NIS 2

Die NIS-2-Richtlinie verlangt von Organisationen in kritischen Sektoren, robuste Cybersicherheitsmaßnahmen umzusetzen. Diese Seite erklärt, was die Richtlinie fordert, wie Sie prüfen, ob sie für Sie gilt, und wie Sie die Bewertung in Stoïk Protect abschließen.

NIS 2 verstehen

Was die Richtlinie ist

NIS 2 (Richtlinie (EU) 2022/2555) ersetzt die erste NIS-Richtlinie von 2016. Sie wurde im Dezember 2022 angenommen, und die Mitgliedstaaten mussten sie bis zum 17. Oktober 2024.

Im Vergleich zu NIS 1 haben sich zwei Dinge wesentlich geändert:

• Der Anwendungsbereich wurde erweitert. Rund 18 Sektoren sind nun erfasst — 11 hochkritische Sektoren in Anhang I und 7 weitere kritische Sektoren in Anhang II. Tausende mittelgroße und große Organisationen fallen erstmals darunter, ebenso öffentliche Verwaltungen.

• Die Leitung wurde rechenschaftspflichtig. Unter Artikel 20, das Leitungsorgan muss die Cybersicherheitsmaßnahmen genehmigen, ihre Umsetzung überwachen und kann persönlich haftbar gemacht werden. Führungskräfte müssen außerdem an Cybersicherheits-Schulungen teilnehmen.

NIS 2 ist eine Richtlinie, keine Verordnung. Sie legt die Ziele fest; jeder Mitgliedstaat schreibt sein eigenes Gesetz. Ihre genauen Fristen, Ihr Registrierungsverfahren und strengere nationale Anforderungen ergeben sich aus Ihrem Land, nicht aus dem europäischen Text.

Die drei Kernpflichten

Pflicht	Was bedeutet das
Bei Ihrer nationalen Behörde registrieren	Sobald Sie festgestellt haben, dass Sie unter den Anwendungsbereich fallen, müssen Sie Ihre Einrichtung bei der zuständigen Behörde in Ihrem Land melden
Ihr Cyberrisiko managen	Die technischen, operativen und organisatorischen Maßnahmen nach Artikel 21 umsetzen
Wesentliche Vorfälle melden	Ihre Behörde innerhalb von 24 Stunden (Frühwarnung), 72 Stunden (Vorfallsmeldung) und einem Monat (Abschlussbericht)

Bei Nichteinhaltung drohen Ihnen Geldbußen von bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes für wesentliche Einrichtungen und 7 Mio. € oder 1,4 % für wichtige Einrichtungen — je nachdem, welcher Betrag in jedem Fall höher ist.

Artikel 21 Absatz 2: die zehn Maßnahmen

Artikel 21 ist das Herzstück der Richtlinie und die Grundlage für die Bewertung in Stoïk Protect.

Artikel 21 Absatz 1 legt den Grundsatz fest: Maßnahmen müssen angemessen und verhältnismäßigsein, einem All-Gefahren-Ansatzfolgen und an Ihre Größe, Ihre Gefährdungslage und die Schwere der Vorfälle angepasst sein, denen Sie ausgesetzt sein könnten. Von einem Hersteller mit 60 Mitarbeitenden wird nicht erwartet, dass er dasselbe Programm aufbaut wie ein nationaler Energieversorger.

Artikel 21 Absatz 2 führt dann zehn Mindestmaßnahmen auf. Die zehn Bereiche der Bewertung:

	Maßnahme	Was die Richtlinie fordert
(a)	Risikoanalyse und Sicherheitsrichtlinien für Informationssysteme	Eine dokumentierte Sicht auf Ihre Risiken und schriftlich festgelegte Sicherheitsrichtlinien, die auf der richtigen Ebene genehmigt sind
(b)	Vorfallbearbeitung	Die Fähigkeit, Vorfälle zu erkennen, einzuordnen, darauf zu reagieren und sie zu melden
(c)	Geschäftskontinuität	Sicherungsverwaltung, Wiederherstellung nach Katastrophen und Krisenmanagement
(d)	Sicherheit in der Lieferkette	Sicherheit in Ihren Beziehungen zu direkten Lieferanten und Dienstleistern
(e)	Sicherheit bei Beschaffung, Entwicklung und Wartung	Einschließlich Schwachstellenbehandlung und Offenlegung
(f)	Wirksamkeit Ihrer Maßnahmen bewerten	Richtlinien und Verfahren, um zu überprüfen, ob das, was Sie umgesetzt haben, tatsächlich funktioniert
(g)	Grundlegende Cyber-Hygiene-Praktiken und Cybersicherheitsschulungen	Für alle Mitarbeitenden, nicht nur das IT-Team
(h)	Kryptografie und Verschlüsselung	Eine Richtlinie dazu, wo und wie Verschlüsselung eingesetzt wird
(i)	HR-Sicherheit, Zugriffskontrolle und Asset-Management	Onboarding und Offboarding, geringste Privilegien, ein Asset-Inventar
(j)	MFA und gesicherte Kommunikation	Multi-Faktor- oder kontinuierliche Authentifizierung, sichere Sprache, Video und Text, Notfallkommunikation

Die Richtlinie benennt bewusst Themen, keine Kontrollen. Sie sagt Ihnen nicht, welches EDR Sie kaufen sollen, wie oft gepatcht werden soll oder was eine Passwortrichtlinie enthalten muss. Deshalb arbeitet eine Bewertung wie die in Stoïk Protect auf der Ebene konkreter Maßnahmen — sie übersetzt jedes der zehn Themen in Dinge, die Sie tatsächlich bestätigen oder umsetzen können.

