Wir unterstützen Sie bei der Umsetzung der NIS-2-Richtlinie

Erfahrene ISMS-Berater
Einsatz von Best-Practice-Methoden
Umsetzung des risikobasierten Ansatzes für Cybersicherheit
Etablierung von Sicherheit in der Lieferkette
Schulung und Sensibilisierung Ihrer Mitarbeiter
Vorbereitung und Begleitung zu einer ISMS-Zertifizierung,
bspw. ISO 27001, TISAX® oder IT-Grundschutz

Was ist die NIS-2-Richtlinie?

Die NIS-2-Richtlinie (Richtlinie zur Netz- und Informationssicherheit) ist eine EU-Verordnung, die darauf abzielt, die Cybersicherheit in der Europäischen Union zu verbessern. Sie baut auf der ursprünglichen NIS-Richtlinie (NIS-1) auf und erweitert deren Umfang und Anforderungen. Die NIS-2-Richtlinie wurde im Dezember 2020 von der Europäischen Kommission vorgeschlagen und im Dezember 2022 verabschiedet. Die Mitgliedstaaten müssen die Richtlinie bis Oktober 2024 in nationales Recht umsetzen.

Erweiterter Anwendungsbereich: NIS-2 umfasst mehr Sektoren und Arten von Einrichtungen als die ursprüngliche NIS-Richtlinie. Dazu gehören nun unter anderem Anbieter von öffentlichen elektronischen Kommunikationsdiensten, digitale Dienste, Energieversorger, Gesundheitsdienste, Wasserversorgung, öffentliche Verwaltung und mehr.
Stärkere Sicherheitsanforderungen: Die Richtlinie verlangt von den betroffenen Unternehmen und Organisationen, strenge Sicherheitsmaßnahmen zu implementieren. Dies schließt sowohl technische als auch organisatorische Maßnahmen ein, um Netz- und Informationssysteme vor Cyberangriffen zu schützen.
Verpflichtungen zur Meldung von Sicherheitsvorfällen: Unternehmen und Organisationen müssen signifikante Sicherheitsvorfälle innerhalb einer bestimmten Frist an die zuständigen nationalen Behörden melden. Dies soll eine schnelle Reaktion und Koordination bei Cybervorfällen ermöglichen.
Verstärkte Aufsicht und Durchsetzung: Die nationalen Behörden erhalten mehr Befugnisse zur Überwachung der Einhaltung der Richtlinie und zur Durchsetzung von Maßnahmen. Dazu gehören Inspektionen, Audits und im Bedarfsfall Sanktionen.
Besonders wichtige und wichtige Einrichtungen: NIS-2 unterscheidet zwischen "besonders wichtigen" und "wichtigen" Einrichtungen, wobei besonders wichtige Einrichtungen strengeren Anforderungen unterliegen. Diese Klassifikation basiert auf der Größe der Organisation und ihrer Bedeutung für die Wirtschaft und Gesellschaft.
Internationale Zusammenarbeit: Die Richtlinie fördert die Zusammenarbeit zwischen den EU-Mitgliedstaaten sowie mit Drittstaaten und internationalen Organisationen, um globale Cyberbedrohungen effektiver zu bekämpfen.

Wer ist betroffen?

Die NIS-2-Richtlinie erweitert den Anwendungsbereich deutlich im Vergleich zur ursprünglichen NIS-Richtlinie und betrifft eine breite Palette von Sektoren und Organisationen. Die NIS-2-Richtlinie nennt die betroffenen Einrichtungen in der Anlage 1 und Anlage 2 der Richtlinie.

Unternehmenssektoren, die von der NIS-2-Richtlinie erfasst werden:

