NIS2 im Kontext des IT-Grundschutzes

Einleitung

Die europäische Richtlinie NIS2 (Network and Information Security Directive 2) markiert einen bedeutenden Meilenstein in der europäischen Cybersicherheitslandschaft. Ziel ist die Stärkung der Widerstandsfähigkeit kritischer und wichtiger Einrichtungen gegen Cyberbedrohungen. Für deutsche Organisationen, die dem IT-Grundschutz des Bundesamts für Sicherheit in der Informationstechnik (BSI) folgen, stellt sich die Frage, wie NIS2-Anforderungen integriert und effizient umgesetzt werden können. Dieser Artikel beleuchtet die Schnittstellen zwischen NIS2 und IT-Grundschutz, identifiziert Synergien und gibt konkrete Empfehlungen zur Umsetzung.

Was ist NIS2?

Die NIS2-Richtlinie wurde am 27. Dezember 2022 im EU-Amtsblatt veröffentlicht und muss bis Oktober 2024 in nationales Recht überführt werden. Sie löst die bisherige NIS-Richtlinie von 2016 ab und weitet deren Anwendungsbereich erheblich aus.

Wesentliche Neuerungen

• Erweiterung der betroffenen Sektoren und Unternehmen (z. B. Hersteller kritischer Produkte, Postdienste, Abfallwirtschaft)
• Schärfere Anforderungen an Risikomanagement und Meldung von Sicherheitsvorfällen
• Verpflichtende Maßnahmen zur Cybersicherheit
• Haftung und persönliche Verantwortung von Unternehmensleitungen
• Strengere Aufsicht und empfindliche Sanktionen

Meldepflichten nach NIS2

Ein zentrales Element der NIS2-Richtlinie sind die gestaffelten Meldepflichten. Unternehmen müssen Sicherheitsvorfälle, die erhebliche Auswirkungen auf ihre Dienstleistungen haben könnten, innerhalb klar definierter Zeitfenster melden:

• Frühwarnung innerhalb von 24 Stunden nach Feststellung des Vorfalls
• Detailbericht nach 72 Stunden mit ersten Analysen, Auswirkungen und ergriffenen Maßnahmen
• Abschlussbericht innerhalb eines Monats mit vollständiger Ursachenanalyse und Lessons Learned

Diese Anforderungen gehen über bisherige Standards hinaus und erfordern vorbereitete Prozesse, klare Verantwortlichkeiten und abgestimmte Kommunikationswege.

Grundlagen des IT-Grundschutzes

Der IT-Grundschutz des BSI bietet ein praxisorientiertes Vorgehensmodell zur Absicherung von Informationsverbünden. Er besteht aus dem IT-Grundschutz-Kompendium, methodischen Bausteinen, Gefährdungskatalogen und Umsetzungshinweisen.

Ziele und Aufbau

• Etablierung eines Information Security Management Systems (ISMS)
• Systematische Risikoanalyse und Ableitung geeigneter Sicherheitsmaßnahmen
• Modularer Aufbau durch Bausteine für verschiedene IT-Komponenten, Prozesse und Szenarien
• Kompatibilität mit ISO 27001 (internationale Norm für Informationssicherheitsmanagement)

Anforderungen an die Lieferkettensicherheit

Ein neuer Schwerpunkt in NIS2 liegt auf der Sicherheit innerhalb der Lieferketten. Unternehmen müssen Risiken bewerten, die durch Abhängigkeiten von externen Dienstleistern, Softwareanbietern oder Hardwarelieferanten entstehen. Erwartet werden:

• Risikobewertungen von Dritten
• Sicherheitsanforderungen in Verträgen
• Nachweise über Sicherheitsmaßnahmen von Lieferanten

Hier bietet der IT-Grundschutz mit dem Baustein „IT-Systeme in Fremdbetreuung“ (SYS.4.2) sowie entsprechenden Prüflisten und Musterverträgen eine solide Grundlage.

Gemeinsamkeiten von NIS2 und IT-Grundschutz

Sowohl NIS2 als auch der IT-Grundschutz verfolgen das Ziel, ein angemessenes Sicherheitsniveau für IT-Systeme und Daten zu gewährleisten. Viele Anforderungen überschneiden sich.

Synergien im Risikomanagement

NIS2 fordert ein Risikomanagement, das technische, operative und organisatorische Maßnahmen umfasst. Der IT-Grundschutz bietet hier mit seiner systematischen Gefährdungs- und Maßnahmenanalyse ein etabliertes Werkzeug.

