Informationssicherheit

Erfahren Sie mehr über folgende Leistungen

NIS-2-Umsetzungsgesetz: Cybersicherheit in Deutschland neu geregelt

Trotz der Verzögerung im parlamentarischen Verfahren infolge der vorgezogenen Wahlen wird das Inkrafttreten des NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes (NIS2UmsuCG) weiterhin für das Jahr 2025 angestrebt. Der vorliegende Referentenentwurf vom Mai 2024 sieht umfangreiche neue Pflichten für Unternehmen und Organisationen vor, um die IT-Sicherheit zu verbessern und die Widerstandsfähigkeit gegenüber Cyberangriffen zu stärken. Besonders wichtige und wichtige Einrichtungen müssen sich innerhalb von drei Monaten nach Inkrafttreten beim BSI registrieren und unverzüglich mit der Umsetzung der geforderten Maßnahmen beginnen. Für KRITIS-Betreiber ist eine Übergangsfrist bis 2027 für den ersten Nachweis vorgesehen. Unternehmen sollten bereits jetzt mit der Analyse ihrer Verpflichtungen und der Planung geeigneter Maßnahmen beginnen, um vorbereitet zu sein, sobald das Gesetz verabschiedet ist.

Pflichten zur Gewährleistung der Cybersicherheit im Unternehmen

Betroffene Unternehmen müssen geeignete technische und organisatorische Maßnahmen ergreifen, um ihre IT-Systeme und -Prozesse zu schützen. Dazu gehören unter anderem die Implementierung eines effektiven Risikomanagements, die Meldung von erheblichen Sicherheitsvorfällen an das Bundesamt für Sicherheit in der Informationstechnik (BSI) innerhalb von 24 Stunden, der Einsatz von Systemen zur Angriffserkennung und die regelmäßige Schulung von Mitarbeitern in Fragen der IT-Sicherheit. Eine wesentliche Neuerung gegenüber den bisherigen Regeln sind die verschärften Nachweispflichten. KRITIS-Betreiber müssen künftig alle drei Jahre durch Audits, Prüfungen oder Zertifizierungen gegenüber dem BSI nachweisen, dass sie die geforderten Maßnahmen umgesetzt haben. Für die übrigen Einrichtungen sieht das Gesetz anlassbezogene Stichprobenprüfungen durch das BSI vor, die jederzeit durchgeführt werden können.

Strafen und Bußgelder

Das Gesetz sieht Bußgelder von bis zu 20 Millionen € oder bis zu 2% des weltweiten Jahresumsatzes vor, wobei der jeweils höhere Wert zugrunde gelegt wird. Auch Haftungsrisiken für Geschäftsleiter sind in bestimmten Fällen vorgesehen.

Wer fällt unter das Gesetz?

Das NIS-2-Umsetzungsgesetz unterscheidet zwischen zwei Kategorien von betroffenen Unternehmen: den besonders wichtigen Einrichtungen und den wichtigen Einrichtungen. Auch Betreiber sogenannter kritischer Infrastrukturen (KRITIS), die bereits unter die bisherige KRITIS-Regulierung fallen, werden von den neuen Regeln erfasst. Nach Schätzungen des Gesetzgebers werden insgesamt rund 30.000 Unternehmen in Deutschland betroffen sein.

Besonders wichtige Einrichtungen

Sektoren	Öffentliche Verwaltung, Energie, Transport und Verkehr, Bankensektor, Finanzmarkt, Gesundheitswesen, Trinkwasserversorgung, Abwasserwirtschaft, Digitale Infrastruktur, IKT, Raumfahrt
Voraussetzung	NIS-2-Richtlinie gilt für Unternehmen, die über 250 Mitarbeitende beschäftigen, oder einen Jahresumsatz von mehr als 50 Millionen € haben und eine Jahresbilanzsumme von mehr als 43 Millionen € haben.

