Welche Maßnahmen verlangt NIS2?

Einen Mindestkatalog nach Art. 21: u. a. Risikoanalyse, Incident-Handling, Business Continuity, Lieferkettensicherheit, sichere Beschaffung/Entwicklung, Wirksamkeitsbewertung, Cyberhygiene und Schulungen, Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentifizierung – angemessen zum Risiko und nach Stand der Technik.

Welche Meldefristen gelten bei NIS2?

Gestaffelt: Frühwarnung spätestens 24 Stunden nach Kenntnis eines erheblichen Vorfalls, Vorfallmeldung spätestens 72 Stunden mit erster Bewertung und Abschlussbericht spätestens einen Monat nach der Meldung.

Hilft ein bestehendes ISO-27001-ISMS bei NIS2?

Ja. Die NIS2-Risikomanagementmaßnahmen überschneiden sich stark mit den Annex-A-Controls der ISO 27001. Ein gelebtes ISMS ist eine sehr gute Grundlage, deckt aber nicht die zusätzlichen gesetzlichen NIS2-Pflichten (Registrierung, Meldewesen, Governance) ab.

Wissen · NIS2

NIS2 umsetzen: Pflichten, Meldefristen und Geschäftsleitungshaftung

Betroffene Unternehmen müssen unter NIS2 technische und organisatorische Risikomanagementmaßnahmen umsetzen, Sicherheitsvorfälle innerhalb gestaffelter Fristen melden, sich registrieren und die Geschäftsleitung in die Verantwortung nehmen. Die Leitungsorgane müssen die Maßnahmen billigen, ihre Umsetzung überwachen und sich schulen lassen – bei Verstößen haften sie persönlich. Prüfen Sie zuerst Ihre Betroffenheit, dann setzen Sie die folgenden Pflichten um.

Rechtsgrundlage: Richtlinie (EU) 2022/2555 (NIS2), Art. 21/23
Frühwarnung: spätestens 24 Stunden
Vorfallmeldung: spätestens 72 Stunden
Abschlussbericht: spätestens 1 Monat
Geschäftsleitung: Billigung, Überwachung, Schulung, Haftung

Risikomanagementmaßnahmen (Art. 21)

NIS2 verlangt einen gefahrenübergreifenden (all-hazards) Ansatz mit einem Mindestkatalog an Maßnahmen: Risikoanalyse und Sicherheitskonzepte, Bewältigung von Sicherheitsvorfällen, Business Continuity und Krisenmanagement, Sicherheit der Lieferkette, Sicherheit bei Beschaffung/Entwicklung/Wartung, Bewertung der Wirksamkeit, Cyberhygiene und Schulungen, Kryptografie und Verschlüsselung, Personalsicherheit und Zugriffskontrolle, sowie Multi-Faktor-Authentifizierung und gesicherte Kommunikation.

Die Maßnahmen müssen dem Risiko angemessen sein und dem Stand der Technik entsprechen. Ein bestehendes ISMS (ISO 27001) deckt große Teile ab.

Meldepflicht in Stufen

Erhebliche Sicherheitsvorfälle sind gestaffelt zu melden: eine Frühwarnung unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis; eine Vorfallmeldung innerhalb von 72 Stunden mit einer ersten Bewertung; und ein Abschlussbericht spätestens einen Monat nach der Meldung. Zwischenberichte können auf Anforderung verlangt werden.

Ein Vorfall gilt als erheblich, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste verursachen kann oder andere Personen durch beträchtliche Schäden betreffen kann.

Registrierung und Governance

Betroffene Einrichtungen müssen sich bei der zuständigen Behörde registrieren und ihre Kontaktdaten aktuell halten. Zentrale Neuerung von NIS2 ist die Verantwortung der Leitungsorgane: Die Geschäftsleitung muss die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Bei Pflichtverletzungen drohen empfindliche Bußgelder und persönliche Haftung.

Umsetzung mit MGMSYS

Das NIS2-Modul in MGMSYS führt die Betroffenheitsanalyse, den Maßnahmenkatalog nach Art. 21 mit Fristen, das Vorfall-Meldemanagement mit den gestaffelten Fristen sowie Nachweise für Registrierung und Geschäftsleitungsschulung – revisionssicher und aufsichtsfest.

Häufige Fragen

Welche Maßnahmen verlangt NIS2?: Einen Mindestkatalog nach Art. 21: u. a. Risikoanalyse, Incident-Handling, Business Continuity, Lieferkettensicherheit, sichere Beschaffung/Entwicklung, Wirksamkeitsbewertung, Cyberhygiene und Schulungen, Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentifizierung – angemessen zum Risiko und nach Stand der Technik.
Welche Meldefristen gelten bei NIS2?: Gestaffelt: Frühwarnung spätestens 24 Stunden nach Kenntnis eines erheblichen Vorfalls, Vorfallmeldung spätestens 72 Stunden mit erster Bewertung und Abschlussbericht spätestens einen Monat nach der Meldung.
Haftet die Geschäftsleitung bei NIS2 persönlich?: Ja. Die Leitungsorgane müssen die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und sich schulen lassen. Bei Pflichtverletzungen drohen Bußgelder und persönliche Haftung der Leitung.
Hilft ein bestehendes ISO-27001-ISMS bei NIS2?: Ja. Die NIS2-Risikomanagementmaßnahmen überschneiden sich stark mit den Annex-A-Controls der ISO 27001. Ein gelebtes ISMS ist eine sehr gute Grundlage, deckt aber nicht die zusätzlichen gesetzlichen NIS2-Pflichten (Registrierung, Meldewesen, Governance) ab.