NIS2-Anforderungen: Maßnahmen, Meldepflichten, Checkliste

Wer von NIS2 betroffen ist

NIS2 unterscheidet besonders wichtige und wichtige Einrichtungen in zahlreichen Sektoren, darunter Energie, Verkehr, Gesundheit, digitale Infrastruktur, Abwasser, öffentliche Verwaltung, Post, Abfall, Chemie, Lebensmittel und verarbeitendes Gewerbe. Maßgeblich sind in der Regel Größe (ab 50 Beschäftigten oder mehr als 10 Mio. Euro Jahresumsatz und Bilanzsumme) und Sektor; für einige Einrichtungen gilt NIS2 unabhängig von der Größe. Betroffene Unternehmen müssen sich beim BSI registrieren.

Risikomanagementmaßnahmen nach Art. 21

Art. 21 NIS2 verlangt geeignete technische, operative und organisatorische Maßnahmen, unter anderem:

• Konzepte für Risikoanalyse und Sicherheit von Informationssystemen
• Bewältigung von Sicherheitsvorfällen
• Aufrechterhaltung des Betriebs, Backup-Management, Krisenmanagement
• Sicherheit der Lieferkette
• Sicherheit bei Erwerb, Entwicklung und Wartung, einschließlich Umgang mit Schwachstellen
• Bewertung der Wirksamkeit der Maßnahmen
• Cyberhygiene und Schulungen, Kryptografie, Zugriffskontrolle, Multi-Faktor-Authentifizierung

Meldepflichten: 24 Stunden, 72 Stunden, ein Monat

Erhebliche Sicherheitsvorfälle müssen gestuft gemeldet werden: eine Frühwarnung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden mit erster Bewertung und ein Abschlussbericht innerhalb eines Monats. Das gelingt nur, wenn Vorfälle schnell erkannt und sauber dokumentiert werden – die Aufgabe von XMfortress Detect.

Verantwortung der Geschäftsleitung

Die Geschäftsleitung muss die Maßnahmen billigen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Sie kann bei Pflichtverletzungen haften. Bei Verstößen drohen Bußgelder von bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes (besonders wichtige Einrichtungen) bzw. 7 Mio. Euro oder 1,4 % (wichtige Einrichtungen).

NIS2-Checkliste: die ersten Schritte

• Betroffenheit prüfen und beim BSI registrieren
• Verantwortliche benennen, Geschäftsleitung schulen
• Asset-Inventar aufbauen und aktuell halten
• Risikoanalyse durchführen, Schwachstellenprozess mit Fristen festlegen
• Erkennung und Meldewege für Vorfälle einrichten und üben
• Wirksamkeit der Maßnahmen regelmäßig prüfen und dokumentieren
• Lieferanten und Dienstleister in die Bewertung einbeziehen

XMfortress unterstützt die technische Umsetzung und liefert Nachweise. Die Verantwortung für die Einhaltung bleibt beim Unternehmen; eine rechtliche Prüfung ersetzt die Plattform nicht.