NIS2-Anforderungen: Compliance-Leitfaden & Bereitschafts-Checkliste

Die NIS2-Anforderungen gelten für 18 kritische Sektoren in der gesamten EU und schreiben Risikokontrollen, eine gestufte Meldung von Vorfällen sowie eine persönliche Haftung der Unternehmensleitung bei Nichteinhaltung vor.

Was ist NIS2?

Die NIS2-Richtlinie ist das grundlegende Cybersicherheitsgesetz der Europäischen Union für Organisationen in kritischen und wichtigen Sektoren. Wenn Sie in der EU tätig sind oder die EU bedienen, ist NIS2 jetzt Ihre Sicherheitsgrundlage, und selbst wenn Ihr Mitgliedstaat noch aufholt, sollten Sie bereits jetzt an der in der Richtlinie festgelegten Grundlage arbeiten.

Diese Dringlichkeit ist nicht theoretisch. Im Jahr 2021 war Colonial Pipeline nach einem Ransomware-Angriff gezwungen, den Betrieb einzustellen; aus einer Veröffentlichung des DOJ geht hervor, dass das Unternehmen etwa 4,4 Millionen US-Dollar Lösegeld zahlte. NIS2 ist für diese Art von Störung ausgelegt: Sie formalisiert Erwartungen an das Risikomanagement, erzwingt eine schnelle Meldung und macht Governance-Versäumnisse zu einem Problem auf Vorstandsebene.

NIS2 trat im Oktober 2024 in Kraft und ersetzte die ursprüngliche NIS-Richtlinie (2016/1148), wobei die NIS2-Seite der Europäischen Kommission sie als Anhebung „des gemeinsamen Ambitionsniveaus der EU im Bereich Cybersicherheit durch einen erweiterten Geltungsbereich, klarere Regeln und stärkere Aufsichtsinstrumente“ beschreibt. In der Praxis erweitert NIS2 die erfassten Sektoren, führt verbindliche Fristen für die Meldung von Vorfällen ein und schafft persönliche Verantwortlichkeit für die Unternehmensleitung.

Um zu verstehen, warum diese Änderungen für Ihr Sicherheitsprogramm wichtig sind, hilft es, sich anzusehen, was NIS2 konkret verlangt.

Was sind die NIS2-Anforderungen?

NIS2-Anforderungen sind die verbindlichen Cybersicherheitsverpflichtungen, die im Rahmen der NIS2-Richtlinie (Richtlinie 2022/2555) für Organisationen festgelegt wurden, die in kritischen und wichtigen Sektoren in der gesamten EU tätig sind. 

Sie umfassen Risikomanagementmaßnahmen nach Artikel 21, Meldepflichten für Vorfälle nach Artikel 23 und Governance-Verantwortlichkeit nach Artikel 20. Zusammen schaffen diese Anforderungen eine verbindliche Sicherheitsgrundlage, die für Tausende von Einrichtungen in achtzehn Sektoren gilt.

Warum sind NIS2-Anforderungen für die Cybersicherheit wichtig?

IT-Vorfälle werden schneller zu Geschäftskrisen, als die meisten Bilanzen verkraften können. NotPetya hat das 2017 bewiesen. Merck legte später in einer SEC-Einreichung von Merck damit verbundene Kosten von rund 870 Millionen US-Dollar offen. NIS2 soll verhindern, dass dies Ihre Geschichte wird.  Sie müssen Governance, Reaktionsbereitschaft und Kontrollwirksamkeit nachweisen, und Prüfer werden nach dokumentierten Nachweisen suchen, nicht nach Konfigurations-Screenshots.

NIS2 ist keine Checkbox-Übung. Sie schreibt spezifische Maßnahmen zum Cybersicherheits-Risikomanagement vor, verlangt eine strukturierte Meldung von Vorfällen innerhalb enger Fristen und macht Ihren Vorstand persönlich für Aufsichtsversäumnisse verantwortlich.

Die Richtlinie führt außerdem eine zweistufige Klassifizierung ein. Wesentliche Einrichtungen unterliegen einer proaktiven (ex-ante) Aufsicht mit Audits und Inspektionen. Wichtige Einrichtungen unterliegen einer reaktiven (ex-post) Aufsicht, die durch Hinweise auf Nichteinhaltung ausgelöst wird. Beide Stufen sind mit erheblichen finanziellen Sanktionen und Managementhaftung verbunden.

Was hat sich von NIS1 zu NIS2 geändert?

Wenn Ihre Organisation unter die ursprüngliche NIS-Richtlinie fiel, ist die Lücke zwischen den beiden Rahmenwerken erheblich. NIS2 ist keine geringfügige Überarbeitung. Sie strukturiert Verpflichtungen in Bezug auf Geltungsbereich, Durchsetzung, Governance und Meldung neu.

