NIS2

NIS2 erweitert den Kreis der betroffenen Unternehmen erheblich gegenüber der Vorgängerregelung. Betroffen sind nicht mehr nur klassische kritische Infrastrukturen, sondern auch Bereiche wie Abfallwirtschaft, Lebensmittelproduktion, Post- und Kurierdienste, Chemie und weite Teile der digitalen Dienste - häufig ab Schwellen von 50 Mitarbeitenden oder 10 Millionen Euro Umsatz.

Die Pflichten laufen auf zwei Dinge hinaus: angemessene technische und organisatorische Maßnahmen zur Risikobeherrschung, und Meldepflichten bei erheblichen Sicherheitsvorfällen. Neu ist die Verantwortung der Leitungsebene - sie muss die Maßnahmen billigen, ihre Umsetzung überwachen und kann persönlich in Haftung geraten.

Architektonisch ist die Meldefrist der Punkt, der am meisten verändert. Eine erste Meldung wird binnen 24 Stunden erwartet. Wer erst im Ernstfall herausfinden muss, welche Systeme betroffen sind, wer welche Daten verarbeitet hat und ab wann - der schafft das nicht. Diese Frist ist deshalb keine Dokumentationsfrage, sondern eine Anforderung an Protokollierung und Übersicht, die vorher bestehen muss.

Für die meisten Unternehmen ist der pragmatische Weg, die Anforderungen an ein bestehendes ISO-27001-Vorgehen anzudocken statt ein zweites System aufzubauen. Die Überschneidung ist groß - der Unterschied liegt vor allem in der Verbindlichkeit und in den Fristen.