Wo es mehr Details gibt

Zwei Quellen gehen über die Richtlinie hinaus:

• Durchführungsverordnung (EU) 2024/2690 der Kommission legt detaillierte technische und methodische Anforderungen für die Maßnahmen nach Artikel 21 sowie die Kriterien für einen wesentlichen Vorfall fest. Sie gilt für bestimmte grenzüberschreitende digitale Einrichtungen: DNS-Anbieter, TLD-Registries, Cloud- und Rechenzentrumsanbieter, CDNs, Managed-Service- und Managed-Security-Service-Provider, Online-Marktplätze und Suchmaschinen, soziale Netzwerke und Vertrauensdiensteanbieter. Wenn Sie zu diesen gehören, ist diese Verordnung Ihr Referenzrahmen und nicht Ihr nationaler Ausgangsrahmen.

• Nationale Referenzrahmen. Die Mitgliedstaaten veröffentlichen ihren eigenen Maßnahmenkatalog. In Frankreich veröffentlicht die ANSSI den Référentiel Cyber France (ReCyF), der die Richtlinie in 20 Sicherheitsziele mit getrennten Anforderungen für wichtige und wesentliche Einrichtungen aufteilt. Diese Referenzrahmen sind detaillierter als die zehn Bereiche, und auf ihnen basiert ein Audit.

Schritt 1: Überprüfung der Berechtigung

Öffnen Sie den Registerkarte Compliance öffnen und zur NIS 2 Karte gehen. Drei Felder bestimmen Ihr Ergebnis:

Feld	Optionen
Tätigkeitssektor	Die in Anhang I und Anhang II der Richtlinie, plus Keine der oben genannten
Mitarbeiterzahl	Weniger als 50 · Zwischen 50 und 250 · Mehr als 250
Gesamtumsatz	Weniger als 10 Mio. € · Zwischen 10 Mio. € und 50 Mio. € · Mehr als 50 Mio. €

Felder, die bereits aus Ihrem Versicherungsvertrag bekannt sind, sind vorausgefüllt. Sie können sie jederzeit mit Bearbeiten Schaltfläche.

Wenn Ihr Sektor Digitale Infrastruktur oder Verwaltete IKT-Dienste, werden Sie auch nach Ihrer spezifischen Tätigkeit gefragt (DNS-Anbieter, TLD-Registry, Domain-Registrar, Vertrauensdiensteanbieter, öffentliche elektronische Kommunikation, Cloud Computing, Rechenzentrum, CDN, MSP/MSSP). Einige dieser Tätigkeiten fallen unabhängig von Ihrer Größe unter den Anwendungsbereich.

Es wird nur Ihr Umsatz abgefragt, nicht Ihre Bilanzsumme. Die Richtlinie wendet die Größenschwellen der Empfehlung 2003/361/EG der Kommissionan, die von beiden den jeweils kleineren Wert berücksichtigt; daher fragen wir nach der einfacheren der beiden Angaben.

Ihr Ergebnis verstehen

	Wesentliche Einrichtung	Wichtige Einrichtung	Nicht betroffen
Aufsicht	Proaktives Audit durch die Behörde	Audit bei Vorfall ausgelöst	Keine NIS-2-Aufsicht
Leitung	Persönliche Haftung (Suspendierung von der Tätigkeit)	Persönliche Haftung	Keine NIS-2-Leitungshaftung
Max. Sanktionen	10 Mio. € oder 2 % des weltweiten Umsatzes — je nachdem, welcher Betrag höher ist	7 Mio. € oder 1,4 % des weltweiten Umsatzes — je nachdem, welcher Betrag höher ist	Keine administrativen Sanktionen nach NIS 2
Meldung von Vorfällen	24 Std. / 72 Std. / 1 Monat	24 Std. / 72 Std. / 1 Monat	Keine Meldepflicht nach NIS 2
Fristen	Festgelegt durch die Umsetzung in Ihrem Land	Festgelegt durch die Umsetzung in Ihrem Land	Keine Registrierungsfrist nach NIS 2

Wesentliche und wichtige Einrichtungen können dann die vollständige Bewertung öffnen mit Vollständige Bewertung abschließen.

