Question 1

Wer ist in Deutschland von NIS2 betroffen?

Accepted Answer

Die NIS2-Richtlinie gilt für Einrichtungen, die in 18 definierten Sektoren tätig sind (Energie, Verkehr, Gesundheit, Bankwesen, digitale Infrastruktur, Wasser, Lebensmittel, Industrie usw.) und bestimmte Größenschwellen überschreiten. Wesentliche Einrichtungen sind Großunternehmen (mehr als 250 Beschäftigte oder mehr als 50 Mio. € Jahresumsatz) in den besonders kritischen Sektoren aus Anhang I. Wichtige Einrichtungen umfassen mittlere Unternehmen (mehr als 50 Beschäftigte oder mehr als 10 Mio. € Umsatz) in allen betroffenen Sektoren. Deutschland hat NIS2 durch das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) umgesetzt, das seit dem 17. Oktober 2024 gilt. Das BSI ist die zuständige nationale Behörde für die Identifizierung und Beaufsichtigung der betroffenen Einrichtungen.

Question 2

Wann ist NIS2 in Kraft getreten?

Accepted Answer

Die Richtlinie (EU) 2022/2555, bekannt als NIS2, wurde am 27. Dezember 2022 im Amtsblatt der Europäischen Union veröffentlicht. Die Mitgliedstaaten hatten bis zum 17. Oktober 2024 Zeit, sie in nationales Recht umzusetzen. Deutschland hat die Richtlinie durch das NIS2UmsuCG fristgerecht umgesetzt, das am 17. Oktober 2024 in Kraft getreten ist. Das Gesetz stärkt die Befugnisse des BSI erheblich und verpflichtet betroffene Einrichtungen zur Registrierung, zur Umsetzung von Sicherheitsmaßnahmen und zur Meldung erheblicher Sicherheitsvorfälle. Einrichtungen, die bisher unter das KRITIS-Regime fielen, müssen ihre bestehenden Maßnahmen an die erweiterten NIS2-Anforderungen anpassen.

Question 3

Welche Sanktionen sieht NIS2 vor?

Accepted Answer

NIS2 sieht zwei Ebenen von Verwaltungssanktionen vor, abhängig von der Kategorie der Einrichtung. Für wesentliche Einrichtungen beträgt das maximale Bußgeld 10.000.000 € oder 2 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist. Für wichtige Einrichtungen gilt eine Obergrenze von 7.000.000 € oder 1,4 % des weltweiten Jahresumsatzes. Das BSI kann zusätzlich Anordnungen zur Einhaltung der Vorschriften erlassen, Zertifizierungen oder Genehmigungen vorübergehend aussetzen und festgestellte Verstöße öffentlich machen. Führungskräfte können nach deutschem Recht auch persönlich haftbar gemacht werden, wenn sie ihre Aufsichtspflichten vernachlässigen.

Question 4

Gilt NIS2 auch für Unterauftragnehmer?

Accepted Answer

Ja, NIS2 hat eine weitreichende Wirkung auf die Lieferkette. Betroffene Einrichtungen (wesentliche und wichtige) sind verpflichtet sicherzustellen, dass ihre Lieferanten und Dienstleister, die auf ihre Informationssysteme zugreifen oder kritische Daten verarbeiten, ein angemessenes Sicherheitsniveau einhalten. In der Praxis bedeutet dies, dass IT-Unterauftragnehmer und Lieferanten von NIS2-betroffenen Einrichtungen Sicherheitsanforderungen über Vertragsklauseln, Sicherheitsfragebögen und möglicherweise Audits auferlegt bekommen. Auch wenn ein Unternehmen nicht direkt unter NIS2 fällt, muss es möglicherweise entsprechende Anforderungen erfüllen, um seine regulierten Kunden zu behalten.

Question 5

Wie meldet man einen Vorfall an das BSI?

Accepted Answer

NIS2 schreibt einen mehrstufigen Meldeprozess vor. Innerhalb von 24 Stunden nach Entdeckung eines erheblichen Vorfalls muss die Einrichtung dem BSI eine Frühwarnung übermitteln, die angibt, ob der Vorfall auf eine böswillige Handlung zurückzuführen scheint und ob er grenzüberschreitende Auswirkungen hat. Innerhalb von 72 Stunden muss eine vollständige Meldung mit einer ersten Einschätzung des Vorfalls, seiner Schwere und seiner voraussichtlichen Auswirkungen folgen. Einen Monat nach der Behebung muss ein abschließender Bericht mit einer Ursachenanalyse und den ergriffenen Korrekturmaßnahmen übermittelt werden. Das BSI stellt unter meldungen@bsi.bund.de und über sein Online-Portal entsprechende Meldemöglichkeiten bereit.

Question 6

Was ist der Unterschied zwischen wesentlichen und wichtigen Einrichtungen?