• Der Geltungsbereich wurde erheblich erweitert. Die ursprüngliche Richtlinie umfasste sieben Sektoren: Energie, Verkehr, Bankwesen, Finanzmarktinfrastruktur, Gesundheit, Trinkwasser und digitale Infrastruktur. NIS2 erweitert dies auf achtzehn Sektoren und ergänzt Abwasser, Raumfahrt, Verwaltung von IKT-Diensten, öffentliche Verwaltung, Postdienste, Abfallwirtschaft, Chemikalien, Lebensmittelproduktion, Fertigung und Forschung. Die Europäische Kommission schätzt, dass NIS2 nun Zehntausende von Einrichtungen in der gesamten EU erfasst, verglichen mit einigen Hundert unter NIS1.
• Die Meldung von Vorfällen ist jetzt harmonisiert. Unter NIS1 legten die Mitgliedstaaten ihre eigenen Meldefristen und Kriterien fest, was zu Inkonsistenzen über Grenzen hinweg führte. NIS2 standardisiert den dreistufigen Prozess: Frühwarnung innerhalb von 24 Stunden, Vorfallmeldung innerhalb von 72 Stunden und Abschlussbericht innerhalb eines Monats, einheitlich angewendet in der gesamten EU.
• Managementverantwortung ist neu. NIS1 legte Sicherheitsverpflichtungen Organisationen auf. NIS2 ergänzt in Artikel 20 eine persönliche Haftung der Unternehmensleitung, einschließlich der Möglichkeit für Behörden, Führungskräften nach einem schwerwiegenden Verstoß vorübergehend die Ausübung von Leitungsfunktionen zu untersagen.
• Lieferkettenverpflichtungen sind neu. NIS1 enthielt keine strukturierten Anforderungen an die Sicherheit der Lieferkette. Artikel 21 verlangt nun, dass Sie die Sicherheitslage Ihrer Lieferanten, deren eigene Abhängigkeiten bewerten und sie vertraglich an Ihre NIS2-Anforderungen binden.
• Die Sanktionen wurden erheblich erhöht. NIS1 überließ die Höhe der Sanktionen dem nationalen Ermessen, was zu großen Unterschieden führte. NIS2 legt EU-weite Mindestobergrenzen fest: bis zu 10 Millionen Euro oder 2 % des weltweiten Umsatzes für wichtige Einrichtungen und bis zu 7 Millionen Euro oder 1,4 % des weltweiten Umsatzes für wesentliche Einrichtungen, je nachdem, welcher Betrag in beiden Fällen höher ist. Die vollständige Aufschlüsselung der Sanktionen finden Sie in den NIS2-FAQ der Kommission.

Die erste Frage lautet also nicht, wie Sie die Vorschriften einhalten. Sondern ob Sie überhaupt in den Geltungsbereich fallen.

Für wen gilt NIS2?

Der Geltungsbereich von NIS2 hängt von Sektor, Größe und Dienstleistungsrolle ab. Die Richtlinie verwendet zwei Anhänge zur Klassifizierung von Einrichtungen sowie Größenschwellen, um festzulegen, ob sie standardmäßig in den Geltungsbereich fallen.

• Wesentliche Einrichtungen (Anhang I) sind in hochkritischen Sektoren tätig: Energie (Elektrizität, Öl, Gas, Wasserstoff, Fernwärme), Verkehr (Luft, Schiene, Wasser, Straße), Bankwesen und Finanzmarktinfrastruktur, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur (DNS-Anbieter, TLD-Register, Cloud-Anbieter, Rechenzentren, CDNs, Vertrauensdiensteanbieter, elektronische Kommunikationsnetze), Verwaltung von IKT-Diensten (Managed Service Provider und Managed Security Service Provider), öffentliche Verwaltung und Raumfahrt.
• Wichtige Einrichtungen (Anhang II) sind in anderen kritischen Sektoren tätig: Post- und Kurierdienste, Abfallwirtschaft, Herstellung und Vertrieb von Chemikalien, Lebensmittelproduktion und -vertrieb, Herstellung von Medizinprodukten, Computern, Elektronik, Maschinen, Kraftfahrzeugen und sonstiger Verkehrsausrüstung, digitale Anbieter (Online-Marktplätze, Online-Suchmaschinen, soziale Netzwerke) und Forschungseinrichtungen.
• Größenschwellen gelten in den meisten Fällen. Organisationen mit 50 oder mehr Beschäftigten oder 10 Millionen Euro oder mehr Jahresumsatz, die in einem erfassten Sektor tätig sind, fallen standardmäßig in den Geltungsbereich. Mittlere und große Unternehmen haben im Allgemeinen keine automatische Ausnahme. Kleinere Organisationen können jedoch weiterhin als wesentlich oder wichtig eingestuft werden, wenn sie der einzige Anbieter eines kritischen Dienstes in ihrem Mitgliedstaat sind, wenn ihre Störung erhebliche grenzüberschreitende Auswirkungen hätte oder wenn eine nationale Behörde feststellt, dass sie ein systemisches Risiko darstellen. Eine praxisnahe Erläuterung der Größenkriterien finden Sie in den NIS2-FAQ des NCSC Ireland.
• Nicht-EU-Organisationen sind nicht automatisch ausgenommen. Wenn Sie in der EU Dienste erbringen, die in den Geltungsbereich fallen, auch wenn Ihr Hauptsitz außerhalb der EU liegt, müssen Sie möglicherweise einen Vertreter in einem Mitgliedstaat benennen und das nationale Umsetzungsgesetz dieses Staates zu NIS2 einhalten. Bestätigen Sie Ihre Position bei Ihrer zuständigen nationalen Behörde.

Wenn Geltungsbereich und Klassifizierung geklärt sind, beginnt die eigentliche Arbeit. Hier ist, was NIS2 von Ihnen verlangt.

