NIS2-Richtlinie: Was IT-Verantwortliche jetzt wissen müssen

Andreas Gutsell

27.August, 2025

Die EU-NIS2-Richtlinie („Network and Information Security 2“) ist der neue europäische Standard für Cybersicherheitsanforderungen. Sie ersetzt die NIS1 von 2016, weitet den Geltungsbereich erheblich aus und verschärft Pflichten wie Meldefristen und Sicherheitsmaßnahmen.

Neben Betreibern Kritischer Infrastrukturen (KRITIS) sind nun auch viele mittelständische Unternehmen aus Sektoren wie Gesundheitswesen, Energie, Verkehr, digitale Dienste betroffen. Verstöße können Bußgelder von bis zu 2 % des weltweiten Jahresumsatzes nach sich ziehen – ein Handlungsdruck, den IT-Verantwortliche ernst nehmen sollten.

Wer fällt unter die NIS2-Richtlinie?

• Kritische Infrastrukturen: Energie, Verkehr, Gesundheitswesen, Finanzwesen, Trinkwasserversorgung, digitale Infrastruktur

• Digitale Dienste: Online-Marktplätze, Suchmaschinen, Cloud-Dienste, Rechenzentren

• Große Unternehmen & aufsichtspflichtige KMU: Mehr als 50 Mitarbeitende oder > 10 Mio. € Jahresumsatz – branchenübergreifend.

Wesentliche Neuerungen gegenüber NIS1

VdS 10000 als ideale Basis für NIS2

Ein vorhandenes ISMS nach VdS 10000 deckt bereits viele NIS2-Anforderungen ab und erleichtert die Umsetzung:

1. Strukturiertes Risikomanagement

   • Regelmäßige Risikoanalysen und Maßnahmenableitungen sind Standard im VdS

2. Dokumentierte Sicherheitsmaßnahmen

   • Zugriffskontrolle, Netzsegmentierung, Patch-Management sind schon beschrieben

3. Audit-Erfahrung

   • Interne Audits und Management-Reviews sind etabliert

4. Klare Governance-Struktur

   • Verantwortlichkeiten und Berichtsketten sind definiert

5. Kontinuierliche Verbesserung

   • PDCA-Zyklus erleichtert die Ausweitung auf NIS2-Kennzahlen wie Incident-Response-Zeiten

Sicherheitsanforderungen laut NIS2

• Governance & Risikomanagement

  • Top-Management-Einbindung, Cybersecurity-Strategie

• Technische & organisatorische Maßnahmen

  • Netzsegmentierung, MFA, Verschlüsselung, Patch-Management

• Incident Response & Notfallplanung

  • Verfahren, Notfallübungen, Lessons Learned

• Lieferketten-Risiken

  • Third-Party-Risk-Management, Sicherheitsklauseln

• Schulung & Awareness

  • Regelmäßige Trainings, Phishing-TestsKlare Mindestanforderungen per Checkliste

Meldepflichten im Überblick

• Erstmeldung: Innerhalb von 24 Stunden nach Entdeckung

• Folgemeldung: Innerhalb von 72 Stunden mit Details zu Ursache, Ausmaß, Gegenmaßnahmen

• Inhalt: Art des Vorfalls, betroffene Systeme/Dienste, potenzielle Auswirkungen

Umsetzungsschritte für IT-Verantwortliche

1. Gap-Analyse

   • Abgleich VdS-Stand mit NIS2-Controls

2. Maßnahmenplanung

   • Priorisierung nach Risiko

3. Dokumentation erweitern

   • Ergänzung im ISMS-Handbuch

4. Technische Implementierung

   • SIEM, Monitoring, automatisierte Incident-Response

5. Audit & Review

   • Vorbereitung auf Peer-Reviews und Behördenprüfungen

Fazit

Mit einem VdS-10000-ISMS sind Sie bestens vorbereitet, um NIS2-Anforderungen effizient zu erfüllen. Ergänzen Sie gezielt fehlende Controls, optimieren Sie Ihre Meldeprozesse – und sichern Sie sich so gegen moderne Cyberbedrohungen ab.

Bei Fragen oder Beratungsbedarf rund ums Thema „NIS2-Anforderungen und VdS-10000“ stehen wir Ihnen jederzeit gern zur Seite.