NIS2 und IT-Sicherheit für Unternehmen
NIS2: betrifft es Sie?
Es ist die europäische Richtlinie zur Netzsicherheit: Sie gilt in der ganzen Union, und jeder Staat setzt sie in eigenes Recht um. Wer in den Anwendungsbereich fällt, muss sich registrieren, Maßnahmen zum Risikomanagement ergreifen und Vorfälle innerhalb von Stunden melden, nicht von Tagen. Die Bußgelder bemessen sich als Prozentsatz des Umsatzes. Was fast alle überrascht: Es geht nicht nur um große Unternehmen. Der Anwendungsbereich umfasst die in der Richtlinie genannten Sektoren — Energie, Verkehr, Gesundheit, Wasser, digitale Infrastruktur, Lebensmittel, bestimmte Arten der Fertigung — und erstreckt sich auf die Lieferkette. Wenn Sie ein betroffenes Unternehmen beliefern, werden dessen Pflichten zu vertraglichen Anforderungen an Sie: Deshalb erfahren viele über einen Fragebogen eines Kunden davon, nicht über eine amtliche Mitteilung. Ob es Sie erreicht, hängt von Branche, Größe, Land und Kundenkreis ab — das lässt sich nicht auf einer Webseite klären.
Wer betroffen ist, und wie man es erfährt
Das Gesetz teilt die Betroffenen in zwei Gruppen: wesentliche und wichtige Einrichtungen. Es zählen die Branche — Energie, Verkehr, Gesundheit, Banken, digitale Infrastruktur, Wasser, Abfall, Lebensmittel, verarbeitendes Gewerbe, Post, Chemie, Raumfahrt, digitale Dienste und öffentliche Verwaltung — und die Größe des Unternehmens. Man entscheidet das nicht selbst: die italienische Cybersicherheitsagentur ACN führt die Einrichtungen in einer Liste und teilt es den Betroffenen mit. Wer betroffen ist, registriert sich im ACN-Portal, und die Registrierung wird jedes Jahr zwischen dem 1. Januar und dem 28. Februar erneuert. Diese Seite erklärt die Vorschrift, sie stellt nicht fest, ob sie Sie betrifft: das klärt sich an Ihren eigenen Zahlen, mit der Agentur und mit Ihrer Rechtsberatung.
Die Fristen, auf die es ankommt
Die europäische Richtlinie ist die 2022/2555. Italien hat sie mit dem Gesetzesdekret 138 vom 4. September 2024 umgesetzt, in Kraft seit dem 16. Oktober 2024, und von da an laufen genaue Fristen. Seit Januar 2026 müssen betroffene Einrichtungen einen erheblichen Sicherheitsvorfall erkennen und der Agentur melden können: eine Frühwarnung binnen 24 Stunden, die eigentliche Meldung binnen 72 Stunden, ein Abschlussbericht binnen eines Monats. Und ein Datum rückt näher: bis zum 31. Oktober 2026 müssen die von der ACN festgelegten grundlegenden Sicherheitsmaßnahmen wirksam sein, nicht geplant. Ab diesem Tag kann die Agentur mit Prüfungen beginnen.
Wenn Sie ein betroffenes Unternehmen beliefern
Das ist der Teil, der fast alle überrascht, und er reicht viel weiter als die Liste selbst. NIS2 verlangt von den Betroffenen, ihre Lieferkette abzusichern: die relevanten IT-Lieferanten erfassen, Vertragsklauseln überarbeiten, sie fortlaufend überprüfen. Sie können nicht auf der ACN-Liste stehen und trotzdem einen Fragebogen bekommen, eine neue Klausel bei der Verlängerung, oder die Aufforderung nachzuweisen, wie Sie die überlassenen Daten aufbewahren. Nicht das Gesetz wendet sich an Sie, sondern Ihr Kunde, der für diese Daten auch dort geradesteht, wo sie bei Ihnen liegen. Wer nicht antworten kann, wird ersetzt, meist bei der Verlängerung und ohne Diskussion.
Was auf dem Spiel steht
Die Bußgelder bemessen sich am Umsatz, nicht an einem festen Satz: bis zu 10 Millionen Euro oder 2% des weltweiten Jahresumsatzes für wesentliche Einrichtungen, bis zu 7 Millionen oder 1,4% für wichtige — es gilt der höhere Betrag. Eine Folge wiegt allerdings schwerer als Geld: die Verantwortung liegt bei der Unternehmensleitung, die die Maßnahmen billigen und ihre Umsetzung überwachen muss, und in schweren Fällen vorübergehend von Leitungsaufgaben ausgeschlossen werden kann. Das ist kein Bußgeld, das man an die IT weiterreicht.
Worum wir uns kümmern
Wer ein Unternehmen führt, speichert Adressen, Bestellungen und Kaufgewohnheiten seiner Kunden. Kommen die heraus, ist der Schaden nicht ein Tag Stillstand: es ist das Vertrauen, und das kauft man nicht zurück. Wir kümmern uns um drei Dinge — wer hereinkommt, was protokolliert wird, wenn es jemand versucht, und wie es weitergeht, wenn etwas schiefläuft.
Warum hier keine Liste steht
Wir veröffentlichen nicht, welche Abwehrmaßnahmen wir einsetzen, und das ist keine Verschlossenheit: wer seine Vorkehrungen ins Schaufenster stellt, arbeitet für die, die sie studieren. Mit wem ernsthaft prüft, sprechen wir persönlich — mit Referenzen und Protokollen. Schreiben Sie uns, und wir sagen Ihnen, was wir zeigen können und unter welchen Bedingungen.
Wie es beginnt
Ein Erstgespräch, eine halbe Stunde, unverbindlich und kostenlos. Wir schauen uns an, was Sie tun, wer Ihre Kunden sind und wie Ihre Systeme heute dastehen: Daraus wird klar, ob NIS2 Sie betrifft und was Sie wirklich brauchen. Für ein Gespräch verlangen wir weder Zugänge noch Unterlagen — die kommen später, wenn es weitergeht.
Was es kostet
Wird von Fall zu Fall entschieden, und das ist keine Ausflucht: Ein Betrieb mit zehn Rechnern in einem Büro und einer mit drei Standorten und einem an die Lieferanten angebundenen System haben nicht dieselbe Arbeit vor sich. Nach oben treiben es die Zahl der Systeme, ihr Alter und wie eng die Frist ist; nach unten bringt es, früh genug zu kommen. Nach dem Gespräch kennen Sie eine Zahl, bevor Sie sich zu irgendetwas verpflichten.
Was Sie sich vermutlich fragen
„Ich habe schon jemanden für die Computer." Den brauchen Sie, und es ist ein anderer Beruf: Maschinen am Laufen zu halten ist nicht dasselbe, wie vor einer Behörde für eine gesetzliche Pflicht einzustehen. Beide Rollen bestehen nebeneinander. — „Wir sind klein, wer sollte uns angreifen?" Fast kein Angriff sucht sich sein Ziel aus: Automatische Programme probieren Adressen aufs Geratewohl und kommen dort hinein, wo etwas offen steht. Klein heißt nicht unsichtbar, es heißt leichter. — „Wir kümmern uns später darum." Das ist die häufigste Antwort und der Grund, warum am Ende alles in Eile und schlecht gemacht wird: Eine gesetzliche Frist verhandelt nicht, und wer zuletzt kommt, zahlt mehr.
Angebot anfordern
Zwei Felder, alles andere ist optional. Es antwortet ein Mensch.