Zentrale NIS2-Sicherheitsanforderungen

Die NIS2-Anforderungen lassen sich in drei Kernpfeiler unterteilen: verbindliche Sicherheitsmaßnahmen, Meldung von Vorfällen und Durchsetzung. Jeder davon wirkt sich direkt darauf aus, wie Sie Ihr Sicherheitsprogramm strukturieren.

Verbindliche Sicherheitsmaßnahmen (Artikel 21)

Jede erfasste Einrichtung muss Cybersicherheits-Risikomanagementmaßnahmen umsetzen, die ihrem Risikopotenzial, ihrer Größe und ihrer gesellschaftlichen Auswirkung angemessen sind. Die Anforderungen aus Artikel 21 lassen sich in einige operative Themenbereiche gruppieren:

• Governance und Assurance: Risikoanalyse, Sicherheitsrichtlinien und laufende Bewertung der Wirksamkeit, damit Sie nachweisen können, dass Kontrollen funktionieren, mit Nachweisen, die Regulierungsbehörden prüfen können.
• Operative Resilienz: Vorfallsbehandlung und Geschäftskontinuität, einschließlich Backup und Disaster Recovery, abgestimmt auf Ihren Incident-Response-Prozess.
• Sichere Entwicklung und Kommunikation: Sicherheit bei Beschaffung, Entwicklung und Wartung von Systemen sowie Kryptografie- und Verschlüsselungsrichtlinien und sichere Kommunikation.
• Menschen, Zugriff und Dritte: Grundlegende Cyberhygiene und Schulungen (einschließlich Management), Zugriffskontrolle und Asset-Management, Lieferantensicherheit (einschließlich Exposition gegenüber Lieferkettenangriffen) und starke Authentifizierung wie Multi-Faktor-Authentifizierung.

Diese Maßnahmen sind bewusst breit angelegt. NIS2 schreibt keine spezifischen Technologien vor, sondern nur angemessene Ergebnisse, aber wer für deren Erreichung verantwortlich ist, bleibt nicht der Auslegung überlassen.

Managementverantwortung (Artikel 20)

Ihr Leitungsorgan muss Cybersicherheitsmaßnahmen genehmigen, ihre Umsetzung überwachen und Cybersicherheitsschulungen absolvieren. Diese Pflichten können nicht delegiert werden. Laut der NIS2-Analyse von DLA Piper kann die Unternehmensleitung „für Verstöße gegen ihre Pflichten aus der Richtlinie persönlich haftbar gemacht werden“.

Das ist das „Was“. Die folgenden Abschnitte behandeln das „Wie“: Meldung von Vorfällen, Governance, Lieferkettenverpflichtungen und Durchsetzung.

Anforderungen an die Meldung von Vorfällen nach NIS2

Artikel 23 legt einen verbindlichen dreistufigen Meldeprozess fest, wobei die Frist beginnt, wenn Sie Kenntnis von einem Vorfall erlangen, nicht wenn der Vorfall eingetreten ist.

• Stufe 1: Frühwarnung. Innerhalb eines Tages übermitteln Sie eine erste Klassifizierung, geben an, ob der Vorfall offenbar auf rechtswidrige oder böswillige Handlungen zurückzuführen ist, bewerten mögliche grenzüberschreitende Auswirkungen und stellen Kontaktdaten für die Koordination bereit.
• Stufe 2: Vorfallmeldung. Innerhalb von drei Tagen liefern Sie eine aktualisierte Analyse von Schweregrad und Auswirkungen, Indicators of Compromise (IoCs), sofern verfügbar, betroffene Systeme und Dienste sowie die Identifizierungsmethode und den Zeitstempel.
• Stufe 3: Abschlussbericht. Innerhalb eines Monats liefern Sie eine Ursachenanalyse, eine Beschreibung der angewandten und laufenden Reaktionsmaßnahmen sowie eine Bewertung der grenzüberschreitenden Auswirkungen.

Ein „erheblicher Vorfall“ im Sinne von Artikel 23 Absatz 3 ist ein Vorfall, der schwere operative Störungen, finanzielle Verluste oder materielle oder immaterielle Schäden für andere Personen verursacht hat oder verursachen kann. Die Schwelle „verursachen kann“ bedeutet, dass Sie potenzielle Auswirkungen bewerten müssen, nicht nur bestätigte Schäden. Das Versäumen einer beliebigen Stufe dieser Meldekette setzt Sie aufsichtsrechtlichen Maßnahmen aus.

Meldepflichten legen fest, was Sie nach einem Vorfall kommunizieren müssen. Die nachstehenden Governance-Anforderungen definieren, wer dafür verantwortlich ist, diese Vorfälle überhaupt zu verhindern.

Governance- und Verantwortlichkeitsanforderungen

Artikel 20 überträgt die Cybersicherheits-Governance direkt auf Ihr Leitungsorgan. Vorstandsmitglieder und leitende Führungskräfte müssen die Cybersicherheits-Risikomanagementmaßnahmen Ihrer Organisation genehmigen und deren Umsetzung aktiv überwachen. Diese Verantwortlichkeiten sind persönlich und können nicht delegiert werden.

