NIS2-Richtlinie. Pflichten erkennen, pragmatisch umsetzen.

NIS2 erfasst deutlich mehr Unternehmen als die alte NIS-Richtlinie. Betroffen sind „wesentliche" und „wichtige" Einrichtungen in 18 Sektoren – von Energie, Transport, Gesundheit und digitaler Infrastruktur über Lebensmittel, Chemie und verarbeitendes Gewerbe bis zu digitalen Diensten und Managed Service Providern. Maßgeblich sind in der Regel mindestens 50 Beschäftigte oder 10 Mio. € Jahresumsatz – mit zahlreichen Ausnahmen nach unten und oben.

Viele Unternehmen unterschätzen ihre Betroffenheit, weil sie sich klassisch nicht als „Kritische Infrastruktur" sehen. Wir prüfen sauber – inklusive Konzernsicht und mittelbarer Betroffenheit über die Lieferkette.

Verlangt wird ein verhältnismäßiges, gefahrenübergreifendes Risikomanagement: Risikoanalysen, Incident Handling, Business Continuity und Krisenmanagement, Lieferkettensicherheit, Sicherheit in Beschaffung und Entwicklung, Bewertung der Wirksamkeit, Cyber-Hygiene und Schulung, Kryptographie, Personalsicherheit, Zugriffskontrolle, Asset-Management sowie Multi-Faktor-Authentifizierung und gesicherte Kommunikation.

Wir übersetzen das in einen umsetzbaren Maßnahmenkatalog – passend zur Größe und Reife Ihres Unternehmens, nicht als Konzern-Overkill.

NIS2 nimmt die Geschäftsleitung persönlich in die Pflicht: Sie muss die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und regelmäßig geschult werden. Verstöße können zu persönlichen Haftungsfolgen und Bußgeldern in Millionenhöhe führen. Wir bauen die nötigen Nachweise (Beschlüsse, Schulungen, Reportings) auf, damit Sie im Aufsichts- oder Haftungsfall handlungsfähig sind.

Bei erheblichen Sicherheitsvorfällen gilt ein dreistufiges Meldesystem: Frühwarnung an die zuständige Behörde binnen 24 Stunden, Vorfallsmeldung binnen 72 Stunden, Abschlussbericht binnen eines Monats. Parallel laufen häufig DSGVO-Meldungen (Art. 33), Versicherungs- und ggf. Kundenkommunikation.

Wir richten Meldeprozesse und Playbooks ein und übernehmen im Ernstfall die juristische Steuerung des Krisenstabs.

NIS2 zwingt zur Bewertung der Cybersicherheit Ihrer IKT-Dienstleister und Zulieferer. Das bedeutet konkret: Vertragsanpassungen, Audit-Rechte, Sicherheitsanforderungen, Sub-Verarbeiter-Klauseln und ein laufendes Lieferanten-Risikomanagement. Wir liefern die Vertragsbausteine und integrieren sie mit Ihren bestehenden AV- und IT-Verträgen.

Für wesentliche Einrichtungen drohen Bußgelder bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes, für wichtige Einrichtungen bis zu 7 Mio. € oder 1,4 %. Hinzu kommen behördliche Anordnungen bis hin zur vorübergehenden Tätigkeitsuntersagung von Leitungspersonen. Wir verteidigen Sie in Aufsichts- und Bußgeldverfahren.