Welche Unternehmen NIS2?

Es gibt Neuigkeiten, die fast unglaublich klingen: Bis zu 40.000 Firmen in Deutschland werden von der NIS2-Richtlinie der EU beeinflusst sein. Diese Regelung, die 2023 in Kraft trat, betrifft Unternehmen in 18 wichtigen Branchen. Unternehmensgröße spielt keine Rolle – alle müssen die vorgeschriebenen Sicherheitsmaßnahmen umsetzen. Andernfalls riskieren sie hohe Strafen von bis zu 10 Millionen Euro.

Wichtige Erkenntnisse:

• Die NIS2-Richtlinie der EU gilt für Unternehmen in 18 definierten Sektoren
• Betroffen sind KRITIS–Betreiber, wichtige Infrastrukturen und weitere relevante Organisationen
• Auch kleinere Zulieferer können in den Geltungsbereich fallen
• Verstöße gegen die NIS2-Regeln können hohe Strafen nach sich ziehen
• Unternehmen müssen umfangreiche Cybersicherheitsmaßnahmen ergreifen

Die NIS2-Richtlinie im Überblick

Die Europäische Union führt die NIS2-Richtlinie ein, um Cybersicherheit zu stärken. Sie soll digitale Resilienz von Schlüsselinfrastrukturen heben. Im Gegensatz zur alten NIS-Richtlinie ist NIS2 konkreter. Das macht es einfacher, Cyberangriffe zu bekämpfen und NIS-sicher zu handeln.

Ziele und Hintergründe der neuen EU-Richtlinie

Die EU antwortet mit NIS2 auf steigende Cyberbedrohungen. Sie möchte das Level der Cyberabwehr in der gesamten Union angleichen. Auch die Zusammenarbeit zwischen den Staaten verbessern.

Unterschiede zur vorherigen NIS-Richtlinie

NIS2 deckt mehr Bereiche als die NIS-Richtlinie ab. Es gibt klarere Standards und Ziele. Das Ziel ist, die Cybersicherheitsstandards in der EU strenger zu machen.

Kennzahl	Wert
Geschätzte jährliche Kosten für Cybersicherheitsmaßnahmen	ca. 1,65 Milliarden Euro
Betroffene Unternehmen	Mindestens 50 Mitarbeiter, Umsatz über 10 Millionen Euro
Höchststrafe bei Nichteinhaltung	Bis zu 20 Millionen Euro oder 4% des weltweiten Jahresumsatzes

EU-Länder müssen NIS2 bis zum 17. Oktober 2024 umsetzen. Man hofft, dass NIS2 die Cybersicherheit in Europa stark verbessern wird.

Betroffene Unternehmen und Einrichtungen

Viele Firmen und Stellen in Deutschland werden direkt von NIS2 berührt. Dies betrifft vor allem Betreiber von kritischen Anlagen. Sie waren schon durch das deutsche KRITIS-Programm bekannt.

Nun stuft NIS2 sie als „besonders wichtig“ ein. Sie müssen strengere Regeln für die Cybersicherheit befolgen.

KRITIS-Betreiber und kritische Anlagen

KRITIS umfasst Unternehmen aus Bereichen wie Energie, Verkehr, und Gesundheit. Sie stellen wichtige Dienste bereit und halten unsere Gesellschaft am Laufen.

Diese Gruppen müssen sich an sehr strenge Sicherheitsvorschriften halten. Diese Regeln sind Teil der NIS2-Richtlinie.

Besonders wichtige Einrichtungen

Große Unternehmen in Sektoren wie Energie und Gesundheit sind auch betroffen. Sie werden wegen ihrer Größe und Bedeutung besonders geprüft und müssen starke Sicherheitsmaßnahmen umsetzen.

Ungefähr 30.000 Firmen in Deutschland müssen die NIS2-Regeln befolgen. Darunter sind 8.100 besonders wichtige Unternehmen. Es gibt digitale Dienste, KRITIS-Betreiber und weitere kritische Anlagen. Außerdem fallen fast 21.000 weitere wichtige Orte unter diese Regulierungen.

