Regulierung & Compliance
Die NIS2-Richtlinie verschärft die Anforderungen an IT-Sicherheit, Meldepflichten und Lieferkettensicherheit für tausende Unternehmen in Deutschland. Dieser Überblick erklärt, wer betroffen ist und was zu tun ist – und wie Apascope die Nachweis- und Lieferkettenpflichten mit revisionssicheren Reports unterstützt, ohne zusätzliche IT-Ressourcen. Vertiefung: NIS2 Lieferkettensicherheit.
NIS2 (Richtlinie (EU) 2022/2555) ist die überarbeitete EU-Richtlinie zur Netz- und Informationssicherheit. Sie löst die erste NIS-Richtlinie von 2016 ab und hebt Cybersicherheit auf ein einheitliches, verpflichtendes Niveau. Kurz gesagt: NIS2 verpflichtet deutlich mehr Unternehmen zu einem nachweisbaren Cyber-Risikomanagement, zu schnellen Meldungen bei Vorfällen und zur Absicherung ihrer Lieferkette – mit persönlicher Verantwortung der Geschäftsleitung.
NIS2 unterscheidet „wesentliche“ und „wichtige“ Einrichtungen in 18 Sektoren. Grundsatz: betroffen sind in der Regel Organisationen ab etwa 50 Beschäftigten oder mehr als 10 Mio. € Jahresumsatz in diesen Sektoren – manche (z. B. bestimmte digitale Infrastruktur) unabhängig von der Größe. Wichtig: Auch wer selbst nicht direkt fällt, wird über die Lieferkette einbezogen, weil betroffene Kunden Sicherheitsnachweise von ihren Lieferanten verlangen müssen.
Artikel 21 nennt zehn Mindestmaßnahmen für das Risikomanagement: Risikoanalyse & Sicherheitskonzepte, Bewältigung von Sicherheitsvorfällen, Business Continuity & Backup-Management, Sicherheit der Lieferkette, Sicherheit bei Beschaffung und Entwicklung, Verfahren zur Wirksamkeitsmessung, Cyberhygiene & Schulungen, Kryptografie & Verschlüsselung, Zugriffskontrolle & Asset-Management sowie Multi-Faktor-Authentifizierung und sichere Kommunikation.
Bei erheblichen Sicherheitsvorfällen gelten gestaffelte Fristen: eine Frühwarnung innerhalb von 24 Stunden, eine Vorfallmeldung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats. Das setzt voraus, dass Sie Vorfälle früh erkennen – genau hier hilft kontinuierliches Monitoring Ihrer digitalen Angriffsfläche.
NIS2 sieht spürbare Sanktionen vor: für wesentliche Einrichtungen bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes, für wichtige Einrichtungen bis zu 7 Mio. € oder 1,4 %. Neu und besonders relevant: Die Geschäftsleitung ist persönlich verantwortlich für die Umsetzung und Überwachung der Maßnahmen und kann in die Haftung genommen werden.
Ein Kernpunkt von NIS2 ist die Lieferkettensicherheit: Unternehmen müssen die Cyberrisiken ihrer Lieferanten und Dienstleister bewerten und laufend im Blick behalten. Apascope macht aus einer statischen Lieferantenliste ein dynamisches Risikobild – mit kontinuierlichem Monitoring der digitalen Angriffsfläche jedes relevanten Drittparteien-Partners.
Apascope liefert kontinuierliches, No-Touch-Monitoring Ihrer eigenen digitalen Angriffsfläche und der Ihrer Lieferanten – ohne Zugriff auf interne Systeme. Die CIQ360-Reports sind so strukturiert, dass sie direkt für interne Audits, Zertifizierungen und Behördennachweise nutzbar sind. Automatische Alarmierung bei kritischen Ereignissen unterstützt Ihre 24-Stunden-Meldepflicht.
DORA gilt seit Januar 2025 für Finanzunternehmen und ihre IT-Dienstleister. Apascope unterstützt mit Threat Intelligence für den Finanzsektor, Lieferantenbewertungen (TLPT-Vorbereitung), Dokumentation für regulatorische Nachweise und der Überwachung krimineller Aktivitäten gegen Finanzinstitute im Darknet.
Energie, Verkehr, Bankwesen, Finanzmarktinfrastruktur, Gesundheit, Trinkwasser, Abwasser, Digitale Infrastruktur, ICT-Dienstleistungsmanagement, Öffentliche Verwaltung, Raumfahrt, Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, Verarbeitendes Gewerbe, Digitale Anbieter sowie Forschung.
Die EU-Frist zur nationalen Umsetzung lief am 17. Oktober 2024 ab; die Richtlinie wird über nationale Gesetze in den Mitgliedstaaten verbindlich. Unternehmen sollten die Anforderungen bereits jetzt umsetzen, da Betroffenheit und Nachweispflichten unabhängig vom genauen nationalen Inkrafttreten bestehen.
In der Regel betroffen sind Organisationen ab etwa 50 Beschäftigten oder über 10 Mio. € Jahresumsatz in einem der 18 Sektoren. Zusätzlich werden viele kleinere Unternehmen indirekt über die Lieferkette einbezogen, weil betroffene Kunden Sicherheitsnachweise verlangen.
Es drohen Bußgelder von bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes (wesentliche Einrichtungen) bzw. 7 Mio. € oder 1,4 % (wichtige Einrichtungen). Die Geschäftsleitung haftet persönlich für die Umsetzung.
Frühwarnung innerhalb von 24 Stunden, offizielle Vorfallmeldung innerhalb von 72 Stunden und Abschlussbericht innerhalb eines Monats nach dem erheblichen Sicherheitsvorfall.
Apascope überwacht kontinuierlich Ihre digitale Angriffsfläche und die Ihrer Lieferanten (No-Touch, ohne Systemzugriff) und liefert revisionssichere Reports für Audits, Zertifizierungen und Behördennachweise – inklusive Alarmierung zur Unterstützung der 24-Stunden-Meldepflicht.
Lassen Sie uns gemeinsam herausfinden, wie Apascope Ihre NIS2- und DORA-Compliance unterstützen kann.
Jetzt Beratungsgespräch anfragen