Die NIS2-Richtlinie (Network and Information Security 2) ist das wichtigste Cybersicherheitsgesetz des letzten Jahrzehnts auf Ebene der Europäischen Union. Sie wurde in rumänisches Recht umgesetzt, und der praktische Effekt ist einfach: Weit mehr Unternehmen haben nun gesetzliche Sicherheitspflichten — unter Sanktionen, die in die Millionen Euro gehen können.
Wenn Sie Geschäftsführer oder IT-Leiter eines mittelgroßen Unternehmens sind, lautet die Frage nicht mehr „betrifft mich das?", sondern „wie schnell muss ich bereit sein?". Dieser Leitfaden gibt Ihnen die wesentlichen Antworten — ohne Fachjargon.
Was NIS2 kurz gesagt ist
NIS2 ersetzt die alte NIS-Richtlinie von 2016 und erweitert deren Anwendungsbereich drastisch. Ziel ist es, das Mindestmaß an Cyber-Resilienz in Sektoren anzuheben, die für Wirtschaft und Gesellschaft als kritisch und wichtig gelten. Anders als die Vorgängerversion legt NIS2 einheitliche Risikomanagementmaßnahmen fest und führt eine direkte Verantwortung der Unternehmensleitung ein.
Welche rumänischen Unternehmen betroffen sind
Die allgemeine Regel: Sie fallen unter NIS2, wenn Sie in einem regulierten Sektor tätig sind UND die Schwelle für ein „mittleres Unternehmen" überschreiten — also mindestens 50 Mitarbeiter oder einen Jahresumsatz / eine Bilanzsumme von über 10 Millionen Euro. Es gibt auch Ausnahmen, in denen kleinere Unternehmen wegen ihrer kritischen Rolle einbezogen werden.
Sektoren mit hoher Kritikalität (wesentlich)
- Energie (Strom, Gas, Öl, Wasserstoff)
- Verkehr (Luft, Schiene, See, Straße)
- Gesundheit (Krankenhäuser, Labore, Hersteller von Medizinprodukten)
- Trinkwasser und Abwasser
- Digitale Infrastruktur (Cloud, Rechenzentren, DNS, Netze)
- Bankwesen und Finanzmarktinfrastrukturen
- Öffentliche Verwaltung
Wichtige Sektoren (hohe Auswirkung)
- Post- und Kurierdienste
- Abfallwirtschaft
- Produktion (Medizinprodukte, Elektronik, Maschinen, Fahrzeuge)
- Herstellung und Vertrieb von Lebensmitteln
- Anbieter digitaler Dienste (Marktplätze, Suchmaschinen, soziale Netzwerke)
- Forschung
Achten Sie auf den Lieferketteneffekt: Selbst wenn Ihr Unternehmen nicht direkt reguliert ist, werden Sie als Lieferant einer NIS2-Einrichtung vertraglich verpflichtet, ein ähnliches Sicherheitsniveau nachzuweisen. In der Praxis „fließt" NIS2 durch die gesamte Kette nach unten.
Welche konkreten Pflichten entstehen
- 1Technische und organisatorische Risikomanagementmaßnahmen: Sicherheitsrichtlinien, Zugriffskontrolle, Verschlüsselung, Netzsegmentierung, Patch-Management.
- 2Geschäftskontinuitäts- und Notfallwiederherstellungsplan — einschließlich getesteter Backups (siehe unten zur Verbindung mit der 3-2-1-Strategie).
- 3Meldung erheblicher Vorfälle an die zuständige Behörde (DNSC) innerhalb strenger Fristen: Erstmeldung innerhalb von 24 Stunden, Benachrichtigung innerhalb von 72 Stunden.
- 4Lieferkettensicherheit — Bewertung von Lieferanten und direkten Beziehungen.
- 5Verantwortung der Leitungsorgane: Geschäftsführer müssen die Maßnahmen genehmigen und können bei Nichteinhaltung persönlich sanktioniert werden.
- 6Regelmäßige Schulung des Personals in Cyber-Hygiene.
Sanktionen: warum Sie nicht aufschieben können
Für wesentliche Einrichtungen können Bußgelder bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes betragen, je nachdem, welcher Betrag höher ist. Für wichtige Einrichtungen bis zu 7 Millionen Euro oder 1,4 %. Über das Geld hinaus kann die Behörde Zertifizierungen vorübergehend aussetzen und die Leitung persönlich zur Verantwortung ziehen.
Wie Sie sich vorbereiten — Schritt für Schritt
NIS2-Compliance lässt sich nicht mit einem einzigen „schlüsselfertigen" Produkt lösen. Es ist ein Risikomanagementprozess. Hier ist der pragmatische Weg, den wir unseren Kunden empfehlen:
- 1Anwendbarkeit feststellen: klären, ob und in welche Kategorie Sie fallen.
- 2Gap-Analyse: den Ist-Zustand mit den NIS2-Anforderungen vergleichen und eine Prioritätenliste erhalten.
- 3Maßnahmenplan mit Fristen und Budget: Sie beheben nicht alles auf einmal, sondern risikobasiert.
- 4Umsetzung: Richtlinien, technische Kontrollen, Segmentierung, Monitoring, getestetes Backup.
- 5Verfahren zur Vorfallmeldung und ein benanntes Team / ein Verantwortlicher.
- 6Audit und kontinuierliche Verbesserung — NIS2 ist kein Projekt mit Ende, sondern ein dauerhaftes Regime.
Für die Schritte 2-6 verkürzt ein Partner mit Erfahrung im Cybersicherheits-Audit den Zeitrahmen drastisch und vermeidet unnötige Investitionen. Wir sind autorisierter DNSC-Auditor und ISO 27001-zertifiziert — genau der Referenzrahmen, auf dem NIS2 aufbaut.
Die Verbindung mit ISO 27001 und Datenschutz
Die gute Nachricht: Wenn Sie bereits ein an ISO 27001 ausgerichtetes Informationssicherheits-Managementsystem haben, sind Sie zu 70-80 % auf dem Weg zu NIS2. Die beiden Rahmenwerke überschneiden sich erheblich. Ebenso ergänzen sich Maßnahmen zum Datenschutz (DSGVO) und zur Cybersicherheit — ein Sicherheitsvorfall ist fast immer auch ein potenzieller Vorfall mit personenbezogenen Daten.
Fazit
NIS2 ist keine Bürokratie um ihrer selbst willen — es ist das Mindestmaß an Cyber-Hygiene, das jedes seriöse Unternehmen ohnehin haben sollte. Der Unterschied: Es wird nun gesetzlich verpflichtend, mit echten Sanktionen. Unternehmen, die früh beginnen, machen aus Compliance einen Wettbewerbsvorteil: Sie werden bevorzugte Lieferanten, gerade weil sie Sicherheit nachweisen können.