Die EU-Richtlinie NIS2 verpflichtet künftig deutlich mehr Unternehmen zur Umsetzung von Maßnahmen der Informationssicherheit. Doch für wen gilt die Richtlinie eigentlich? Was ist jetzt konkret zu tun? Und wo liegen die Unterschiede zur bisherigen Kritis-Regulierung oder zur Datenschutz-Grundverordnung?
In dieser Themenfolge des Datenschutz Talks gibt Stephan Auge, Teamleiter für Managementsysteme bei migosens, einen kompakten Überblick über die aktuelle Rechtslage, die Anforderungen der Richtlinie und praktische Umsetzungsfragen.
Was du aus dieser Folge mitnimmst:
Was ist NIS2?
Ziel: Harmonisierung der Cybersicherheitsstandards in der EUHintergrund: Richtlinie ist seit Dezember 2022 in KraftUmsetzung in nationales Recht bis Mitte/Ende 2025 (geplant)Abgrenzung zur DSGVO und zum Cyber Resilience ActFür wen gilt NIS2?
Gilt für besonders wichtige und wichtige Einrichtungen gemäß Anlage 1 und 2 der RichtlinieBetrifft neben KRITIS-Unternehmen auch kleinere Unternehmen aus TK, Gesundheitswesen, Energie, Transport, Entsorgung u. v. m.Keine generelle Schwellenwertgrenze: auch Kleinstunternehmen können betroffen seinBSI stellt ein Tool zur Betroffenheitsprüfung bereitWelche Pflichten entstehen?
Selbstregistrierungspflicht beim BSI innerhalb von 3 Monaten nach InkrafttretenUmsetzung technischer und organisatorischer Maßnahmen (z. B. Risikomanagement, Incident-Handling, Notfallmanagement)Aufbau eines Informationssicherheits-Managementsystems (ISMS) analog ISO 27001Einführung strukturierter Prozesse zur Meldung von SicherheitsvorfällenRisikobasierte oder vorfallsbezogene Prüfungspflichten je nach KategorisierungWas bedeutet das für bestehende KRITIS-Unternehmen?
Grundanforderungen weitgehend deckungsgleich mit bisherigen BSI-NachweisverfahrenErleichterung: Prüfpflicht künftig nur alle drei statt alle zwei JahreSynergien zwischen NIS2, ISO 27001 und Datenschutzprozessen sinnvoll nutzbarHerausforderungen beim Lieferkettenmanagement
Neue Anforderungen an Zulieferer und Dienstleister mit sicherheitsrelevanter RolleVerpflichtung zur vertraglichen Übernahme von SicherheitsvorgabenNotwendigkeit von Audits oder anderweitiger SteuerungsmaßnahmenEmpfehlung: Business Impact Analyse zur Priorisierung kritischer DienstleisterSanktionen und Wettbewerbsvorteile
Sanktionsrahmen: bis zu 10 Mio. Euro oder 2 % vom weltweiten Umsatz (Anlage 1)Für Anlage 2: bis zu 7 Mio. Euro oder 1,4 % vom UmsatzFrühzeitige Umsetzung von ISMS als Wettbewerbsvorteil – z. B. bei AusschreibungenInformationssicherheit wird zum geschäftskritischen ErfolgsfaktorKeywords, die in dieser Folge behandelt werden:
NIS2 Richtlinie 2025NIS2 Anforderungen UnternehmenInformationssicherheit PflichtCybersecurity Gesetz EUNIS2 Umsetzung DeutschlandBetroffenheitsanalyse NIS2ISMS NIS2 ISO 27001Datenschutz und NIS2Vorfallmeldung BSILieferkettensicherheit NIS2Managementsystem InformationssicherheitDORA vs. NIS2Cyber Resilience Act EUWeitere Infos, Blog und Newsletter finden Sie unter: https://migosens.de/newsroom/
Twitter: https://twitter.com/DS_Talk
Übersicht aller Themenfolgen: https://migosens.de/datenschutz-podcast-themenfolgen/
(als eigener Feed: https://migosens.de/show/tf/feed/ddt/)
Instagram: https://www.instagram.com/datenschutztalk_podcast/
Folge hier kommentieren: https://migosens.de/nis2-pflichten-fuer-unternehmen-das-musst-du-wissen-stephan-auge-im-datenschutz-talk/
Der Beitrag NIS2-Pflichten für Unternehmen: Das musst du wissen – Stephan Auge im Datenschutz Talk erschien zuerst auf migosens.