NIS2-Richtlinie und KRITIS-Dachgesetz: Neue Sicherheitsvorgaben für Unternehmen

Die digitale Transformation macht Unternehmen produktiver – und gleichzeitig verwundbarer. Cyberangriffe auf Energieversorger, Krankenhäuser oder Logistikdienstleister zeigen, wie schnell aus einer IT-Störung ein Betriebsausfall mit weitreichenden Folgen wird. Mit der NIS2-Richtlinie hat die Europäische Union ihre Vorgaben zur Netz- und Informationssicherheit erheblich verschärft und den Kreis der betroffenen Unternehmen massiv erweitert. Ergänzt wird die Richtlinie in Deutschland durch das KRITIS-Dachgesetz, das gezielt die physische Sicherheit und Resilienz kritischer Infrastrukturen adressiert. Für schätzungsweise rund 30.000 Unternehmen bedeutet das: neue Pflichten, neue Fristen – und im Ernstfall empfindliche Bußgelder. Dieser Beitrag zeigt, wer betroffen ist, welche Pflichten gelten und wie IT-RESELL Sie bei der Umsetzung unterstützt.

Was ist die NIS2-Richtlinie? Ziel und Hintergrund

Mit der seit 2016 bestehenden NIS-Richtlinie hat die EU erstmals Maßnahmen ergriffen, um ein hohes gemeinsames Sicherheitsniveau von Netz- und Informationssystemen in der Europäischen Union zu gewährleisten. Im Zuge des digitalen Wandels, der durch die COVID-19-Krise zusätzlich beschleunigt wurde, identifizierte die EU jedoch deutliche Schwächen im bestehenden Rahmen:

• Unzureichende Cyberresilienz vieler in der EU tätigen Unternehmen
• Uneinheitliche Widerstandsfähigkeit zwischen Mitgliedstaaten und Sektoren
• Unzureichendes gemeinsames Verständnis der wichtigsten Bedrohungen
• Fehlendes gemeinsames Krisenmanagement auf EU-Ebene

Als Reaktion darauf verabschiedete die EU die NIS2-Richtlinie (Richtlinie (EU) 2022/2555), die den Anwendungsbereich und die Sicherheitsanforderungen gegenüber der ursprünglichen NIS-Richtlinie deutlich ausweitet. Sie ist bereits seit Januar 2023 auf EU-Ebene in Kraft; die Mitgliedstaaten waren verpflichtet, sie bis zum 17. Oktober 2024 in nationales Recht umzusetzen. In Deutschland verzögerte sich die nationale Umsetzung über das sogenannte NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) über diesen Termin hinaus. Für betroffene Unternehmen ändert das nichts an der grundsätzlichen Dringlichkeit: Die inhaltlichen Anforderungen der Richtlinie stehen fest, nur der genaue Zeitpunkt des nationalen Inkrafttretens war zwischenzeitlich in Bewegung.

Rund 30.000 Unternehmen in Deutschland betroffen

Die Ausweitung des Anwendungsbereichs bedeutet, dass jetzt auch viele kleinere Organisationen die neuen Anforderungen erfüllen müssen, die zuvor nicht unter die NIS-Richtlinie fielen. Nach Schätzungen sind in Deutschland rund 30.000 Unternehmen von der NIS2-Richtlinie betroffen – darunter Firmen aus Sektoren wie Energie, Gesundheit, Verkehr, Bankwesen, digitale Infrastruktur und öffentliche Verwaltung.
Zusätzlich betrifft die Richtlinie Unternehmen, die Teil der Lieferkette dieser Sektoren sind oder Dienstleistungen für sie erbringen. Wichtig: Unternehmen werden nicht automatisch informiert, ob sie betroffen sind. Sie müssen selbst prüfen, ob sie aufgrund ihrer Größe und Branchenzugehörigkeit unter die Richtlinie fallen und entsprechende Vorkehrungen treffen.

Meldepflichten und Sanktionen

Die NIS2-Richtlinie erweitert die Meldepflichten deutlich. Betroffene Unternehmen müssen sicherheitsrelevante Vorfälle mit erheblichen Auswirkungen auf die Verfügbarkeit ihrer Dienste den zuständigen Behörden melden – häufig gestuft, beginnend mit einer Frühwarnung innerhalb von 24 Stunden. NIS2 führt zudem einheitlichere und strengere Strafen bei Verstößen ein, um sicherzustellen, dass Unternehmen die Anforderungen ernst nehmen.

