Die NIS2-Richtlinie ist eine EU-Gesetzgebung zur Verbesserung der Cybersicherheit in kritischen Sektoren. NIS steht hierbei für Netzwerk- und Informationssicherheit. Sie verpflichtet Unternehmen, ihre Netzwerke und Informationssysteme gegen Cyberrisiken abzusichern und Vorfälle zu melden. Die erste NIS-Richtlinie wurde im Jahr 2016 vom EU-Parlament verabschiedet. Aufbauend darauf wurde im Jahr 2022 die zweite Version der Richtlinie (NIS2) eingeführt, welche bereits in Kraft getreten ist und bis Oktober 2024 in nationales Recht umgesetzt werden muss. Das deutsche NIS2 Umsetzungsgesetz (NIS2UmsuCG) ist am 6. Dezember 2025 in Kraft getreten.

Die NIS2 gilt für Unternehmen in Sektoren wie Energie, Gesundheit, Transport, Lebensmittelversorgung, Finanzwesen, digitale Infrastruktur und öffentliche Verwaltung, sowohl im privaten als auch im öffentlichen Sektor. In der NIS2 gibt es keine festen Schwellenwerte, die für alle betroffenen Unternehmen eindeutig gelten. Für einige Sektoren wird jedoch auf kleine und mittlere Unternehmen (KMU) Rücksicht genommen, was bedeutet, dass Unternehmen mit weniger als 50 Mitarbeitern und einem Jahresumsatz unter 10 Millionen Euro in der Regel nicht direkt von der NIS2 betroffen sind. Allerdings müssen kleine Unternehmen, die in kritischen Sektoren wie dem Gesundheitswesen oder der Energieversorgung tätig sind, trotz ihrer Größe bestimmte Mindestanforderungen erfüllen, auch wenn sie nicht vollständig unter die NIS2 fallen. Bei Unsicherheiten können Sie sich gerne an uns wenden – wir helfen Ihnen, Ihre Betroffenheit bei den NIS2-Anforderungen richtig einzuordnen.

Unternehmen müssen eine Vielzahl von Maßnahmen ergreifen, um die Anforderungen der NIS2 zu erfüllen. Die Ausgangsbasis bildet hierfür ein ISMS. Zusätzlich müssen insbesondere die folgenden Punkte umgesetzt werden:

Risikomanagement und Sicherheitsvorkehrungen: Unternehmen müssen ein effektives Risikomanagementsystem etablieren, das auf der Identifikation und Minimierung von Cyberrisiken basiert. Es müssen Sicherheitsvorkehrungen getroffen werden, um sensible Daten und Systeme vor Angriffen zu schützen.

Cybersicherheitsvorfälle melden: Bei einem Vorfall sind Unternehmen verpflichtet, diesen innerhalb von 24 Stunden an die zuständigen nationalen Behörden zu melden. Ein detaillierter Bericht über den Vorfall muss innerhalb von 72 Stunden nach der ersten Meldung eingereicht werden.

Überwachung und regelmäßige Audits: Unternehmen müssen ihre Sicherheitsmaßnahmen regelmäßig überprüfen und sicherstellen, dass diese aktuell und wirksam sind. Dies schließt die Durchführung von Sicherheits-Audits und die Implementierung von Verbesserungsmaßnahmen ein.

Unternehmen, die die Anforderungen der NIS2-Richtlinie nicht einhalten, können mit erheblichen Strafen belegt werden. Diese Strafen können bis zu 10 Millionen Euro oder 2% des weltweiten Jahresumsatzes des Unternehmens betragen, je nachdem, welcher Betrag höher ist. Zusätzlich zu den finanziellen Sanktionen kann es auch zu rechtlichen Konsequenzen und einem Verlust des Vertrauens seitens der Kunden und Partner kommen, was zu langfristigen geschäftlichen Schäden führen kann. Daher ist es entscheidend, die Anforderungen rechtzeitig zu erfüllen, um diese Risiken zu vermeiden.

Ein ISMS (Informationssicherheitsmanagementsystem) ist ein strukturiertes System zur Verwaltung und Verbesserung der Informationssicherheit in einem Unternehmen. Es umfasst Prozesse, Richtlinien, Werkzeuge und Verfahren zur Identifikation, Bewertung und Behandlung von Sicherheitsrisiken. Ein ISMS nach dem ISO 27001-Standard bildet die Grundlage für die Umsetzung der NIS2-Anforderungen. Es hilft Unternehmen dabei, die erforderlichen Sicherheitsmaßnahmen zu implementieren, Vorfälle zu melden und ihre Cybersicherheit kontinuierlich zu verbessern. Die Einführung eines ISMS sorgt dafür, dass alle Anforderungen der NIS2 in einem systematischen Rahmen berücksichtigt werden.

Die tatsächlichen Kosten hängen von der Größe und Komplexität Ihres Unternehmens ab. Faktoren wie Standorte, Geschäftsbereiche und bestehende IT-Strukturen spielen dabei eine Rolle.

Zur Orientierung gelten folgende Richtwerte:

• Erstgespräch bzw. Betroffenheitsprüfung: kostenlos (ca. 30 Minuten)
• Kleinstunternehmen (< 10 Mitarbeitende): ab 1.299 € netto
• Kleine Unternehmen (< 50 Mitarbeitende): ab 1.999 € netto
• Mittlere Unternehmen (< 100 Mitarbeitende): ab 2.950 € netto
• Mittlere Unternehmen (< 250 Mitarbeitende): ab 3.950 € netto

Die genannten Preise verstehen sich als unverbindliche Richtwerte (netto, zzgl. gesetzlicher Umsatzsteuer). Der tatsächliche Aufwand wird nach einer kurzen Erstprüfung individuell und transparent festgelegt.