1. Verpflichtende Managementschulung. Jedes Mitglied Ihres Leitungsorgans muss eine Cybersicherheitsschulung absolvieren. Artikel 20 Absatz 2 legt fest, dass die Schulung ausreichen sollte, um Risiken zu erkennen, Cybersicherheits-Risikomanagementpraktiken zu bewerten und deren Auswirkungen auf die von Ihrer Organisation erbrachten Dienste zu beurteilen. Dies ist keine einmalige Onboarding-Anforderung. Die Schulung muss mit Ihrer sich entwickelnden Risikoumgebung Schritt halten, und Regulierungsbehörden können Abschlussnachweise bei Audits überprüfen.
2. Persönliche Haftung bei Aufsichtsversäumnissen. Wenn ein Cybersicherheitsvorfall auf unzureichende Governance zurückzuführen ist, können nationale Behörden einzelne Führungskräfte zur Verantwortung ziehen. Zu den Sanktionen gehören Verwaltungsgeldbußen, öffentliche Bekanntmachung des Verstoßes und bei wesentlichen Einrichtungen ein vorübergehendes Verbot der Ausübung von Leitungsfunktionen. Hogan Lovells weist darauf hin, dass NIS2 „Cyberresilienz zu einer Frage der Corporate Governance und der persönlichen Verantwortlichkeit auf Vorstandsebene erhebt“.
3. Dokumentierte Nachweise der Aufsicht. Ein Sicherheitsprogramm, das vollständig innerhalb Ihrer IT-Abteilung läuft und auf Führungsebene keine sichtbare Governance-Spur hinterlässt, wird einen Prüfer nicht zufriedenstellen. Regulierungsbehörden erwarten Folgendes:

• Vom Vorstand genehmigte Sicherheitsrichtlinien mit namentlich genannten Unterzeichnern und Genehmigungsdaten
• Dokumentierte Entscheidungen zur Risikobehandlung, aus denen hervorgeht, wie Restrisiken akzeptiert oder adressiert wurden
• Nachweise regelmäßiger Überprüfungszyklen, die belegen, dass Richtlinien aktualisiert werden und nicht statisch sind
• Entscheidungen zur Ressourcenzuweisung, die Budget und Personal mit identifizierten Risiken verknüpfen

Verknüpfen Sie jedes dieser Artefakte mit namentlich genannten Personen und Daten. Wenn Sie diese Nachweise auf Anfrage nicht vorlegen können, sind Ihre Kontrollen faktisch undokumentiert.

Governance-Verantwortlichkeit etabliert die interne Verantwortungskette. NIS2 erweitert diese Verantwortlichkeit durch Anforderungen an die Sicherheit der Lieferkette nach außen.

NIS2-Anforderungen an die Sicherheit der Lieferkette

Artikel 21 Absatz 2 Buchstabe d verlangt von Ihnen, Sicherheitsrisiken in Ihrer Lieferkette zu bewerten und zu steuern, einschließlich Ihrer direkten Lieferanten und Dienstleister. NIS2 behandelt Drittparteirisiken als Ihr Risiko: Wenn die Schwäche eines Lieferanten einen Verstoß in Ihrer Umgebung verursacht, liegt die Compliance-Verpflichtung weiterhin bei Ihnen.

Kriterien für die Lieferantenbewertung. Ihre Bewertung muss über oberflächliche Fragebögen hinausgehen. NIS2 erwartet, dass Sie die spezifischen Schwachstellen jedes Lieferanten, die Gesamtqualität seiner Produkte und seine Cybersicherheitspraktiken, die Rechtsräume, in denen er tätig ist, sowie die eigenen Lieferkettenabhängigkeiten des Lieferanten berücksichtigen. 

Vertragliche Sicherheitsanforderungen. Lieferantenverträge müssen NIS2-konforme Sicherheitsklauseln enthalten. Mindestens sollten Verträge Folgendes abdecken:

• Pflichten zur Meldung von Vorfällen, damit Sie Ihre eigenen Meldefristen einhalten können
• Auditrechte, die es Ihnen ermöglichen, die Sicherheitskontrollen des Lieferanten zu überprüfen
• Service Level Agreements, die an die Sicherheitsleistung gekoppelt sind
• Kündigungsklauseln bei anhaltender Nichteinhaltung

Diese Klauseln machen aus Ihren Compliance-Erwartungen durchsetzbare Verpflichtungen statt informeller Absprachen.

Softwaretransparenz. Für kritische Softwarekomponenten sollten Sie Software Bills of Materials (SBOMs) pflegen, die die Komponenten und Abhängigkeiten innerhalb der Software dokumentieren, die Ihre Lieferanten bereitstellen. SBOMs geben Ihnen Transparenz über Schwachstellen, die nach der Bereitstellung auftreten, und unterstützen eine schnellere Bewertung der Auswirkungen bei Vorfällen.

Diversifizierung und Kontinuität. NIS2 erwartet außerdem, dass Sie Konzentrationsrisiken bewerten. Wenn der Ausfall eines einzelnen Lieferanten einen kritischen Dienst lahmlegen könnte, dokumentieren Sie Ihren Kontinuitätsplan und identifizieren Sie, soweit möglich, alternative Anbieter. Das Ziel ist Resilienz, nicht nur Compliance.

Lieferkettenverpflichtungen definieren den externen Perimeter Ihres Compliance-Programms. Die nachstehenden Durchsetzungsmechanismen legen fest, was passiert, wenn irgendein Teil dieses Programms unzureichend ist.

NIS2-Durchsetzungs- und Sanktionsanforderungen

NIS2 basiert nicht auf guten Absichten. Sie setzt Compliance durch Aufsichtsbefugnisse, finanzielle Sanktionen und persönliche Haftung durch.