Betreiber kritischer Anlagen: Dazu zählen Energieversorger, Wasserversorgungsunternehmen, Transport- und Verkehrsinfrastrukturen, Gesundheitsdienstleister sowie Finanz- und Bankensektoren. Diese Organisationen sind besonders anfällig für Cyberangriffe, die erhebliche Auswirkungen auf die öffentliche Sicherheit und das tägliche Leben haben können.
Digitale Dienste: Anbieter von Cloud-Diensten, Online-Marktplätzen und Suchmaschinen fallen ebenfalls unter die NIS-2-Richtlinie. Da diese Dienste oft zentrale Knotenpunkte im digitalen Ökosystem darstellen, ist ihre Sicherheit von hoher Bedeutung.
Öffentliche Verwaltung: Öffentliche Institutionen und Behörden auf nationaler und regionaler Ebene müssen ebenfalls den Sicherheitsanforderungen der Richtlinie entsprechen. Diese Einrichtungen verwalten sensible Daten und sind kritische Dienste für Bürger und Unternehmen.
Telekommunikation und elektronische Kommunikationsdienste: Unternehmen, die öffentliche elektronische Kommunikationsdienste bereitstellen, sind verpflichtet, robuste Sicherheitsmaßnahmen zu implementieren, um ihre Netzwerke und Informationen zu schützen.
Lieferketten: Auch Unternehmen, die Teil der Lieferketten der oben genannten Sektoren sind, müssen angemessene Sicherheitsvorkehrungen treffen. Die Sicherheit der Lieferkette ist entscheidend, da Schwachstellen bei Zulieferern ein Einfallstor für Angreifer darstellen können.

Wesentliche Einrichtungen

Betreiber kritischer Anlagen
Qualifizierte Vertrauensdiensteanbieter, Top Level Domain Name Registries oder DNS Anbieter
Anbieter öffentlich zugänglicher Telekommunikationsdienste oder öffentliche Telekommunikationsnetze, die
- mindestens 50 Mitarbeiter beschäftigen oder
- einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro aufweisen.
Natürliche oder juristische Personen oder rechtlich unselbstständige Organisationseinheiten einer Gebietskörperschaft, die anderen natürlichen oder juristischen Personen entgeltlich Waren oder Dienstleistungen anbieten, die einer der in Anlage 1 der NIS-2-Richtlinie bestimmten Einrichtungsarten zuzuordnen ist und die
- mindestens 250 Mitarbeiter beschäftigt oder
- einen Jahresumsatz von über 50 Millionen Euro und zudem eine Jahresbilanzsumme von über 43 Millionen Euro aufweisen.

Ausgenommen sind Einrichtungen der Bundesverwaltung, soweit sie nicht gleichzeitig Betreiber kritischer Anlagen sind.

Wichtige Einrichtungen

Vertrauensdiensteanbieter
Anbieter öffentlich zugänglicher Telekommunikationsdienste oder Betreiber öffentlicher Telekommunikationsnetze
natürliche oder juristische Person oder eine rechtlich unselbstständige Organisationseinheit einer Gebietskörperschaft, die anderen natürlichen oder juristischen Personen entgeltlich Waren oder Dienstleistungen anbietet, die einer der in Anlagen 1 und 2 bestimmten Einrichtungsarten zuzuordnen ist und die
- mindestens 50 Mitarbeiter beschäftigen oder
- einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro aufweist.

Ausgenommen sind besonders wichtige Institutionen und Einrichtungen der Bundesverwaltung.

Sie sind sich nicht sicher, ob Sie betroffen sind?

Prüfen Sie mit unserer Analyse in wenigen Schritten, ob Sie von der NIS-2-Richtlinie betroffen sind.

Zur
Betroffenheitsanalyse

Unsere Leistungen

Konzeptionierung eines Informationssicherheits-Managementsystems (ISMS) auf Basis der NIS-2 Anforderungen bzw. ISO 27001
Unterstützung bei der Implementierung des ISMS
Unterstützung bei der Dokumentation der ISMS-Richtlinien und -Prozesse
Unterstützung bei der Durchführung von Risikoanalyse und -bewertung sowie Risikobehandlung

Bereitstellung von Vorlagen und unseres Dokumentationswerkzeugs EDIRA
Vorbereitung und Unterstützung bei internen Audits
Begleitung bei Zertifizierungsmaßnahmen

Preise

Wir besprechen mit Ihnen gerne Ihre individuelle Situation und Unternehmenswerte und machen Ihnen ein faires Angebot.

