NIS2-Frist endet – Vier Schritte für Unternehmen zur schnellen Umsetzung
Pantelis Astenburg, Vice President Global Sales DACH von Versa Networks, sieht dass langsam etwas Bewegung in die Umsetzung der NIS2-Richtlinie kommt. Der Bundestag hat nun das NIS2-Umsetzungsgesetz verabschiedet. Ziel der EU-Richtlinie zur Netz- und Informationssicherheit ist es, europaweit einheitliche Mindeststandards für Cybersicherheit zu schaffen und die Widerstandsfähigkeit kritischer Infrastrukturen zu erhöhen. Betroffen sind rund 40.000 Unternehmen aus 18 Branchen, die nun unter erheblichem Zeitdruck ihre IT-Sicherheitsstrukturen prüfen und anpassen müssen. Die Handlungsnotwendigkeit ist akut – Unternehmen sollten deshalb laut Panteslis Astenburg sofort diese Schritte angehen:
- Prüfung der Betroffenheit: Trifft NIS2 auf Ihr Unternehmen zu?
Zunächst muss geklärt werden, ob Ihr Unternehmen unter die NIS2 fällt. Die Frage ist komplex: Der Anwendungsbereich steigt auf rund 40.000 Unternehmen, da sämtliche Geschäftsbereiche betrachtet werden, abgesehen von vernachlässigbaren Aktivitäten. Das BSI stellt hierfür eine Betroffenheitsprüfung bereit. Maßgeblich sind Branchenzugehörigkeit, Unternehmensgröße und Jahresumsatz. Die Unterscheidung zwischen „besonders wichtigen“ und „wichtigen“ Einrichtungen ist entscheidend: Während beide die gleichen Risikomaßnahmen umsetzen müssen, werden besonders wichtige Einrichtungen regelmäßig kontrolliert, wichtige nur anlassbezogen. Alle relevanten Einrichtungen müssen sich innerhalb von drei Monaten nach Identifizierung registrieren – dies ist der erste formale Schritt in Richtung Compliance. - Gap-Analyse: Wo bestehen Lücken?
Nach der Betroffenheitsprüfung folgt die Bestandsaufnahme. Unternehmen müssen prüfen, welche Maßnahmen bereits bestehen und wo Defizite bestehen. NIS2 verlangt konkrete organisatorische und technische Maßnahmen zum Risikomanagement, etwa Risikoanalysen, Incident-Response-Pläne, Business-Continuity-Management, Sicherheitsmaßnahmen für Lieferketten, Beschaffung und Entwicklung sowie Methoden zur Wirksamkeitskontrolle. Die Meldepflicht wurde verschärft: Sicherheitsvorfälle müssen unverzüglich ans BSI gemeldet werden, mit einem vorläufigen Bericht innerhalb von 24 Stunden, einem vollständigen Bericht innerhalb von 72 Stunden und einem Abschlussbericht innerhalb eines Monats. Hierbei ist organisatorischer Aufwand nicht zu unterschätzen – klare interne Eskalationswege und Kommunikationsprozesse sind zwingend. - Konsolidierung der Security-Tools: Effizienz gewinnen
Die NIS2-Umsetzung bietet die Chance, eine fragmentierte IT-Sicherheitslandschaft neu zu ordnen. Viele Unternehmen nutzen isolierte Einzellösungen wie Firewalls, Endpoint-Security, CASB oder Secure Web Gateways, die oft ineffizient und teuer sind. Moderne Secure Access Service Edge (SASE)-Plattformen verbinden Netzwerk- und Sicherheitsfunktionen, einschließlich Zero Trust Network Access (ZTNA), Firewall-as-a-Service, Secure Web Gateway, CASB und Data Loss Prevention (DLP), in einer einheitlichen Architektur. Dies erleichtert nicht nur die Umsetzung von NIS2, sondern steigert auch Effizienz und Übersichtlichkeit. SASE erlaubt zentrale Risikoanalysen, Monitoring und Incident Detection – standortunabhängig über alle Nutzer, Geräte und Anwendungen hinweg. Wer jetzt investiert, sollte auf integrierte Lösungen setzen statt weitere Insellösungen zu ergänzen. - Governance und Verantwortlichkeiten: Geschäftsführung in der Pflicht
Ein zentraler Aspekt von NIS2 ist die persönliche Verantwortung der Geschäftsleitung. Leitungsorgane müssen Sicherheitsmaßnahmen genehmigen, deren Umsetzung überwachen und regelmäßig geschult werden. Cybersecurity wird damit Chefsache mit rechtlichen Konsequenzen. Unternehmen müssen klare Governance-Strukturen schaffen: Wer verantwortet Informationssicherheit? Wie laufen Entscheidungsprozesse? Wer informiert die Geschäftsführung regelmäßig? Die Einrichtung eines Chief Information Security Officers (CISO) oder einer vergleichbaren Rolle ist in vielen Unternehmen unumgänglich, inklusive entsprechender Kompetenzen und Ressourcen.
Handeln statt warten
Mit der Verabschiedung des Umsetzungsgesetzes endet die Ungewissheit – Unternehmen müssen jetzt aktiv werden. Wer gehofft hat, NIS2 würde nicht gelten oder sich weiter verzögern, muss umdenken. Die Richtlinie ist nun geltendes Recht mit erheblichen Konsequenzen bei Nichteinhaltung. Wer die Umsetzung als Chance sieht, seine Sicherheitsarchitektur zu modernisieren und zu konsolidieren, kann aus der Regulierung einen strategischen Vorteil ziehen. Integrierte Plattformen wie SASE erleichtern Compliance und bilden zugleich die Grundlage für eine zukunftsfähige, agile IT-Sicherheit. Auf diese Weise kann NIS2 aus einem Kostenfaktor sogar ein Effizienz- und Kostenvorteil werden.
Direkter Link: www.versa-networks.com