Accepted Answer

Die Unterscheidung zwischen wesentlichen Einrichtungen (WE) und wichtigen Einrichtungen (WI) basiert hauptsächlich auf zwei Kriterien: dem Tätigkeitssektor und der Unternehmensgröße. Wesentliche Einrichtungen sind in den besonders kritischen Sektoren aus Anhang I der Richtlinie tätig (Energie, Verkehr, Gesundheit, Wasser, digitale Infrastruktur usw.) und überschreiten die Schwellenwerte für Großunternehmen. Wichtige Einrichtungen umfassen sowohl mittelgroße Organisationen in Anhang-I-Sektoren als auch Unternehmen in den zusätzlichen Sektoren aus Anhang II (Lebensmittel, Chemie, Industrie usw.). Der wichtigste praktische Unterschied betrifft das Aufsichtsregime: WE unterliegen regelmäßigen proaktiven Kontrollen, während WI einer reaktiven Aufsicht unterliegen, die durch einen Vorfall oder eine Beschwerde ausgelöst wird.

Question 7

Ersetzt NIS2 die DSGVO?

Accepted Answer

Nein, NIS2 ersetzt nicht die DSGVO. Beide Verordnungen ergänzen sich und bestehen nebeneinander. Die DSGVO (Datenschutz-Grundverordnung) betrifft den Schutz personenbezogener Daten und gilt für jede Organisation, die Daten von EU-Bürgern verarbeitet, unabhängig von Größe oder Branche. NIS2 betrifft die Sicherheit von Netz- und Informationssystemen von Einrichtungen in kritischen Sektoren. Beide Regelwerke verstärken sich gegenseitig: Gute NIS2-Cybersicherheitspraktiken tragen zur DSGVO-konformen Sicherheit personenbezogener Daten bei. Bei einem Cybervorfall, der zu einer Datenschutzverletzung führt, kann ein Unternehmen gleichzeitig NIS2-Meldepflichten (gegenüber dem BSI) und DSGVO-Meldepflichten (gegenüber dem Bundesbeauftragten für den Datenschutz oder den Landesbehörden) unterliegen.

Question 8

Ist mein Hosting-Anbieter für meine NIS2-Compliance verantwortlich?

Accepted Answer

Nein, Ihr Hosting-Anbieter kann nicht für Ihre NIS2-Compliance verantwortlich gemacht werden. Die Verantwortung für die Einhaltung der Vorschriften liegt bei der betroffenen Einrichtung selbst, also bei Ihrer Organisation. Es handelt sich um eine geteilte Verantwortung: Wenn Sie Cloud- oder Hosting-Dienste nutzen, müssen Sie sicherstellen, dass Ihre Anbieter angemessene Sicherheitsniveaus einhalten (dies ist die Pflicht zur Sicherheit der Lieferkette), aber die Gesamtverantwortung für die Compliance verbleibt bei Ihnen. Dies umfasst Governance, Risikomanagement, Vorfallsmeldung und Geschäftskontinuität. In der Praxis müssen Sie Ihre Vertragsbeziehungen mit IT-Dienstleistern so gestalten, dass Sicherheitsklauseln entsprechend den NIS2-Anforderungen integriert sind.

Question 9

Gilt NIS2 für Kleinstunternehmen?

Accepted Answer

Als allgemeine Regel gilt NIS2 nicht für Kleinstunternehmen und Kleinunternehmen (weniger als 50 Beschäftigte und weniger als 10 Mio. € Umsatz). Die Richtlinie wurde entwickelt, um Einrichtungen zu erfassen, deren Ausfall erhebliche Auswirkungen auf die Gesellschaft oder Wirtschaft hätte. Es gibt jedoch wichtige Ausnahmen: Bestimmte Einrichtungstypen unterliegen NIS2 unabhängig von ihrer Größe, darunter Betreiber öffentlicher elektronischer Kommunikationsnetze, DNS-Dienstleister, Betreiber von Top-Level-Domain-Namenregistern und qualifizierte Vertrauensdiensteanbieter. Darüber hinaus kann auch ein Kleinstunternehmen indirekt betroffen sein, wenn es als Unterauftragnehmer einer betroffenen Einrichtung tätig ist.

Question 10

Was ist die Frist für die NIS2-Compliance?

Accepted Answer

Das NIS2UmsuCG ist in Deutschland am 17. Oktober 2024 in Kraft getreten; die Pflichten sind daher seit diesem Datum anwendbar. Das BSI wird betroffene Einrichtungen schrittweise identifizieren und registrieren. Es wird dringend empfohlen, mit den Compliance-Vorbereitungen nicht auf die offizielle Benachrichtigung zu warten, da eine vollständige Compliance mehrere Monate in Anspruch nimmt: Asset-Mapping, Risikoanalyse, Implementierung technischer und organisatorischer Maßnahmen sowie Schulung der Mitarbeiter. Einrichtungen, die zu lange warten, riskieren Sanktionen, sobald das BSI seine Aufsichtstätigkeit vollständig aufnimmt.

Question 11

Wie lässt sich die NIS2-Compliance nachweisen?

