Andere Cookies sind konfigurierbar.
NIS2: Von der Abgrenzungsfrage zum überwachten Vertrauen.
Die Richtlinie (EU) 2022/2555 setzt höhere Maßstäbe für Cybersicherheit in systemrelevanten und wichtigen Einrichtungen in 18 Sektoren, wobei die Leitungsorgane persönlich verantwortlich sind. Wir begleiten Sie von der Bedarfsanalyse bis zur vollständigen Implementierung, einschließlich der Einhaltung der 24-Stunden-Meldepflicht.
Was benötigt NIS2?
Die NIS2-Richtlinie, Richtlinie (EU) 2022/2555, ist das aktualisierte Cybersicherheitsregime der EU für systemrelevante und wichtige Einrichtungen in 18 Sektoren. Sie schreibt in Artikel 21 Risikomanagementmaßnahmen vor, darunter die Bearbeitung von Sicherheitsvorfällen, die Sicherstellung der Geschäftskontinuität und die Sicherung der Lieferkette. Artikel 20 verpflichtet die Leitungsorgane zur Aufsicht und Schulung. Artikel 23 sieht ein gestaffeltes Meldeverfahren für Sicherheitsvorfälle vor: eine Frühwarnung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden und einen Abschlussbericht innerhalb eines Monats.
Die Richtlinie trat im Januar 2023 in Kraft, die Umsetzung durch die Mitgliedstaaten war bis zum 17. Oktober 2024 fällig. Sie enthält aufsichtsrechtliche Maßnahmen: Prüfungen, verbindliche Anweisungen und Geldbußen von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes für systemrelevante Unternehmen. Für die Führungsteams stellen sich konkrete Fragen: Fallen wir unter die Richtlinie? Entsprechen unsere Maßnahmen Artikel 21? Könnten wir die 24-Stunden-Frühwarnung tatsächlich einhalten? Und können wir dies gegenüber einer Aufsichtsbehörde nachweisen?
Unsere Beratung beantwortet diese Fragen der Reihe nach, von der Festlegung des Anwendungsbereichs und der Bedarfsanalyse über die Umsetzung der Maßnahmen bis hin zur Berichtsbereitschaft, der Governance und der Dokumentation der erbrachten Leistungen. Dabei greifen wir auf dieselbe Praxis zurück, die Kontinuität, Cyberresilienz und Krisenfähigkeit, denn die Einhaltung von NIS2 bedeutet die Dokumentation dieser Fähigkeiten.
Die NIS2-Servicelinie
NIS2 reist nie allein
NIS2 ist ein Instrument einer koordinierten europäischen Architektur. Die dazugehörige CER-Richtlinie regelt die physische und organisatorische Resilienz derselben kritischen Einrichtungen; Finanzinstitute unterliegen der DORA als Sondergesetzgebung; die Luftfahrt unterliegt Part-IS ; und Schweizer Betreiber unterliegen parallel dem Informationssicherheitsgesetz . Unsere Briefings behandeln alle diese Aspekte, und der Compliance-Kalender stellt alle Termine auf einer Zeitleiste dar.
Häufig gestellte Fragen
Wer fällt unter NIS2?+
Wesentliche und wichtige Unternehmen aus 18 Sektoren – von Energie, Transport, Gesundheit, Wasser und digitaler Infrastruktur bis hin zu Postdiensten, Lebensmitteln, der Herstellung kritischer Güter und digitalen Anbietern – sind in der Regel mittelständische und größere Unternehmen, wobei einige Unternehmen unabhängig von ihrer Größe einbezogen werden. Die Festlegung des Projektumfangs ist der erste Schritt jeder Zusammenarbeit.
Welche Meldefristen gelten für NIS2?+
Gemäß Artikel 23 löst ein schwerwiegendes Ereignis innerhalb von 24 Stunden eine Frühwarnung an das CSIRT oder die zuständige Behörde aus, gefolgt von einer Vorfallsmeldung mit einer ersten Bewertung innerhalb von 72 Stunden und einem Abschlussbericht innerhalb eines Monats. Die Einhaltung der ersten Frist erfordert einen einstudierten Erkennungs- und Eskalationsprozess.