Aufsichtsbefugnisse

Wesentliche Einrichtungen unterliegen nach Artikel 32 einer proaktiven Aufsicht. Behörden können Vor-Ort-Inspektionen, zufällige und Ad-hoc-Audits, Sicherheitsscans und Nachweisanforderungen durchführen. Sie können außerdem verbindliche Anweisungen erteilen, die öffentliche Bekanntmachung von Verstößen anordnen und CEOs oder gesetzlichen Vertretern vorübergehend die Ausübung von Leitungsfunktionen untersagen.

Wichtige Einrichtungen unterliegen nach Artikel 33 einer reaktiven Aufsicht, die durch Nachweise oder Hinweise auf Nichteinhaltung ausgelöst wird. Sie unterliegen denselben Sanktionsstrukturen, sind jedoch keinen proaktiven Zufallsaudits ausgesetzt. In beiden Fällen sind die finanziellen Folgen erheblich.

Sanktionsstrukturen

NIS2-Sanktionen werden entweder auf Grundlage einer festen Obergrenze oder eines Prozentsatzes des weltweiten Umsatzes berechnet, je nachdem, welcher Betrag höher ist, wobei für wesentliche Einrichtungen höhere Obergrenzen gelten als für wichtige Einrichtungen. Die vollständige Einordnung der Sanktionen durch die Kommission finden Sie in den NIS2-FAQ der Kommission.

Die Managementhaftung geht über Geldbußen hinaus. Hogan Lovells weist darauf hin, dass NIS2 „Cyberresilienz zu einer Frage der Corporate Governance und der persönlichen Verantwortlichkeit auf Vorstandsebene erhebt“.

Bisher hat keine Behörde öffentliche NIS2-Durchsetzungsfälle gemeldet, aber der Richtlinientext macht den erwarteten Standard und die Aufsichtsinstrumente klar. Dieses Rahmenwerk zu verstehen, reicht allein nicht aus. Die Arten, wie die meisten Organisationen scheitern, sind vorhersehbar, und jede einzelne ist vermeidbar.

Häufige Herausforderungen bei der Erfüllung der NIS2-Anforderungen

Die Richtlinie liest sich klar genug. Bei der Umsetzung geraten Organisationen ins Stolpern. Dies sind die Fehltritte, über die wesentliche und wichtige Einrichtungen am häufigsten stolpern, und keiner davon ist schwer zu vermeiden.

• NIS2 als rein technische Übung behandeln. NIS2 verlangt organisatorische Veränderungen. Artikel 20 erfordert Vorstandsgenehmigung, Managementschulung und dokumentierte Verantwortlichkeit. Regulierungsbehörden werden nach Governance-Nachweisen in all diesen Dimensionen suchen.
• Einmalige Risikobewertungen durchführen. Eine einzelne Risikobewertung steht im Widerspruch zur Anforderung einer kontinuierlichen Wirksamkeitsbewertung nach Artikel 21. Sie benötigen fortlaufende Risikoüberprüfungen in Ihrer Governance-Agenda in regelmäßigen Abständen, mit dokumentierten Aktualisierungen der Risikobehandlungspläne.
• Due Diligence in der Lieferkette bei direkten Lieferanten beenden. NIS2 verlangt, dass Sie die eigenen Lieferkettenabhängigkeiten Ihrer Lieferanten bewerten, wodurch Verpflichtungen in Bezug auf Fourth-Party-Risiken entstehen. Laut der Umsetzungsleitlinie von ENISA „bleiben Risiken für von Dritten bereitgestellte Netz- und Informationssysteme … in der Verantwortung der Einrichtung selbst“.
• Unzureichende Dokumentation pflegen. Kontrollen, die existieren, aber bei einem Audit nicht nachgewiesen werden können, sind faktisch nicht existent. Verknüpfen Sie jeden Eintrag im Risikoregister mit Kontrollen, Zuständigkeiten und Nachweisen. Bereiten Sie eine auditfähige Compliance-Darstellung vor, bevor Regulierungsbehörden danach fragen.
• Das eintägige Meldefenster unterschätzen. Die Frühwarnung erfordert eine Übermittlung, bevor die vollständige Bewertung der Auswirkungen abgeschlossen ist. Wenn Ihre Incident-Response-Workflows die Erheblichkeit nach Kenntniserlangung nicht schnell klassifizieren können, werden Sie die Frist versäumen oder ungenaue Informationen übermitteln, was beides regulatorische Risiken schafft.

Die meisten dieser Fehler haben dieselbe Ursache: NIS2 als Projekt statt als Programm zu behandeln. Die folgende Checkliste gibt Ihnen eine strukturierte Möglichkeit, es als Letzteres aufzubauen.

Checkliste zur Umsetzung der NIS2-Anforderungen

Diese Checkliste mit acht Phasen basiert auf der Umsetzungsleitlinie von ENISA.

