SustainedCloudWas ist NIS2?
NIS2 ist die EU-Richtlinie zur Netzwerk- und Informationssicherheit (EU 2022/2555). Sie verpflichtet Unternehmen in 18 Sektoren, ihre IT-Risiken zu managen, ihre Lieferketten abzusichern und erhebliche Sicherheitsvorfälle zu melden. Die Geschäftsführung haftet persönlich dafür, dass das passiert. In Deutschland betrifft das schätzungsweise 30.000 Unternehmen, die meisten davon Mittelständler, die sich bisher nie mit einer Sicherheitsregulierung befassen mussten.
Wer betroffen ist
Als Faustregel: Unternehmen ab 50 Mitarbeitern oder mehr als 10 Millionen Euro Jahresumsatz, tätig in einem von 18 Sektoren wie verarbeitendes Gewerbe, Logistik, Lebensmittelproduktion, Entsorgung, Chemie oder digitale Dienste. Kleinere Unternehmen rutschen oft indirekt hinein: Betroffene Kunden reichen die Anforderungen über Verträge an ihre Zulieferer weiter.
Was gefordert wird
Risikoanalyse und Sicherheitsrichtlinien, Umgang mit Vorfällen, Backup- und Krisenmanagement, Absicherung der Lieferkette, Zugriffskontrolle mit Multi-Faktor-Authentifizierung, Verschlüsselung und Schulungen. Erhebliche Vorfälle sind meldepflichtig: Frühwarnung innerhalb von 24 Stunden, Bewertung innerhalb von 72 Stunden. Betroffene Unternehmen registrieren sich außerdem beim BSI.
Was passiert, wenn Sie es ignorieren
Bußgelder reichen bis 10 Millionen Euro oder 2 % des weltweiten Umsatzes, und die Geschäftsführung kann für fehlende Maßnahmen persönlich haftbar gemacht werden. Die leisere Konsequenz kommt früher: Größere Kunden verlangen zunehmend NIS2-taugliche Nachweise von ihren Lieferanten, bevor sie unterschreiben. Die Richtlinie taucht also im Vertrieb auf, lange bevor ein Prüfer klingelt.
FAQ
Häufige Fragen.
Gilt NIS2 auch für kleine Unternehmen?
Unter 50 Mitarbeitern in der Regel nicht direkt, mit Ausnahmen für kritische Dienste. Aber betroffene Kunden schreiben die Anforderungen in ihre Verträge, sodass viele kleine Zulieferer dieselben Standards trotzdem erfüllen müssen.
Wo fange ich an?
Mit einer Bestandsaufnahme: Was läuft wo, was ist gesichert, wer hat Zugriff. Genau das liefert ein IT-Audit. Die meisten geforderten Maßnahmen, also Patching, getestete Backups, Monitoring und MFA, sind normale Managed-IT-Praxis und keine exotischen Sicherheitsprojekte.
Kostenlose IT-Analyse vereinbaren.
Wir schauen uns Ihre Umgebung unverbindlich an: was solide läuft, wo Risiken liegen und was zuerst angepackt gehört. Klare Antworten statt Verkaufsgespräch.