Welche Strafen drohen bei Nichteinhaltung?+
Für systemrelevante Unternehmen drohen Geldbußen von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist; für bedeutende Unternehmen Geldbußen von bis zu 7 Millionen Euro oder 1,4 Prozent, zusätzlich zu Audits, verbindlichen Weisungen und in schwerwiegenden Fällen persönlichen Konsequenzen für die Geschäftsleitung.
In welcher Beziehung steht NIS2 zum Schweizer ISG?+
Es handelt sich um parallele Systeme: Betreiber kritischer Infrastrukturen in der Schweiz unterliegen der ISG und ihrer 24-Stunden-Meldepflicht gegenüber BACS, während ihre EU-Niederlassungen oder -Kunden sie unter Umständen in das NIS2-System einbinden. Wir stellen beide Systeme dar; siehe dazu unser deutschsprachiges ISG-Briefing.
Ist NIS2 ein IT-Projekt?+
Nein. Artikel 20 legt die Verantwortung den Leitungsorganen zu, und Artikel 21 umfasst Kontinuität, Lieferkette und Krisenmanagement. Es handelt sich um eine organisatorische Fähigkeit mit einer gesetzlichen Frist, weshalb unsere Maßnahmen Politikgestaltung, Implementierung, Schulung und Übung kombinieren.
Verwandte Dienstleistungen
DORA-Konformität
Die fünf Säulen der Verordnung (EU) 2022/2554, die für Finanzinstitute und ihre kritischen IKT-Anbieter umgesetzt wurden.
Lieferkettensicherheit
Das Risiko, das Sie von Lieferanten und gemeinsam genutzten Plattformen übernehmen: erfasst, zugesichert, vertraglich festgelegt und ausgeübt, gemäß ISO 28000, NIS2 und DORA.
Cyberresilienz
Über die Prävention hinaus: die Fähigkeit, Widerstand zu leisten, zu reagieren und sich zu erholen, während die grundlegenden Dienstleistungen weiterlaufen.
Informationssicherheit
Vertraulichkeit, Integrität und Verfügbarkeit werden durch ein lebendiges ISMS geschützt, das auf ISO 27001 ausgerichtet ist.
Geschäftskontinuitätsmanagement
BIA, ISO 22301-konforme Strategie, Pläne und Validierung: ein Kontinuitätsprogramm, das so konzipiert ist, dass es auch bei einer echten Störung bestehen kann.
Krisenmanagement
Doktrin, Strukturen und Kommunikationsmaßnahmen, die den Höhepunkt eindämmen und die Erholung verkürzen, verankert in ISO 22361.
Übungen zur Geschäftskontinuität
Planspiele, Funktionsübungen, Cyber-Übungen und Großübungen, die die Pläne und Nachweise gemäß ISO 22301, NIS2 und DORA belegen.
Organisatorische Resilienz
Die Struktur über den Plänen: Risiko, Kontinuität, Krise, Cyber und Personal auf einer gemeinsamen Grundlage gemäß ISO 22316.
Risikomanagement
Vom Risikouniversum zum kontrollierten Risiko: Identifizierung, stressbewusste Bewertung, eigenverantwortliche Behandlung und Live-Überwachung.
DAEDALUS Flughafen-Resilienz-Rahmenwerk
Das Airport Resilience Framework: fünf Domänen als ein Betriebsmodell für den gesamten Flugplatz, angetrieben vom 7A-Motor, in den Editionen für kommerzielle Luftfahrt, Fracht- und Geschäftsluftfahrt.
7A Risikomanagement-Rahmenwerk
Unser firmeneigenes, entscheidungsorientiertes Betriebsmodell: Exposition und Entscheidungssicherheit werden für den Vorstand separat gemessen.
KI-Governance und Resilienz
Governance ist in jede Ebene intelligenter Systeme integriert, vom Modellverhalten bis zur Rechenschaftspflicht des Vorstands und der ISO 42001.
Beantworten Sie die Frage zum Aufgabenbereich, bevor ein Vorgesetzter sie stellt.
Beginnen Sie mit einer NIS2-Bereitschaftsanalyse; so erkennen Sie Ihre Lücken, Ihre Prioritäten und Ihren Abstand zur 24-Stunden-Uhr.
Vereinbaren Sie einen Beratungstermin