Rund 30.000 Unternehmen in Deutschland müssen die Anforderungen des NIS-2-Umsetzungsgesetzes erfüllen. Bußgelder reichen bis zu 10 Millionen Euro oder 2 Prozent vom Jahresumsatz. Zudem haftet die Geschäftsleitung bei fahrlässigen Versäumnissen persönlich – diese Haftung ist nicht delegierbar.

§30 BSIG (BSI-Gesetz) definiert zehn Handlungsfelder, die jede erfasste Einrichtung abdecken muss: Risikoanalyse und IT-Sicherheit, Bewältigung von Sicherheitsvorfällen, Business Continuity, Sicherheit der Lieferkette, Sicherheit bei Erwerb und Entwicklung, Bewertung der Wirksamkeit, Cyber-Hygiene und Schulungen, Kryptografie und Verschlüsselung, Personalsicherheit sowie Multi-Faktor-Authentifizierung.

Bei erheblichen Sicherheitsvorfällen verlangt §32 BSIG eine gestufte Meldung ans BSI – ab dem Moment, in dem der Vorfall bekannt wird: Frühwarnung innerhalb von 24 Stunden, vollständige Vorfallmeldung innerhalb von 72 Stunden, Abschlussbericht spätestens nach einem Monat. Wer diesen Prozess nicht vorher etabliert hat, kann ihn im Ernstfall nicht mehr organisieren.

Das Gesetz nennt den Begriff „ISMS” (Informationssicherheits-Managementsystem) zwar nicht, verlangt in §30 Abs. 2 BSIG aber genau dessen Bausteine: Risikoanalyse, Sicherheitskonzepte, gelebte Sicherheitskultur mit Awareness-Trainings und laufende Wirksamkeitsprüfung durch Audits oder Penetrationstests. Wer ein ISMS nach ISO/IEC 27001 oder BSI IT-Grundschutz betreibt, hat 80 bis 90 Prozent des geforderten Grundgerüsts abgedeckt.