NIS2-Anforderungen: Compliance-Leitfaden & Bereitschafts-Checkliste

Die NIS2-Anforderungen gelten für 18 kritische Sektoren in der gesamten EU und schreiben Risikokontrollen, eine gestufte Meldung von Vorfällen sowie eine persönliche Haftung der Unternehmensleitung bei Nichteinhaltung vor.

Was ist NIS2?

Die NIS2-Richtlinie ist das grundlegende Cybersicherheitsgesetz der Europäischen Union für Organisationen in kritischen und wichtigen Sektoren. Wenn Sie in der EU tätig sind oder die EU bedienen, ist NIS2 jetzt Ihre Sicherheitsgrundlage, und selbst wenn Ihr Mitgliedstaat noch aufholt, sollten Sie bereits jetzt an der in der Richtlinie festgelegten Grundlage arbeiten.

Diese Dringlichkeit ist nicht theoretisch. Im Jahr 2021 musste Colonial Pipeline nach einem Ransomware-Angriff den Betrieb einstellen; aus einer Veröffentlichung des DOJ geht hervor, dass das Unternehmen rund 4,4 Millionen US-Dollar Lösegeld zahlte. NIS2 ist für genau diese Art von Störung ausgelegt: Sie formalisiert Erwartungen an das Risikomanagement, erzwingt eine schnelle Meldung und macht Governance-Versäumnisse zu einem Problem auf Vorstandsebene.

NIS2 trat im Oktober 2024 in Kraft und ersetzt die ursprüngliche NIS-Richtlinie (2016/1148). Die NIS2-Seite der Europäischen Kommission beschreibt sie als Anhebung „des gemeinsamen Ambitionsniveaus der EU im Bereich der Cybersicherheit durch einen breiteren Anwendungsbereich, klarere Regeln und stärkere Aufsichtsinstrumente“. In der Praxis erweitert NIS2 die erfassten Sektoren, führt verbindliche Fristen für die Meldung von Vorfällen ein und schafft persönliche Verantwortlichkeit für die Unternehmensleitung.

Um zu verstehen, warum diese Änderungen für Ihr Sicherheitsprogramm wichtig sind, hilft es, sich anzusehen, was NIS2 konkret verlangt.

Welche Anforderungen stellt NIS2?

NIS2-Anforderungen sind die verbindlichen Cybersicherheitsverpflichtungen, die im Rahmen der NIS2-Richtlinie (Richtlinie 2022/2555) für Organisationen festgelegt wurden, die in kritischen und wichtigen Sektoren in der gesamten EU tätig sind. 

Sie umfassen Risikomanagementmaßnahmen nach Artikel 21, Pflichten zur Meldung von Vorfällen nach Artikel 23 und Governance-Verantwortlichkeit nach Artikel 20. Zusammen schaffen diese Anforderungen eine verbindliche Sicherheitsgrundlage, die für Tausende von Einrichtungen in achtzehn Sektoren gilt.

Warum sind NIS2-Anforderungen für die Cybersicherheit wichtig?

IT-Vorfälle werden schneller zu Geschäftskrisen, als die meisten Bilanzen verkraften können. NotPetya hat das 2017 bewiesen. Merck legte später in einer SEC-Einreichung von Merck damit verbundene Kosten von rund 870 Millionen US-Dollar offen. NIS2 soll verhindern, dass dies Ihre Geschichte wird.  Sie müssen Governance, Reaktionsbereitschaft und die Wirksamkeit von Kontrollen nachweisen, und Prüfer werden nach dokumentierten Belegen suchen, nicht nach Screenshots von Konfigurationen.

NIS2 ist keine Checkbox-Übung. Sie schreibt konkrete Maßnahmen für das Cybersicherheits-Risikomanagement vor, verlangt eine strukturierte Meldung von Vorfällen innerhalb enger Fristen und macht Ihren Vorstand persönlich für Aufsichtsversäumnisse verantwortlich.

Die Richtlinie führt außerdem eine zweistufige Klassifizierung ein. Wesentliche Einrichtungen unterliegen einer proaktiven (ex-ante) Aufsicht mit Audits und Inspektionen. Wichtige Einrichtungen unterliegen einer reaktiven (ex-post) Aufsicht, die durch Nachweise für Nichteinhaltung ausgelöst wird. Beide Stufen sind mit erheblichen finanziellen Sanktionen und Haftung des Managements verbunden.

Was hat sich von NIS1 zu NIS2 geändert?

Wenn Ihre Organisation unter der ursprünglichen NIS-Richtlinie tätig war, ist die Lücke zwischen den beiden Rahmenwerken erheblich. NIS2 ist keine geringfügige Überarbeitung. Sie strukturiert Verpflichtungen in Bezug auf Anwendungsbereich, Durchsetzung, Governance und Meldung neu.

