NIS-2 verstehen und sicher umsetzen
NIS-2 klingt nach einem komplizierten IT-Gesetz – im Kern ist es eine einfache Frage: Tut Ihr Unternehmen genug, um handlungsfähig zu bleiben, wenn etwas passiert? Ich übersetze die Anforderungen in klare Schritte, die zu Ihnen passen und Ihr Budget schonen.
Was ist NIS-2 – in einfachen Worten?
NIS-2 ist eine Richtlinie der Europäischen Union für mehr Cybersicherheit. „Richtlinie" heißt: Jedes EU-Land gießt sie in ein eigenes Gesetz. In Deutschland geschieht das über das NIS-2-Umsetzungsgesetz, das vor allem das BSI-Gesetz (BSIG) erweitert. Wer also wissen will, was konkret zu tun ist, schaut ins BSIG – und genau dort kenne ich mich aus.
Das Ziel ist nicht Bürokratie, sondern Widerstandsfähigkeit: Ihr Unternehmen soll Angriffe und Ausfälle früh erkennen, im Ernstfall handlungsfähig bleiben und Vorfälle melden. NIS-2 unterscheidet dabei zwei Gruppen – besonders wichtige und wichtige Einrichtungen. Der Unterschied liegt vor allem in der Größe, der Branche und der Strenge der Aufsicht. Die Pflichten selbst ähneln sich.
Wen betrifft NIS-2?
Rund 18 Sektoren, von Energie über Maschinenbau bis zu digitalen Diensten. Als Faustregel gilt: ein kritischer Sektor plus eine gewisse Unternehmensgröße. Aber auch ohne direkte Betroffenheit kann es Sie treffen.
Über die Größe
Ab 50 Mitarbeitenden oder 10 Mio € Umsatz in einem der erfassten Sektoren sind Sie in der Regel direkt betroffen – als wichtige oder besonders wichtige Einrichtung.
Über den Sektor
Manche Tätigkeiten – etwa Rechenzentren, DNS, Telekommunikation oder KRITIS-Betrieb – fallen oft unabhängig von der Größe unter NIS-2.
Über die Lieferkette
Auch wenn Sie selbst nicht direkt betroffen sind: Ihre betroffenen Kunden müssen ihre Lieferanten absichern – und geben die Anforderungen an Sie weiter.
Was NIS-2 konkret verlangt
Vier Bereiche, in denen das BSIG Sie in die Pflicht nimmt – und in denen ich Sie entlaste.
Registrierung & Meldung
Betroffene Einrichtungen müssen sich beim BSI registrieren und erhebliche Sicherheitsvorfälle innerhalb kurzer Fristen melden. Ich richte den Prozess so ein, dass er im Ernstfall einfach funktioniert.
Risikomanagement (§ 30 BSIG)
Angemessene technische und organisatorische Maßnahmen – risikobasiert, nicht als pauschale Einkaufsliste. Von Zugriffskontrolle über Backups bis zur Lieferkette.
Geschäftsleitung (§ 38 BSIG)
Die Leitung muss die Maßnahmen billigen, ihre Umsetzung überwachen – und sich schulen lassen. Bei Verstößen haftet sie. Diese Pflicht lässt sich nicht delegieren.
Nachweis & Aufsicht
Besonders wichtige Einrichtungen müssen ihre Maßnahmen nachweisen können. Ich sorge dafür, dass Ihre Dokumentation prüffest ist – bevor das BSI fragt.
NIS-2 muss nicht teuer sein
Der größte Kostentreiber bei NIS-2 ist nicht das Gesetz – es sind überflüssige Maßnahmen, die auf Verdacht eingekauft werden. Ein SOC hier, ein Pentest da, ein Tool für alles.
Als ehemaliger CISO und Jurist mache ich es anders: Erst klären wir, welche Werte und Risiken Sie wirklich haben und was das BSIG in Ihrem Fall verlangt. Dann setzen wir genau die Maßnahmen um, die Ihr Risiko senken – in der richtigen Reihenfolge. Mehr Denken vorne spart viel Geld hinten. Das ist kein Sparen an der Sicherheit, sondern das Gegenteil: Ihr Budget landet dort, wo es wirkt.
So begleite ich Sie durch NIS-2
Betroffenheits- & Gap-Analyse
Festpreis 4.995 €. Klarheit, ob und wie Sie betroffen sind, plus eine priorisierte Roadmap. Auf Wunsch mit Workshop. Zum Vorgehen.
Umsetzung & Implementierung
Schlankes ISMS nach ISO 27001, lebbare Prozesse, nur die Technik, die wirklich nötig ist.
Audit- & Nachweisbegleitung
Vorbereitung auf BSIG-Nachweis, IT-Sicherheitskatalog oder ISO-27001-Zertifizierung – als Lead Auditor mit zusätzlicher Prüfverfahrenskompetenz für § 8a BSIG (ISACA) kenne ich beide Seiten.
Interim CISO
Auf Wunsch übernehme ich die Verantwortung ganz – operativ, strategisch, inklusive Behördenkommunikation.
NIS-2 – kurz beantwortet
Ab wann gilt NIS-2 in Deutschland?
Die Pflichten gelten über das NIS-2-Umsetzungsgesetz, das das BSIG ändert. Registrierungs-, Melde- und Risikomanagementpflichten sind bereits zu erfüllen – wer wartet, geht ins Risiko. Der sinnvolle erste Schritt ist eine saubere Betroffenheits- und Gap-Analyse.
Was unterscheidet „besonders wichtige" von „wichtigen" Einrichtungen?
Besonders wichtige Einrichtungen sind größere Unternehmen in Sektoren hoher Kritikalität; sie unterliegen der strengsten Aufsicht inklusive Nachweispflicht. Wichtige Einrichtungen sind mittlere Unternehmen oder Unternehmen aus weiteren kritischen Sektoren. Die Maßnahmen ähneln sich, die Aufsicht ist unterschiedlich streng.
Brauchen wir eine ISO-27001-Zertifizierung?
Nicht zwingend – aber ISO 27001 ist der bewährte Rahmen, um die BSIG-Anforderungen strukturiert und nachweisbar zu erfüllen. Für Betreiber von Energienetzen kommt der IT-Sicherheitskatalog nach § 11 EnWG hinzu, der ein ISMS nach ISO 27001 (und 27019) verlangt. Ich sorge dafür, dass sich diese Anforderungen nicht doppeln.
Hafte ich als Geschäftsführer wirklich persönlich?
Ja. Nach § 38 BSIG muss die Geschäftsleitung die Risikomanagementmaßnahmen billigen und überwachen und sich schulen lassen. Diese Pflicht lässt sich nicht vollständig delegieren. Deshalb biete ich eigene Geschäftsführer-Schulungen an.
Unsicher, wo Sie bei NIS-2 stehen?
Starten Sie mit dem kostenlosen Betroffenheitscheck oder klären wir es direkt in einem unverbindlichen Erstgespräch.