Die NIS2-Richtlinie zu befolgen, ist eine große Aufgabe. Firmen und Einrichtungen müssen ihre Sicherheitsmaßnahmen verbessern. Das ist wichtig, um Strafen zu vermeiden.

Kriterien für NIS2-Relevanz

Unternehmensgröße als Kriterium

NIS2 betrifft Unternehmen, je nach ihrer Größe und Branche. Firmen mit 50 oder mehr Angestellten und über 10 Millionen Euro Umsatz sind direkt betroffen. Aber auch kleinere Firmen können wichtig sein, vor allem wenn sie wichtige Dienste für größere Firmen leisten.

In Deutschland wird die NIS2-Richtlinie bis zum 17. Oktober 2024 umgesetzt. Dies geschieht, um die Cybersicherheit zu verbessern, im Einklang mit EU-Vorgaben. Mit diesem neuen Gesetz sollen etwa sechsmal mehr Institutionen melden müssen, vielleicht wächst die Zahl auf um die 30.000.

Das Gesetz sieht für verschiedene Arten von Institutionen unterschiedliche Regeln vor. Es gibt „besonders wichtige“ und „wichtige“ Institutionen. Bei Verstößen können hohe Strafen drohen. Besonders kritische Institutionen zahlen maximal 10 Millionen Euro oder 2 Prozent ihres Umsatzes. Für wichtige Institutionen sind es bis zu 7 Millionen Euro oder 1,4 Prozent ihres Umsatzes.

Kriterium	Unternehmensgröße	Sanktionen bei Nichteinhaltung
Besonders wichtige Einrichtungen	Unabhängig von Größe	Bis zu 10 Mio. Euro oder mind. 2% Jahresumsatz
Wichtige Einrichtungen	Unabhängig von Größe	Bis zu 7 Mio. Euro oder mind. 1,4% Jahresumsatz

Um der NIS2-Richtlinie zu genügen, müssen Firmen einige Pflichten erfüllen. Dazu zählt das Identifizieren kritischer Dienste und Einrichtungen. Auch die Registrierung bei der Bundesbehörde für Sicherheit in der IT ist wichtig. Und es geht um das Nennen von Ansprechpartnern sowie die schnelle Meldung von IT-Problemen.

„Die NIS2-Richtlinie betrifft öffentliche und private Einrichtungen in 18 deutschen Sektoren.“

NIS 2 Sektoren

Die EU-Richtlinie NIS2 teilt Sektoren in „wesentliche“ und „wichtige“ ein. Jede Kategorie hat besondere Regeln und Kontrollen. Diese helfen, die Sicherheit gegen Cyberangriffe zu stärken.

Wesentliche („Essential“) Sektoren

Energie, Transport und andere wichtige Bereiche sind „wesentliche“ Sektoren. Das schließt Strom- und Wasserversorger ein. Sie brauchen die härtesten Sicherheitsmaßnahmen, um vor Cyberangriffen geschützt zu sein.

Wichtige („Important“) Sektoren

Es gibt auch „wichtige“ Sektoren, die 7 zusätzliche Bereiche umfassen. Das betrifft Unternehmen wie Postdienste und Hersteller von Lebensmitteln. Sie haben nicht ganz so strenge Regeln wie „wesentliche“ Sektoren. Aber auch sie müssen ihre Cybersicherheit verbessern.

Insgesamt nennt die NIS2-Richtlinie 18 kritische und wesentliche Sektoren. Sie ist damit deutlich umfassender als die Vorgängerversion.

Wesentliche Sektoren	Wichtige Sektoren
Energie (Strom, Gas, Wasserstoff)	Post- und Kurierdienste
Verkehr (Luft, Schiene, Schiff, Straße)	Abfallwirtschaft
Bankwesen und Finanzmarktinfrastruktur	Produktion, Herstellung und Handel mit chemischen Stoffen
Gesundheitswesen	Produktion, Verarbeitung und Vertrieb von Lebensmitteln
Trinkwasser- und Abwasserversorgung	Bergbau
Digitale Infrastruktur	Raumfahrtinfrastruktur
Öffentliche Verwaltung

Die Trennung in wesentliche und wichtige NIS2-Sektoren ist wichtig. Sie beeinflusst, wie Firmen die Regeln befolgen müssen.