• Der Anwendungsbereich wurde drastisch erweitert. Die ursprüngliche Richtlinie umfasste sieben Sektoren: Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheit, Trinkwasser und digitale Infrastruktur. NIS2 erweitert dies auf achtzehn Sektoren und ergänzt Abwasser, Weltraum, Verwaltung von IKT-Diensten, öffentliche Verwaltung, Postdienste, Abfallwirtschaft, Chemikalien, Lebensmittelproduktion, Fertigung und Forschung. Die Europäische Kommission schätzt, dass NIS2 nun Zehntausende von Einrichtungen in der gesamten EU erfasst, verglichen mit einigen Hundert unter NIS1.
• Die Meldung von Vorfällen ist jetzt harmonisiert. Unter NIS1 legten die Mitgliedstaaten ihre eigenen Meldefristen und Kriterien fest, was zu Inkonsistenzen über Grenzen hinweg führte. NIS2 standardisiert den dreistufigen Prozess: Frühwarnung innerhalb von 24 Stunden, Vorfallmeldung innerhalb von 72 Stunden und Abschlussbericht innerhalb eines Monats, einheitlich in der gesamten EU angewendet.
• Die Verantwortlichkeit des Managements ist neu. NIS1 legte Sicherheitsverpflichtungen Organisationen auf. NIS2 ergänzt in Artikel 20 eine persönliche Haftung der Unternehmensleitung, einschließlich der Möglichkeit für Behörden, Führungskräften nach einem schwerwiegenden Verstoß vorübergehend die Ausübung von Leitungsfunktionen zu untersagen.
• Pflichten in der Lieferkette sind neu. NIS1 enthielt keine strukturierten Anforderungen an die Sicherheit der Lieferkette. Artikel 21 verlangt nun, dass Sie die Sicherheitslage Ihrer Lieferanten, deren eigene Abhängigkeiten bewerten und sie vertraglich an Ihre NIS2-Anforderungen binden.
• Die Sanktionen wurden erheblich erhöht. NIS1 überließ die Höhe der Sanktionen dem nationalen Ermessen, was zu großen Unterschieden führte. NIS2 legt EU-weite Mindestobergrenzen fest: bis zu 10 Millionen Euro oder 2 % des weltweiten Umsatzes für wichtige Einrichtungen und bis zu 7 Millionen Euro oder 1,4 % des weltweiten Umsatzes für wesentliche Einrichtungen, je nachdem, welcher Betrag in beiden Fällen höher ist. Die vollständige Aufschlüsselung der Sanktionen finden Sie in den NIS2-FAQ der Kommission.

Die erste Frage lautet also nicht, wie Sie die Vorschriften einhalten. Sondern ob Sie überhaupt in den Anwendungsbereich fallen.

Für wen gilt NIS2?

Der Anwendungsbereich von NIS2 hängt von Sektor, Größe und Dienstleistungsrolle ab. Die Richtlinie verwendet zwei Anhänge zur Klassifizierung von Einrichtungen sowie Größenschwellen, um festzulegen, ob sie standardmäßig in den Anwendungsbereich fallen.

• Wesentliche Einrichtungen (Anhang I) sind in hochkritischen Sektoren tätig: Energie (Elektrizität, Öl, Gas, Wasserstoff, Fernwärme), Verkehr (Luft, Schiene, Wasser, Straße), Bankwesen und Finanzmarktinfrastruktur, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur (DNS-Anbieter, TLD-Register, Cloud-Anbieter, Rechenzentren, CDNs, Vertrauensdiensteanbieter, elektronische Kommunikationsnetze), Verwaltung von IKT-Diensten (Managed Service Provider und Managed Security Service Provider), öffentliche Verwaltung und Weltraum.
• Wichtige Einrichtungen (Anhang II) sind in anderen kritischen Sektoren tätig: Post- und Kurierdienste, Abfallwirtschaft, Herstellung und Vertrieb von Chemikalien, Lebensmittelproduktion und -vertrieb, Herstellung von Medizinprodukten, Computern, Elektronik, Maschinen, Kraftfahrzeugen und sonstiger Transportausrüstung, digitale Anbieter (Online-Marktplätze, Online-Suchmaschinen, soziale Netzwerke) und Forschungseinrichtungen.
• Größenschwellen gelten in den meisten Fällen. Organisationen mit 50 oder mehr Beschäftigten oder 10 Millionen Euro oder mehr Jahresumsatz, die in einem erfassten Sektor tätig sind, fallen standardmäßig in den Anwendungsbereich. Mittlere und große Unternehmen haben im Allgemeinen keine automatische Ausnahme. Kleinere Organisationen können jedoch weiterhin als wesentlich oder wichtig eingestuft werden, wenn sie der einzige Anbieter eines kritischen Dienstes in ihrem Mitgliedstaat sind, wenn ihre Störung erhebliche grenzüberschreitende Auswirkungen hätte oder wenn eine nationale Behörde feststellt, dass sie ein systemisches Risiko darstellen. Eine praxisnahe Erläuterung der Größenkriterien finden Sie in den NCSC Ireland NIS2 FAQ.
• Nicht-EU-Organisationen sind nicht automatisch ausgenommen. Wenn Sie in der EU Dienste erbringen, die in den Anwendungsbereich fallen, auch wenn Ihr Hauptsitz außerhalb der EU liegt, müssen Sie möglicherweise einen Vertreter in einem Mitgliedstaat benennen und das nationale Umsetzungsgesetz dieses Staates zu NIS2 einhalten. Klären Sie Ihre Position mit Ihrer zuständigen nationalen Behörde.

Wenn Anwendungsbereich und Klassifizierung geklärt sind, beginnt die eigentliche Arbeit. Hier ist, was NIS2 von Ihnen verlangt.

Zentrale NIS2-Sicherheitsanforderungen

Die NIS2-Anforderungen lassen sich in drei zentrale Säulen unterteilen: verbindliche Sicherheitsmaßnahmen, Meldung von Vorfällen und Durchsetzung. Jede davon wirkt sich direkt darauf aus, wie Sie Ihr Sicherheitsprogramm strukturieren.

