Wissen · NIS2

Die NIS2-Richtlinie einfach erklärt

Die NIS2-Richtlinie (EU 2022/2555) ist die überarbeitete europäische Rahmenvorschrift für Cyber- und Informationssicherheit. Sie löst die NIS1-Richtlinie ab und erweitert den Kreis betroffener Unternehmen deutlich — insbesondere im produzierenden Mittelstand und in kritischen Lieferketten.

Ziel ist ein einheitlich hohes Sicherheitsniveau in der EU: Unternehmen müssen Risiken systematisch managen, Vorfälle melden und technische sowie organisatorische Maßnahmen nach Stand der Technik umsetzen.

Für OT-Betreiber heißt das: Asset-Transparenz, Schwachstellen- und Patch-Management, Angriffserkennung sowie Wiederanlauf-Fähigkeit gehören ab sofort zur regulatorischen Pflicht.

Illustration zur EU NIS2-Richtlinie für Cybersicherheit

— Vier Kernpflichten aus NIS2 —

Risikomanagement nach Stand der Technik

Meldung von Vorfällen binnen 24 / 72 h

Absicherung der Lieferkette

Nachweis- und Berichtspflichten

Was regelt die NIS2-Richtlinie konkret?

NIS2 verpflichtet Unternehmen, Cyber-Risiken systematisch zu identifizieren, zu bewerten und zu behandeln. Dazu gehören technische Maßnahmen wie Netzwerksegmentierung, Zugriffskontrollen und kontinuierliches Monitoring — aber auch organisatorische Themen wie Notfallpläne, Schulungen und Lieferantenmanagement.

Fristen und Status der Umsetzung

Die Richtlinie ist auf EU-Ebene seit Januar 2023 in Kraft. Die nationale Umsetzung erfolgt in Deutschland über das NIS2-Umsetzungsgesetz (NIS2UmsuCG). Unabhängig vom genauen Inkrafttreten gilt: Wer betroffen ist, sollte jetzt mit der Umsetzung beginnen, da viele Maßnahmen mehrere Monate Vorlauf benötigen.

Wer ist betroffen?

NIS2 unterscheidet zwischen wesentlichen und wichtigen Einrichtungen. Eine Übersicht der betroffenen Branchen und Schwellenwerte finden Sie unter Wen betrifft NIS2?.

So unterstützt ACURITY bei NIS2

Mit unseren Managed OT Security Services setzen wir die NIS2-relevanten Maßnahmen in der OT operativ um — von der Asset-Inventur über Vulnerability- und Patch-Management bis zur Angriffserkennung und Wiederanlaufplanung.