NIS2 im Mittelstand: Was jetzt zu tun ist
Mit NIS2 müssen deutlich mehr Unternehmen ihre IT-Sicherheit nachweisbar organisieren. Ein Überblick, wer betroffen ist und welche Pflichten sich mit vertretbarem Aufwand erfüllen lassen.
Von unserem SOC-Team
Die europäische NIS2-Richtlinie und ihre Umsetzung in deutsches Recht erweitern den Kreis der Unternehmen, die verbindliche Vorgaben zur Cybersicherheit einhalten müssen, erheblich. Betroffen sind nicht mehr nur klassische kritische Infrastrukturen, sondern auch viele mittelständische Betriebe.
Bin ich betroffen?
Grob gilt: Unternehmen in bestimmten Sektoren, etwa Energie, Transport und Logistik, Gesundheit, digitale Dienste, Abfallwirtschaft, Lebensmittel, Chemie oder verarbeitendes Gewerbe, fallen ab mittlerer Größe darunter. Mittlere Größe heißt in der Regel ab 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz.
Ob Ihr Unternehmen konkret betroffen ist, sollten Sie anhand der Sektorenlisten prüfen oder prüfen lassen. Die Behörden stellen dafür Entscheidungshilfen bereit.
Die wichtigsten Pflichten
- Risikomanagement: angemessene technische und organisatorische Maßnahmen, etwa Zugangskontrolle, Updates, Verschlüsselung, Backups und Notfallpläne.
- Erkennung von Sicherheitsvorfällen: Angriffe müssen überhaupt bemerkt werden können.
- Meldepflichten: erhebliche Vorfälle sind schnell zu melden, mit einer ersten Frühwarnung innerhalb von 24 Stunden.
- Verantwortung der Geschäftsleitung: Sie muss die Maßnahmen billigen, überwachen und sich schulen lassen.
- Sicherheit in der Lieferkette: auch Dienstleister müssen angemessen abgesichert sein.
Was ein Managed SOC beitragen kann
Viele Pflichten betreffen Organisation und Dokumentation. Bei der Erkennung von Vorfällen, der laufenden Überwachung und dem Nachweis gegenüber Prüfern hilft ein Managed SOC direkt: Alarme werden rund um die Uhr erfasst und bewertet, Schwachstellen und Härtung sind dokumentiert, und der monatliche Sicherheitsbericht belegt die kontinuierliche Überwachung.
Ein SOC ersetzt kein Informationssicherheits-Managementsystem, liefert aber wesentliche Bausteine und Nachweise dafür.
Hinweis
Dieser Beitrag bietet einen allgemeinen Überblick und ersetzt keine Rechtsberatung. Für die verbindliche Einordnung Ihres Unternehmens wenden Sie sich an eine fachkundige Stelle.