Unverbindliches Angebot
einholen

Prozess einer NIS-2 Umsetzung

Zu Beginn werden unsere Experten in einem Workshop mit Ihnen gemeinsam die Ist-Situation in Ihrem Unternehmen analysieren. Wir unterstützen Sie bei der Konzeption, Festlegung und Beschreibung Ihrer Informationssicherheitsanforderungen und der dafür zu implementierenden Prozesse und sonstigen Maßnahmen zu deren Sicherstellung. Hierfür steht unser Tool EDIRA mit seinen integrierten Vorlagen zur Verfügung.

Notwendige Dokumentationen und Anweisungen für das ISMS können anhand von Vorlagen in EDIRA erstellt und gepflegt werden. Nach Etablierung der ISMS-Organisation und einer gewissen Umsetzungszeit werden Nachweise dokumentiert und die Wirksamkeit des ISMS überprüft.
Im Anschluss daran kann die Durchführung eines internen Audits die Folge sein. Gemeinsam mit Ihnen prüfen wir, ob alle Nachweise und Unterlagen auditfähig sind.

Auf Ihren Wunsch und Bedarf stehen wir Ihnen während und bis zu Ihrem Zertifizierungsaudit bspw. nach ISO 27001 mit Rat und Tat zur Seite. Mit Abschluss des Zertifizierungsaudits nach ISO 27001 erhalten Sie ein nach internationalen Standards etabliertes ISMS mit einem Zertifikat.
Als optionale Unterstützung und Erleichterung des Projektes stellen wir Ihnen unser Informationssicherheitsmanagementsystem EDIRA zur Verfügung. Mit EDIRA können Sie Risikobewertungen vornehmen und die geforderte ISMS-Dokumenation auf Basis von umfangreichen Vorlagen erstellen. Sie erhalten einen Überblick über das Fortschreiten Ihres Projektes und Ihre Umsetzungsaufgaben. Dies erleichtert Ihnen die Nachweisbarkeit bei Audits und liefert Ihnen bessere Ergebnisse innerhalb des Managementprozesses.

Ihre Vorteile

Effektive und dokumentierte Cyber- und IT-Sicherheit in Ihrem Unternehmen
Schutz Ihrer Informationen durch technische und organisatorische Vorkehrungen entsprechend dem Stand der Technik
Erfüllung der geforderten Anforderungen der NIS-2-Richtlinie

Positive Außenwirkung gegenüber Kunden, Lieferanten, Gesetzgebung und weiteren Anspruchsgruppen
Schutz vor Bußgeldern, Reputationsverlust sowie wirtschaftlichen Nachteilen

NIS2UmsuCG - Was ist das?

Das NIS2UmsuCG steht für das "Gesetz zur Umsetzung der Richtlinie (EU) 2022/2555 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über Maßnahmen zur Gewährleistung eines hohen gemeinsamen Sicherheitsniveaus von Netz- und Informationssystemen in der Union (NIS-2-Richtlinie)".

Das NIS2UmsuCG ist das deutsche Gesetz, das die NIS-2-Richtlinie in nationales Recht umsetzt. Dies ist ein wichtiger Schritt zur Stärkung der Cybersicherheit in Deutschland, das das Gesetz die europäischen Vorgaben der NIS-2-Richtlinie in nationales Recht überführt und deren Umsetzung sicherstellt. Das NIS2UmsuCG trägt dazu bei, ein hohes und einheitliches Sicherheitsniveau für Netz- und Informationssysteme zu gewährleisten und die Widerstandsfähigkeit gegenüber Cyberbedrohungen zu erhöhen.

Anwendungsbereich: Das Gesetz definiert, welche Sektoren und Organisationen den Anforderungen der NIS-2-Richtlinie unterliegen. Dazu gehören unter anderem kritische Infrastrukturen, Anbieter digitaler Dienste und die öffentliche Verwaltung.
Sicherheitsanforderungen: Es legt fest, welche technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit von Netz- und Informationssystemen getroffen werden müssen.
Meldepflichten: Organisationen müssen signifikante Sicherheitsvorfälle an die zuständigen Behörden melden. Das Gesetz spezifiziert die Fristen und den Umfang der Meldungen.
Aufsicht und Durchsetzung: Nationale Behörden erhalten erweiterte Befugnisse zur Überwachung der Einhaltung der Sicherheitsanforderungen und zur Durchsetzung der gesetzlichen Bestimmungen, einschließlich der Möglichkeit, Sanktionen zu verhängen.