Ausnahmen bei der NIS2-Anwendung

Bei der NIS2-Richtlinie zählen Unternehmensgröße und Branche. Trotzdem gibt es Ausnahmen. Kleine Firmen könnten unter die Regeln fallen, wenn sie wichtige Dinge tun oder in Schlüsselketten sind.

Firmen wie Verteidigung, Justiz oder Zentralbanken sind aber grundsätzlich ausgenommen. Diese Ausnahmen passen zu den speziellen Bedürfnissen dieser Bereiche.

Die Größe allein entscheidet nicht über die NIS2-Regeln. Auch das, was die Firma macht, und ob sie wichtige Verbindungen hat, sind wichtig.

Die NIS2-Richtlinie macht mehr Firmen betroffen und verlangt besseres Cybersichermanagement.

Unternehmen müssen ihre Situation genau prüfen. So können sie die passenden Schritte rechtzeitig machen und Strafen vermeiden.

Übersicht zu NIS2-Ausnahmen

• Kleinere Unternehmen können unter bestimmten Umständen ebenfalls erfasst werden
• Organisationen wie Verteidigung, Justiz oder Zentralbanken sind generell ausgenommen
• Entscheidend sind neben der Unternehmensgröße auch die ausgeübten Tätigkeiten und Einbindung in kritische Infrastrukturen

Ausnahmen	Kriterien
Kleine Unternehmen	Kritische Tätigkeiten, Teil wichtiger Lieferketten
Bestimmte Organisationen	Verteidigung, Justiz, Zentralbanken

Die NIS2-Richtlinie stärkt die Cybersicherheit in Europa. Sie berücksichtigt die verschiedenen Bedürfnisse, um gut umsetzbar zu sein.

Die „size-cap“-Regel von NIS2

In der neuen NIS2-Richtlinie geht es um die „size-cap“-Regel. Diese bestimmt, dass Unternehmen mit mehr als 50 Mitarbeitern anders behandelt werden. Sie müssen bestimmte Regeln einhalten, während kleine Firmen weniger streng reguliert werden.

Ein Betrieb mit über 249 Mitarbeitern gilt als Großunternehmen. Mittlere Firmen sind solche, die 50 bis 249 Mitarbeiter haben. Sie brauchen bestimmte Umsätze und Bilanzen. Kleine Unternehmen mit weniger als 50 Beschäftigten und höchstens 10 Millionen Jahresumsatz haben weniger Auflagen zu beachten.

Das Ziel ist, für alle Unternehmen gerechte Regeln zu schaffen. So können kleine Firmen mit weniger Ressourcen die Cybersicherheitsmaßnahmen leichter umsetzen. Große Unternehmen müssen hingegen höhere Anforderungen erfüllen.

Unternehmensgröße	Mitarbeiteranzahl	Jahresumsatz	Regulierung
Großunternehmen	Über 249	Über 50 Mio. €	Strenge NIS2-Vorgaben
Mittlere Unternehmen	50 bis 249	Bis 50 Mio. €	Moderate NIS2-Auflagen
Kleine Unternehmen	Unter 50	Bis 10 Mio. €	Von NIS2 ausgenommen

Diese Herangehensweise sorgt für eine maßgeschneiderte Regulierung. Sie richtet sich danach, wie groß ein Unternehmen ist. So entsteht ein fairer size-cap.

Herausforderungen für Unternehmen

Die NIS2-Richtlinie stellt viele Unternehmen in Deutschland vor große Aufgaben. Mit der zunehmenden Digitalisierung wächst die Gefahr durch Cyberattacken stark. Studien zeigen, dass die deutsche Wirtschaft bereits hohe Verluste durch Cyberkriminalität hinnehmen musste. Allein 2022 betrugen die Kosten über 200 Milliarden Euro.

Für die NIS2-Richtlinie müssen Firmen ihre Sicherheit im Netz erheblich verbessern. Es wird erwartet, dass viele von ihnen Probleme haben werden, dies rechtzeitig zu tun. Manche Chefs sehen NIS2 eher nüchtern: einfach ein weiteres Kästchen zum Abhaken.