Vorgaben zur Vorfallbehandlung

NIS2 schreibt eine schnelle Meldung schwerwiegender Sicherheitsvorfälle vor (innerhalb von 24 Stunden). Der IT-Grundschutz enthält Prozesse zur Ereignisbehandlung und Notfallmanagement, die sich anpassen lassen.

Schulung und Sensibilisierung

Beide Regelwerke betonen die Bedeutung von Schulung und Awareness. Der IT-Grundschutz bietet konkrete Umsetzungshinweise für Awareness-Maßnahmen, die auch für NIS2 geeignet sind.

Rolle des Informationssicherheitsbeauftragten (ISB)

Im Rahmen der Umsetzung von NIS2 spielt der Informationssicherheitsbeauftragte eine zentrale Rolle. Er fungiert als Bindeglied zwischen operativer Umsetzung, Unternehmensleitung und Aufsichtsbehörden. Zu seinen Aufgaben zählen unter anderem:

• Koordination der Risikoanalysen
• Vorbereitung der Meldeverfahren
• Dokumentation der Sicherheitsmaßnahmen
• Beratung der Leitungsebene hinsichtlich NIS2-Compliance

Der IT-Grundschutz liefert dem ISB bewährte Methoden, Vorlagen und Leitlinien zur Umsetzung dieser Aufgaben.

Unterschiede und Herausforderungen

Trotz vieler Gemeinsamkeiten gibt es auch Unterschiede, die in der praktischen Umsetzung zu beachten sind.

Verpflichtungscharakter

Der IT-Grundschutz ist ein freiwilliges Rahmenwerk (außer für bestimmte Behörden und KRITIS-Betreiber), während NIS2 gesetzlich bindend ist. Unternehmen müssen also sicherstellen, dass sie NIS2-relevante Vorgaben einhalten – unabhängig von einer Grundschutz-Zertifizierung.

Unternehmensweite Verantwortung

NIS2 nimmt explizit die Unternehmensleitung in die Pflicht. Diese muss sicherstellen, dass Cybersicherheitsmaßnahmen umgesetzt werden und trägt persönliche Verantwortung. Der IT-Grundschutz adressiert primär Fachabteilungen und IT-Verantwortliche.

Berichterstattung und Dokumentation

Die Anforderungen an Berichterstattung und Dokumentation sind unter NIS2 höher. Insbesondere müssen Unternehmen die Wirksamkeit ihrer Sicherheitsmaßnahmen regelmäßig nachweisen. Der IT-Grundschutz bietet zwar Dokumentationsrichtlinien, diese müssen jedoch eventuell erweitert werden.

Integration von NIS2-Anforderungen in den IT-Grundschutz

Schritt 1: Relevanzanalyse

Unternehmen sollten zunächst prüfen, ob sie unter den Anwendungsbereich von NIS2 fallen. Die Richtlinie unterscheidet zwischen „wesentlichen“ und „wichtigen“ Einrichtungen. Kriterien sind u. a. Unternehmensgröße, Branche und Kritikalität der Dienstleistung.

Schritt 2: Gap-Analyse

Ein Abgleich der bestehenden Grundschutz-Umsetzung mit den konkreten NIS2-Vorgaben identifiziert Lücken. Typische Defizite sind unzureichende Meldeprozesse, fehlende Beteiligung der Unternehmensleitung oder nicht dokumentierte Schulungsprogramme.

Schritt 3: Anpassung des ISMS

Das bestehende ISMS gemäß IT-Grundschutz sollte gezielt um NIS2-relevante Elemente erweitert werden:

• • Erweiterte Risikobewertung um branchenspezifische Bedrohungsszenarien
• • Definition von Meldewegen für Sicherheitsvorfälle
• • Rollenbeschreibung für die Unternehmensleitung
• • Regelmäßige Management-Reviews

Schritt 4: Dokumentation und Reporting

Die Nachweispflichten unter NIS2 erfordern ein belastbares Berichtswesen. Hier empfiehlt sich die Etablierung von Übersichten zu:

• Sicherheitsvorfällen und Reaktionszeiten
• Schulungs- und Awareness-Maßnahmen
• Wirksamkeitskontrollen und Audits

Anwendungsbeispiel: Mittelständisches Stadtwerk

Ein kommunales Stadtwerk mit ca. 150 Mitarbeitern betreibt kritische Infrastruktur im Bereich Energieversorgung. Es ist bereits nach IT-Grundschutz zertifiziert.

