Millionenbußgelder, persönliche Haftung der Geschäftsleitung und erweiterte Kontrollbefugnisse der Aufsichtsbehörden: Mit dem Inkrafttreten des NIS-2-Umsetzungsgesetzes ist Cybersicherheit für viele Unternehmen nicht länger nur eine IT-Aufgabe, sondern eine Verantwortung der Geschäftsleitung und eine gesetzliche Verpflichtung. Dennoch wissen viele Unternehmen nicht, inwieweit sie die Anforderungen der NIS-2 bereits erfüllen und wo noch Handlungsbedarf besteht. Gemeinsam mit HK2 Rechtsanwälte hat ENTRYZERO den NIS-2-Status-Check entwickelt. Auf Grundlage einer interdisziplinären Bewertung wird der aktuelle Umsetzungsstand eines Unternehmens anhand der Risikomanagementmaßnahmen nach § 30 Abs. 2 BSIG strukturiert bewertet. Die Ergebnisse zeigen transparent, welche Anforderungen bereits erfüllt sind, wo Handlungsbedarf besteht und welche Maßnahmen priorisiert werden sollten.

Was ist NIS-2?

Die NIS-2-Richtlinie (Network and Information Security Directive 2) ist eine EU-Richtlinie zur Stärkung der Cybersicherheit. Sie legt europaweit einheitliche Mindestanforderungen fest, mit denen Unternehmen und Einrichtungen ihre Netz- und Informationssysteme besser vor Cyberangriffen schützen sollen. Im Mittelpunkt stehen ein wirksames Risikomanagement, angemessene technische und organisatorische Sicherheitsmaßnahmen sowie die Verantwortung der Unternehmensleitung für deren Umsetzung.

In Deutschland wurden die Vorgaben der Richtlinie mit dem Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung (NIS2UmsuCG) in nationales Recht umgesetzt. Das Gesetz verankert die Anforderungen insbesondere im BSI-Gesetz (BSIG) und erweitert den Kreis der betroffenen Unternehmen erheblich.

Zu den in § 30 Abs. 2 BSIG beschriebenen Risikomanagementmaßnahmen zählen unter anderem:

• Risikoanalyse und IT-Sicherheitskonzepte
• Umgang mit Cyberangriffen und Sicherheitsvorfällen
• Notfallmanagement und Geschäftskontinuität
• Sicherheit der Lieferkette
• Sichere Entwicklung, Betrieb und Wartung von IT-Systemen einschließlich Schwachstellenmanagement
• Überprüfung der Wirksamkeit von Sicherheitsmaßnahmen
• Schulungen und Sensibilisierung der Mitarbeitenden
• Verschlüsselung und Datensicherheit
• Zugriffs- und Berechtigungsmanagement
• Sichere Authentifizierungs- und Kommunikationsverfahren

Ziel der NIS-2-Richtlinie und ihrer Umsetzung in deutsches Recht ist es die digitale Resilienz nachhaltig zu stärken.

Welche Strafen drohen?

Verstöße gegen die NIS-2-Anforderungen können für Unternehmen erhebliche Folgen haben. Je nach Einstufung des Unternehmens können Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes beziehungsweise 7 Millionen Euro oder 1,4 % des weltweiten Jahresumsatzes verhängt werden; je nachdem, welcher Betrag höher ist. Darüber hinaus können die zuständigen Aufsichtsbehörden je nach Einzelfall weitere Maßnahmen anordnen, etwa Audits, die Beseitigung festgestellter Mängel oder zusätzliche Nachweispflichten. Besonders relevant: Die Geschäftsleitung trägt eine eigene Verantwortung für die Genehmigung, Überwachung und Kontrolle der Cybersicherheitsmaßnahmen. NIS-2 macht Cybersicherheit damit nicht mehr nur zu einer IT-Aufgabe, sondern zu einem Thema auf Geschäftsführungsebene.

Den eigenen Status kennen

Bevor aus Unsicherheit ein Problem wird, sollte geklärt werden, ob ein Unternehmen unter die NIS-2-Richtlinie fällt und wie weit der aktuelle Umsetzungsstand ist. Ein NIS-2-Status-Check schafft Klarheit und zeigt auf, wo konkreter Handlungsbedarf besteht. Die Frage, ob das eigene Unternehmen von NIS-2 betroffen ist, beschäftigt derzeit viele Unternehmen – diese Unsicherheit ist also keine Ausnahme. Die gute Nachricht: Die komplexen Anforderungen müssen nicht allein entschlüsselt werden. Dafür bieten wir den NIS-2-Status-Check an. Gemeinsam. Strukturiert. Rechtskonform.

Unser Service im Überblick

Der NIS-2-Status-Check verbindet juristische und technische Expertise in einem interdisziplinären Bewertungsansatz. Gemeinsam bewerten HK2 Rechtsanwälte und ENTRYZERO den aktuellen Umsetzungsstand eines Unternehmens anhand der zehn Risikomanagementmaßnahmen nach § 30 Abs. 2 BSIG. Während HK2 Rechtsanwälte die rechtliche Bewertung übernehmen, bewertet ENTRYZERO die technische Umsetzung der Risikomanagementmaßnahmen. So entsteht ein ganzheitliches Lagebild, das Abweichungen zu den gesetzlichen Anforderungen transparent macht und konkrete Handlungsempfehlungen aus rechtlicher und technischer Sicht liefert.

Das Ergebnis ist eine nachvollziehbare und objektive Entscheidungsgrundlage für Geschäftsführung und Verantwortliche, um notwendige Maßnahmen zu priorisieren und die Umsetzung der NIS-2-Anforderungen gezielt voranzutreiben.

3-Schritte-Prozess

Der NIS-2-Status-Check ist als strukturierter Drei-Schritte-Prozess aufgebaut (siehe Abbildung). Nach der Beauftragung und der Bereitstellung der Zugangsdaten beginnt die gemeinsame Durchführung:

Schritt 1: Erfassung des Ist-Zustands: Der aktuelle Umsetzungsstand wird im NIS-2-Status-Check-Portal dokumentiert.

Schritt 2: Analyse und Ergebnisübermittlung: Die Angaben werden von HK2 Rechtsanwälte und ENTRYZERO fachlich bewertet und die Ergebnisse in Form einer kompakten Executive Summary übermittelt.

Schritt 3: Ergebnispräsentation und Empfehlungen: Im abschließenden Termin werden die geprüften Ergebnisse sowie konkrete Handlungsempfehlungen aus technischer und rechtlicher Sicht präsentiert.

Pauschalpreis

Das NIS-2-Status-Check-Portal basiert auf einem strukturierten Fragenkatalog zu den zehn Risikomanagementmaßnahmen nach § 30 Abs. 2 BSIG. Für jedes Themenfeld werden gezielte Prüffragen gestellt, anhand derer der aktuelle Umsetzungsstand nachvollziehbar bewertet wird. Auf dieser Grundlage entsteht eine konsistente, verständliche und vergleichbare Bewertung des Reifegrads sowie eine fundierte Basis für konkrete technische und rechtliche Handlungsempfehlungen.

Anfragen bitte an RA Karsten U. Bartels LL.M. bartels@hk2.eu oder Dr. Mohamad Sbeiti mohamad.sbeiti@entryzero.ai. Betreff: “NIS-2-Status-Check”.