Nur das nötigste zu tun, um die Anforderungen zu erfüllen, ist für Unternehmen oft Standard. Doch eine starke Investition in IT-Sicherheit ist unumgänglich, um NIS2 wirklich gerecht zu werden. Ein gezielter Plan, der mit einer gründlichen Analyse der IT-Umgebung startet, ist Schlüssel für das Risikomanagement.

Firmen sollten jedoch anders an die NIS2-Direktive herangehen. Sie sollten sie als Gelegenheit sehen, um Hilfe für Digitalisierung und Cybersicherheit zu bekommen. Diese Richtlinie bietet die Chance, die Sicherheit dauerhaft zu verbessern und stabile Strukturen aufzubauen.

Steigende Cyberbedrohungen

Cyberbedrohungen nehmen in ihrem Ausmaß weiter zu. Rund 30.000 Firmen in Deutschland werden von der NIS2-Richtlinie betroffen sein. Bei Nichteinhaltung drohen hohe Strafen, bis zu 2% des Jahresumsatzes oder 10 Millionen Euro Buße.

80% der IT-Chefs in Europa sind zuversichtlich, NIS2-Anforderungen fristgerecht umzusetzen. Allerdings denken nur 53% ihrer Mitarbeiter, diese voll verstanden zu haben. Nur 14% sagen, sie erfüllen bereits alle Vorgaben.

Die NIS2-Richtlinie fordert Firmen dazu auf, ihre Cyberkapazitäten zu stärken. Sie soll helfen, die Folgen von Cyberkriminalität in Europa und weltweit zu mindern. Für Unternehmen ist es daher wichtig, offensiv zu reagieren und ihre Cybersicherheit ernsthaft zu verbessern.

Umfang der NIS2-Anforderungen

Unternehmen müssen viel tun, um den neuen NIS2-Cybersicherheitsstandards zu entsprechen. Sie sollen ein Risikomanagement aufbauen und strengere Sicherheitskonzepte für ihre IT machen. Es ist auch wichtig, Incident-Response-Pläne und ein gutes Backup-Management zu haben. So kann man schnell auf Krisen reagieren und den Betrieb laufen lassen.

Risikomanagement und Sicherheitskonzepte

Unternehmen sollen Risiken analysieren, um ihre wichtigen Bereiche zu schützen. Sie sollen Sicherheitskonzepte entwickeln, die ihre Infosysteme und Daten sichern. Dazu gehören z.B. Zugriffskontrolle und Krisenpläne.

Incident Response und Backup

Firmen brauchen nicht nur Vorsorgemaßnahmen, sondern auch Incident-Response-Konzepte. Diese helfen, Sicherheitsprobleme schnell zu lösen. Ein gutes Backup-Management ist ebenso wichtig. Es sichert, dass man im Ernstfall Daten und Systeme wiederherstellen kann.

Lieferkettensicherheit

Ein wichtiger Punkt der NIS2 ist die Sicherheit der Lieferkette. Unternehmen sollen nicht nur sich selbst schützen, sondern auch ihre Partner. Schwachstellen bei Zulieferern können Probleme machen.

Die Umsetzung der NIS2 ist eine große Aufgabe für Firmen. Das Management muss die Maßnahmen ernst nehmen, um Strafen zu vermeiden.

Umsetzungsfristen und -kosten

Die NIS2-Richtlinie führt in Deutschland zu vielen neuen Anforderungen. Diese Änderungen kosten die Wirtschaft dort pro Jahr etwa 1,65 Milliarden Euro. Zusätzlich müssen Unternehmen ungefähr 1,37 Milliarden Euro investieren, um alles bis Oktober 2024 umzusetzen.

So ein schneller Zeitplan stellt viele Firmen vor Probleme. Sie müssen viel Geld und Zeit in die neuen Regeln investieren. Zum Beispiel brauchen sie jetzt Risikoanalysen, Notfallpläne und spezielle Schulungen. Auch müssen sie vieles aufschreiben und belegen können.

Besonders kleinere und mittlere Firmen leiden unter dem hohen Aufwand. Sie finden es schwer, die Regeln fristgerecht und kostengünstig zu erfüllen. Doch es gibt Hilfe: Berater und Dienstleister können diese Aufgabe einfacher machen.

