NIS-2 – Network and Information Security Directive
Was ist NIS-2?
Die überarbeitete EU-Richtlinie zur Netz- und Informationssicherheit (NIS-2) bringt erstmals für viele Unternehmen verpflichtende Anforderungen zur Cybersicherheit und zum Risikomanagement.
Sie richtet sich nicht nur an kritische Infrastrukturen im klassischen Sinne, sondern betrifft eine Vielzahl von Unternehmen, die bislang nicht reguliert waren – darunter z. B.:
- IT-Dienstleister
- Energieversorger
- Rechenzentren und Hosting-Anbieter
- Entsorger, Maschinenbauunternehmen, Hersteller kritischer Komponenten
- Betreiber digitaler Dienste und Plattformen
NIS-2 ist deutlich abstrakter formuliert als z. B. DORA – viele Unternehmen stehen damit vor der Herausforderung, unklare Anforderungen in konkrete Maßnahmen zu übersetzen. Und genau hier setzt meine Unterstützung an.
Der Vorteil mit Kegayo
Ich bringe umfassende Umsetzungserfahrung aus der Finanzindustrie mit – einem Sektor, der bereits seit Jahren unter intensiver regulatorischer Aufsicht steht.
Mit DORA habe ich mehrere Projekte von Anfang bis Ende begleitet, inklusive Prüfungsfähigkeit und Übergabe in die Linie. Auch in anderen Regulierungsrahmen wie MaRisk, BAIT, VAIT und KAIT bin ich seit Jahren tätig.
Diese praktische Erfahrung nutze ich, um NIS-2-Anforderungen:
- realistisch zu interpretieren,
- mit praxiserprobten Umsetzungsansätzen zu unterlegen,
- und auf neue Sektoren zu übertragen, die bislang wenig oder keine Regulierungserfahrung haben.
Während DORA die sektorspezifische Umsetzung von NIS-2 für den Finanzbereich darstellt, nutze ich genau diese Transfererfahrung, um Unternehmen aus Energie, IT und Industrie konkret zu zeigen, was zu tun ist – und wie.
Sie fragen sich, was NIS-2 konkret für Ihr Unternehmen bedeutet?
Ich unterstütze Sie bei der strukturierten Herleitung, Interpretation und operativen Umsetzung – mit Lösungen, die auch bei zukünftigen Prüfungen Bestand haben.
[Fortsetzung: Was fordert NIS-2 konkret? Die zentralen Anforderungen im Überblick:]
Was fordert NIS-2 konkret?
Die zentralen Anforderungen im Überblick:
NIS-2 formuliert Anforderungen, die viele Unternehmen erstmals mit regulatorischen Pflichten im Bereich Cyber- und Informationssicherheit konfrontieren. Dabei bleibt die Richtlinie bewusst auf einer hohen Abstraktionsebene – konkrete Umsetzungshilfen fehlen oft.
Durch meine Erfahrung aus streng regulierten Sektoren wie dem Finanzbereich (z. B. DORA, MaRisk, BAIT) kann ich Unternehmen helfen, diese abstrakten Anforderungen praxisnah zu interpretieren und umsetzbare Strukturen zu entwickeln.
Die wichtigsten Handlungsfelder nach NIS-2 sind:
I. Risikomanagement im Bereich der Informations- und Kommunikations-technologie (IKT)
Unternehmen müssen geeignete technische, organisatorische und verfahrenstechnische Maßnahmen ergreifen, um IKT-Risiken zu beherrschen. Dazu gehören unter anderem:
- Etablierung einer IKT-Risikomanagementstrategie
- Einführung eines Informationssicherheitsmanagementsystems (ISMS)
- Schutzmaßnahmen wie Zugriffskontrolle, Netzwerksicherheit, Schwachstellen- und Patchmanagement
- regelmäßige Risikobewertung und -überwachung
- klare Rollen und Verantwortlichkeiten
Diese Anforderungen decken sich in vielen Bereichen mit DORA – und lassen sich daher mit erprobten Methoden und Best Practices aus dem Finanzsektor übertragen.
II. Behandlung und Meldung von Sicherheitsvorfällen
Es müssen Prozesse etabliert werden, um sicherheitsrelevante Vorfälle zu erkennen, zu bewerten, zu behandeln und – wenn nötig – binnen 24 Stunden an die zuständige Stelle zu melden.
Ich unterstütze beim Aufbau dieser Strukturen, z. B.:
- Definition von Meldekriterien
- Gestaltung eines Incident-Response-Prozesses
- Schulung von Schlüsselrollen
- Vorbereitung der Organisation auf Meldepflichten und Reporting
III. Business Continuity und Krisenmanagement
NIS-2 verlangt von betroffenen Unternehmen, geeignete Maßnahmen zur Aufrechterhaltung des Geschäftsbetriebs im Falle schwerwiegender IKT-Störungen zu treffen. Dazu zählen insbesondere:
- die Entwicklung und Pflege von Business-Continuity-Plänen (BCP)
- die Definition von Wiederanlaufprozessen und Zuständigkeiten
- die organisatorische Vorbereitung auf Notfälle und Krisensituationen
- die Verankerung von Krisenkommunikation und Eskalationswegen
- ein strukturierendes Notfallkonzept
- eine Verantwortlichkeitsmatrix
- die Planung von regelmäßigen Übungen
- die Integration dieser Prozesse in das bestehende Managementsystem
IV. Sicherheit in der Lieferkette und bei Dienstleistern
Auch Dienstleister und Partnerunternehmen müssen in das Risikomanagement eingebunden werden – ähnlich wie bei DORA. Das umfasst:
- Identifikation kritischer Abhängigkeiten
- Vertragsgestaltung mit Sicherheitsanforderungen
- Risikoanalyse bei Auslagerungen
- Dokumentation von Dienstleisterbeziehungen
NIS-2 stellt hohe Anforderungen – aber keine konkreten Anleitungen.
Ich unterstütze Sie dabei, diese Anforderungen in passende Richtlinien, Prozesse und Strukturen zu überführen – und helfe, eine prüfungsfeste, tragfähige Sicherheitsarchitektur aufzubauen.
Wir benötigen Ihre Zustimmung zum Laden der Übersetzungen
Wir nutzen einen Drittanbieter-Service, um den Inhalt der Website zu übersetzen, der möglicherweise Daten über Ihre Aktivitäten sammelt. Bitte überprüfen Sie die Details in der Datenschutzerklärung und akzeptieren Sie den Dienst, um die Übersetzungen zu sehen.