NIS2 Compliance
NIS2 (Network and Information Security Directive 2) ist die seit Oktober 2024 in der EU verpflichtende Cybersecurity-Direktive; das deutsche Umsetzungsgesetz unterscheidet "besonders wichtige" und "wichtige" Einrichtungen. Sie erweitert NIS1 um neue Sektoren (Energie, Gesundheit, Transport, kritische Lieferketten), verpflichtet zu Risikomanagement, Incident-Reporting binnen 24/72 Stunden und macht Geschäftsleitung persönlich haftbar.
NIS2 Compliance in der Praxis
NIS2 verpflichtet betroffene Unternehmen zu zehn Mindest-Cybersecurity-Massnahmen: Risikoanalyse-Policy, Incident-Handling, Business Continuity, Supply-Chain-Security, Vulnerability-Management, Cybersecurity-Awareness-Trainings, Verschlüsselung, Zugriffskontrolle, Asset-Management und Multi-Faktor-Authentifizierung. Reporting-Fristen: Erst-Notification 24h, ausführliche Meldung 72h, Final Report 30 Tage nach dem Vorfall. In Deutschland setzt das NIS2UmsuCG (NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz) die Direktive um. Sanktionen nach § 65 BSIG: bis zu 10 Mio. EUR — bei einem Gesamtumsatz über 500 Mio. EUR bis zu 2 % des Gesamtumsatzes — für besonders wichtige Einrichtungen, bis zu 7 Mio. EUR bzw. 1,4 % für wichtige Einrichtungen.