Pressemitteilung von Securam Consulting GmbH

NIS2-Start nicht verpassen: Bußgeld, Kontrollverlust und Reputationsrisiko drohen

---

---

Mit dem finalen Referentenentwurf zur Umsetzung der EU-NIS2-Richtlinie beginnt in Deutschland die letzte Phase vor dem Inkrafttreten. Ab Herbst 2025 sind tausende Unternehmen verpflichtet, die neuen Vorgaben umzusetzen.
Diese Frist ist knapp: Ab dem Tag des Inkrafttretens bleiben betroffenen Firmen und Organisationen nur drei Monate, um sich beim Bundesamt für Sicherheit in der Informationstechnik (BSI) zu registrieren - und dabei umfassend nachzuweisen, dass alle technischen und organisatorischen Sicherheitsanforderungen erfüllt sind.

Gesetzliche Pflicht mit organisatorischer Wucht
Was die Umsetzung besonders herausfordernd macht: Die Richtlinie greift in zentrale Geschäftsprozesse ein - und das in einer Zeit, in der viele Unternehmen urlaubsbedingt mit reduziertem Personal arbeiten.
Die strategische und operative Vorbereitung muss daher sofort beginnen, um Haftungsrisiken, Sanktionen und Reputationsverluste zu vermeiden.

Ausweitung des Anwendungsbereichs - Wer ist betroffen?
Die NIS2-Richtlinie erweitert den Adressatenkreis deutlich.

Entscheidend sind neben dem wirtschaftlichen Tätigkeitsfeld auch Größe und Relevanz des Unternehmens. Die Pflicht zur Umsetzung gilt für:
- Große Unternehmen mit mehr als 250 Mitarbeitenden, einem Jahresumsatz über 50 Mio. EUR oder einer Bilanzsumme über 43 Mio. EUR.

- Mittlere Unternehmen, sofern sie für digitale Infrastruktur, Versorgungssicherheit oder wirtschaftliche Stabilität relevant sind.

- Kleine Unternehmen, wenn sie Teil kritischer Lieferketten oder Betreiber wesentlicher Dienste sind.

Zudem unterscheidet die Richtlinie zwischen zwei Stufen der Kritikalität:
- "Sehr wichtige Einrichtungen" z.B. Energieversorgung, Gesundheitswesen, Telekommunikation: Bei Pflichtverletzungen droht nicht nur ein Bußgeld, sondern ggf. auch der Entzug der Betriebsgenehmigung oder das Leitungsverbot für verantwortliche Personen.

- "Wichtige Einrichtungen" z.B. digitale Dienste, Lebensmittelwirtschaft, Logistik: Es drohen Strafen bis zu 7 Mio. EUR oder 1,4% des weltweiten Jahresumsatzes sowie ergänzende Sanktionen nach DSGVO.

Vier Handlungsfelder - Was NIS2 konkret verlangt
Im Zentrum der Umsetzung stehen vier sicherheitsrelevante Kernbereiche. Diese bilden zugleich die Grundlage für interne Audits und mögliche Prüfungen durch das BSI:
1. Cybersecurity
Einführung und Kontrolle von Erkennungs- und Schutzmaßnahmen, z.B. durch Managed Detection & Response, Vulnerability Management und Echtzeit-Überwachung kritischer Systeme

2. Business Continuity Management (BCM)
Absicherung der Betriebsfähigkeit im Sicherheitsnotfall - inklusive Notfallplänen, Ressourcenplanung und Wiederanlaufstrategien

3. IKT-Dienstleistersteuerung
Sicherstellung, dass IT-Dienstleister ebenfalls NIS2 -konform arbeiten. Dies schließt vertragliche Anpassungen von SLAs, regelmäßige Kontrollen und Risikotransparenz ein.

4. Risikomanagement
Kontinuierliche Bewertung kritischer Prozesse gegen bekannte Bedrohungen (z.B. auf Basis des IT-Grundschutzes), Definition technischer und organisatorischer Maßnahmen und Dokumentation von Restrisiken.

Unternehmen, die diesen Anforderungen nicht vollständig nachkommen, müssen mit Zwangsgeldern von bis zu 100.000 EUR, verpflichtenden Zertifizierungen, Nachbesserungsforderungen und - im Ernstfall - mit interventionistischen Maßnahmen durch das BSI rechnen.

Verantwortung auf Geschäftsleitungsebene
Besonders brisant: Die Einhaltung der NIS2-Vorgaben ist nicht delegierbar. Die Verantwortung liegt unmittelbar bei der Geschäftsführung. Bei vorsätzlicher oder fahrlässiger Missachtung drohen verschärfte persönliche Haftungsrisiken, auch unabhängig davon, ob Aufgaben intern weitergegeben wurden.

Die nächsten Schritte - so schaffen Sie Klarheit und Compliance
Um nicht nur formell, sondern auch inhaltlich NIS2-konform aufgestellt zu sein, empfehlen wir folgende Schritte:
1. Betroffenheit prüfen
Ermitteln Sie, ob Ihr Unternehmen in den Anwendungsbereich der Richtlinie fällt - und wenn ja, in welcher Kritikalitätsstufe

2. Internes NIS2-Audit durchführen
Analysieren Sie unbedingt Ihre aktuelle Sicherheits- und Prozesslandschaft, identifizieren Sie Schwachstellen und priorisieren Sie Handlungsfelder

3. Registrierung im BSI-Meldeportal vorbereiten
Klären Sie Zuständigkeiten, Kommunikationswege und welche Nachweise zur Konformität vorgelegt werden müssen

4. Meldeprozess im Unternehmen etablieren
Entwickeln Sie klare Abläufe zur Erkennung, Bewertung und Meldung von Sicherheitsvorfällen - inklusive Eskalations- und Dokumentationsprozesse

Alle Maßnahmen müssen nachweisbar, wirksam und nachvollziehbar sein. Es reicht nicht aus, auf dem Papier sicher zu sein - die Umsetzung muss sich im Alltag bewähren.

Fazit: Pflicht, Risiko - und strategische Chance
Die NIS2-Richtlinie stellt Unternehmen vor große Herausforderungen. Sie verlangt nicht nur technische Upgrades, sondern auch neue Denkweisen in Führung, Struktur und Kultur. Doch mit konsequenter Vorbereitung lassen sich Risiken minimieren und gleichzeitig wertvolle Vorteile schaffen: mehr digitale Resilienz, höhere Kunden- und Partnervertrauen, Schutz vor Reputationsschäden - und nicht zuletzt: Rechtskonformität.

Die SECURAM Consulting GmbH unterstützt Unternehmen umfassend bei der Umsetzung der NIS2-Vorgaben. Unser Leistungsangebot reicht von der Betroffenheitsanalyse über interne Audits, der Entwicklung individueller Maßnahmenpläne, bis hin zur Gestaltung eines BSI-konformen Meldeprozesses sowie der Vorbereitung auf Zertifizierungen.

Unsere Beraterteam verfügt über langjährige Erfahrung in IT-Sicherheit, Governance, Risk & Compliance (GRC) sowie regulatorischen Rahmenwerken und begleiten Sie praxisnah und lösungsorientiert - angepasst an Ihre Branche, Unternehmensgröße und interne Struktur.

Jetzt ist der richtige Zeitpunkt strategisch zu handeln!

Kontaktieren Sie uns für ein unverbindliches Erstgespräch - und sichern Sie sich mit uns eine rechtskonforme, zukunftsfähige und resilient aufgestellte Organisation im digitalen Zeitalter.

(Die Bildrechte liegen bei dem Verfasser der Mitteilung.) Firmen- & Pressekontakt