NIS-2 und ISO 27001

NIS-2 verlangt nicht die Anwendung von ISO 27001, erwähnt aber in der Präambel die ISO/IEC 27000-Reihe als eine Möglichkeit, Maßnahmen zum Risikomanagement im Bereich der Cyber-Sicherheit umzusetzen. Im Hauptteil von NIS-2 wird empfohlen, internationale Standards anzuwenden. Ein näherer Vergleich von NIS-2 und ISO 27001 zeigt, dass die ISO 27001 ein hervorragendes Rahmenwerk bietet, um die von NIS-2 geforderten Maßnahmen zum Risikomanagement im Bereich der Cyber-Sicherheit umsetzen zu können.

Häufig gestellte Fragen

Worin liegt der Unterschied zwischen wesentlichen und wichtigen Einrichtungen der NIS-2?

Für wesentliche (besonders wichtige) Einrichtungen sind strengere Aufsichts- und Durchsetzungsmaßnahmen vorgesehen als für wichtige Einrichtungen (Art, 32, Art. 33)

Wie hoch fallen Geldbußen für die Nicht-Konformität oder Nicht-Umsetzung aus?

Für besonders wichtige Unternehmen - bis zu 10 Millionen Euro oder 2 % des gesamten Jahresumsatzes. Für wichtige Unternehmen - bis zu 7 Mio. Euro oder 1,4 % des gesamten Jahresumsatzes.

Ist eine NIS-2-Zertifizierung erforderlich?

Die NIS-2 verlangt keine Zertifizierung der wesentlichen und wichtigen Einrichtungen. Die EU-Mitgliedsstaaten können jedoch von betroffenen Einrichtungen die Verwendung von IT-Produkten oder Dienstleistungen verlangen, die nach dem europäischen Zertifizierungsschema für Cybersicherheit gemäß dem Cybersicherheitsgesetz (EU-Verordnung 2019/881) zertifiziert sind.

Wie viel zeitliche Betreuung erhalte ich als Unternehmen?

Je nach Vertrag erhält jeder Kunde die zeitliche Betreuung, die er benötigt. Dies ist abhängig von der Unternehmenssituation und den internen Ressourcen des Unternehmens. Wir betreuen Sie so lange und intensiv, wie notwendig und gewünscht. Auch regelmäßige Jour fixe Termine und einzelne Beratungsgespräche können vereinbart werden.

Was ist die NIS-2-Richtlinie und das NIS2UmsuCG?

Die NIS-2-Richtlinie ist eine EU-Richtlinie zur Verbesserung der Cybersicherheit, die darauf abzielt, ein hohes gemeinsames Sicherheitsniveau für Netz- und Informationssysteme in der gesamten Europäischen Union zu gewährleisten. Mit der NIS-2-Richtlinie („The Network and Information Security (NIS) Directive“) wurde im Januar 2023 die im Jahr 2016 eingeführten EU-Vorschriften zur Cybersicherheit aktualisiert. Die neue Richtlinie ist für KRITIS-Unternehmen und Organisationen in der Europäischen Union verbindlich und muss bis zum 17.10.2024 wirksam umgesetzt werden.

Die NIS-2-Richtlinie dient zur Harmonisierung, Erweiterung und Anpassung der bisherigen Cybersicherheitsanforderungen und Sanktionierung innerhalb der EU-Mitgliedsstaaten und möchte der zunehmenden Digitalisierung und einer wachsenden Bedrohungslandschaft der Cyberkriminalität begegnen. Ziel ist es, das Sicherheitsniveau der EU-Mitgliedsstaaten zu stärken und die Reaktionsfähigkeit, sowie die Resilienz öffentlicher und privater Einrichtungen, zuständiger Behörden und der EU insgesamt zu verbessern. Darüber hinaus erweitert die Richtlinie die Zahl der Unternehmen und Organisationen, die zur kritischen Infrastruktur (KRITIS) gehören.

Mit der Umsetzung des NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) wird die europäische NIS-2-Richtlinie in deutsches Recht überführt.

Weitere Dienstleistungen für Ihre Sicherheit

Geschäftsbereich
Data Privacy