Risikomanagement
Konzepte zur Risikoanalyse und Sicherheit von Informationssystemen, Bewältigung von Vorfällen, Business Continuity und Krisenmanagement.
Wer unter NIS 2 fällt
NIS 2 unterscheidet „besonders wichtige" und „wichtige" Einrichtungen. Maßgeblich sind Sektor und Größe: In der Regel sind Unternehmen ab 50 Mitarbeitenden oder 10 Mio. € Umsatz betroffen, wenn sie in einem der Sektoren tätig sind — darunter Energie, Verkehr, Gesundheit, Wasser, digitale Infrastruktur, Verwaltung von IKT-Diensten, Post, Abfall, Chemie, Lebensmittel, verarbeitendes Gewerbe (u. a. Maschinenbau, Fahrzeugbau, Medizinprodukte, Elektronik), Anbieter digitaler Dienste und Forschung.
Anders als bei früheren Regelungen gibt es keine Bescheide: Unternehmen müssen selbst prüfen, ob sie betroffen sind, und sich beim BSI registrieren. Zulieferer, die selbst nicht unter das Gesetz fallen, werden über die Lieferkettenpflichten ihrer Kunden faktisch einbezogen.
Die zentralen Pflichten
Das Gesetz verlangt ein Mindestniveau an Risikomanagement — geeignet, verhältnismäßig und dokumentiert.
Meldepflichten
Erhebliche Sicherheitsvorfälle: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht binnen eines Monats an das BSI.
Lieferkette
Sicherheit in der Lieferkette und bei Dienstleistern; Anforderungen an Beschaffung, Entwicklung und Wartung.
Technik & Organisation
Kryptografie, Zugriffskontrolle, Multi-Faktor-Authentifizierung, Schwachstellenmanagement, Schulung der Mitarbeitenden.
Registrierung
Registrierung beim BSI mit Kontaktstelle; Nachweispflichten für besonders wichtige Einrichtungen.
Geschäftsführung
Die Leitung muss Maßnahmen billigen, überwachen und selbst geschult sein — und haftet bei Verstößen persönlich.
Was NIS 2 für KI-Systeme bedeutet
KI-Systeme sind Informationssysteme im Sinne des Gesetzes. Wer Sprachmodelle, Agenten oder Automationen betreibt, muss sie in das Risikomanagement einbeziehen: Zugriffe, Datenflüsse, Schnittstellen, Anbieter. Externe KI-Anbieter sind Dienstleister in der Lieferkette — mit den entsprechenden Anforderungen an Verträge und Prüfung.
Zugleich hilft KI bei der Umsetzung: bei der Auswertung von Protokollen, der Erkennung von Anomalien, der Priorisierung von Schwachstellen und der Vorbereitung von Meldungen innerhalb der engen Fristen. Auch hier gilt: Der Mensch entscheidet, die KI bereitet vor — und ihr Einsatz ist dokumentiert.
- KI-Inventar als Teil der Asset-Erfassung (siehe KI-Audit & Screening)
- Guardrails und Protokollierung von KI-Systemen als Sicherheitsmaßnahme
- Anbieterbewertung von KI-Diensten nach Lieferkettenkriterien
- KI-gestützte Auswertung von Logs und Vorbereitung von Meldungen
NIS 2, ISO 27001, EU AI Act und DSGVO zusammen umsetzen
Wer bereits nach ISO 27001 oder TISAX arbeitet, hat einen großen Teil der NIS-2-Anforderungen strukturell erfüllt — es fehlen meist Registrierung, Meldeprozesse und die formale Einbindung der Geschäftsführung. Umgekehrt liefert NIS 2 den Anlass, ein Informationssicherheits-Managementsystem aufzubauen, das auch EU AI Act und DSGVO bedient. Wir planen die Umsetzung so, dass Maßnahmen einmal aufgebaut und für alle Regelwerke nachgewiesen werden.
Sanktionen und Zeitplan
Für besonders wichtige Einrichtungen sind Bußgelder bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes vorgesehen, für wichtige Einrichtungen bis 7 Mio. € oder 1,4 %. Hinzu kommen Anordnungen des BSI und die persönliche Haftung der Geschäftsführung. Das Gesetz ist in Kraft; Registrierungs- und Nachweisfristen laufen. Konkrete Fristen und den aktuellen Stand der Umsetzung prüfen wir zu Projektbeginn mit dir, da sich Details durch Rechtsverordnungen und BSI-Vorgaben fortschreiben.