Ausgangssituation

• ISMS gemäß BSI-Standard 200-2 implementiert
• Regelmäßige Risikoanalysen und Schutzbedarfsfeststellungen
• Awareness-Programme für Mitarbeiter
• 
  

Handlungsbedarf durch NIS2

• Einbindung der Geschäftsführung in Cybersicherheitsprozesse
• Nachweisdokumentation zur Meldefähigkeit innerhalb von 24 Stunden
• Erweiterung der Risikobetrachtung um Lieferketten

Umsetzung

Das ISMS wurde um ein Eskalationsschema für Sicherheitsvorfälle ergänzt. Die Geschäftsführung nimmt vierteljährlich an Management-Reviews teil. Schulungsdokumentationen werden zentral erfasst und ausgewertet. Dadurch erfüllt das Stadtwerk sowohl die Grundschutz-Vorgaben als auch die NIS2-Anforderungen.

Lessons Learned

• Die frühzeitige Einbindung der Geschäftsführung erleichtert die Umsetzung
• Eine enge Abstimmung mit externen Partnern verbessert die Lieferkettensicherheit
• Die Nutzung vorhandener Grundschutz-Bausteine spart erheblichen Umsetzungsaufwand

Fazit

Die NIS2-Richtlinie stellt eine Herausforderung dar, bietet aber auch eine Chance, bestehende Sicherheitsprozesse zu professionalisieren. Unternehmen, die bereits den IT-Grundschutz anwenden, verfügen über eine solide Basis. Durch gezielte Anpassungen lassen sich die NIS2-Vorgaben effizient integrieren.

Wichtig ist eine strukturierte Herangehensweise: von der Relevanzanalyse über die Gap-Analyse bis zur systematischen Erweiterung des ISMS. So kann nicht nur die Compliance sichergestellt, sondern auch die Resilienz gegen Cyberbedrohungen nachhaltig gestärkt werden.

Kurz und knapp

• NIS2 erweitert die gesetzlichen Pflichten für Unternehmen erheblich
• Der IT-Grundschutz bietet vielfältige Synergien zur Umsetzung
• Eine strukturierte Integration spart Ressourcen und erhöht die Compliance
• Unternehmensleitungen müssen aktiv eingebunden werden
• Dokumentation und Nachweisführung sind zentrale Erfolgsfaktoren

FAQ zu NIS2 und IT-Grundschutz

Was ist der Unterschied zwischen NIS2 und IT-Grundschutz? NIS2 ist eine gesetzlich bindende EU-Richtlinie. Der IT-Grundschutz ist ein methodisches Rahmenwerk des BSI zur Umsetzung von Informationssicherheit, das freiwillig angewendet werden kann.

Welche Rolle spielt die Unternehmensleitung unter NIS2? Die Leitung ist persönlich verantwortlich für die Umsetzung von Cybersicherheitsmaßnahmen und die Einhaltung der Meldepflichten.

Wie schnell müssen Sicherheitsvorfälle gemeldet werden? Innerhalb von 24 Stunden muss eine Frühwarnung an die zuständige Behörde erfolgen. Es folgen ein Detailbericht nach 72 Stunden und ein Abschlussbericht nach einem Monat.

Wie hilft der IT-Grundschutz bei der Umsetzung von NIS2? Durch systematische Risikoanalysen, definierte Maßnahmenkataloge und Dokumentationshilfen bietet der IT-Grundschutz eine solide Basis zur Umsetzung der NIS2-Anforderungen.

Welche Unternehmen sind von NIS2 betroffen? Grundsätzlich alle mittleren und großen Unternehmen in kritischen und wichtigen Sektoren – darunter Energie, Gesundheit, Verkehr, digitale Dienste, Abfallwirtschaft und viele mehr.

Kurz und knapp

• NIS2 erweitert die gesetzlichen Pflichten für Unternehmen erheblich
• Der IT-Grundschutz bietet vielfältige Synergien zur Umsetzung
• Eine strukturierte Integration spart Ressourcen und erhöht die Compliance
• Unternehmensleitungen müssen aktiv eingebunden werden
• Dokumentation und Nachweisführung sind zentrale Erfolgsfaktoren