Das Ergebnis ist indikativ. Es basiert auf Ihrem Sektor, Ihrer Größe und Ihrer digitalen Tätigkeit. Nationale Besonderheiten wie eine Einstufung nach der CER-Richtlinie, ein früherer Status als Betreiber wesentlicher Dienste oder zusätzliche Sektoren, die von Ihrem Mitgliedstaat hinzugefügt wurden, werden nicht berücksichtigt. Bestätigen Sie Ihren endgültigen Status bei Ihrer nationalen Behörde oder Ihrer Rechtsberatung.

Schritt 2: Die Bewertung

Die Bewertung überführt die zehn Maßnahmen des Artikels 21 Absatz 2 in 40 konkrete Maßnahmen, vier pro Bereich. Kreuzen Sie an, was Sie bereits umgesetzt haben.

Bereich	Artikel
Risikoanalyse und Sicherheitsrichtlinien	21(2)(a)
Vorfallbearbeitung und Meldung	21(2)(b)
Geschäftskontinuität und Krisenmanagement	21(2)(c)
Sicherheit in der Lieferkette	21(2)(d)
Sicherheit über den Lebenszyklus und Schwachstellenbehandlung	21(2)(e)
Wirksamkeitsbewertung	21(2)(f)
Cyber-Hygiene und Schulungen	21(2)(g)
Kryptografie und Verschlüsselung	21(2)(h)
HR-Sicherheit, Zugriffskontrolle und Assets	21(2)(i)
MFA und gesicherte Kommunikation	21(2)(j)

Durch Ihre Stoïk-Tools abgedeckte Maßnahmen

Diese fünf Maßnahmen werden automatisch angekreuzt, wenn das entsprechende Tool aktiv ist:

Aktion	Abgedeckt durch
Regelmäßige Schwachstellenscans auf internen und externen Systemen durchführen	External Scan · AD Scan · Cloud Scan
Nach geleakten Zugangsdaten im Zusammenhang mit Unternehmenskonten suchen	Anmeldedaten
Phishing-Simulationskampagnen durchführen	Simulation
Regelmäßige Cybersicherheits-Sensibilisierungsschulungen für alle Mitarbeitenden ausrollen	Lernen
Erkennungstools einrichten, um Vorfälle frühzeitig zu erfassen	Stoïk MDR

Haftungsausschluss

Dieses NIS2-Tool wird ausschließlich zu allgemeinen Informations- und Orientierungszwecken bereitgestellt. Es soll Maklern und Kunden einen ersten Hinweis darauf geben, ob ein Unternehmen in den Anwendungsbereich der NIS2-Richtlinie und ihrer damit verbundenen Pflichten fallen könnte.

Die von diesem Tool erzeugten Ergebnisse basieren auf den vom Nutzer bereitgestellten Informationen und auf Stoïks aktuellem Verständnis der geltenden Gesetzgebung, die auf nationaler Ebene Änderungen oder abweichenden Auslegungen unterliegen kann. Das Tool stellt keine Rechtsberatung dar und sollte nicht als Ersatz für eine qualifizierte rechtliche Prüfung verwendet werden.

Stoïk gibt keine ausdrückliche oder stillschweigende Zusicherung oder Gewährleistung für die Richtigkeit, Vollständigkeit oder Aktualität der bereitgestellten Informationen oder Ergebnisse und übernimmt keine Haftung für Entscheidungen oder Maßnahmen, die auf der Nutzung dieses Tools basieren.

Offizielle Ressourcen

Europäische Texte

Quelle	Was es abdeckt
Richtlinie (EU) 2022/2555	Die Richtlinie selbst: Kriterien des Anwendungsbereichs (Art. 2, 3), Verantwortung der Leitung (Art. 20), Risikomanagementmaßnahmen (Art. 21), Meldepflichten (Art. 23), Sanktionen (Art. 34) und die Sektorenlisten (Anhang I und II)
Durchführungsverordnung (EU) 2024/2690 der Kommission	Detaillierte technische Anforderungen für Artikel 21 und die Kriterien für einen wesentlichen Vorfall bei grenzüberschreitenden digitalen Einrichtungen
Empfehlung 2003/361/EG der Kommission	Die Definition von Kleinst-, kleinen und mittleren Unternehmen, die zur Bestimmung Ihrer Größenkategorie verwendet wird
NIS-2-Richtlinie — Europäische Kommission	Überblick, FAQ und Stand der nationalen Umsetzungen
ENISA — NIS-Richtlinie	Leitfäden und technisches Umsetzungsmaterial der EU-Cybersicherheitsagentur

Nationale Behörden

Land	Behörde
Frankreich	veröffentlicht die ANSSI
Deutschland	BSI
Belgien	Zentrum für Cybersicherheit Belgien
Niederlande	Digital Trust Center
Spanien	INCIBE

Die Registrierung bei Ihrer nationalen Behörde und die für Sie geltenden Fristen werden durch die Umsetzung in Ihrem Land festgelegt. Prüfen Sie die Seite Ihrer nationalen Behörde, um den aktuellen Stand zu erfahren.