Regulierung

NIS2-Richtlinie

Abkürzung: NIS2

EU-Richtlinie zur Netz- und Informationssicherheit, die ab Oktober 2024 deutlich erweiterte Cybersicherheitspflichten für Unternehmen in kritischen Sektoren einführt.

🧒

Einfach erklärt

Für jeden verständlich — ohne Vorkenntnisse

“Die EU sagt: "Wichtige Unternehmen müssen ihre IT besser schützen — und wenn etwas passiert, müssen sie es schnell melden." NIS2 betrifft viel mehr Firmen als zuvor, und wenn Chefs die Regeln ignorieren, haften sie persönlich. Sicherheit ist jetzt Chefsache.”

Ausführliche Erklärung

NIS2 (Network and Information Security Directive 2) erweitert den Geltungsbereich der ursprünglichen NIS-Richtlinie erheblich: von ca. 500 auf über 160.000 Unternehmen in der EU. Betroffene Sektoren: Energie, Verkehr, Banken, Gesundheit, digitale Infrastruktur, Wasserversorgung und viele mehr. Anforderungen: Risikomanagementmaßnahmen, Meldepflichten (24h Erstmeldung), Supply-Chain-Sicherheit, Kryptographie, MFA, und persönliche Haftung der Geschäftsführung. Bußgelder bis 10 Mio. EUR oder 2% des weltweiten Umsatzes.

>Wie funktioniert das?

Prüfen ob das Unternehmen in den Anwendungsbereich fällt (Sektor + Größe)

Risikomanagement implementieren: technische und organisatorische Maßnahmen

Incident Response Prozess etablieren: 24h Erstmeldung an BSI bei erheblichen Vorfällen

Supply-Chain-Sicherheit: Lieferanten auf Sicherheit prüfen und vertraglich einbinden

Geschäftsführung: Nachweisbare Verantwortung und Schulung der Leitungsebene.

?Häufig gestellte Fragen

Antwort

Unternehmen ab 50 Mitarbeitern oder 10 Mio. EUR Umsatz in kritischen Sektoren (wesentliche Einrichtungen) und wichtige Einrichtungen in erweiterten Sektoren — sowie deren kritische Lieferanten.

Antwort

Risikomanagement, 24h Erstmeldung erheblicher Vorfälle, Supply-Chain-Sicherheit, Business Continuity, Kryptographie, MFA und persönliche Haftung der Unternehmensleitung.

Antwort

Für das Versagen angemessener Cybersicherheitsmaßnahmen — Geschäftsführer können persönlich mit Bußgeldern belegt werden und vorübergehend von der Leitungsfunktion ausgeschlossen werden.

Antwort

Weil die erste NIS-Richtlinie zu wenige Unternehmen abdeckte, Umsetzung in EU-Mitgliedstaaten zu unterschiedlich war und Cyberangriffe auf kritische Infrastruktur massiv zugenommen haben.

Antwort

Mit einer Gap-Analyse (aktuelle Maßnahmen vs. NIS2-Anforderungen), Risikobewertung, Priorisierung der Maßnahmen, Etablierung eines Incident-Response-Prozesses und Einbindung der Geschäftsführung.

Alle Begriffe im Glossar

APT Brute-Force-Angriff Botnet CVE Credential Stuffing DDoS EDR Firewall Honeypot IDS KI-Angriff (Adversarial AI)Lateral Movement LLM-Sicherheit Malware MFA Netzwerksegmentierung OSINT Passkeys Patch Management Phishing Prompt Injection Ransomware SIEM Social Engineering SQL-Injection Threat Intelligence TTP WAF XDR Zero-Day Zero Trust XSS CSRF MitM Supply-Chain-Angriff Spear-Phishing Vishing Smishing Watering-Hole-Angriff Drive-by-Download Insider-Bedrohung Typosquatting Clickjacking DNS-Spoofing Session-Hijacking BEC Cryptojacking SIM-Swapping SOC Pentest Threat Hunting Red Team Blue Team DevSecOps Security Awareness Training Vulnerability Management SAST DAST 3-2-1 Backup-Strategie Cyber-Versicherung NIS2 DSGVO ISO/IEC 27001 BSI IT-Grundschutz NIST CSF KRITIS — Kritische Infrastrukturen PCI-DSS CRA TISAX — Automotive Informationssicherheit BCM Meldepflicht bei Datenpannen Adversarial Machine Learning Model Poisoning Deepfake KI-Halluzination LLM-Jailbreak Federated Learning Shadow AI Trojaner Computerwurm Spyware Rootkit Keylogger Fileless Malware Backdoor Infostealer Wiperware Adware OAuth 2.0 SAML SSO PAM IAM RBAC Passwort-Manager Biometrische Authentifizierung Hardware-Sicherheitsschlüssel VPN DMZ VLAN Port-Scanning BGP-Hijacking IPS NAC TLS SSH HTTPS — HyperText Transfer Protocol Secure SPF, DKIM & DMARC — E-Mail-Authentifizierung IPsec — Internet Protocol Security API-Sicherheit DNSSEC