Kostenloses 15-minütiges Beratungsgespräch
In einem unverbindlichen Gespräch mit einem Trustlinks-Experten besprechen wir, ob die NIS2-Richtlinie bzw. das deutsche NIS2-Umsetzungsgesetz (NIS2UmsuCG) voraussichtlich auf Ihre Organisation Anwendung findet und was die wichtigsten Anforderungen in der Praxis bedeuten.
Das Gespräch dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung dar.
- 15 Minuten
- Gespräch mit einem NIS2-Experten
- Klarheit über Ihre nächsten Schritte
- Auf Wunsch inklusive Live-Demo von Trustlinks
Philipp Garz
Compliance specialist, Trustlinks
Was ist die NIS2-Richtlinie?
Die NIS2-Richtlinie (EU) 2022/2555 ist das aktualisierte Cybersicherheitsgesetz der Europäischen Union. Sie erweitert den Anwendungsbereich der ursprünglichen NIS-Richtlinie erheblich und stellt deutlich höhere Anforderungen an Risikomanagement, Vorfallmeldungen, Sicherheit der Lieferkette sowie die Verantwortung der Geschäftsleitung. In Deutschland erfolgt die Umsetzung über das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG).
- Richtlinie (EU) 2022/2555 – Nachfolger der NIS-Richtlinie von 2016
- Umsetzungsfrist in den Mitgliedstaaten: 17. Oktober 2024
- Gilt in allen 27 EU-Mitgliedstaaten
- Überwachung durch die jeweils zuständigen nationalen Cybersicherheitsbehörden
Gilt NIS2 für Ihre Organisation?
NIS2 unterscheidet zwischen besonders wichtigen und wichtigen Einrichtungen. Betroffen sind in der Regel mittlere und große Unternehmen (ab 50 Mitarbeitenden oder 10 Mio. € Jahresumsatz) in den unten aufgeführten Sektoren. Einige besonders kritische Einrichtungen fallen unabhängig von ihrer Unternehmensgröße unter die Regelung.
Besonders wichtige Einrichtungen Höchste Aufsicht und strengste Sanktionen
- Energie
- Banken und Finanzwesen
- Trinkwasser- und Abwasserwirtschaft
- IKT-Dienstleistungsmanagement
- Raumfahrt
- Verkehr
- Gesundheitswesen
- Digitale Infrastruktur
- Öffentliche Verwaltung
Wichtige Einrichtungen Risikobasierte Aufsicht und Durchsetzung nach Vorfällen
- Post- und Kurierdienste
- Chemische Industrie
- Verarbeitendes Gewerbe (u. a. Medizintechnik, Elektronik, Fahrzeuge)
- Forschungseinrichtungen
- Abfallwirtschaft
- Lebensmittelproduktion und -vertrieb
- Digitale Dienste (Suchmaschinen, soziale Netzwerke, Online-Marktplätze)
- Öffentliche Verwaltung
Die sechs Säulen der NIS2-Compliance
Artikel 21 der NIS2-Richtlinie definiert Mindestanforderungen an das Cybersicherheits-Risikomanagement, die jede betroffene Organisation entsprechend ihrer Größe, ihres Risikoprofils und ihrer Gefährdung umsetzen muss.
Risikomanagement
Richtlinien und Maßnahmen zu Risikoanalysen, Systemsicherheit, Kryptografie, Zugriffskontrollen, Multi-Faktor-Authentifizierung sowie sicherer Softwareentwicklung – stets angemessen zum jeweiligen Risiko.
Vorfallmeldungen (24 Stunden / 72 Stunden / 1 Monat)
Eine Frühwarnung innerhalb von 24 Stunden, eine Vorfallmeldung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats an das zuständige nationale CSIRT bzw. in Deutschland an das BSI.
Sicherheit der Lieferkette
Cyberrisiken bei Lieferanten und Dienstleistern müssen bewertet und kontinuierlich überwacht werden – nicht nur die eigene IT.
Governance & Verantwortung
Die Geschäftsleitung muss Sicherheitsmaßnahmen genehmigen, deren Umsetzung überwachen und regelmäßig geschult werden. Das Gesetz sieht eine persönliche Verantwortlichkeit vor.
Business Continuity
Backup-Strategien, Notfallwiederherstellung und Krisenmanagement müssen vorhanden, dokumentiert und regelmäßig getestet werden.
Umgang mit Schwachstellen
Strukturierte Prozesse zur Erkennung, Bewertung und Behebung von Schwachstellen in Produkten und Dienstleistungen.
Bußgelder bei Verstößen gegen NIS2
NIS2 sieht einige der höchsten Cybersicherheits-Sanktionen innerhalb der EU vor und nimmt die Unternehmensleitung ausdrücklich in die Verantwortung.
Besonders wichtige EinrichtungenBis zu 10.000.000 €
oder 2 % des weltweiten Jahresumsatzes
Wichtige EinrichtungenBis zu 7.000.000 €
oder 1,4 % des weltweiten Jahresumsatzes
Darüber hinaus kann die Geschäftsleitung persönlich haftbar gemacht werden. In schwerwiegenden Fällen sind sogar befristete Tätigkeitsverbote für Führungskräfte möglich.
NIS2-Compliance – ohne Excel-Chaos
Trustlinks kombiniert eine Plattform für kontinuierliches Compliance-Management mit lokaler Expertise und persönlicher Unterstützung. So erreichen Sie schneller NIS2-Compliance und behalten diese dauerhaft im Blick.
