Seit Oktober 2024 setzt Deutschland die EU-Richtlinie NIS2 (Netz- und Informationssicherheit 2) durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) in nationales Recht um. Schätzungen zufolge sind rund 30.000 Unternehmen in Deutschland betroffen, viele davon mittelständisch. Viele davon wissen es noch nicht.
Sind Sie betroffen?
NIS2 unterscheidet zwischen „wesentlichen Einrichtungen” und „wichtigen Einrichtungen”. Vereinfacht gilt: Wer mehr als 50 Mitarbeiter oder über 10 Mio. € Umsatz hat UND in einem der NIS2-Sektoren tätig ist, ist betroffen.
Zu den Sektoren gehören:
- Verarbeitendes Gewerbe (u. a. Chemie, Maschinenbau, Elektro, Kfz, Medizinprodukte)
- Energie (Strom, Gas, Fernwärme, Wasserstoff)
- Verkehr (Luft, Schiene, Wasser, Straße)
- Bankwesen und Finanzmarktinfrastruktur
- Gesundheitswesen
- Trinkwasser und Abwasser
- Digitale Infrastruktur und IT-Dienste
- Öffentliche Verwaltung
- Postdienste und Lebensmittel
Was sind die 10 Kernanforderungen?
NIS2 verlangt von betroffenen Unternehmen die Umsetzung von zehn technischen und organisatorischen Maßnahmen:
- Multi-Faktor-Authentifizierung und sichere Kommunikation
- Risikoanalyse und Sicherheitskonzept
- Vorfallsmanagement (Incident Response)
- Business Continuity und Backup-Management
- Sicherheit der Lieferkette (Supply Chain)
- Sicherheit bei Erwerb, Entwicklung und Wartung
- Bewertung der Wirksamkeit der Maßnahmen
- Schulung und Awareness im Bereich Cybersicherheit
- Kryptographie und Verschlüsselung
- Personalsicherheit, Zugriffskontrolle und Asset-Management
Was bedeutet das für die Geschäftsführung?
Eine zentrale Neuerung: NIS2 verankert die persönliche Haftung der Geschäftsführung. Wer die Maßnahmen nicht umsetzt oder Verstöße nicht meldet (Frist: 24 Stunden bei einem signifikanten Vorfall), riskiert Bußgelder bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes, plus persönliche Haftung mit dem Privatvermögen. Das macht NIS2 zur Vorstands-Sache. Es ist nicht mehr nur der IT-Leiter, der das Thema vorantreiben muss, es ist die Geschäftsführung, die persönlich Interesse haben sollte.
Wie helfen Managed Services?
Von den 10 Kernanforderungen lassen sich 7 technisch über Managed Services abbilden:
- Backup-Management → Full Managed Backup Service
- Schulung & Awareness → Awareness-Kampagnen und Phishing-Simulationen
- Kryptographie → E-Mail-Verschlüsselung als Teil der Mail-Security-Services
- MFA und sichere Kommunikation → M365 Security Service mit Conditional Access
- Asset-Management → Endpoint Security mit zentraler Verwaltung
- Vorfallsmanagement → SIEM/SOAR mit 24/7 Monitoring
- Wirksamkeitsbewertung → Quartalsweise Reports und Audits
Die restlichen 3 Anforderungen (Risikoanalyse, Supply Chain Security, organisatorische Sicherheit bei Entwicklung) sind organisatorisch und gehören in eine Roadmap. Genau dafür ist der IT Health Check da.
Was kostet NIS2-Compliance konkret?
Für einen typischen 100-User-Mittelständler bewegen wir uns bei ca. 1.500–2.500 €/Monat für die wesentlichen NIS2-relevanten Bausteine plus ein einmaliger Health Check zum Start (950 €). Verglichen mit Bußgeldern bis 10 Mio. € und persönlicher Haftung der Geschäftsführung: eine sehr klare Investitionsrechnung.
Die nächsten 3 Schritte
Praktisches Vorgehen:
- Schritt 1 – Pflicht-Check: Sind Sie betroffen? Gespräch zwischen Geschäftsführung und IT-Leiter, ergänzt durch Wirtschaftsprüfer/Rechtsberater
- Schritt 2 – Health Check: 4 Stunden Standortbestimmung mit konkreter Roadmap (950 €)
- Schritt 3 – Lückenschluss: Welche Bausteine intern umgesetzt werden, welche per Managed Service – schrittweise, priorisiert
