NIS2 Cybersicherheit nachweisen

Ja. NIS2 ist eine EU-Richtlinie und für betroffene Einrichtungen verbindlich. In Deutschland wird sie über das NIS2-Umsetzungsgesetz (NIS2UmsuCG) in das BSI-Gesetz überführt. Freiwillig ist allein der Zeitpunkt, zu dem Sie mit der Umsetzung beginnen - die Pflichten selbst hängen nicht davon ab, ob Sie sich beim BSI bereits registriert haben. Wer wartet, verkürzt nur die eigene Vorbereitungszeit.

Betroffene Unternehmen setzen die Risikomanagementmaßnahmen aus Art. 21 um: Risikoanalyse, Incident Handling, Business Continuity und Backup, Sicherheit der Lieferkette, sichere Beschaffung und Entwicklung, Bewertung der Wirksamkeit, Cyberhygiene und Schulungen, Kryptografie, Personal- und Zugriffskontrolle sowie Multi-Faktor-Authentifizierung. Dazu kommen Meldepflichten bei Vorfällen, die Registrierung beim BSI und die nachweisbare Überwachung durch die Geschäftsleitung.

Maßgeblich sind Sektor und Unternehmensgröße. Die Größenschwelle gilt kumulativ: mehr als 50 Beschäftigte und mehr als 10 Mio. EUR Jahresumsatz beziehungsweise Jahresbilanzsumme. Unabhängig von der Größe erfasst das Gesetz bestimmte Betreiber, etwa aus der digitalen Infrastruktur. Auch kleinere Betriebe geraten als Zulieferer indirekt in die Pflicht. In der kostenlosen Erstberatung klären wir Ihre Betroffenheit.

NIS2 verlangt Maßnahmen „nach dem Stand der Technik", einschließlich der Bewertung der Wirksamkeit von Sicherheitsmaßnahmen. Penetrationstests sind der etablierte Weg, dieses Sicherheitsniveau technisch nachzuweisen und Schwachstellen vor Angreifern zu finden. Ein aktueller Prüfbericht ist gegenüber Aufsicht, Kunden und Geschäftsleitung der einfachste Beleg dafür, dass Ihre Maßnahmen wirklich greifen.

Art. 21 verlangt die Bewertung der Wirksamkeit Ihrer Maßnahmen, nicht eine bestimmte Testart. In der Praxis deckt eine Kombination aus vier Prüfungen die genannten Pflichten ab: der externe Netzwerktest für die aus dem Internet erreichbaren Dienste, der interne Test für Zugriffskontrolle und Multi-Faktor-Authentifizierung, der Web- und API-Test für Ihre kritischen Anwendungen sowie Phishing-Simulationen für Cyberhygiene und Schulung. Welche Kombination Sie brauchen, leiten wir aus Ihren kritischen Diensten und Ihrer Risikoanalyse ab. Eine Übersicht aller Testarten finden Sie auf unserer Seite zum Penetrationstest.

NIS2 nennt kein festes Intervall. Etabliert und gegenüber der Aufsicht gut begründbar ist ein Test pro Jahr, zusätzlich nach wesentlichen Änderungen an Architektur, Anwendungen oder Netzwerk. Zwischen den Tests empfehlen wir laufende Schwachstellenscans, damit neu bekannt gewordene Lücken nicht bis zum nächsten Pentest offen bleiben.

Ein manueller Penetrationstest wird individuell nach Aufwand kalkuliert und liegt meist zwischen 4.000 und 20.000 EUR, abhängig von Anzahl der Systeme, Anwendungen und Standorte. Als Einstieg kostet ein automatisierter Schwachstellenscan ab 1.499 EUR. Günstiger bleibt, wer den Prüfumfang auf die Systeme begrenzt, die in der NIS2-Risikoanalyse als wesentlich für die Erbringung der Dienstleistung eingestuft sind, statt die gesamte IT pauschal prüfen zu lassen.

Art. 21 verpflichtet Sie ausdrücklich, die Sicherheit Ihrer Lieferkette zu steuern. Ihre Dienstleister fallen damit entweder selbst unter NIS2, oder Sie müssen deren Sicherheitsniveau vertraglich absichern und überprüfen. Deshalb verlangen immer mehr regulierte Unternehmen von ihren Zulieferern einen aktuellen Pentest-Bericht oder ein ISO-27001-Zertifikat.

Die Geschäftsleitung. Sie muss die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und sich selbst schulen lassen. Bei Verstößen haftet sie persönlich und kann von Leitungsaufgaben ausgeschlossen werden. Die Aufgabe an die IT-Abteilung zu delegieren entlastet nicht: Freigabe und Kontrolle bleiben in der Verantwortung der Geschäftsführung.

Nein, aber Sie sind deutlich weiter. ISO 27001 deckt große Teile der Anforderungen aus Art. 21 ab, etwa Risikomanagement, Zugriffskontrolle und Kryptografie. NIS2-spezifisch bleiben die Meldefristen von 24 und 72 Stunden, die Registrierung beim BSI und die persönliche Pflicht der Geschäftsleitung. Wir gleichen beide Anforderungswelten in einer Gap-Analyse ab.

NIS2 sieht empfindliche Bußgelder vor: für wesentliche Einrichtungen bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes, für wichtige Einrichtungen bis 7 Mio. EUR oder 1,4 %. Zusätzlich haftet die Geschäftsleitung persönlich, und das BSI kann Audits anordnen sowie verbindliche Anweisungen erteilen.

Eine erste Gap-Analyse lässt sich meist innerhalb von 1 bis 2 Wochen durchführen. Auf dieser Basis planen wir gemeinsam die technischen Prüfungen und Maßnahmen. Für die Gap-Analyse genügt ein Remote-Termin mit Ihrer IT; erst die späteren internen Netzwerktests finden auf Wunsch vor Ort statt.