Was ist NIS2?

Für wen gilt NIS2?

Das Cybersicherheitsgesetz gilt für Organisationen in Sektoren, die für Gesellschaft und Wirtschaft wichtig sind, etwa Energie, Verkehr, Gesundheitswesen, Trinkwasser, digitale Infrastruktur, öffentliche Verwaltung, Abfallwirtschaft, Lebensmittel, Herstellung unter anderem von Maschinen und Elektronik sowie digitale Dienste. Je nach Sektor und Größe ist eine Organisation eine wesentliche oder eine wichtige Einrichtung. In den meisten Sektoren fallen kleine Unternehmen nicht darunter, für manche Arten von Organisationen, etwa Behörden und Anbieter von DNS-Diensten, gilt das Gesetz aber unabhängig von ihrer Größe. Viele Organisationen fallen von Gesetzes wegen darunter und müssen das selbst prüfen.

Welche Pflichten gehören dazu?

• Registrierungspflicht: Seit dem 15. August 2026 registrieren sich Organisationen über MijnNCSC.
• Sorgfaltspflicht: Risiken ermitteln und angemessene technische und organisatorische Maßnahmen ergreifen, etwa Zugriffsverwaltung, Zwei-Faktor-Authentifizierung, Backups, Sicherheit der Lieferkette und ein Plan für Vorfälle.
• Meldepflicht: Einen erheblichen Vorfall melden Sie innerhalb von 24 Stunden mit einer Frühwarnung, innerhalb von 72 Stunden mit einer Vorfallmeldung und innerhalb eines Monats mit einem Abschlussbericht.
• Geschäftsführer genehmigen die Maßnahmen, überwachen ihre Umsetzung und müssen eine Schulung absolviert haben.

Wesentliche Einrichtungen werden aktiv beaufsichtigt, wichtige Einrichtungen erst bei Hinweisen, dass etwas nicht in Ordnung ist.

Was, wenn Sie nicht darunter fallen?

Auch dann merken Sie NIS2: Organisationen, die darunter fallen, müssen ihre Lieferanten bewerten und stellen Anforderungen an die Sicherheit von Software und Diensten. Ein Zertifikat wie ISO 27001 oder, im Gesundheitswesen, NEN 7510 hilft, das nachzuweisen.