NIS2 und IT-Sicherheit für Unternehmen
NIS2: betrifft es Sie?
Es ist die europäische Richtlinie zur Netzsicherheit: Sie gilt in der ganzen Union, und jeder Staat setzt sie in eigenes Recht um. Wer in den Anwendungsbereich fällt, muss sich registrieren, Maßnahmen zum Risikomanagement ergreifen und Vorfälle innerhalb von Stunden melden, nicht von Tagen. Die Bußgelder bemessen sich als Prozentsatz des Umsatzes. Was fast alle überrascht: Es geht nicht nur um große Unternehmen. Der Anwendungsbereich umfasst die in der Richtlinie genannten Sektoren — Energie, Verkehr, Gesundheit, Wasser, digitale Infrastruktur, Lebensmittel, bestimmte Arten der Fertigung — und erstreckt sich auf die Lieferkette. Wenn Sie ein betroffenes Unternehmen beliefern, werden dessen Pflichten zu vertraglichen Anforderungen an Sie: Deshalb erfahren viele über einen Fragebogen eines Kunden davon, nicht über eine amtliche Mitteilung. Ob es Sie erreicht, hängt von Branche, Größe, Land und Kundenkreis ab — das lässt sich nicht auf einer Webseite klären.
Wer betroffen ist, und wie man es erfährt
Das Gesetz teilt die Betroffenen in zwei Gruppen: wesentliche und wichtige Einrichtungen. Es zählen die Branche — Energie, Verkehr, Gesundheit, Banken, digitale Infrastruktur, Wasser, Abfall, Lebensmittel, verarbeitendes Gewerbe, Post, Chemie, Raumfahrt, digitale Dienste und öffentliche Verwaltung — und die Größe des Unternehmens. Man entscheidet das nicht selbst: die italienische Cybersicherheitsagentur ACN führt die Einrichtungen in einer Liste und teilt es den Betroffenen mit. Wer betroffen ist, registriert sich im ACN-Portal, und die Registrierung wird jedes Jahr zwischen dem 1. Januar und dem 28. Februar erneuert. Diese Seite erklärt die Vorschrift, sie stellt nicht fest, ob sie Sie betrifft: das klärt sich an Ihren eigenen Zahlen, mit der Agentur und mit Ihrer Rechtsberatung.
Die Fristen, auf die es ankommt
Die europäische Richtlinie ist die 2022/2555. Italien hat sie mit dem Gesetzesdekret 138 vom 4. September 2024 umgesetzt, in Kraft seit dem 16. Oktober 2024, und von da an laufen genaue Fristen. Seit Januar 2026 müssen betroffene Einrichtungen einen erheblichen Sicherheitsvorfall erkennen und der Agentur melden können: eine Frühwarnung binnen 24 Stunden, die eigentliche Meldung binnen 72 Stunden, ein Abschlussbericht binnen eines Monats. Und ein Datum rückt näher: bis zum 31. Oktober 2026 müssen die von der ACN festgelegten grundlegenden Sicherheitsmaßnahmen wirksam sein, nicht geplant. Ab diesem Tag kann die Agentur mit Prüfungen beginnen.
Wenn Sie ein betroffenes Unternehmen beliefern
Das ist der Teil, der fast alle überrascht, und er reicht viel weiter als die Liste selbst. NIS2 verlangt von den Betroffenen, ihre Lieferkette abzusichern: die relevanten IT-Lieferanten erfassen, Vertragsklauseln überarbeiten, sie fortlaufend überprüfen. Sie können nicht auf der ACN-Liste stehen und trotzdem einen Fragebogen bekommen, eine neue Klausel bei der Verlängerung, oder die Aufforderung nachzuweisen, wie Sie die überlassenen Daten aufbewahren. Nicht das Gesetz wendet sich an Sie, sondern Ihr Kunde, der für diese Daten auch dort geradesteht, wo sie bei Ihnen liegen. Wer nicht antworten kann, wird ersetzt, meist bei der Verlängerung und ohne Diskussion.
Was auf dem Spiel steht
Die Bußgelder bemessen sich am Umsatz, nicht an einem festen Satz: bis zu 10 Millionen Euro oder 2% des weltweiten Jahresumsatzes für wesentliche Einrichtungen, bis zu 7 Millionen oder 1,4% für wichtige — es gilt der höhere Betrag. Eine Folge wiegt allerdings schwerer als Geld: die Verantwortung liegt bei der Unternehmensleitung, die die Maßnahmen billigen und ihre Umsetzung überwachen muss, und in schweren Fällen vorübergehend von Leitungsaufgaben ausgeschlossen werden kann. Das ist kein Bußgeld, das man an die IT weiterreicht.
Eine geprüfte Fachperson finden
Boutique Hacker verkauft keine Tests: Es bringt Unternehmen, die Sicherheit brauchen, mit Fachleuten mit geprüften Praxiszertifizierungen zusammen. Arbeit, Angebot und Vertrag werden direkt mit dem gewählten Mitglied vereinbart, nach den Rules of Engagement des Netzwerks.