Wichtige Einrichtungen

Sektoren	Post- und Kurierdienste, Abfallwirtschaft, Herstellung & Produktion und Vertrieb von chemischen Stoffen, Herstellung & Produktion und Vertrieb von Lebensmitteln, Verarbeitendes Gewerbe (inkl. Medizinprodukte), Digitale Dienstleistungen, Forschung
Voraussetzung	NIS-2-Richtlinie gilt für Unternehmen, die mehr als 50 Mitarbeiter beschäftigen, oder einen Jahresumsatz von mehr als 10 Millionen € haben.

Sind Sie unsicher, ob Ihr Unternehmen von der NIS-2-Richtlinie der EU betroffen ist? Machen Sie jetzt den Test.

Die NIS-2-Betroffenheitsprüfung des Bundesamtes für Sicherheit in der Informationstechnik (BSI) ermöglicht Ihnen in wenigen Schritten eine prägnante Einschätzung, ob Ihre Organisation von den neuen Regelungen betroffen ist. Die Prüfung stellt konkrete, an der Richtlinie orientierte Fragen, um Ihr Unternehmen einzuordnen.

zur Betroffenheitsprüfung des BSI

NIS-2 – wir unterstützen Sie!

Unser Angebot umfasst ein Erstgespräch zu NIS-2, bei dem wir grundlegende Fragen klären und gemeinsam die individuellen Bedürfnisse und Ziele besprechen. Dabei stehen wir Ihnen mit fachkundigem Rat und Unterstützung zur Seite, um sie optimal auf die Umsetzung von NIS-2 vorzubereiten. Wir bieten darüber hinaus eine kontinuierliche Begleitung über den gesamten Prozess, um sicherzustellen, dass die angestrebten Ergebnisse erreicht werden.

CyberRisikoCheck nach DIN SPEC 27076
GAP-Analyse
NIS-2 Umsetzung & kontinuierliche Begleitung

Jetzt Angebot anfordern

Je früher, desto besser.

FAQ

Welche Unternehmen fallen unter das NIS‑2‑Umsetzungsgesetz?

Betroffen sind »besonders wichtige« und »wichtige« Einrichtungen – darunter KRITIS‑Betreiber, große Behörden, Versorger und mittelständische Unternehmen ab 50 Mitarbeitenden oder 10 Mio € Jahresumsatz sowie großes Gewerbe ab 250 Mitarbeitenden oder 50 Mio € Umsatz.

Welche Sicherheitsanforderungen bringt das Gesetz mit sich?

Betroffene müssen ein systematisches Risikomanagement einführen, Angriffe erkennen (z. B. via IDS), Sicherheitsvorfälle innerhalb von 24 Stunden an das BSI melden und Business-Continuity/Multi-Faktor-Authentifizierung, Schulungen, Backup sowie Notfallkommunikation sicherstellen.

Wer haftet bei Verstößen gegenüber dem NIS‑2‑Gesetz?

Auch die Geschäftsleitung haftet persönlich, da sie für die Überwachung der Umsetzung der NIS-2-Maßnahmen verantwortlich ist. Das Gesetz verpflichtet Führungskräfte, sich aktiv mit Cybersicherheitsrisiken auseinanderzusetzen und entsprechende Maßnahmen zu veranlassen. Kommt die Leitung diesen Pflichten nicht nach, drohen nicht nur finanzielle Bußgelder, sondern auch haftungsrechtliche Konsequenzen für Einzelpersonen.

Was ist der Unterschied zwischen NIS‑2-Richtlinie und Umsetzungsgesetz?

Die NIS‑2-Richtlinie ist europäisches Recht (seit 18. Oktober 2024 anwendbar), das Umsetzungsgesetz bildet den nationalen Rahmen und ergänzt EU-Vorgaben durch Vorschriften zu Registrierung, Meldepflichten und Sanktionen.

Kann man sich jetzt schon vorbereiten – auch wenn das Gesetz noch nicht offiziell wirkt?

Ja – das BSI empfiehlt, unverzüglich mit der Analyse und Umsetzung technischer sowie organisatorischer Maßnahmen zu beginnen, unabhängig vom finalen Gesetzesbeschluss.

Informations­sicherheit