Verbindliche Sicherheitsmaßnahmen (Artikel 21)

Jede erfasste Einrichtung muss Cybersicherheits-Risikomanagementmaßnahmen umsetzen, die ihrer Risikoexposition, Größe und gesellschaftlichen Auswirkung angemessen sind. Die Anforderungen aus Artikel 21 lassen sich in einige operative Themen gruppieren:

• Governance und Assurance: Risikoanalyse, Sicherheitsrichtlinien und laufende Bewertung der Wirksamkeit, damit Sie nachweisen können, dass Kontrollen funktionieren, mit Belegen, die Regulierungsbehörden prüfen können.
• Operative Resilienz: Behandlung von Vorfällen und Geschäftskontinuität, einschließlich Backup und Disaster Recovery, abgestimmt auf Ihren Incident-Response-Prozess.
• Sichere Entwicklung und Kommunikation: Sicherheit bei Beschaffung, Entwicklung und Wartung von Systemen sowie Kryptografie- und Verschlüsselungsrichtlinien und sichere Kommunikation.
• Menschen, Zugriff und Dritte: Grundlegende Cyberhygiene und Schulungen (einschließlich Management), Zugriffskontrolle und Asset-Management, Lieferantensicherheit (einschließlich Exposition gegenüber Supply-Chain-Angriffen) sowie starke Authentifizierung wie Multi-Faktor-Authentifizierung.

Diese Maßnahmen sind bewusst breit gefasst. NIS2 schreibt keine bestimmten Technologien vor, sondern nur angemessene Ergebnisse, aber wer für deren Erreichung verantwortlich ist, bleibt nicht der Auslegung überlassen.

Verantwortlichkeit des Managements (Artikel 20)

Ihr Leitungsorgan muss Cybersicherheitsmaßnahmen genehmigen, ihre Umsetzung überwachen und eine Cybersicherheitsschulung absolvieren. Diese Pflichten können nicht delegiert werden. Laut der NIS2-Analyse von DLA Piper kann die Unternehmensleitung „für Verstöße gegen ihre Pflichten aus der Richtlinie persönlich haftbar gemacht werden“.

Das ist das „Was“. Die folgenden Abschnitte behandeln das „Wie“: Meldung von Vorfällen, Governance, Pflichten in der Lieferkette und Durchsetzung.

Anforderungen an die Meldung von Vorfällen nach NIS2

Artikel 23 legt einen verbindlichen dreistufigen Meldeprozess fest, wobei die Frist beginnt, wenn Sie Kenntnis von einem Vorfall erlangen, nicht wenn der Vorfall eingetreten ist.

• Stufe 1: Frühwarnung. Innerhalb eines Tages übermitteln Sie eine erste Klassifizierung, geben an, ob der Vorfall offenbar auf rechtswidrige oder böswillige Handlungen zurückzuführen ist, bewerten mögliche grenzüberschreitende Auswirkungen und stellen Kontaktdaten für die Koordination bereit.
• Stufe 2: Vorfallmeldung. Innerhalb von drei Tagen liefern Sie eine aktualisierte Analyse von Schweregrad und Auswirkungen, Indicators of Compromise (IoCs), soweit verfügbar, betroffene Systeme und Dienste sowie die Identifizierungsmethode und den Zeitstempel.
• Stufe 3: Abschlussbericht. Innerhalb eines Monats liefern Sie eine Ursachenanalyse, eine Beschreibung der angewandten und laufenden Reaktionsmaßnahmen sowie eine Bewertung der grenzüberschreitenden Auswirkungen.

Ein „erheblicher Vorfall“ im Sinne von Artikel 23 Absatz 3 ist ein Vorfall, der schwere operative Störungen, finanzielle Verluste oder materielle oder immaterielle Verluste für andere Personen verursacht hat oder verursachen kann. Die Schwelle „verursachen kann“ bedeutet, dass Sie potenzielle Auswirkungen bewerten müssen, nicht nur bestätigte Schäden. Wenn Sie eine Stufe dieser Meldekette versäumen, setzen Sie sich aufsichtsrechtlichen Maßnahmen aus.

Meldepflichten legen fest, was Sie nach einem Vorfall kommunizieren müssen. Die nachstehenden Governance-Anforderungen definieren, wer dafür verantwortlich ist, diese Vorfälle überhaupt zu verhindern.

Anforderungen an Governance und Verantwortlichkeit

Artikel 20 legt die Cybersicherheits-Governance direkt in die Verantwortung Ihres Leitungsorgans. Vorstandsmitglieder und leitende Führungskräfte müssen die Cybersicherheits-Risikomanagementmaßnahmen Ihrer Organisation genehmigen und ihre Umsetzung aktiv überwachen. Diese Verantwortlichkeiten sind persönlich und können nicht delegiert werden.

