Sind wir von NIS2 betroffen? Die Antwort in fünf Minuten

Die kurze Antwort

Sie sind von NIS2 betroffen, wenn Ihr Unternehmen mindestens 50 Mitarbeitende oder mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme hat und in einem der 18 Sektoren der Richtlinie tätig ist. Kleinere Unternehmen sind betroffen, wenn sie Zulieferer eines betroffenen Unternehmens sind und dieses die Anforderungen vertraglich weitergibt. Das ist bei Industrie, Energie und Gesundheit inzwischen die Regel.

Die 18 Sektoren

Besonders wichtige Einrichtungen: Energie, Verkehr, Bankwesen, Finanzmarkt, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, IT-Dienste, öffentliche Verwaltung, Weltraum. Wichtige Einrichtungen: Post und Kurier, Abfall, Chemie, Lebensmittel, verarbeitendes Gewerbe (Medizinprodukte, Elektronik, Maschinenbau, Fahrzeugbau), digitale Dienste, Forschung. Das verarbeitende Gewerbe ist der Sektor, der den deutschen Mittelstand am stärksten trifft.

Was ab dem Stichtag gilt

• Registrierung beim BSI innerhalb von drei Monaten nach Betroffenheit.
• Risikomanagement nach § 30 BSIG: zehn Maßnahmenbereiche von der Risikoanalyse bis zur Multi-Faktor-Authentifizierung.
• Meldepflichten: Erstmeldung erheblicher Vorfälle binnen 24 Stunden, Folgemeldung binnen 72 Stunden, Abschlussbericht nach einem Monat.
• Geschäftsleitung: muss die Maßnahmen billigen, überwachen und regelmäßig an Schulungen teilnehmen. Sie haftet persönlich.

Was Sie diese Woche tun können

Erstens die Betroffenheit schriftlich festhalten, mit Begründung. Zweitens die zehn Maßnahmenbereiche gegen den eigenen Stand prüfen. Drittens ein Notfallhandbuch mit Meldeablauf anlegen, denn die 24 Stunden laufen ab dem Moment, in dem Sie den Vorfall bemerken. Der NIS2-Selbstcheck in ITSB-OS führt durch alle drei Schritte und erzeugt aus jeder Lücke eine Maßnahme mit Verantwortlichem.