Phase 1: Geltungsbereich und Gap-Analyse

• Bestimmen Sie Ihre Einrichtungsklassifizierung (wesentlich oder wichtig) anhand der Anhänge I und II
• Berechnen Sie die Beschäftigtenzahl anhand von Annual Work Units, nicht anhand einfacher Kopfzahlen
• Ordnen Sie alle Tochtergesellschaften und Geschäftsbereiche den von NIS2 erfassten Sektoren zu
• Bewerten Sie Ihre aktuelle Lage anhand der Anforderungen aus Artikel 21
• Dokumentieren Sie die Begründung für Ihre Festlegung des Geltungsbereichs

Phase 2: Governance- und Richtlinienrahmen

• Weisen Sie Verantwortung für Cybersicherheit auf Vorstandsebene mit dokumentierter Verantwortlichkeit zu
• Richten Sie regelmäßige Berichtsmechanismen an die Unternehmensleitung ein
• Erstellen oder aktualisieren Sie Ihre Informationssicherheitsrichtlinie im Einklang mit Artikel 21
• Entwickeln Sie Incident-Response-Verfahren, die die Fristen aus Artikel 23 erfüllen
• Dokumentieren Sie die formale Genehmigung der Cybersicherheits-Risikomanagementmaßnahmen durch den Vorstand

Phase 3: Umsetzung technischer Kontrollen

• Implementieren Sie Zugriffskontrollen nach dem Least-Privilege-Prinzip
• Implementieren Sie Multi-Faktor-Authentifizierung (MFA) oder kontinuierliche Authentifizierung in kritischen Systemen
• Implementieren Sie Verschlüsselung für sensible Daten im Ruhezustand und bei der Übertragung
• Richten Sie eine kontinuierliche Sicherheitsüberwachung für alle kritischen Systeme ein
• Pflegen Sie Audit-Trails, die Sicherheitsentscheidungen mit Risikobewertungen verknüpfen

Phase 4: Sicherheit der Lieferkette

• Erfassen Sie alle direkten Lieferanten und Dienstleister
• Bewerten Sie Lieferanten anhand der NIS2-Bewertungskriterien (Rechtsraum, Compliance, Eigentumsverhältnisse, Kontinuität, Diversifizierung)
• Bewerten Sie die eigenen Lieferkettenabhängigkeiten der Lieferanten
• Aktualisieren Sie Verträge, um NIS2-Sicherheitsanforderungen und SLAs aufzunehmen
• Nehmen Sie Vorfallmeldungen, Auditrechte und Kündigungsklauseln in Lieferantenverträge auf
• Pflegen Sie Software Bills of Materials (SBOMs) für kritische Softwarekomponenten

Phase 5: Schulung und Sensibilisierung

• Bieten Sie NIS2-Schulungen für Vorstandsmitglieder an, die Verpflichtungen aus Artikel 20 und persönliche Haftung abdecken
• Führen Sie rollenbasierte Sensibilisierungsprogramme für alle Beschäftigten ein

Phase 6: Vorbereitung auf Incident Response

• Schaffen Sie die Fähigkeit zur Erstmeldung innerhalb eines Tages
• Stellen Sie im Voraus Beziehungen zu Ihrem nationalen Computer Security Incident Response Team (CSIRT) her
• Bereiten Sie Vorlagen für alle drei Meldestufen vor
• Testen Sie Verfahren regelmäßig mit Tabletop-Übungen

Phase 7: Kontinuierliche Überwachung und Verbesserung

• Führen Sie regelmäßige interne Audits mit qualifiziertem Personal durch
• Verknüpfen Sie jede Zeile im Risikoregister mit Kontrollen, Zuständigkeiten und Nachweisen
• Überwachen Sie Threat-Intelligence-Feeds und aktualisieren Sie Risikobewertungen entsprechend

Phase 8: Überlegungen zu OT-Umgebungen (falls zutreffend)

• Definieren Sie eine separate Cyber-Governance für OT-Assets
• Implementieren Sie Netzwerksegmentierung zwischen IT- und OT-Umgebungen
• Nehmen Sie NIS2-Compliance-Klauseln in Verträge mit OT-Anbietern auf

Die systematische Bearbeitung jeder Phase schafft eine konforme Grundlage. Die folgenden Praktiken helfen Ihnen, diese im Laufe der Zeit aufrechtzuerhalten.

Best Practices zur Erfüllung der NIS2-Anforderungen

• Richten Sie sich zuerst an bestehenden Frameworks aus. Wenn Sie bereits Kontrollen nach ISO 27001 oder NIST CSF pflegen, ordnen Sie diese den Anforderungen aus Artikel 21 von NIS2 zu. Die Überschneidung ist erheblich. Eine Gap-Analyse geht von einer etablierten Grundlage schneller voran als von einer leeren Seite.
• Bauen Sie Ihren Workflow zur Meldung von Vorfällen auf, bevor Sie ihn brauchen. Identifizieren Sie jetzt Ihre zuständige nationale Behörde und Ihr CSIRT. Erstellen Sie Vorlagen für alle drei Meldestufen im Voraus und führen Sie Tabletop-Übungen durch, um schnelle Klassifizierung und Übermittlung zu testen.
• Nutzen Sie die Managementhaftung als strategischen Hebel. Die Bestimmungen zur persönlichen Verantwortlichkeit in Artikel 20 schaffen Dringlichkeit auf Vorstandsebene. Präsentieren Sie Ihre Compliance-Roadmap in Bezug auf Risikopotenzial: Quantifizieren Sie, was Nichteinhaltung kostet, im Vergleich dazu, was Ihr Sicherheitsprogramm erfordert. Der Vorstand kann die Genehmigung von Cybersicherheitsmaßnahmen nach Artikel 20 nicht delegieren. Diese einzelne gesetzliche Tatsache ist oft Ihr stärkstes Instrument, um Budget und Priorität zu gewinnen.

