Ein Paradigmenwechsel
Die eigentliche Neuerung von NIS2 ist nicht technischer, sondern organisatorischer Natur: Cybersicherheitsmaßnahmen zu billigen, ihre Umsetzung zu überwachen und sich auf diesem Gebiet schulen zu lassen, ist nun eine Rechtspflicht des Leitungsorgans. Für Unternehmen im Anwendungsbereich ist die Zeit von „das macht die IT“ vorbei.
Praxishinweis
Die neuen Sicherheitsanhänge, die von Ihrer Kundschaft in der EU kommen, sind meist NIS2-getrieben; unterschreiben Sie sie nicht, bevor Sie die Meldefristen mit Ihrem eigenen Vorfallsplan abgestimmt haben.
Steuern wir die NIS2-getriebenen Anforderungen gemeinsam
Unser Desk Daten & Cybersicherheit richtet Anwendungsbereichsanalyse, Vertragsverhandlung und die Ordnung der Vorfallsreaktion ein.
Wie wird der Anwendungsbereich bestimmt?
Die Richtlinie erfasst in Sektoren wie Energie, Verkehr, Gesundheit, digitale Infrastruktur, öffentliche Verwaltung und in kritischen Zweigen des verarbeitenden Gewerbes im Grundsatz Einrichtungen ab mittlerer Größe. Die Einrichtungen werden in „wesentliche“ und „wichtige“ unterteilt; die Intensität von Aufsicht und Durchsetzung richtet sich nach dieser Einordnung. Die Umsetzungsfrist ist am 17. Oktober 2024 abgelaufen; Deutschland hat NIS2 durch eine Neufassung des BSI-Gesetzes (BSIG) in nationales Recht überführt; sie ist am 6. Dezember 2025 in Kraft getreten (Stand Juli 2026).
Meldung von Vorfällen: die 24/72-Stunden-Ordnung
Erhebliche Sicherheitsvorfälle verlangen eine gestufte Meldung: eine Frühwarnung binnen 24 Stunden, eine Vorfallsmeldung binnen 72 Stunden und einen Abschlussbericht spätestens einen Monat nach der Vorfallsmeldung. Solche Fristen zwingen dazu, den Plan zur Vorfallsreaktion in gemeinsamen Übungen von Rechtsabteilung, IT und Kommunikation zu erproben; ein Plan, der nur auf dem Papier steht, hält sie nicht ein.
Auswirkung auf türkische Unternehmen: die Lieferkette
Weil Unternehmen im Anwendungsbereich auch für die Sicherheit ihrer Lieferkette einstehen, fließen Sicherheitsanforderungen, Prüfrechte und Meldefristen über Vertragsanhänge an die Lieferanten weiter. Für türkische Lieferanten ist der entscheidende Punkt, dass die gegenüber der Kundschaft zugesagte Meldefrist zum eigenen internen Plan und zu den Verträgen mit den Unterlieferanten passt; andernfalls wird jeder Vorfall zu einer Vertragsverletzung.
Die Bausteine der Compliance
Risikoanalyse, Zugriffs- und Verschlüsselungsrichtlinien, Redundanz, Lieferantensicherheit, Vorfallsmanagement und eine durch Beschlüsse des Leitungsorgans dokumentierte Aufsicht. Eine vorhandene ISO-27001-Struktur ist eine starke Grundlage; abgeglichen mit den Themenfeldern von NIS2 zeigt sie, wo die Lücken liegen – und diese sind zu schließen.
Die Sanktionslage und die persönliche Verantwortung
Der Sanktionsrahmen von NIS2 nähert sich der Größenordnung der DSGVO: Für wesentliche Einrichtungen liegt die Obergrenze der Geldbuße bei 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist; für wichtige Einrichtungen bei 7 Millionen Euro oder 1,4 %, ebenfalls je nachdem, welcher Betrag höher ist. Wichtiger noch: Die Richtlinie verpflichtet die Mitgliedstaaten, die persönliche Verantwortung des Leitungsorgans zu regeln; für Leitungspersonen, die die Aufsichtspflicht verletzen, sind Maßnahmen bis hin zu einem vorübergehenden Tätigkeitsverbot vorgesehen – diese Befugnis besteht allerdings nur gegenüber wesentlichen Einrichtungen. Das bedeutet, dass Budgetentscheidungen zur Cybersicherheit künftig in den Protokollen des Leitungsorgans zu begründen sind – den aktuellen Umsetzungsstand verfolgen wir in unserem NIS2-Radareintrag.
Vom Moment des Vorfalls bis zum Vertrag: ein Praxisszenario
Stellen Sie sich einen Ransomware-Vorfall vor: Ihrer Kundschaft in der EU haben Sie in einem NIS2-getriebenen Vertrag eine Meldung „binnen 24 Stunden“ zugesagt, Ihr eigener Vorfallsplan läuft aber auf 48 Stunden. Diese Schere erzeugt in der Nacht des Vorfalls eine Vertragsverletzung – und das, während sie mit den Meldefristen nach KVKK und DSGVO und denen Ihrer Cyberversicherung kollidiert. Die Lösung besteht aus drei Schritten: eine Bestandsaufnahme der Meldezusagen in den Kundenverträgen, die Ausrichtung des internen Vorfallsplans an der kürzesten Zusage und die Weitergabe derselben Fristen an die Unterlieferanten. Zu den Einzelheiten der Datenschutzverletzung lesen Sie diesen Text zusammen mit der 72-Stunden-Ordnung in unserem Schwerpunkt Daten.
Der Ansatz von Köksal
Unser Desk Daten & Cybersicherheit setzt Anwendungsbereichsanalyse, Vertragsverhandlung und die Ordnung der Vorfallsreaktion an denselben Tisch wie die technischen Teams. Die Dokumentation der Aufsicht durch das Leitungsorgan und ihre Anbindung an ein Compliance-Programm machen das Risiko der persönlichen Verantwortung beherrschbar. Die Arbeitsteilung ist dabei klar: Fragen des türkischen Rechts und die vertragliche Seite Ihrer Lieferbeziehungen bearbeitet Köksal in Istanbul; Fragen des deutschen Rechts – etwa des BSIG in seiner NIS2-Fassung – bearbeitet unsere in Deutschland zugelassene Partnerkanzlei activelaw (Hannover).
Fazit
NIS2-Compliance ist nicht wie ein IT-Projekt zu führen, sondern wie ein Projekt der Unternehmensführung: eine Ordnung, die am Leitungstisch beginnt, am Vertragstisch geprüft wird und in der Nacht des Vorfalls funktioniert. Das ist der Standard, den die Richtlinie verlangt und den Ihre Kundschaft erwarten wird.