1. Verpflichtende Managementschulung. Jedes Mitglied Ihres Leitungsorgans muss eine Cybersicherheitsschulung absolvieren. Artikel 20 Absatz 2 legt fest, dass die Schulung ausreichen sollte, um Risiken zu erkennen, Verfahren des Cybersicherheits-Risikomanagements zu bewerten und deren Auswirkungen auf die von Ihrer Organisation erbrachten Dienste zu beurteilen. Dies ist keine einmalige Onboarding-Anforderung. Die Schulung muss mit Ihrer sich entwickelnden Risikoumgebung Schritt halten, und Regulierungsbehörden können Abschlussnachweise bei Audits überprüfen.
2. Persönliche Haftung bei Aufsichtsversäumnissen. Wenn sich ein Cybersicherheitsvorfall auf unzureichende Governance zurückführen lässt, können nationale Behörden einzelne Führungskräfte zur Verantwortung ziehen. Zu den Sanktionen gehören Verwaltungsgeldbußen, öffentliche Bekanntmachung des Verstoßes und bei wesentlichen Einrichtungen ein vorübergehendes Verbot der Ausübung von Leitungsfunktionen. Hogan Lovells weist darauf hin, dass NIS2 „Cyber-Resilienz zu einer Frage der Corporate Governance und der persönlichen Verantwortlichkeit auf Vorstandsebene erhebt“.
3. Dokumentierte Nachweise der Aufsicht. Ein Sicherheitsprogramm, das vollständig innerhalb Ihrer IT-Abteilung läuft und auf Führungsebene keine sichtbare Governance-Spur hinterlässt, wird einen Prüfer nicht zufriedenstellen. Regulierungsbehörden erwarten Folgendes:

• Vom Vorstand genehmigte Sicherheitsrichtlinien mit namentlich genannten Unterzeichnern und Genehmigungsdaten
• Dokumentierte Entscheidungen zur Risikobehandlung, aus denen hervorgeht, wie Restrisiken akzeptiert oder adressiert wurden
• Nachweise regelmäßiger Überprüfungszyklen, die belegen, dass Richtlinien aktualisiert werden und nicht statisch sind
• Entscheidungen zur Ressourcenzuweisung, die Budget und Personal mit identifizierten Risiken verknüpfen

Verknüpfen Sie jedes dieser Artefakte mit namentlich genannten Personen und Daten. Wenn Sie diese Nachweise auf Anfrage nicht vorlegen können, sind Ihre Kontrollen faktisch undokumentiert.

Governance-Verantwortlichkeit etabliert die interne Verantwortungskette. NIS2 erweitert diese Verantwortlichkeit durch Anforderungen an die Sicherheit der Lieferkette nach außen.

NIS2-Anforderungen an die Sicherheit der Lieferkette

Artikel 21 Absatz 2 Buchstabe d verlangt von Ihnen, Sicherheitsrisiken in Ihrer Lieferkette zu bewerten und zu steuern, einschließlich Ihrer direkten Lieferanten und Dienstleister. NIS2 behandelt Drittparteirisiken als Ihr Risiko: Wenn die Schwäche eines Lieferanten einen Verstoß in Ihrer Umgebung verursacht, liegt die Compliance-Verpflichtung weiterhin bei Ihnen.

Kriterien für die Lieferantenbewertung. Ihre Bewertung muss über oberflächliche Fragebögen hinausgehen. NIS2 erwartet, dass Sie die spezifischen Schwachstellen jedes Lieferanten, die allgemeine Produktqualität und die Cybersicherheitspraktiken, die Rechtsräume, in denen sie tätig sind, sowie die eigenen Abhängigkeiten des Lieferanten in seiner Lieferkette berücksichtigen. 

Vertragliche Sicherheitsanforderungen. Lieferantenvereinbarungen müssen Sicherheitsklauseln enthalten, die an NIS2 ausgerichtet sind. Mindestens sollten Verträge Folgendes abdecken:

• Pflichten zur Meldung von Vorfällen, damit Sie Ihre eigenen Meldefristen einhalten können
• Auditrechte, die es Ihnen ermöglichen, Sicherheitskontrollen von Lieferanten zu überprüfen
• Service Level Agreements, die an die Sicherheitsleistung gekoppelt sind
• Kündigungsklauseln bei anhaltender Nichteinhaltung

Diese Klauseln machen aus Ihren Compliance-Erwartungen durchsetzbare Verpflichtungen statt informeller Absprachen.

Softwaretransparenz. Für kritische Softwarekomponenten sollten Sie Software Bills of Materials (SBOMs) pflegen, die die Komponenten und Abhängigkeiten innerhalb der Software dokumentieren, die Ihre Lieferanten bereitstellen. SBOMs geben Ihnen Transparenz über Schwachstellen, die nach der Bereitstellung auftreten, und unterstützen eine schnellere Bewertung der Auswirkungen bei Vorfällen.

Diversifizierung und Kontinuität. NIS2 erwartet außerdem, dass Sie Konzentrationsrisiken bewerten. Wenn der Ausfall eines einzelnen Lieferanten einen kritischen Dienst lahmlegen könnte, dokumentieren Sie Ihren Kontinuitätsplan und benennen Sie, soweit machbar, alternative Anbieter. Das Ziel ist Resilienz, nicht nur Compliance.

Pflichten in der Lieferkette definieren den externen Perimeter Ihres Compliance-Programms. Die nachstehenden Durchsetzungsmechanismen legen fest, was passiert, wenn irgendein Teil dieses Programms unzureichend ist.

NIS2-Anforderungen an Durchsetzung und Sanktionen

NIS2 basiert nicht auf guten Absichten. Sie setzt Compliance durch Aufsichtsbefugnisse, finanzielle Sanktionen und persönliche Haftung durch.

