NIS2-Richtlinie: Was slowenische Unternehmen bis zur Prüfung regeln müssen

Die NIS2-Richtlinie wurde in Slowenien in nationales Recht umgesetzt und bindet einen wesentlich größeren Kreis von Unternehmen als die vorangegangene NIS. In diesem Artikel erklären wir, wer betroffen ist, welche Maßnahmen Sie nachweisen müssen und wie Sie die Umsetzung ohne Kostenverdoppelung angehen.

TL;DR — Die wichtigsten Eckpunkte

• NIS2 umfasst auch mittlere Unternehmen in den Bereichen Energie, Transport, Gesundheitswesen, Produktion, IT-Dienstleistungen und Abfallwirtschaft.
• Gefordert werden ein nachweisbares Risikomanagement, die Meldung von Vorfällen innerhalb von 24 Stunden und die Sicherheit der Lieferkette.
• Die Verantwortung liegt bei der Geschäftsführung — nicht nur bei der IT-Abteilung.
• Die meisten Anforderungen lassen sich mit MFA, Backup, EDR, Segmentierung und dokumentierten Prozessen abdecken.

Was NIS2 tatsächlich fordert

NIS2 schreibt keine konkreten Produkte vor, sondern Ergebnisse: Risikomanagement, Business Continuity, Sicherheit der Lieferkette, Zugriffskontrolle, Kryptographie, Incident Management und Mitarbeiterschulungen. Für jeden Bereich müssen Sie eine schriftliche Richtlinie, implementierte technische Maßnahmen und Nachweise haben, dass die Maßnahmen tatsächlich funktionieren.

Ein entscheidender Unterschied zur bisherigen Regelung ist das Meldewesen: Eine Frühwarnung bei einem erheblichen Vorfall innerhalb von 24 Stunden, eine formelle Meldung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats. Ohne vorab vorbereitete Prozesse und Kontaktstellen ist diese Frist in der Praxis nicht einzuhalten.

Warum dies für Unternehmen wichtig ist

Selbst wenn Ihr Unternehmen nicht direkt betroffen ist, werden Sie die Anforderungen höchstwahrscheinlich über Ihre Kunden erhalten, die es sind — denn NIS2 adressiert explizit die Lieferkette.

• Die Strafen reichen bis zu 10 Millionen EUR bzw. 2 % des jährlichen weltweiten Umsatzes für wesentliche Einrichtungen.
• Die Geschäftsführung haftet persönlich für die Überwachung der Sicherheitsmaßnahmen.
• Auftraggeber im öffentlichen Sektor und in der Industrie fordern bereits heute Sicherheitsfragebögen von Lieferanten an.
• Cyber-Versicherungen werden ohne grundlegende Kontrollen deutlich teurer oder gar nicht mehr verfügbar.

Vorgehensweise — der empfohlene Prozess

1. Stellen Sie fest, ob Sie betroffen sind (Branche, Größe, Rolle in der Lieferkette).
2. Inventarisieren Sie Ihre Assets: Server, Anwendungen, Daten, Zugriffe und externe Lieferanten.
3. Führen Sie eine Risikobewertung durch und legen Sie Verantwortliche für einzelne Maßnahmen fest.
4. Schließen Sie technische Lücken nach Priorität: MFA, Backup mit Wiederherstellungstest, EDR, Segmentierung, Patch-Management.
5. Erstellen Sie einen Incident-Response-Prozess mit klaren 24/72-Stunden-Fristen und Kontaktstellen.
6. Führen Sie einmal jährlich eine Übung sowie eine interne Überprüfung durch und dokumentieren Sie die Ergebnisse.

Priorisierung der Maßnahmen nach Wirkung und Kosten

Die häufigsten Fehler

Der häufigste Fehler besteht darin, NIS2 als reines Dokumentationsprojekt zu betrachten. Richtlinien ohne technische Umsetzung fallen bei der ersten Prüfung durch — der Prüfer wird nach Nachweisen fragen: Protokolle, Berichte über Wiederherstellungstests, Liste der Ausnahmen bei MFA.

Ein weiterer häufiger Fehler ist die vernachlässigte Lieferkette. Wenn ein externer Dienstleister Ihre Server verwaltet, benötigen Sie vertragliche Bestimmungen zu Sicherheit, Vorfallmeldung und Zugriffen — andernfalls ist die Lücke Ihre eigene, nicht seine.

Wie wir bei VitalIT helfen

Bei VitalIT führen wir eine Bestandsaufnahme hinsichtlich NIS2 durch, erstellen einen prioritätsorientierten Maßnahmenplan und kümmern uns um die technische Umsetzung. Unsere Cybersicherheit und IT-Beratung sind so konzipiert, dass Sie Compliance ohne Tool-Wildwuchs erreichen.

Wir empfehlen auch die Artikel Jährliches IT-Audit: 12 Dinge, die Sie jedes Jahr prüfen müssen und SIEM und zentrale Sicherheitsüberwachung.

Häufig gestellte Fragen (FAQ)

Gilt NIS2 für ein Unternehmen mit 60 Mitarbeitern?

Wahrscheinlich ja, wenn es in einem der erfassten Sektoren tätig ist und die Schwelle eines mittleren Unternehmens überschreitet. Die Beurteilung muss nach Tätigkeit und Umsatz erfolgen, nicht nur nach der Anzahl der Mitarbeiter.

Wie lange dauert die Einführung der Basis-Maßnahmen?

Für ein typisches KMU etwa zwei bis vier Monate, wenn man nach Prioritäten vorgeht und nicht versucht, alles gleichzeitig zu erledigen.

Benötigen wir ein ISO 27001 Zertifikat?

Nein, NIS2 verlangt kein Zertifikat. ISO 27001 deckt jedoch einen großen Teil der Anforderungen ab und erleichtert den Nachweis.

Wer muss einen Vorfall melden?

Der Betroffene selbst über die zuständige nationale Behörde. Der Prozess und die Kontaktpersonen müssen im Voraus festgelegt sein.

Was, wenn wir die IT vollständig an einen externen Dienstleister ausgelagert haben?

Die Verantwortung verbleibt bei Ihnen. Sie benötigen einen Vertrag, der Sicherheitsmaßnahmen, Zugriffe und Meldefristen genau festlegt.