Ausnahmen für Kommunen und Bildungseinrichtungen

Die NIS2-Richtlinie zielt vor allem auf Unternehmen ab, schließt durch die Festlegung der betroffenen Sektoren jedoch grundsätzlich auch Bildungseinrichtungen, Städte und Kommunen sowie weitere öffentliche Einrichtungen ein. In Deutschland gab es Bestrebungen, für einzelne dieser Akteure Ausnahmen zu schaffen – etwa für Bildungseinrichtungen und lokale Verwaltungen. Ob und in welchem Umfang solche Ausnahmen final Bestand haben, hängt von der endgültigen nationalen Umsetzung ab und sollte im Einzelfall geprüft werden.
Andere öffentliche Einrichtungen, etwa Bibliotheken, Kinos, Museen oder Zoos, können durchaus von den Vorgaben betroffen sein – abhängig von Größe, Umsatz und Bedeutung für die kritische Infrastruktur. Grundsätzlich ist es ratsam, dass sich auch diese Institutionen frühzeitig mit Cybersicherheit und Resilienz auseinandersetzen, schon aus eigenem Interesse.

Was bedeutet NIS2 für KMU?

Mit der NIS2-Richtlinie wird der Geltungsbereich im Vergleich zu früheren Vorgaben deutlich erweitert – auch viele kleine und mittlere Unternehmen (KMU) müssen den neuen Sicherheitsanforderungen gerecht werden. Dazu gehören insbesondere:

• Sicherheitsrichtlinien: Entwicklung und Implementierung von Sicherheitsrichtlinien, die den spezifischen Anforderungen des Unternehmens entsprechen
• Sicherheitslösungen: Einsatz von Sicherheitssoftware, Firewalls und Intrusion-Detection-Systemen
• Sicherheitsaudits: Regelmäßige Audits zur Identifizierung von Schwachstellen und Bewertung der aktuellen Sicherheitslage
• Mitarbeiterschulungen: Regelmäßige Sensibilisierung für Cyberbedrohungen und sicheren Umgang mit IT-Systemen

Ob Ihr Unternehmen betroffen ist, hängt von bestimmten Schwellenwerten ab: Unternehmen mit 50 oder mehr Mitarbeitenden, einem Umsatz ab 10 Millionen Euro und einer Jahresbilanzsumme in gleicher Höhe fallen grundsätzlich in den Anwendungsbereich. Das gilt ebenso für Firmen, die in einem der definierten kritischen Sektoren tätig sind und bestimmte Schwellenwerte überschreiten – unabhängig von ihrer Größe.

NIS2 in Zahlen: Betroffene Unternehmen, Bußgeldrahmen und Schwellenwerte im Überblick.

NIS2 und das KRITIS-Dachgesetz im Zusammenspiel

Die NIS2-Richtlinie wird durch die CER-Richtlinie und deren nationale Umsetzung im KRITIS-Dachgesetz ergänzt. Während NIS2 primär auf Cybersicherheit und präventive Maßnahmen abzielt, fokussiert sich das KRITIS-Dachgesetz auf die physische Sicherheit und Resilienz kritischer Infrastrukturen.

Das Ziel: Störungen und Ausfälle bestmöglich verhindern, deren Folgen begrenzen und die Funktionsfähigkeit nach einem Vorfall schnell wiederherstellen – unabhängig davon, ob ein Unwetter, menschliches Versagen oder ein Sabotageakt die Ursache ist. Während NIS2 schätzungsweise bis zu 30.000 Unternehmen betrifft, nimmt das KRITIS-Dachgesetz gezielt kritische Infrastrukturen in den Blick: Unternehmen aus Sektoren, die essenziell für die Versorgung in Deutschland sind und typischerweise mehr als 500.000 Personen versorgen.

Fazit

Die NIS2-Richtlinie und das KRITIS-Dachgesetz stellen neue Anforderungen an zahlreiche Unternehmen – darunter auch viele KMU. Bei Verstößen gegen die neuen Vorgaben können Management und Führungskräfte persönlich verantwortlich gemacht werden, und es drohen empfindliche Sanktionen. IT-RESELL steht Ihnen als erfahrener Partner zur Seite, um die neuen Anforderungen rechtzeitig zu erfüllen und die Sicherheit sowie Resilienz Ihrer IT zu gewährleisten – von der Härtung bestehender Systeme bis zur zertifizierten, DSGVO-konformen Entsorgung ausgemusterter Hardware.

Hinweis zu diesem Beitrag: Inhalte auf diesem Blog werden mit Unterstützung von KI-Tools erstellt und von unserem Redaktionsteam recherchiert, fachlich geprüft und freigegeben.