Glossar

NIS2 (EU-Richtlinie zur Netz- und Informationssicherheit)

NIS2 ist die zweite EU-Richtlinie zur Netz- und Informationssicherheit und verpflichtet deutlich mehr Unternehmen als bisher zu einem nachweisbaren Mindestniveau an Cybersicherheit. Betroffen sind – je nach Größe und Sektor – unter anderem Energie, Transport, Gesundheit, digitale Infrastruktur, verarbeitendes Gewerbe, Lebensmittel und öffentliche Verwaltung. Die Schwellen (in der Regel ab 50 Beschäftigten oder 10 Millionen Euro Umsatz in erfassten Sektoren) holen erstmals viele Mittelständler in die Pflicht, die sich bisher nicht als „kritische Infrastruktur“ verstanden haben. Inhaltlich verlangt NIS2 ein Risikomanagement mit konkreten Mindestmaßnahmen: Umgang mit Schwachstellen und deren Offenlegung, Incident-Management mit Meldepflichten (Erstmeldung binnen 24 Stunden, Folgemeldung binnen 72 Stunden), Sicherheit der Lieferkette, Backups und Krisenmanagement, Verschlüsselung, Zugriffskontrolle und Schulungen. Neu ist auch die persönliche Verantwortung der Geschäftsleitung: Sie muss die Maßnahmen billigen, überwachen und haftet bei Verstößen; Bußgelder können bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Umsatzes erreichen. Für die Praxis heißt das: Schwachstellen-Management ist keine Kür mehr, sondern Compliance-Anforderung. Wer verpflichtet ist, braucht einen dokumentierten Prozess – neue Lücken im eigenen Stack erkennen, nach Risiko priorisieren, Patches nachweisbar umsetzen. Genau dabei setzt SecFeed an: Der Risk Radar überwacht deinen Tech-Stack, deutsche Kurzfassungen und Checklisten machen Meldungen handlungsfähig, und das Lagebild liefert den schnellen Überblick für Berichte an die Geschäftsleitung. Häufige Fragen aus der Praxis: Gilt NIS2 auch für kleine Firmen? Grundsätzlich greifen die Schwellenwerte, aber es gibt Ausnahmen nach Kritikalität – und wer als Zulieferer eines verpflichteten Unternehmens arbeitet, bekommt die Anforderungen oft vertraglich weitergereicht. Was passiert bei Verstößen? Neben Bußgeldern können Aufsichtsbehörden Anweisungen erteilen und die persönliche Verantwortung der Leitungsebene geltend machen. Wo anfangen? Bewährt hat sich die Reihenfolge: Betroffenheit klären, Asset-Inventar aufbauen, Schwachstellen- und Patch-Prozess etablieren, Meldewege definieren, dann die übrigen Maßnahmen (Backups, MFA, Schulungen) systematisch nachziehen – jeweils mit Dokumentation, denn nachweisbar muss es sein. Ein pragmatischer Startpunkt für den Nachweis: monatliche Kurzberichte mit Lagebild, offenen kritischen Lücken und Patch-Stand – knapp, aber belastbar.

Aktuelle Meldungen dazu: security · ← zum Glossar