NIS-2 sorgt gerade für viel Verunsicherung, und das aus zwei Gründen. Erstens betrifft die Richtlinie deutlich mehr Unternehmen als früher, auch im klassischen Mittelstand. Zweitens nimmt sie ausdrücklich die Geschäftsführung in die Pflicht. Wir merken in Gesprächen oft, dass die Sorge größer ist als nötig. Wer seine IT-Sicherheit ohnehin auf ein vernünftiges Niveau bringt, hat den Großteil schon erledigt. Hier kommt, worauf es ankommt.
Im Kern ist NIS-2 eine EU-Richtlinie, die die Cybersicherheit erhöhen soll. Sie verlangt nachweisbare Schutzmaßnahmen und ein geordnetes Vorgehen bei Sicherheitsvorfällen. Neu ist vor allem, dass die Leitung nicht mehr wegschauen darf: Sie muss die Maßnahmen freigeben, überwachen und sich schulen lassen.
Das ist die Frage, die wir am häufigsten hören. Betroffen sind Unternehmen ab einer bestimmten Größe in Sektoren, die als wichtig oder besonders wichtig gelten, darunter Energie, Verkehr, Gesundheit, Lebensmittel, Abfall, digitale Dienste und das verarbeitende Gewerbe. Entscheidend und oft übersehen: Auch wer als Zulieferer oder Dienstleister für ein betroffenes Unternehmen arbeitet, wird über die Lieferkette in die Pflicht genommen.
Unser pragmatischer Rat: Tun Sie nicht so, als ginge es Sie nichts an. Prüfen Sie Ihre Betroffenheit, und bringen Sie Ihre Sicherheit ohnehin auf Stand. Das schützt Sie auch dann, wenn am Ende kein Paragraf greift.
Ein oder zwei Mal Ja? Dann sollten Sie das Thema ernst nehmen.
Es läuft auf ein paar nachvollziehbare Punkte hinaus. Sie brauchen ein Risikomanagement, das Gefahren erfasst und behandelt. Sie müssen technische Maßnahmen umsetzen, also Firewalls, Zugriffskontrollen, Verschlüsselung, Backups, Multi-Faktor-Authentifizierung und ein vernünftiges Patch-Management. Erhebliche Vorfälle müssen Sie innerhalb kurzer Fristen melden. Und Sie sollen auch die Sicherheit Ihrer Dienstleister im Blick behalten. Über allem steht die Verantwortung der Leitung, die nicht delegierbar ist.
Zuerst klären wir die Betroffenheit, direkt oder über die Lieferkette. Dann schauen wir uns den Ist-Zustand an und finden die Lücken. Diese Lücken sortieren wir nach Risiko, denn niemand kann und muss alles auf einmal machen. Wir fangen mit dem an, was am meisten bringt: Multi-Faktor-Authentifizierung, getestete Backups, eine Managed Firewall, E-Mail-Schutz, Monitoring. Parallel bauen wir die Prozesse auf, also Notfallplan, Meldewege und regelmäßige Überprüfung. Und weil Technik allein nie reicht, gehören geschulte Mitarbeiter dazu.
Bis wann muss das umgesetzt sein? Die Anforderungen greifen mit der nationalen Umsetzung. Warten ist trotzdem keine gute Idee, weil eine saubere Umsetzung Zeit braucht und sich nicht über Nacht erledigen lässt.
Was passiert, wenn wir nichts tun? Es drohen empfindliche Bußgelder und persönliche Haftung der Leitung. Vor allem aber bleiben Sie ohne Schutz angreifbar, und das ist am Ende teurer als jede Maßnahme.
Wie hilft uns ein IT-Dienstleister dabei? Wir machen die Bestandsaufnahme, setzen die Technik um und unterstützen bei Notfallplänen und Dokumentation. Sie bekommen einen klaren Fahrplan statt eines Aktenordners voller Vorschriften.
Rufen Sie an unter 0221 8200860 oder senden Sie uns direkt Ihre Anfrage – werktags antworten wir binnen 24 Stunden, unverbindlich und ohne Verkaufsdruck.
