NIS2: Vier Fragen, die Sie zuerst klären sollten

NIS2 sorgt in vielen Unternehmen für dieselbe Reaktion: Betrifft mich das? Und wenn ja, wo fange ich an?

Die Verunsicherung ist berechtigt. Die Richtlinie ist umfangreich, die nationale Umsetzung kam spät und viele Informationen im Markt sind entweder zu allgemein oder zu technisch. Dazu kommt: Informationssicherheit wird von außen verordnet. Das erzeugt selten Begeisterung.

Am Anfang des Prozesses sollten vier Fragen stehen, die bei der Einordnung und Umsetzung helfen.

Frage 1: Sind wir von NIS2 betroffen?

Das klärt sich schnell mit einer kurzen Checkliste. Entscheidend sind drei Punkte: Branche, Unternehmensgröße und Umsatz.

NIS2 unterscheidet zwischen Sektoren mit hoher Kritikalität, etwa Energie, Verkehr, Gesundheit, Bankwesen und digitale Infrastruktur, und weiteren kritischen Sektoren, etwa Post und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, Teile des verarbeitenden Gewerbes und Anbieter digitaler Dienste. Als Faustregel gilt: Mittlere Unternehmen mit mindestens 50 Beschäftigten oder mehr als 10 Mio. Euro Jahresumsatz fallen in vielen Fällen in den Anwendungsbereich, wenn sie einem dieser Sektoren angehören. Große Unternehmen sind in der Regel erfasst. Die genauen Kriterien prüfen wir anhand Ihrer Zahlen und des nationalen Rechtsrahmens.

Ein zweiter Punkt wird oft übersehen: Auch wenn Sie nicht direkt betroffen sind, können Ihre Kunden Anforderungen an Sie weitergeben. Als Lieferant oder Dienstleister landet das Thema dann trotzdem auf Ihrem Tisch, meist in Form von Fragebögen, Vertragsklauseln oder Nachweispflichten.

Frage 2: Was fordert NIS2 konkret?

NIS2 verlangt vier Dinge von Ihrem Unternehmen.

1. Risiken systematisch steuern. Legen Sie technische und organisatorische Maßnahmen fest, die zu Ihrem Geschäft passen. Dazu gehören Zugriffskontrolle, Backup und Wiederherstellung, der Umgang mit Schwachstellen, ein belastbares Krisenmanagement und die Absicherung Ihrer Lieferkette.

2. Vorfälle melden. Erhebliche Sicherheitsvorfälle müssen Sie innerhalb von 24 Stunden vorwarnen, innerhalb von 72 Stunden melden und binnen eines Monats mit einem Abschlussbericht dokumentieren. Dafür brauchen Sie klare Abläufe, bevor der Ernstfall eintritt.

3. Die Leitung einbinden. Die Geschäftsführung genehmigt die Risikomaßnahmen und überwacht deren Umsetzung. Bei Verstößen kann es persönliche Konsequenzen geben. Deshalb müssen Schulungen für die Leitung stattfinden und dokumentiert werden.

4. Wirksamkeit nachweisen. Jede umgesetzte Maßnahme muss belegbar sein, etwa durch Richtlinien, Protokolle und Testergebnisse.

Wer schon mit ISO 27001 arbeitet, hat einen Großteil dieser Arbeit bereits erledigt. Wer bei null beginnt, braucht eine klare Struktur statt eines Normstudiums.

Frage 3: Wo stehen wir heute?

Das ist der Punkt, an dem es oft unangenehm wird. In vielen Unternehmen existieren Maßnahmen, aber sie sind nicht dokumentiert. Zuständigkeiten sind bekannt, aber nicht festgelegt. Notfallpläne liegen im Kopf einzelner Personen. Das reicht im Alltag oft aus. Im Prüffall nicht.

Eine ehrliche Bestandsaufnahme ist deshalb kein Selbstzweck. Sie zeigt, was schon da ist. Meist ist das mehr, als man denkt. Und sie zeigt die Lücken, die man ohne Prüfung nicht sieht.

Frage 4: Was haben wir davon?

NIS2 ist Pflicht, aber der Nutzen ist nicht theoretisch:

• Sie wissen, welche Systeme und Daten für Ihr Geschäft kritisch sind.

• Sie haben festgelegt, wer im Ernstfall entscheidet.

• Sie können Sicherheitsfragen in Ausschreibungen belegen, statt sie nur zu behaupten.

• Sie reduzieren Ausfallrisiken, die Sie heute nur schätzen können.

Und so läuft es realistisch ab

Die Statusaufnahme und die Betroffenheitsprüfung dauern etwa zwei Wochen. Danach steht ein priorisierter Maßnahmenplan. Ein belastbarer Grundzustand ist bei mittelständischen Unternehmen realistisch in rund sechs Monaten erreichbar. Wie lange es dauert, hängt von der Ausgangslage und den internen Kapazitäten ab.

NIS2 ist keine Aufgabe für einen Nachmittag. Aber sie ist auch kein Monsterprojekt. Entscheidend ist, in welcher Reihenfolge Sie vorgehen.