NIS2: Was die Richtlinie für Unternehmen bedeutet

Wer von NIS2 betroffen ist

Betroffen sind Unternehmen aus den Sektoren der Anlagen 1 und 2 des BSI-Gesetzes, darunter Energie, Transport, Gesundheit, digitale Infrastruktur, IT-Dienstleistungen, Abfallwirtschaft, Chemie, Lebensmittel, Maschinenbau und weitere Teile der verarbeitenden Industrie. Als wichtige Einrichtung gilt in der Regel, wer mindestens 50 Mitarbeiter beschäftigt oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro hat.

Als besonders wichtige Einrichtung gilt unter anderem, wer in einem Sektor der Anlage 1 mindestens 250 Mitarbeiter beschäftigt oder mehr als 50 Millionen Euro Umsatz und über 43 Millionen Euro Bilanzsumme hat, außerdem Betreiber kritischer Anlagen. Ob Ihr Unternehmen betroffen ist, zeigt eine Prüfung der Sektoren und Kennzahlen, zum Beispiel mit unserem NIS2-Check.

Die wichtigsten Pflichten

Was NIS2 für Backup und Wiederherstellung bedeutet

§ 30 des BSI-Gesetzes nennt die Mindestmaßnahmen. Nummer 3 fordert ausdrücklich die „Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement“. Eine Sicherung allein reicht damit nicht: Gefordert ist, dass der Betrieb nach einem Vorfall tatsächlich wieder anläuft.

In der Praxis heißt das: ein dokumentiertes Datensicherungskonzept, Sicherungen, die gegen Angriffe geschützt sind, ein IT-Notfallplan mit klaren Wiederanlaufzielen und regelmäßige Tests der Wiederherstellbarkeit. Weitere Punkte des Katalogs sind unter anderem Multi-Faktor-Authentifizierung, Verschlüsselung, Sicherheit in der Lieferkette und Schulungen.

Meldepflichten im Ernstfall

Bei einem erheblichen Sicherheitsvorfall, etwa einem Ransomware-Angriff mit Betriebsausfall, laufen die Fristen ab Kenntnis: frühe Erstmeldung binnen 24 Stunden, Meldung mit erster Bewertung binnen 72 Stunden, Abschlussmeldung spätestens einen Monat danach. Wer im Ernstfall erst klären muss, wer meldet und welche Angaben nötig sind, verliert wertvolle Zeit. Meldewege, Zuständigkeiten und Vorlagen gehören deshalb in den Notfallplan.

Worauf es ankommt

Erstens die Betroffenheit klären und, falls zutreffend, die Registrierung beim BSI fristgerecht erledigen. Zweitens eine Lückenanalyse gegen die Maßnahmen aus § 30 BSIG, mit Prioritäten und Verantwortlichen. Drittens die Wiederherstellung nachweisbar machen: Wiederanlaufziele mit RTO und RPO festlegen, unveränderliche Sicherungen einrichten, Wiederherstellung regelmäßig testen und dokumentieren. Viertens die Geschäftsleitung schulen, denn sie muss die Maßnahmen billigen und überwachen.

NIS2, KRITIS und DORA

NIS2 erweitert den bisherigen KRITIS-Rahmen auf viele mittelständische Unternehmen. Betreiber kritischer Anlagen haben zusätzliche Pflichten. Für Banken, Versicherungen und andere Finanzunternehmen gilt vorrangig die EU-Verordnung DORA mit eigenen Anforderungen an digitale Betriebsstabilität. Beide Regelwerke verfolgen dasselbe Ziel: Cyber-Resilienz, also die Fähigkeit, Angriffe zu erkennen, zu überstehen und schnell wieder arbeitsfähig zu sein.