Diese Praktiken lassen sich nur mit Tooling skalieren, das mit den Anforderungen von NIS2 an kontinuierliche Überwachung Schritt hält. Hier verdient die richtige Plattform ihren Platz, mit integrierten Audit-Trails statt nachträglich angefügten.

Wie SentinelOne die NIS2-Anforderungen unterstützt

NIS2 verlangt ohne Unterbrechung drei Dinge von Ihnen: kontinuierlich überwachen, Vorfälle schnell klassifizieren und nachweisen, dass Ihre Kontrollen tatsächlich funktionieren. Manueller Aufwand, verteilt auf Dutzende nicht verbundene Tools, kann dieses Tempo nicht halten. Die SingularityTM Platform von SentinelOne konsolidiert Endpoint-, Identitäts- und Cloud-Sicherheit in einer Konsole und bietet Ihnen Echtzeittransparenz und autonome Reaktionsfähigkeiten, die direkt Ihren NIS2-Verpflichtungen entsprechen.

• Kontinuierliche Überwachung und Wirksamkeitsbewertung (Artikel 21). Die Singularity Platform führt auf jedem Agenten ständig aktive Behavioral AI aus. Sie erkennt Bedrohungen anhand ihres Verhaltens, bevor überhaupt eine Signatur existiert. 
• Vorfallsbehandlung und Meldung (Artikel 21 und 23). Die Storyline-Technologie verknüpft Telemetrie aus Endpunkten, Cloud-Workloads und Identitäten zu einer einzigen Angriffschronologie. Wenn ein erheblicher Vorfall eintritt, verfügen Sie bereits über den forensischen Kontext, IoCs und Wirkungsnachweise, die Ihre Frühwarnung benötigt. Kein hektisches Suchen über ein Dutzend Dashboards hinweg.
• Schnellere Untersuchungen (Artikel 21). Purple AI wandelt Fragen in natürlicher Sprache in Antworten aus Ihrer Telemetrie um und erstellt für Sie den Untersuchungsbericht. Frühe Anwender berichten von bis zu 80 % schnelleren Bedrohungsuntersuchungen, was wichtig ist, wenn Sie schnell von „wir haben etwas gesehen“ zu einer begründeten regulatorischen Klassifizierung gelangen müssen.
• Identitätsaufsicht (Artikel 21). Singularity Identity stoppt identitätsgesteuerte Angriffe, bevor sie zu dem Ausfall werden, der Schlagzeilen macht. Es deckt Zugriffskontrolle, Kontohygiene und Eindämmung von Vorfällen ab.
• Geschäftskontinuität und Wiederherstellung (Artikel 21). Das 1-Click-Rollback von SentinelOne macht Ransomware-Verschlüsselung rückgängig und stellt Endpunkte in einen Zustand vor der Infektion zurück, wodurch Wiederherstellungsziele unterstützt werden, ohne sich ausschließlich auf Backup-Wiederherstellungs-Workflows zu verlassen.

Buchen Sie eine SentinelOne-Demo, um zu sehen, wie jede Funktion Ihrem NIS2-Programm zugeordnet wird, Kontrolle für Kontrolle.

Wichtige Erkenntnisse

NIS2 gilt jetzt, unabhängig davon, welches Stadium die Umsetzung in Ihrem Mitgliedstaat erreicht hat. Sie legt definierte Sicherheitsmaßnahmen nach Artikel 21 fest, erzwingt eine schnelle, gestufte Meldung von Vorfällen und überträgt der Unternehmensleitung persönliche Verantwortlichkeit. 

Wesentliche Einrichtungen tragen die zusätzliche Last proaktiver Aufsicht, einschließlich Audits und Inspektionen. Nichts davon lässt sich mit einem einmaligen Zertifikat erledigen. Compliance ist kontinuierlich: Überwachung, Bewertung der Lieferkette und dokumentierte Governance, stets aktuell gehalten. Betreiben Sie es als Programm, dann wird es zu einem Vorteil.

FAQs

Was ist NIS2?

NIS2 (Richtlinie 2 über Netz- und Informationssicherheit) ist eine EU-Verordnung, die Cybersicherheitsanforderungen für Organisationen festlegt, die in kritischen Sektoren wie Energie, Verkehr, Gesundheitswesen und digitaler Infrastruktur tätig sind. 

Sie ersetzte die ursprüngliche NIS-Richtlinie im Oktober 2024, erweiterte den Geltungsbereich der erfassten Einrichtungen, führte verbindliche Fristen für die Meldung von Vorfällen ein und schuf eine persönliche Haftung für die oberste Führungsebene. Organisationen müssen gemäß Artikel 21 festgelegte Risikomanagementmaßnahmen umsetzen und erhebliche Vorfälle innerhalb von 24 Stunden melden, nachdem sie davon Kenntnis erlangt haben.

Wann gelten die NIS2-Anforderungen?

Die NIS2-Anforderungen wurden am 17. Oktober 2024 anwendbar, als die Frist für die Umsetzung der Richtlinie für alle EU-Mitgliedstaaten ablief. Selbst dort, wo nationale Umsetzungsgesetze noch finalisiert werden, ist die Grundlage der Richtlinie festgelegt, und die Regulierungsbehörden erwarten von den betroffenen Einrichtungen, ihre Sicherheitsprogramme entsprechend auszurichten. 

Organisationen im Geltungsbereich sollten bereits die Risikomanagement- Maßnahmen nach Artikel 21 umsetzen, Meldefähigkeiten gemäß Artikel 23 aufbauen und Governance-Entscheidungen nach Artikel 20 dokumentieren.

