NIS2-Richtlinie: Was Mittelstandsunternehmen jetzt wissen müssen
Mit der Umsetzung der NIS2-Richtlinie in deutsches Recht erweitert sich der Kreis der Unternehmen, die besonderen Anforderungen an ihre IT-Sicherheit unterliegen. Während die ursprüngliche NIS-Richtlinie vor allem kritische Infrastrukturen adressierte, erfasst NIS2 deutlich mehr Branchen und kleinere Unternehmen. Für viele Betriebe im Mittelstand stellt sich die Frage: Betrifft uns das — und wenn ja, was müssen wir tun?
Grundsätzlich unterscheidet NIS2 zwischen „wesentlichen" und „wichtigen" Einrichtungen. Dazu zählen unter anderem Unternehmen aus den Bereichen Energie, Transport, Gesundheit, Finanzwesen, öffentliche Verwaltung, Weltraum, Abfallwirtschaft, Lebensmittel, verarbeitendes Gewerbe und digitale Dienstleistungen. Entscheidend sind Branche, Unternehmensgröße und teilweise auch der Umsatz. Unternehmen ab 50 Mitarbeitenden oder 10 Millionen Euro Jahresumsatz in bestimmten Sektoren sind in der Regel betroffen.
Die geforderten Maßnahmen umfassen ein angemessenes Risikomanagement in der Cybersicherheit, Meldepflichten bei Sicherheitsvorfällen, Geschäftsführungspflichten und die Sicherstellung der Lieferkette. Konkret bedeutet das: Schwachstellenmanagement, Zugriffskontrollen, Backup-Strategien, Incident-Response-Pläne und regelmäßige Schulungen der Mitarbeitenden. Die Geschäftsführung haftet persönlich für die Umsetzung angemessener Sicherheitsmaßnahmen.
Unternehmen, die noch keine strukturierte IT-Sicherheit betreiben, sollten mit einer Bestandsaufnahme beginnen. Ein Gap-Assessment gegen die NIS2-Anforderungen zeigt, wo Handlungsbedarf besteht und welche Maßnahmen priorisiert werden sollten. Quick Wins — wie die Einführung von Multi-Faktor-Authentifizierung, regelmäßige Backups mit Restore-Tests und Sensibilisierung der Mitarbeitenden — lassen sich oft schnell umsetzen und reduzieren das Risiko erheblich.
Bei Sakura Innovation Industries unterstützen wir Unternehmen bei der Gap-Analyse, der Priorisierung von Maßnahmen und der schrittweisen Umsetzung. Wenn Sie unsicher sind, ob NIS2 für Ihr Unternehmen relevant ist, sprechen Sie uns an — ein Erstgespräch klärt die wesentlichen Fragen ohne Verpflichtung.