NIS-2

Was das ist

NIS-2 ist die europäische Richtlinie zur Netz- und Informationssicherheit, in Deutschland seit Dezember 2025 im BSI-Gesetz umgesetzt. Sie verpflichtet „wichtige“ und „besonders wichtige“ Einrichtungen zu einem Mindestmaß an IT-Sicherheit. Betroffen sind Unternehmen ab 50 Beschäftigten oder 10 Millionen Euro Umsatz in Sektoren wie Energie, Verkehr, Gesundheit, Ernährung, Chemie, Maschinenbau, IT-Dienste, Abfall und Post; dazu Zulieferer, die von ihren Kunden vertraglich verpflichtet werden.

Was das für Sie heißt

• Prüfen Sie die Betroffenheit anhand Sektor und Größe, nicht nach Gefühl. Betroffene Unternehmen müssen sich beim BSI registrieren; die Frist ist abgelaufen, die Registrierung bleibt möglich und dringend.
• Risikomanagement nach § 30 BSIG: Risikoanalyse, Backup, Zugriffskontrolle, Verschlüsselung, Lieferkettensicherheit, Notfallpläne, Schulung. Dokumentiert.
• Erhebliche Sicherheitsvorfälle sind binnen 24 Stunden zu melden, mit Folgemeldung nach 72 Stunden. Die Geschäftsführung muss die Maßnahmen billigen, überwachen und selbst Schulungen besuchen; sie haftet persönlich für Versäumnisse.

Der typische Fehler

Ein Maschinenbauer mit 120 Mitarbeitern hält NIS-2 für ein Thema der Energieversorger. Nach einem Ransomware-Angriff fragt die Cyber-Versicherung nach dem Risikomanagement, der Großkunde nach der Registrierung. Beides fehlt. Die Versicherung kürzt, der Kunde droht mit Kündigung, und das BSI kann ein Bußgeld verhängen. Die Betroffenheitsprüfung hätte eine Stunde gedauert.