Aufsichtsbefugnisse

Wesentliche Einrichtungen unterliegen nach Artikel 32 einer proaktiven Aufsicht. Behörden können Vor-Ort-Inspektionen, zufällige und Ad-hoc-Audits, Sicherheitsscans und Beweisanforderungen durchführen. Sie können außerdem verbindliche Anweisungen erteilen, die öffentliche Bekanntmachung von Verstößen anordnen und CEOs oder gesetzlichen Vertretern vorübergehend die Ausübung von Leitungsfunktionen untersagen.

Wichtige Einrichtungen unterliegen nach Artikel 33 einer reaktiven Aufsicht, die durch Nachweise oder Hinweise auf Nichteinhaltung ausgelöst wird. Für sie gelten dieselben Sanktionsstrukturen, sie sind jedoch keinen proaktiven Zufallsaudits ausgesetzt. In beiden Fällen sind die finanziellen Folgen erheblich.

Sanktionsstrukturen

NIS2-Sanktionen werden entweder auf Grundlage einer festen Obergrenze oder eines Prozentsatzes des weltweiten Umsatzes berechnet, je nachdem, welcher Betrag höher ist, wobei für wesentliche Einrichtungen höhere Obergrenzen gelten als für wichtige Einrichtungen. Den vollständigen Sanktionsrahmen der Kommission finden Sie in den NIS2-FAQ der Kommission.

Die Haftung des Managements geht über Geldbußen hinaus. Hogan Lovells weist darauf hin, dass NIS2 „Cyber-Resilienz zu einer Frage der Corporate Governance und der persönlichen Verantwortlichkeit auf Vorstandsebene erhebt“.

Bisher hat keine Behörde öffentliche NIS2-Durchsetzungsfälle gemeldet, aber der Richtlinientext macht den erwarteten Standard und die Aufsichtsinstrumente klar. Dieses Rahmenwerk zu verstehen, reicht allein nicht aus. Die Arten, wie die meisten Organisationen scheitern, sind vorhersehbar, und jede einzelne ist vermeidbar.

Häufige Herausforderungen bei der Erfüllung der NIS2-Anforderungen

Die Richtlinie liest sich klar genug. Bei der Umsetzung geraten Organisationen ins Stolpern. Dies sind die Fehltritte, über die wesentliche und wichtige Einrichtungen am häufigsten stolpern, und keiner davon ist schwer zu vermeiden.

• NIS2 als rein technische Übung behandeln. NIS2 verlangt organisatorische Veränderungen. Artikel 20 fordert die Genehmigung durch den Vorstand, Managementschulungen und dokumentierte Verantwortlichkeit. Regulierungsbehörden werden in all diesen Dimensionen nach Governance-Nachweisen suchen.
• Einmalige Risikobewertungen durchführen. Eine einzelne Risikobewertung steht im Widerspruch zur Anforderung einer kontinuierlichen Wirksamkeitsbewertung nach Artikel 21. Sie benötigen regelmäßige Risikoprüfungen als festen Bestandteil Ihrer Governance-Agenda, mit dokumentierten Aktualisierungen der Risikobehandlungspläne.
• Due Diligence in der Lieferkette bei direkten Lieferanten beenden. NIS2 verlangt, dass Sie die eigenen Abhängigkeiten Ihrer Lieferanten in deren Lieferkette bewerten, wodurch Verpflichtungen in Bezug auf Fourth-Party-Risiken entstehen. Laut der Umsetzungsleitlinie von ENISA bleiben „Risiken für von Dritten bereitgestellte Netz- und Informationssysteme … in der Verantwortung der Einrichtung selbst“.
• Unzureichende Dokumentation pflegen. Kontrollen, die existieren, aber bei einem Audit nicht nachgewiesen werden können, sind faktisch nicht existent. Verknüpfen Sie jeden Eintrag im Risikoregister mit Kontrollen, Zuständigkeiten und Nachweisen. Bereiten Sie eine auditfähige Compliance-Darstellung vor, bevor Regulierungsbehörden eine anfordern.
• Das eintägige Meldefenster unterschätzen. Die Frühwarnung muss eingereicht werden, bevor die vollständige Bewertung der Auswirkungen abgeschlossen ist. Wenn Ihre Incident-Response-Workflows die Bedeutung nach Kenntniserlangung nicht schnell klassifizieren können, werden Sie die Frist versäumen oder ungenaue Informationen übermitteln, was beides regulatorische Risiken schafft.

Die meisten dieser Fehler haben dieselbe Ursache: NIS2 als Projekt statt als Programm zu behandeln. Die folgende Checkliste gibt Ihnen eine strukturierte Möglichkeit, es als Letzteres aufzubauen.

Checkliste zur Umsetzung der NIS2-Anforderungen

Diese Checkliste mit acht Phasen basiert auf der Umsetzungsleitlinie von ENISA.

