NIS2 Umsetzung: Was jetzt wirklich zu tun ist

Die NIS2 Richtlinie ist längst keine Zukunftsmusik mehr. Viele mittelständische Unternehmen, die bisher nicht auf dem Radar von Aufsichtsbehörden standen, fallen plötzlich in den Geltungsbereich. Wir bekommen seit Wochen Anfragen von Geschäftsführern, die unsicher sind, ob und wie stark sie betroffen sind. Zeit für eine nüchterne Bestandsaufnahme. Die grobe Faustregel lautet: Unternehmen ab 50 Mitarbeitern oder 10 Millionen Euro Jahresumsatz in einem der 18 definierten Sektoren sind betroffen. Die Sektoren sind breit gefasst und umfassen neben offensichtlichen Branchen wie Energie und Gesundheit auch Abfallwirtschaft, Post und Kurierdienste, Nahrungsmittelproduktion, Maschinenbau und digitale Dienste. Viele Unternehmen unterschätzen, dass sie als Zulieferer kritischer Infrastruktur indirekt ebenfalls in den Fokus geraten. Die Kernpflichten lassen sich in fünf Bereiche gliedern. Risikomanagement bedeutet einen formalisierten Prozess zur Identifikation, Bewertung und Behandlung von IT-Risiken. Ohne Dokumentation existiert er im Zweifel nicht. Vorfallsmeldungen müssen binnen 24 Stunden an das BSI erfolgen, eine vollständige Meldung folgt innerhalb von 72 Stunden. Wer keinen definierten Prozess hat, wird diese Frist reißen. Business Continuity umfasst Backup-Konzepte, Notfallpläne und Wiederherstellungszeiten. All das muss nicht nur existieren, sondern getestet sein. Lieferkettensicherheit heißt, dass Sie auch für Ihre Dienstleister verantwortlich sind. Verträge mit IT-Partnern müssen Sicherheitsanforderungen abbilden. Die Geschäftsleitungshaftung wird gerne überlesen. Geschäftsführer haften persönlich für die Einhaltung. Das ist eine signifikante Verschärfung gegenüber der alten Rechtslage. Unsere Empfehlung: starten Sie mit einer Gap-Analyse. In einem ein- bis zweitägigen Workshop lässt sich belastbar feststellen, wo Ihr Unternehmen gegenüber den Anforderungen steht. Daraus wird eine Roadmap mit Prioritäten, Budgets und Verantwortlichkeiten. Perfektion ist nicht das Ziel, Nachweisbarkeit und kontinuierliche Verbesserung schon. Wir begleiten mittelständische Unternehmen durch den gesamten Prozess, von der Analyse über die Umsetzung technischer Maßnahmen bis zur regelmäßigen Auditvorbereitung.