Accepted Answer

NIS2 sieht keine einheitliche Pflicht-Zertifizierung vor, aber der Nachweis der Compliance beruht auf einer umfassenden Dokumentation und regelmäßigen Audits. Eine konforme Einrichtung sollte über eine von der Geschäftsführung genehmigte Sicherheitspolitik, eine aktuelle Risikoanalyse, ein Vorfallsregister, einen getesteten Geschäftskontinuitätsplan, Schulungsnachweise, Lieferantenverträge mit Sicherheitsklauseln sowie interne oder externe Auditberichte verfügen. Das BSI kann diese Dokumente im Rahmen seiner Aufsichtstätigkeit anfordern. Die Anwendung anerkannter Rahmenwerke wie ISO 27001 oder IT-Grundschutz (BSI) kann den Compliance-Nachweis erleichtern.

Question 12

Betrifft NIS2 auch Vereine und gemeinnützige Organisationen?

Accepted Answer

Vereine und gemeinnützige Organisationen können von NIS2 betroffen sein, wenn sie Tätigkeiten in einem der 18 erfassten Sektoren ausüben und die Größenschwellen überschreiten (50 Beschäftigte oder 10 Mio. € Budget). Beispielsweise könnten ein Verein, der ein Wasserverteilungsnetz betreibt, eine Gesundheitseinrichtung in Vereinsform oder eine wissenschaftliche Forschungsstiftung der Richtlinie unterliegen. Die Rechtsform (Verein, Stiftung, gGmbH usw.) ist nicht das entscheidende Kriterium: Es kommt auf die Art der Tätigkeit und die Größenschwellen an. Kleine Vereine außerhalb kritischer Sektoren sind in der Regel nicht betroffen. Im Zweifelsfall empfiehlt sich eine Beratung durch das BSI oder einen spezialisierten Rechtsanwalt.

Question 13

Was ist die NIS2-Lieferkette?

Accepted Answer

Die Lieferkettensicherheit (Supply Chain Security) ist eine der zentralen Pflichten nach NIS2. Sie verpflichtet betroffene Einrichtungen, Cybersicherheitsrisiken aus ihren Beziehungen zu Lieferanten und Dienstleistern zu bewerten und zu managen, insbesondere solchen, die auf ihre Informationssysteme zugreifen, kritische Daten verarbeiten oder Softwarekomponenten liefern, die in ihre Produkte integriert sind. In der Praxis bedeutet dies die Erfassung kritischer Lieferanten, Sicherheitsfragebögen, Vertragsklauseln mit Mindestsicherheitsanforderungen und Auditrechte. Diese Pflicht ist eine Reaktion auf die Zunahme von Lieferkettenangriffen (wie SolarWinds), die die Abwehr einer Organisation durch Angriffe auf ihre Lieferanten umgehen.

Question 14

Kontrolliert das BSI bereits Unternehmen?

Accepted Answer

Ja, das BSI verfügt bereits über Kontrollbefugnisse aus der NIS1-Richtlinie, die es gegenüber Betreibern kritischer Infrastrukturen (KRITIS) und digitalen Diensteanbietern ausübt. Mit NIS2 wurden diese Befugnisse durch das NIS2UmsuCG erheblich ausgeweitet. Das BSI kann nun anlasslose Überprüfungen durchführen, Sicherheitsaudits durch qualifizierte Prüfer anordnen, Anordnungen zur Mängelbeseitigung mit Fristen erteilen und Bußgelder verhängen. Für wesentliche Einrichtungen können Kontrollen proaktiv eingeleitet werden, ohne dass ein Vorfall eingetreten sein muss. Der vollständige Einsatz dieser Kontrollbefugnisse wird schrittweise erfolgen, während das BSI die betroffenen Einrichtungen in Deutschland identifiziert.

Question 15

Gilt NIS2 in ganz Europa?

Accepted Answer

Ja, NIS2 ist eine europäische Richtlinie, die für alle 27 EU-Mitgliedstaaten gilt. Da es sich um eine Richtlinie (und keine Verordnung) handelt, muss sie in das nationale Recht jedes Mitgliedstaats umgesetzt werden. Das bedeutet, dass die praktischen Umsetzungsmodalitäten (Identifizierung von Einrichtungen, Meldeprozesse, wirksame Sanktionen) von Land zu Land variieren können, auch wenn die inhaltlichen Anforderungen harmonisiert sind. Für internationale Gruppen bedeutet dies, die Umsetzung in jedem betroffenen Land zu verfolgen. Das Aufsichtsmechanismus basiert auf dem Prinzip der Hauptniederlassung: Eine Einrichtung, die in mehreren Mitgliedstaaten tätig ist, wird für grenzüberschreitende Dienste in der Regel von der Behörde des Landes beaufsichtigt, in dem sich ihre Hauptniederlassung befindet.

Häufig gestellte Fragen zu NIS2

Häufig gestellte Fragen zu NIS2