Phase 1: Anwendungsbereich und Gap-Analyse

• Bestimmen Sie Ihre Klassifizierung als Einrichtung (wesentlich oder wichtig) anhand der Anhänge I und II
• Berechnen Sie die Beschäftigtenzahl anhand von Annual Work Units, nicht anhand einfacher Kopfzahlen
• Ordnen Sie alle Tochtergesellschaften und Geschäftsbereiche den von NIS2 erfassten Sektoren zu
• Bewerten Sie Ihre aktuelle Lage anhand der Anforderungen aus Artikel 21
• Dokumentieren Sie die Begründung für die Bestimmung Ihres Anwendungsbereichs

Phase 2: Governance- und Richtlinienrahmen

• Weisen Sie Verantwortung für Cybersicherheit auf Vorstandsebene mit dokumentierter Verantwortlichkeit zu
• Richten Sie regelmäßige Berichtsmechanismen an die Unternehmensleitung ein
• Erstellen oder aktualisieren Sie Ihre Informationssicherheitsrichtlinie im Einklang mit Artikel 21
• Entwickeln Sie Incident-Response-Verfahren, die die Fristen aus Artikel 23 erfüllen
• Dokumentieren Sie die formale Genehmigung der Cybersicherheits-Risikomanagementmaßnahmen durch den Vorstand

Phase 3: Umsetzung technischer Kontrollen

• Implementieren Sie Zugriffskontrollen nach dem Least-Privilege-Prinzip
• Implementieren Sie Multi-Faktor-Authentifizierung (MFA) oder kontinuierliche Authentifizierung in kritischen Systemen
• Implementieren Sie Verschlüsselung für sensible Daten im Ruhezustand und bei der Übertragung
• Richten Sie kontinuierliches Sicherheitsmonitoring für alle kritischen Systeme ein
• Pflegen Sie Audit-Trails, die Sicherheitsentscheidungen mit Risikobewertungen verknüpfen

Phase 4: Sicherheit der Lieferkette

• Erfassen Sie alle direkten Lieferanten und Dienstleister
• Bewerten Sie Lieferanten anhand der NIS2-Bewertungskriterien (Rechtsraum, Compliance, Eigentum, Kontinuität, Diversifizierung)
• Bewerten Sie die eigenen Abhängigkeiten der Lieferanten in deren Lieferkette
• Aktualisieren Sie Verträge, um NIS2-Sicherheitsanforderungen und SLAs aufzunehmen
• Nehmen Sie Vorfallmeldungen, Auditrechte und Kündigungsklauseln in Lieferantenvereinbarungen auf
• Pflegen Sie Software Bills of Materials (SBOMs) für kritische Softwarekomponenten

Phase 5: Schulung und Sensibilisierung

• Führen Sie NIS2-Schulungen für Vorstandsmitglieder durch, die die Pflichten aus Artikel 20 und die persönliche Haftung abdecken
• Führen Sie rollenbasierte Sensibilisierungsprogramme für alle Beschäftigten ein

Phase 6: Vorbereitung auf Incident Response

• Schaffen Sie die Fähigkeit zur Erstmeldung innerhalb eines Tages
• Stellen Sie im Voraus Beziehungen zu Ihrem nationalen Computer Security Incident Response Team (CSIRT) her
• Bereiten Sie Vorlagen für alle drei Meldestufen vor
• Testen Sie Verfahren regelmäßig mit Tabletop-Übungen

Phase 7: Kontinuierliches Monitoring und Verbesserung

• Führen Sie regelmäßige interne Audits mit qualifiziertem Personal durch
• Verknüpfen Sie jede Zeile im Risikoregister mit Kontrollen, Zuständigkeiten und Nachweisen
• Überwachen Sie Threat-Intelligence-Feeds und aktualisieren Sie Risikobewertungen entsprechend

Phase 8: Überlegungen zu OT-Umgebungen (falls zutreffend)

• Definieren Sie eine separate Cyber-Governance für OT-Assets
• Implementieren Sie Netzwerksegmentierung zwischen IT- und OT-Umgebungen
• Nehmen Sie NIS2-Compliance-Klauseln in Verträge mit OT-Anbietern auf

Wenn Sie jede Phase systematisch durcharbeiten, schaffen Sie eine konforme Grundlage. Die folgenden Praktiken helfen Ihnen, diese im Laufe der Zeit aufrechtzuerhalten.

Best Practices zur Erfüllung der NIS2-Anforderungen

• Richten Sie sich zuerst an bestehenden Frameworks aus. Wenn Sie bereits Kontrollen nach ISO 27001 oder NIST CSF pflegen, ordnen Sie diese den Anforderungen aus Artikel 21 von NIS2 zu. Die Überschneidungen sind erheblich. Eine Gap-Analyse geht von einer etablierten Grundlage schneller voran als von einer leeren Seite.
• Erstellen Sie Ihren Workflow zur Meldung von Vorfällen, bevor Sie ihn brauchen. Identifizieren Sie jetzt Ihre zuständige nationale Behörde und Ihr CSIRT. Erstellen Sie Vorlagen für alle drei Meldestufen im Voraus und führen Sie Tabletop-Übungen durch, die eine schnelle Klassifizierung und Übermittlung testen.
• Nutzen Sie die Haftung des Managements als strategischen Hebel. Die Bestimmungen zur persönlichen Verantwortlichkeit in Artikel 20 schaffen Dringlichkeit auf Vorstandsebene. Präsentieren Sie Ihre Compliance-Roadmap in Bezug auf die Risikoexposition: Quantifizieren Sie, was Nichteinhaltung kostet, im Vergleich zu dem, was Ihr Sicherheitsprogramm erfordert. Der Vorstand kann die Genehmigung von Cybersicherheitsmaßnahmen nach Artikel 20 nicht delegieren. Diese einzelne gesetzliche Tatsache ist oft Ihr stärkstes Instrument, um Budget und Priorität zu gewinnen.

Diese Praktiken lassen sich nur mit Tooling skalieren, das mit den Anforderungen von NIS2 an kontinuierliches Monitoring Schritt hält. Hier verdient die richtige Plattform ihren Platz, mit integrierten Audit-Trails statt nachträglich angefügten.

