen nach § 30
- Wird vom BSI bis 1. Januar 2026 modernisiert und gestrafft
- Kompatibel mit ISO/IEC 27001 aus der ISO/IEC 27000-Familie
ISO 27001 als internationaler Standard:
- Institutionen mit ISO 27001-Zertifikat auf IT-Grundschutz-Basis erfüllen NIS-2 Anforderungen
- Belegt Konformität mit anerkannten internationalen Standards
- Erwägungsgrund 79 der NIS-2 Richtlinie referenziert die ISO/IEC 27000-Serie
Praktische Synergie:
- IT-Grundschutz + Mindeststandards = NIS-2 Compliance
- ISO 27001 Zertifizierung verstärkt Nachweisführung
- Einheitliches Schutzniveau trotz unterschiedlicher Terminologien
Welche Cybersicherheitsmaßnahmen fordert NIS-2?
NIS-2 definiert in Artikel 21 zehn Mindestanforderungen für Risikomanagement:
Grundlegende Maßnahmen:
1. Risikoanalyse und IT-Sicherheitskonzepte
2. Incident Response - Bewältigung von Sicherheitsvorfällen
3. Business Continuity - Backup, Wiederherstellung, Krisenmanagement
4. Supply Chain Security - Sicherheit der Lieferkette
Technische Sicherheitsmaßnahmen:
5. Secure Development - Sicherheit bei Entwicklung und Wartung
6. Wirksamkeitsbewertung - Kontinuierliche Evaluierung der Maßnahmen
7. Mitarbeiterschulungen - Sensibilisierung und Training
8. Kryptographie - Verschlüsselungskonzepte
Organisatorische Maßnahmen:
9. Asset Management - Verwaltung von Systemen und Prozessen
10. Multi-Faktor-Authentifizierung - Sichere Kommunikation und Zugriffskontrolle
Was sind die neuen Meldepflichten unter NIS-2?
NIS-2 führt ein dreistufiges Meldesystem ein, das die bisherige einstufige Meldepflicht ersetzt:
Erste Meldung (24 Stunden):
- Frühe Warnung an das BSI (bis auf wenige Ausnahmen)
- Grundlegende Informationen über den Vorfall
Zweite Meldung (72 Stunden):
- Detailliertere Analyse des Vorfalls
- Erste Bewertung der Auswirkungen und Schweregrad
Abschlussbericht (1 Monat):
- Vollständige Analyse nach Übermittlung der zweiten Meldung
- Beschreibung der Bedrohung und Abhilfemaßnahmen
Meldepflichtige Vorfälle:
- Erhebliche Sicherheitsvorfälle mit Auswirkungen auf Geschäftstätigkeit
- Cyberbedrohungen mit potenziellem Schaden
- Beinahevorfälle in bestimmten Fällen
Welche Sanktionen drohen bei Nichteinhaltung der NIS-2?
Das deutsche Umsetzungsgesetz sieht verschiedene Durchsetzungsmaßnahmen vor:
Aufsichtsmaßnahmen des BSI:
- Anordnung von Nachbesserungen
- Vor-Ort-Inspektionen und Prüfungen
- Anordnung externer Audits
Bußgeldverfahren:
- Erhebliche Bußgelder bei Pflichtverletzungen
- Verschärfter Bußgeldrahmen gegenüber bisherigen Regelungen
- Berücksichtigung von Unternehmensgröße und Schaden
Besondere Durchsetzungsregeln:
- Unterschiedliche Intensität je nach Einrichtungskategorie
- Verhältnismäßigkeitsgrundsatz bei Maßnahmenauswahl
- Dokumentationspflichten für Nachweisführung
Schätzungen für Deutschland:
- Rund 8.250 besonders wichtige Einrichtungen
- Rund 21.600 wichtige Einrichtungen
- Davon bereits 4.693 Betreiber kritischer Anlagen mit bestehenden Verpflichtungen
Wie bereitet sich mein Unternehmen optimal auf NIS-2 vor?
Schritt 1: Anwendbarkeit prüfen
- Größenkriterien und Sektorenzuordnung überprüfen
- Kategorisierung als wichtige oder besonders wichtige Einrichtung
- Registrierungspflicht beim BSI beachten
Schritt 2: Gap-Analyse durchführen
- Bestehende Sicherheitsmaßnahmen gegen NIS-2 Anforderungen abgleichen
- ISO 27001 oder IT-Grundschutz Status bewerten
- Schwachstellen und Handlungsbedarf identifizieren
Schritt 3: Umsetzungsroadmap entwickeln
- Priorisierung nach Risiko und Aufwand
- Integration in bestehende ISMS-Strukturen
- Berücksichtigung der Übergangsfristen
Schritt 4: Monitoring und Compliance
- Incident Response Prozesse etablieren
- Meldewege zum BSI einrichten
- Regelmäßige Wirksamkeitsprüfungen implementieren
Diese FAQ wird regelmäßig aktualisiert, um den aktuellen Stand der NIS-2 Umsetzung und der damit verbundenen Standards widerzuspiegeln.
Kostenloses Erstgespräch
Benötigen Sie eine IT-Security-Bewertung, Informationssicherheits-Assessment oder Compliance-Gutachten?
Als Sachverständiger biete ich Ihnen ein kostenloses Erstgespräch zur Klärung Ihrer IT-Sicherheitsfragen, Informationssicherheits-Anforderungen, Risk-Management-Bedürfnisse und Compliance-Herausforderungen.
IT-Security-Gutachten ist ein Angebot der Ingenieurgesellschaft ISM mbH, Luisenstraße 4 in 32052 Herford.
Spezialisiert auf
- ISO 27001 und BSI IT-Grundschutz Bewertungen
- NIS-2-Compliance mit Risk-Management
- Technische Sicherheitsexpertise und Informationssicherheit
- Rechtsverwertbare Sicherheitsgutachten
Rechtliches