KI-Beratung für Unternehmen – Compliance & Rechtssicherheit nach AI Act

Sobald das nationale Umsetzungsgesetz für NIS2 in Kraft tritt, gilt keine Übergangsfrist für Betroffene. Unternehmen sollten sich deshalb bereits jetzt aktiv auf NIS2 vorbereiten. Den Grundstein dafür legen eine Verbesserung der Informationssicherheit und die Umsetzung konkreter technisch-organisatorischer Maßnahmen. Es muss ein Bewusstsein dafür entstehen, dass es nicht erst ein Gesetz braucht, um die Sicherheit im Unternehmen zu fördern.

Die Abkürzung "NIS" steht für Netzwerk- und Informationssicherheit. Die erste NIS-Richtlinie aus dem Jahr 2016 wurde mit der neuen Version (NIS2) 2022 überarbeitet und erweitert. Die EU möchte mit der Richtlinie zur Stärkung der Cybersicherheit im europäischen Wirtschaftsraum beitragen. Erfahren Sie hier alles Wissenswerte zur NIS2-Richtlinie.

Die NIS2-Anforderungen gehen an einigen Stellen deutlich weiter als die ISO 27001 - etwa bei den neuen Anforderungen zum Risk-Management. Was die Unterschiede und erweiterten Umfänge bei NIS2 genau für Unternehmen und auch Geschäftsführer bedeuten, dazu beraten wir Sie gern! Erfahren Sie mehr über die Synergien zwischen NIS2 und ISO 27001.

Die NIS2-Richtlinie betrifft mittlere und große Unternehmen in der EU (ab 50 Mitarbeiter oder >10 Mio. € Jahresumsatz), die kritische oder wichtige Dienstleistungen erbringen. Auch kleine Unternehmen können betroffen sein, wenn sie als kritisch gelten oder als alleinige Anbieter agieren.

Betroffene Sektoren umfassen: Energie, Transport, Bankwesen, Gesundheitswesen, Trinkwasser, digitale Infrastruktur, IKT-Dienste, öffentliche Verwaltung, Chemikalien, Lebensmittelproduktion sowie Post, Abfallwirtschaft, Online-Marktplätze und Forschung. Zusätzlich fallen alle nach der CER-Richtlinie identifizierten kritischen Einrichtungen unter NIS2.

Die konkrete Umsetzung erfolgt durch die einzelnen EU-Mitgliedstaaten. Informieren Sie sich über die spezifischen nationalen Gesetze in Deutschland.

Das neue NIS2-Gesetz zielt darauf ab, die Widerstandsfähigkeit gegen Cyberangriffe und die Sicherheit von Lieferketten in allen relevanten Branchen zu erhöhen. Sein Ziel ist es, ein einheitlich hohes Sicherheitsniveau innerhalb der gesamten EU zu gewährleisten. Um dies zu erreichen, sollen die Mitgliedstaaten verbindliche Sicherheitsanforderungen für betroffene Unternehmen und wirksame Aufsichts- und Sanktionsmechanismen einführen.

• Schulung und Awareness: Sensibilisierung für Informationssicherheit ist für alle Mitarbeitenden verpflichtend – das gilt auch für die Geschäftsführung und Führungskräfte. Grundschulungen müssen sicherstellen, dass alle Teams relevante Risiken, Richtlinien und Verhaltensregeln kennen; vertiefende Trainings für Leitungen ergänzen das Programm.

• Ressourcen und Kompetenzaufbau: Der Aufbau eines ISMS braucht Zeit, Budget und interne Verantwortliche. Externe Unterstützung ist sinnvoll, ersetzt aber nicht die notwendige interne Grundkompetenz. Ohne eigene Steuerung erreicht das ISMS nicht den geforderten Reifegrad.

• Dokumentation und gelebte Richtlinien: Um die Vorgaben der NIS2-Richtlinie einhalten zu können, müssen Unternehmen etwa 20 bis 35 Richtlinien entwickeln. Entscheidend ist die gelebte Praxis: Mitarbeitende müssen Richtlinien kennen und anwenden. Die reine Ablage ohne Umsetzung führt in Audits zu Hauptabweichungen und erhöhtem Bußgeldrisiko.

• Kontinuierliche Verbesserung: NIS2 verlangt einen Regelkreis aus Plan, Do, Check, Act (PDCA). Dazu gehören interne Audits, Wirksamkeitskontrollen, Maßnahmen-Tracking und regelmäßige Management-Reviews, um Reifegrad, Lücken und Verbesserungen zu steuern.