Wie SentinelOne die NIS2-Anforderungen unterstützt

NIS2 verlangt ohne Unterbrechung drei Dinge von Ihnen: kontinuierlich überwachen, Vorfälle schnell klassifizieren und nachweisen, dass Ihre Kontrollen tatsächlich funktionieren. Manueller Aufwand, verteilt auf Dutzende unverbundene Tools, kann dieses Tempo nicht halten. Die SingularityTM Platform von SentinelOne konsolidiert Endpoint-, Identity- und Cloud-Sicherheit in einer Konsole und bietet Ihnen Echtzeittransparenz und autonome Reaktionsfähigkeiten, die direkt auf Ihre NIS2-Verpflichtungen einzahlen.

• Kontinuierliches Monitoring und Wirksamkeitsbewertung (Artikel 21). Die Singularity Platform führt auf jedem Agenten ständig aktive Behavioral AI aus. Sie erkennt Bedrohungen anhand ihres Verhaltens, bevor überhaupt eine Signatur existiert. 
• Behandlung und Meldung von Vorfällen (Artikel 21 und 23). Die Storyline-Technologie verknüpft Telemetriedaten aus Endpoints, Cloud-Workloads und Identitäten zu einer einzigen Angriffschronologie. Wenn ein erheblicher Vorfall eintritt, verfügen Sie bereits über den forensischen Kontext, IoCs und Wirkungsnachweise, die Ihre Frühwarnung benötigt. Kein hektisches Suchen über ein Dutzend Dashboards hinweg.
• Schnellere Untersuchungen (Artikel 21). Purple AI verwandelt Fragen in natürlicher Sprache in Antworten aus Ihrer Telemetrie und erstellt für Sie den Untersuchungsbericht. Frühe Anwender berichten von bis zu 80 % schnelleren Bedrohungsuntersuchungen, was wichtig ist, wenn Sie schnell von „wir haben etwas gesehen“ zu einer begründeten regulatorischen Klassifizierung gelangen müssen.
• Überwachung von Identitäten (Artikel 21). Singularity Identity stoppt identitätsgesteuerte Angriffe, bevor sie zu dem Ausfall werden, der Schlagzeilen macht. Es deckt Zugriffskontrolle, Kontohygiene und Eindämmung von Vorfällen ab.
• Geschäftskontinuität und Wiederherstellung (Artikel 21). Das 1-Click-Rollback von SentinelOne macht Ransomware-Verschlüsselung rückgängig und stellt Endpoints in einen Zustand vor der Infektion zurück, wodurch Wiederherstellungsziele unterstützt werden, ohne sich ausschließlich auf Backup-Wiederherstellungs-Workflows zu verlassen.

Buchen Sie eine SentinelOne-Demo, um zu sehen, wie jede Funktion Ihrem NIS2-Programm zugeordnet wird, Kontrolle für Kontrolle.

Wichtige Erkenntnisse

NIS2 gilt jetzt, unabhängig davon, wie weit die Umsetzung in Ihrem Mitgliedstaat fortgeschritten ist. Sie legt definierte Sicherheitsmaßnahmen nach Artikel 21 fest, erzwingt eine schnelle, gestufte Meldung von Vorfällen und überträgt der Unternehmensleitung persönliche Verantwortlichkeit. 

Wesentliche Einrichtungen tragen die zusätzliche Last proaktiver Aufsicht, einschließlich Audits und Inspektionen. Nichts davon lässt sich mit einem einmaligen Zertifikat erledigen. Compliance ist kontinuierlich: Monitoring, Bewertung der Lieferkette und dokumentierte Governance, stets aktuell gehalten. Wenn Sie es als Programm betreiben, wird es zu einem Vorteil.

FAQs

Was ist NIS2?

NIS2 (Richtlinie 2 über Netz- und Informationssicherheit) ist eine EU-Verordnung, die Cybersicherheitsanforderungen für Organisationen festlegt, die in kritischen Sektoren wie Energie, Verkehr, Gesundheitswesen und digitaler Infrastruktur tätig sind. 

Sie ersetzte die ursprüngliche NIS-Richtlinie im Oktober 2024, erweiterte den Geltungsbereich der erfassten Einrichtungen, führte verbindliche Fristen für die Meldung von Vorfällen ein und schuf eine persönliche Haftung für die Unternehmensleitung. Organisationen müssen gemäß Artikel 21 festgelegte Risikomanagementmaßnahmen umsetzen und erhebliche Vorfälle innerhalb von 24 Stunden melden, nachdem sie davon Kenntnis erlangt haben.

Wann gelten die NIS2-Anforderungen?

Die NIS2-Anforderungen wurden am 17. Oktober 2024 anwendbar, als die Frist für die Umsetzung der Richtlinie für alle EU-Mitgliedstaaten ablief. Selbst dort, wo nationale Umsetzungsgesetze noch finalisiert werden, ist die Grundlage der Richtlinie festgelegt, und die Regulierungsbehörden erwarten von den betroffenen Einrichtungen, ihre Sicherheitsprogramme entsprechend auszurichten. 

Organisationen im Geltungsbereich sollten bereits die Risikomanagement- Maßnahmen nach Artikel 21 umsetzen, Meldefähigkeiten gemäß Artikel 23 aufbauen und Governance-Entscheidungen nach Artikel 20 dokumentieren.