„Die NIS2-Richtlinie zu befolgen, ist in Deutschland eine echte Herausforderung. Die Frist ist knapp, und es kostet viel Geld. Vor allem kleine Firmen stehen vor großen Schwierigkeiten.“

Sanktionen bei Nichteinhaltung

Unternehmen müssen die Regeln der NIS2-Richtlinie genau befolgen. Sonst drohen harte Strafen. Die EU hat diese Strafen verbessert, damit Unternehmen IT-Sicherheit ernster nehmen.

Nach den aktuellen Regeln können Firmen bis zu 10 Millionen Euro zahlen. Oder auch zwei Prozent ihres weltweiten Umsatzes. Je nachdem, wie schlimm das Vergehen war. Man kann sogar die Genehmigung zum Betreiben verlieren.

Verstöße	Mögliche Strafen
Kritische Infrastrukturbetreiber	Bis zu 10 Millionen Euro Bußgeld
Wichtige Einrichtungen	Bis zu 7 Millionen Euro Bußgeld
IT-Systemhersteller	Bis zu 2 Millionen Euro Bußgeld

Nicht nur Firmen, auch Einzelpersonen wie Manager können bestraft werden. Die Strafen variieren zwischen 100.000 und 20 Millionen Euro. So werden alle zur Verantwortung gezogen.

Die EU will die Sicherheit im Internet stark verbessern. Deswegen gibt es jetzt strenge Sanktionen für die, die die Regeln nicht einhalten. Sowohl Firmen als auch Einzelpersonen müssen mit harten Strafen rechnen, sogar mit dem Verlust der Genehmigung zu arbeiten.

„Wer die NIS2-Regeln nicht befolgt, muss mit schweren Folgen rechnen. Die Strafen sind jetzt viel härter als je zuvor. Das soll die Cybersicherheit in wichtigen Bereichen sichern.“

Unterstützung bei der NIS2-Umsetzung

Viele Firmen finden es schwer, alle NIS2-Regeln zu erfüllen. Besonders fehlen ihnen die Experten in der IT. Aber Firmen wie Sophos bieten Unterstützung. Sie helfen mit praktischen Tipps und speziellen Cybersicherheits-Services. So schaffen es Firmen leichter, die EU-Richtlinie zu erfüllen.

Beratung und Services

Sophos bietet unter anderem Kurse und Treffs, um Mitarbeiter sicherer zu machen. Sie liefern auch Technik, die Firmen hilft, Risiken zu analysieren, bei Vorfällen richtig zu reagieren und die Lieferkette zu sichern.

Diese Experten haben viel Erfahrung und helfen, passende Schritte zu planen. Sie zeigen, was zuerst gemacht werden muss und wie man es schafft.

„Mit Unterstützung erfahrener Partner können wir die komplexen NIS2-Vorgaben Schritt für Schritt erfüllen und unser Unternehmen optimal für die Herausforderungen der Cybersicherheit rüsten.“

Wer rechtzeitig auf Cybersicherheits-Services setzt, spart Kosten und Zeit. Solche Firmen sind dann ihren Konkurrenten weit voraus.

Fazit

Die NIS2-Richtlinie stellt Unternehmen in Deutschland vor große Herausforderungen. Bis 2024 müssen sie für mehr Cybersicherheit sorgen. Viele Firmen fühlen sich überfordert, da dies viel Geld kostet. Doch die Regeln einzuhalten ist sehr wichtig, um hohe Strafen zu vermeiden.

IT-Compliance Consultants können Unternehmen helfen, die NIS2-Anforderungen zu erfüllen. Sie unterstützen beim Aufbau eines Informationssicherheitsmanagementsystems. Auch bei Risikoanalysen und der Umsetzung von Sicherheitsmaßnahmen bieten sie ihre Hilfe an.

Die NIS2-Richtlinie hat das Ziel, in der ganzen EU die Cybersicherheit zu verbessern. Firmen sollten die Zeit bis Oktober 2024 nutzen. Sie sollen sich gut vorbereiten, um gegen Cyberangriffe besser geschützt zu sein.