NIS2 & KRITIS: betroffen? Dann Schritt für Schritt umsetzen
Mit NIS2 sind die KRITIS-Regeln in einem gemeinsamen Rahmen aufgegangen: Viele mittelständische Unternehmen gelten jetzt als wichtige oder besonders wichtige Einrichtung, Betreiber kritischer Anlagen haben zusätzliche Pflichten.
Selbsttest · 3 Fragen
Betrifft NIS2 dein Unternehmen?
Der Selbsttest zeigt in drei Fragen, ob du betroffen sein könntest. Danach setzen wir die Anforderungen mit dir um. Deine Antworten bleiben in deinem Browser.
Was NIS2 von dir verlangt
6 Pflichten im Überblick
Risikomanagement
Risiken für IT und Daten erkennen, bewerten und mit passenden Maßnahmen nach dem Stand der Technik reduzieren.
Meldepflichten
Erhebliche Sicherheitsvorfälle müssen gemeldet werden: eine erste Frühwarnung an das BSI innerhalb von 24 Stunden, die Meldung nach 72 Stunden.
Verantwortung der Geschäftsleitung
Die Geschäftsleitung muss die Maßnahmen billigen, ihre Umsetzung überwachen und sich regelmäßig schulen lassen. Sie haftet dafür persönlich.
Lieferkette
Auch die Sicherheit von Dienstleistern und Zulieferern gehört dazu. Deshalb fragen betroffene Kunden ihre Zulieferer jetzt nach Nachweisen.
Angriffe früh erkennen
Für kritische Anlagen sind Systeme zur Angriffserkennung Pflicht. Security Monitoring macht Vorfälle sichtbar, bevor sie Schaden anrichten.
Nachweise vorbereiten
Dokumentation, Richtlinien und Belege so aufbereitet, dass sie bei einer Prüfung durch BSI, Prüfstelle oder Kunden bestehen.
Einordnung
NIS2 oder KRITIS: Was gilt für wen?
Beides hängt eng zusammen. Entscheidend sind Branche, Größe und ob du eine kritische Anlage betreibst.
Wichtige Einrichtungen
Unternehmen ab 50 Beschäftigten oder mehr als 10 Mio. € Umsatz und Bilanzsumme in einem der NIS2-Sektoren, etwa Maschinenbau, Elektrotechnik, Lebensmittel, Chemie oder digitale Dienste.
Besonders wichtige Einrichtungen
Größere Unternehmen ab 250 Beschäftigten oder mehr als 50 Mio. € Umsatz in besonders kritischen Sektoren wie Energie, Gesundheit, Verkehr oder digitale Infrastruktur.
Betreiber kritischer Anlagen (KRITIS)
Wer eine Anlage betreibt, die einen festgelegten Versorgungsgrad überschreitet, etwa in Energie, Wasser, Gesundheit oder Ernährung, hat zusätzlich Nachweispflichten gegenüber dem BSI.
Zulieferer und Dienstleister
Auch wer selbst nicht betroffen ist, muss oft nachweisen, dass er sicher arbeitet, weil betroffene Kunden ihre Lieferkette absichern müssen.
Keine Zertifizierung, aber Nachweise
NIS2 verlangt kein Zertifikat, aber nachweisbare Maßnahmen. ISO 27001 kann dabei helfen, ist aber keine Pflicht.
Prüfung bei kritischen Anlagen
Betreiber kritischer Anlagen müssen die Umsetzung regelmäßig nachweisen. Die Prüfung macht eine unabhängige Prüfstelle, wir bereiten IT und Unterlagen vor.
Umsetzung
So setzen wir NIS2 mit dir um
Schritt 1: Betroffenheit klären
Selbsttest und Gespräch: Gehört dein Unternehmen dazu, in welcher Kategorie, und was folgt daraus? Dazu gehört die Registrierung beim BSI.
Schritt 2: Gap-Analyse
Wir gleichen deine IT mit den Anforderungen ab und zeigen, was fehlt. Ergebnis ist ein priorisierter Maßnahmenplan.
Schritt 3: Maßnahmen umsetzen
Härtung, Berechtigungen, Backups, Monitoring und Notfallplan: Wir setzen um, was das Risiko am schnellsten senkt.
Schritt 4: Melden und nachweisen
Meldewege, Richtlinien und Nachweise so dokumentiert, dass du bei BSI, Prüfstelle, Kunden und Versicherung bestehst.
Passende Leistungen
Bis zu 15.000 € Förderung
Das Land NRW fördert IT-Sicherheit und digitale Prozesse in kleinen und mittleren Unternehmen. Wir prüfen, ob dein Vorhaben passt, und erstellen den Maßnahmenplan.
Häufige Fragen
Ist der Selbsttest verbindlich?
Nein, er gibt eine erste Orientierung. Ob dein Unternehmen betroffen ist, klären wir im Gespräch.
Ist KRITIS nicht etwas anderes als NIS2?
Nicht mehr wirklich. Mit der Umsetzung von NIS2 in Deutschland sind die bisherigen KRITIS-Regeln für die IT-Sicherheit in denselben Rahmen gewandert. Betreiber kritischer Anlagen haben darin nur zusätzliche Pflichten.
Wir sind nicht direkt betroffen. Müssen wir trotzdem etwas tun?
Oft ja: Betroffene Kunden verlangen von Zulieferern und Dienstleistern ein nachweisbares Sicherheitsniveau.
Müssen wir uns irgendwo registrieren?
Ja, betroffene Unternehmen müssen sich beim BSI registrieren. Wir helfen dir, die nötigen Angaben vorzubereiten.
Was kostet die Umsetzung?
Das hängt davon ab, was schon vorhanden ist. Nach der Gap-Analyse bekommst du ein konkretes Angebot. In NRW kann die Förderung MID einen Teil abdecken.
Arbeitet ihr mit unserem bisherigen IT-Dienstleister zusammen?
Ja. Wir können die Sicherheitsmaßnahmen umsetzen, während dein Dienstleister den Alltag betreut, oder die IT komplett übernehmen. Wichtig ist, dass die Zuständigkeiten klar geregelt sind.
Fang mit der kostenfreien Potenzialanalyse an
Du schickst uns deine IT-Rechnungen und Verträge der letzten 12 Monate, wir zeigen dir, wo sich sparen lässt. Kostenfrei und ohne Verkaufsdruck.