Was sind die wichtigsten Anforderungen von NIS2?

NIS2 schreibt drei Kategorien von Verpflichtungen für betroffene Einrichtungen vor:

1. Verhältnismäßige Maßnahmen zum Cybersicherheits-Risikomanagement, die Risikoanalyse, Incident-Handling, Geschäftskontinuität, Sicherheit der Lieferkette, Zugriffskontrolle, Verschlüsselung und die laufende Bewertung der Wirksamkeit abdecken (Artikel 21). 
2. Gestufte Incident-Meldung: eine Frühwarnung innerhalb von 24 Stunden, eine Incident-Benachrichtigung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats (Artikel 23).
3. Leitungsorgane sind verpflichtet, Cybersicherheitsmaßnahmen zu genehmigen, zu überwachen und hierzu geschult zu werden; bei Versäumnissen in der Aufsicht besteht persönliche Haftung (Artikel 20).

Gilt NIS2 für Organisationen außerhalb der EU?

Ja, wenn Sie Dienstleistungen in der EU erbringen, können Sie in den Geltungsbereich fallen, auch wenn Ihr Hauptsitz anderswo liegt. Entscheidend ist, ob Sie in einem Mitgliedstaat tätig sind oder dort erfasste Dienstleistungen erbringen und die Sektor- und Größenkriterien erfüllen, einschließlich bestimmter Lieferantenrollen. 

Wenn Sie unsicher sind, dokumentieren Sie Ihre Annahmen zur Abgrenzung des Geltungsbereichs und bestätigen Sie die Erwartungen mit der zuständigen nationalen Behörde dort, wo Sie die Dienstleistung erbringen.

Wie unterscheidet sich NIS2 von der DSGVO bei der Meldung von Vorfällen?

NIS2 verwendet ein stufenweises Rahmenwerk mit Fokus auf Betriebsunterbrechungen und Dienstauswirkungen. GDPR verlangt die Meldung von Verletzungen des Schutzes personenbezogener Daten an Ihre Datenschutzbehörde innerhalb einer separaten Frist. 

Wenn ein Vorfall sowohl eine Dienstunterbrechung als auch die Offenlegung personenbezogener Daten umfasst, sollten Sie beide Meldewege koordinieren, Ihre Angaben konsistent halten und Beweise sichern, damit Sie Ihre Vorfallklassifizierung unter jedem Regelwerk begründen können.

Was passiert, wenn mein Mitgliedstaat NIS2 noch nicht umgesetzt hat?

Sie sollten nicht warten. Die Grundlage der Richtlinie ist bereits bekannt, und die Regulierungsbehörden erwarten von erfassten Einrichtungen, dass sie sich vorbereiten, während nationales Recht und Leitlinien finalisiert werden. Verfolgen Sie Gesetzesentwürfe in Ihrem Mitgliedstaat, richten Sie Ihre Kontrollen am Richtlinientext aus und führen Sie ein Änderungsprotokoll darüber, was Sie umgesetzt haben und warum. 

Diese Dokumentation ermöglicht es Ihnen, eine Governance nach bestem Wissen und Gewissen nachzuweisen, falls sich Anforderungen während der Umsetzung geringfügig ändern.

Können kleine Unternehmen den NIS2-Anforderungen unterliegen?

Im Allgemeinen fallen kleinere Organisationen außerhalb der standardmäßigen Größenschwellen. Nationale Behörden können jedoch kleinere Einrichtungen einbeziehen, wenn sie alleinige Anbieter eines wesentlichen Dienstes sind oder wenn ihre Störung erhebliche grenzüberschreitende Auswirkungen verursachen würde. 

Organisationen unterhalb der Schwellenwerte, die erfasste Einrichtungen beliefern, können zudem durch vertragliche Verpflichtungen und Lieferantenbewertungen indirektem Compliance-Druck ausgesetzt sein.

Wie wirkt NIS2 mit der DORA-Verordnung für Finanzunternehmen zusammen?

DORA gilt als sektorspezifische Gesetzgebung für viele Finanzunternehmen und umfasst eigene Anforderungen an die Klassifizierung und Meldung von Vorfällen. 

Wenn Sie unter beide Regelwerke fallen, erstellen Sie einen integrierten Workflow, der die Meldeauslöser, Fristen und Datenfelder jedes Regelwerks abbildet. In der Praxis arbeiten Sie in der Regel nach dem strengsten Zeitplan und passen den Inhalt jeder Einreichung an die empfangende Behörde an.

Was ist der Unterschied zwischen den NIS2-Anforderungen und NIS1?

NIS2 erweitert die ursprüngliche NIS-Richtlinie in Bezug auf Geltungsbereich, Durchsetzung, Governance und Berichterstattung erheblich. NIS1 umfasste sieben Sektoren; NIS2 umfasst achtzehn. NIS1 erlaubte es den Mitgliedstaaten, ihre eigenen Meldefristen festzulegen; NIS2 harmonisiert einen dreistufigen Prozess in der gesamten EU. 

NIS2 führt außerdem eine persönliche Haftung der Unternehmensleitung gemäß Artikel 20, verpflichtende Sicherheitsbewertungen der Lieferkette sowie EU-weite Mindestobergrenzen für Strafen von bis zu 10 Mio. € oder 2 % des weltweiten Umsatzes ein. NIS1 enthielt keine dieser Bestimmungen.