Was sind die wichtigsten Anforderungen von NIS2?

NIS2 schreibt für betroffene Einrichtungen drei Kategorien von Verpflichtungen vor:

1. Verhältnismäßige Maßnahmen zum Cybersicherheits-Risikomanagement, die Risikoanalyse, Incident-Handling, Geschäftskontinuität, Sicherheit der Lieferkette, Zugriffskontrolle, Verschlüsselung und die laufende Bewertung der Wirksamkeit abdecken (Artikel 21). 
2. Gestufte Incident-Meldung: eine Frühwarnung innerhalb von 24 Stunden, eine Incident-Benachrichtigung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats (Artikel 23).
3. Leitungsorgane sind verpflichtet, Cybersicherheitsmaßnahmen zu genehmigen, zu überwachen und entsprechend geschult zu werden, wobei bei Aufsichtsversäumnissen eine persönliche Haftung besteht (Artikel 20).

Gilt NIS2 für Organisationen außerhalb der EU?

Ja, wenn Sie Dienstleistungen in der EU erbringen, können Sie in den Geltungsbereich fallen, auch wenn sich Ihr Hauptsitz anderswo befindet. Entscheidend ist, ob Sie in einem Mitgliedstaat tätig sind oder dort erfasste Dienstleistungen erbringen und die Sektor- und Größenkriterien erfüllen, einschließlich bestimmter Lieferantenrollen. 

Wenn Sie unsicher sind, dokumentieren Sie Ihre Annahmen zur Abgrenzung des Geltungsbereichs und bestätigen Sie die Erwartungen mit der zuständigen nationalen Behörde dort, wo Sie die Dienstleistung erbringen.

Wie unterscheidet sich NIS2 von der DSGVO bei der Meldung von Vorfällen?

NIS2 verwendet einen stufenweisen Rahmen mit Fokus auf Betriebsunterbrechungen und Dienstauswirkungen. GDPR verlangt die Meldung von Verletzungen des Schutzes personenbezogener Daten an Ihre Datenschutzbehörde innerhalb einer separaten Frist. 

Wenn ein Vorfall sowohl eine Dienstunterbrechung als auch die Offenlegung personenbezogener Daten umfasst, sollten Sie beide Meldewege koordinieren, Ihre Fakten konsistent halten und Beweise sichern, damit Sie Ihre Vorfallklassifizierung unter jedem Regelwerk begründen können.

Was passiert, wenn mein Mitgliedstaat NIS2 noch nicht umgesetzt hat?

Sie sollten nicht warten. Die Grundlage der Richtlinie ist bereits bekannt, und die Regulierungsbehörden erwarten von betroffenen Einrichtungen, dass sie sich vorbereiten, während nationales Recht und Leitlinien finalisiert werden. Verfolgen Sie Gesetzesentwürfe in Ihrem Mitgliedstaat, richten Sie Ihre Kontrollen am Richtlinientext aus und führen Sie ein Änderungsprotokoll darüber, was Sie umgesetzt haben und warum. 

Diese Dokumentation ermöglicht es Ihnen, eine Governance nach Treu und Glauben nachzuweisen, falls sich Anforderungen während der Umsetzung geringfügig ändern.

Können kleine Unternehmen den NIS2-Anforderungen unterliegen?

Im Allgemeinen fallen kleinere Organisationen außerhalb der standardmäßigen Größenschwellen. Nationale Behörden können jedoch kleinere Einrichtungen einbeziehen, wenn sie alleinige Anbieter eines wesentlichen Dienstes sind oder wenn ihre Störung erhebliche grenzüberschreitende Auswirkungen verursachen würde. 

Organisationen unterhalb der Schwellenwerte, die erfasste Einrichtungen beliefern, können auch indirektem Compliance-Druck durch vertragliche Verpflichtungen und Lieferantenbewertungen ausgesetzt sein.

Wie wirkt NIS2 mit der DORA-Verordnung für Finanzunternehmen zusammen?

DORA gilt als sektorspezifische Gesetzgebung für viele Finanzunternehmen und umfasst eigene Anforderungen an die Klassifizierung und Meldung von Vorfällen. 

Wenn Sie unter beide Regelwerke fallen, erstellen Sie einen integrierten Workflow, der die Meldeauslöser, Fristen und Datenfelder jedes Regelwerks abbildet. In der Praxis orientieren Sie sich in der Regel an der strengsten Frist und passen den Inhalt jeder Einreichung an die empfangende Behörde an.

Was ist der Unterschied zwischen den NIS2-Anforderungen und NIS1?

NIS2 erweitert die ursprüngliche NIS-Richtlinie in Bezug auf Geltungsbereich, Durchsetzung, Governance und Berichterstattung erheblich. NIS1 umfasste sieben Sektoren; NIS2 umfasst achtzehn. NIS1 erlaubte es den Mitgliedstaaten, eigene Meldefristen festzulegen; NIS2 harmonisiert einen dreistufigen Prozess in der gesamten EU. 

NIS2 führt außerdem eine persönliche Haftung der Unternehmensleitung gemäß Artikel 20, verpflichtende Sicherheitsbewertungen der Lieferkette und EU-weite Mindestobergrenzen für Strafen von bis zu 10 Mio. € oder 2 % des weltweiten Umsatzes ein. NIS1 enthielt keine dieser Bestimmungen.