NIS2-Pflichten — Was Unternehmen jetzt wissen müssen

NIS2 unterscheidet zwischen „wesentlichen" und „wichtigen" Einrichtungen. Betroffen sind Unternehmen aus 18 Sektoren — darunter Energie, Transport, Gesundheit, digitale Infrastruktur, aber auch produzierende Industrie, Lebensmittel und Post/Kurier. Die Schwellenwerte: Ab 50 Mitarbeitern oder 10 Mio. € Jahresumsatz kann ein Unternehmen in den Anwendungsbereich fallen. In Deutschland betrifft das geschätzt 25.000 Unternehmen — vorher waren es nur rund 4.500 KRITIS-Betreiber. Der Kreis hat sich also verfünffacht. Viele dieser Unternehmen wissen noch nicht, dass sie betroffen sind.

NIS2 verlangt umfassende Cybersicherheitsmaßnahmen: Risikoanalyse und Sicherheitskonzepte, Vorfallbehandlung (Incident Response), Business Continuity und Krisenmanagement, Sicherheit der Lieferkette, Sicherheitsmaßnahmen bei Beschaffung und Entwicklung, Schulung der Mitarbeiter in Cybersicherheit sowie Kryptografie und Verschlüsselung. Besonders wichtig: Die Meldepflicht. Erhebliche Sicherheitsvorfälle müssen innerhalb von 24 Stunden als Frühwarnung und innerhalb von 72 Stunden als vollständige Meldung an das BSI übermittelt werden. Das ist deutlich strenger als die DSGVO-Meldepflicht.

Die größte Neuerung: Die Geschäftsführung haftet persönlich für die Einhaltung der NIS2-Pflichten. Das bedeutet, dass Geschäftsführer und Vorstände die Cybersicherheitsmaßnahmen nicht nur genehmigen, sondern auch deren Umsetzung überwachen müssen. Schulungen sind verpflichtend. Für externe DSBs ergibt sich daraus eine neue Beratungsaufgabe: Die Geschäftsführung muss verstehen, was NIS2 von ihr verlangt. Ein kombiniertes DSGVO+NIS2-Reporting — wie es Trustee.eu bietet — hilft dabei, den Überblick zu behalten und die Haftung zu dokumentieren.

NIS2 und DSGVO haben erhebliche Überschneidungen: Beide fordern technische und organisatorische Maßnahmen, beide verlangen Vorfallmeldungen, beide setzen Risikoanalysen voraus. Wer DSGVO bereits gut umsetzt, hat einen Vorsprung bei NIS2. Als externer DSB können Sie diese Synergien nutzen: Dokumentieren Sie die Überschneidungen, vermeiden Sie Doppelarbeit und bieten Sie Ihren Mandanten einen kombinierten Compliance-Service. Trustee.eu bildet beide Regelwerke in einem Dashboard ab — mit einem einzigen Compliance-Score, der DSGVO und NIS2 berücksichtigt.