Schnelle NIS2-Gap-Analyse
Vergleichen Sie Ihren aktuellen Reifegrad mit allen relevanten Anforderungen der NIS2-Richtlinie. Sie erhalten einen klar priorisierten Maßnahmenplan – innerhalb weniger Tage statt Monate.
Plattform für kontinuierliche Compliance
Trustlinks automatisiert die Sammlung von Nachweisen, überwacht Ihre Sicherheitsmaßnahmen kontinuierlich und unterstützt das Reporting.
Lokale Expertenunterstützung
Arbeiten Sie mit Spezialisten zusammen, die sowohl das deutsche NIS2-Umsetzungsgesetz als auch die Anforderungen Ihrer Branche kennen.
Auditfähiges Reporting
Erstellen Sie genau die Nachweise und Dokumentationen, die Auditoren und Aufsichtsbehörden erwarten – ganz ohne aufwendige Excel-Listen.
Fragen rund um NIS2
Gilt NIS2 für mein Unternehmen?
Wenn Ihr Unternehmen in einem der betroffenen Sektoren tätig ist und mindestens 50 Mitarbeitende beschäftigt oder einen Jahresumsatz von über 10 Mio. € erzielt, ist eine Betroffenheit wahrscheinlich. Für einige kritische Einrichtungen gelten diese Schwellenwerte nicht. In einem kostenlosen 15-minütigen Gespräch können wir gemeinsam eine erste Einschätzung vornehmen. Eine rechtsverbindliche Bewertung sollte jedoch durch qualifizierte Rechtsberatung erfolgen.
Was ist der Unterschied zwischen NIS und NIS2?
NIS2 erweitert den Anwendungsbereich erheblich, vereinheitlicht die Vorgaben innerhalb der EU, verschärft die Fristen für Vorfallmeldungen, führt verbindliche Anforderungen an die Sicherheit der Lieferkette ein und stärkt die persönliche Verantwortung der Geschäftsleitung. Gleichzeitig wurden die möglichen Bußgelder deutlich erhöht.
Welche Fristen gelten für Vorfallmeldungen?
Eine frühzeitige Meldung an Ihr nationales CSIRT innerhalb von 24 Stunden nach Bekanntwerden eines schwerwiegenden Vorfalls, eine Vorfallmeldung innerhalb von 72 Stunden (einschließlich einer ersten Einschätzung) sowie ein Abschlussbericht innerhalb eines Monats.
Welche Bußgelder drohen?
Bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist) für besonders wichtige Unternehmen und bis zu 7 Millionen Euro oder 1,4 % für wichtige Unternehmen. Zusätzlich können persönliche Sanktionen gegen Mitglieder der Geschäftsleitung verhängt werden.
Seit wann gilt NIS2?
Die NIS2-Richtlinie trat am 16. Januar 2023 in Kraft. Die Mitgliedstaaten mussten sie bis zum 17. Oktober 2024 in nationales Recht umsetzen. In Deutschland erfolgt dies über das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG).
Benötigen wir ein ISMS wie ISO 27001?
NIS2 schreibt kein bestimmtes Managementsystem vor. Standards wie ISO 27001 decken jedoch einen Großteil der geforderten Maßnahmen ab und erleichtern den Nachweis der Compliance erheblich. Trustlinks ordnet bestehende Maßnahmen automatisch den relevanten NIS2-Anforderungen zu.
Wie lange dauert die Umsetzung von NIS2?
Je nach Größe und Reifegrad der Organisation dauert die erste Umsetzung meist mehrere Monate. Eine Gap-Analyse ist häufig innerhalb von zwei bis vier Wochen abgeschlossen, während die eigentliche Umsetzung und Nachweiserbringung deutlich mehr Zeit in Anspruch nehmen. Mit Trustlinks steuern Sie alle Aufgaben – von Gap-Analyse und Risikobewertung bis hin zu Lieferantenmanagement und Nachweisdokumentation – zentral auf einer Plattform.
Was beinhaltet das kostenlose 15-minütige Beratungsgespräch?
In nur 15 Minuten Klarheit über NIS2 – kostenlos und unverbindlich
Sprechen Sie mit einem lokalen Trustlinks-Experten. Keine Vorbereitung erforderlich – bringen Sie einfach Ihre Fragen mit. Gemeinsam besprechen wir, ob NIS2 bzw. das deutsche NIS2-Umsetzungsgesetz (NIS2UmsuCG) voraussichtlich auf Ihre Organisation Anwendung findet und wie sinnvolle nächste Schritte aussehen können. Das Gespräch dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung dar.
- Erste Einschätzung, ob NIS2 für Ihre Organisation relevant sein könnte
- Besprechen, welche Kategorie und Anforderungen für Sie infrage kommen
- Typische Handlungsfelder und mögliche Risiken frühzeitig erkennen
- Praxisnahe Einschätzung zu einem realistischen Weg in Richtung Compliance
Dieses Beratungsgespräch dient ausschließlich Informationszwecken. Es stellt keine Rechtsberatung dar und begründet kein Mandatsverhältnis. Für eine verbindliche rechtliche Bewertung Ihrer Pflichten wenden Sie sich bitte an eine qualifizierte Rechtsberatung.
Philipp Garz
Compliance specialist, Trustlinks
