NIS2-Pflichten: Was müssen KMU im Ruhrgebiet jetzt tun?

Die NIS2-Richtlinie (Network and Information Security Directive 2) ist seit Oktober 2024 in nationales Recht umgesetzt. Viele mittelständische Unternehmen im Ruhrgebiet wissen noch nicht genau, ob und wie sie betroffen sind. Dieser Artikel gibt einen praxisnahen Überblick.

Bin ich als KMU von NIS2 betroffen?

NIS2 gilt für Unternehmen in bestimmten Sektoren ab diesen Schwellenwerten:

• Wichtige Einrichtungen: ab 50 Mitarbeitende oder ab 10 Mio. € Jahresumsatz
• Wesentliche Einrichtungen: ab 250 Mitarbeitende oder ab 50 Mio. € Jahresumsatz

Betroffene Sektoren umfassen u.a.: IT-Dienstleistungen, Energie, Verkehr, Gesundheit, Wasserversorgung, digitale Infrastruktur, Lebensmittel und verarbeitendes Gewerbe.

Wichtig: Auch wenn Ihr Unternehmen selbst unter der Schwelle liegt – falls Sie IT-Dienstleister, Lieferant oder Subunternehmer eines betroffenen Unternehmens sind, können indirekte Anforderungen entstehen (Lieferkettensicherheit).

Welche Pflichten entstehen konkret?

Betroffene Unternehmen müssen:

1. Risikomanagement implementieren: regelmäßige Risikoanalysen und Sicherheitsmaßnahmen dokumentieren
2. Incident Response aufbauen: Prozesse für die Erkennung, Meldung und Bewältigung von Sicherheitsvorfällen
3. Business Continuity sicherstellen: Backup-Strategien, Notfallpläne, Wiederherstellungsprozesse
4. Lieferkette absichern: Sicherheitsanforderungen an IT-Dienstleister und Lieferanten prüfen
5. Schulungen durchführen: Mitarbeitende und Führungskräfte zu Cybersicherheit sensibilisieren
6. Meldepflichten einhalten: Erhebliche Vorfälle binnen 24 Stunden an das BSI melden

Was droht bei Verstößen?

Wesentliche Einrichtungen: Bußgelder bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes. Wichtige Einrichtungen: bis zu 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes.

Zusätzlich: persönliche Haftung der Geschäftsführung in bestimmten Fällen.

Was können Sie jetzt konkret tun?

Kurzfristig (sofort):

• Prüfen, ob Ihr Unternehmen in den Anwendungsbereich fällt (BSI-Selbstauskunft nutzen)
• Backup-Strategie überprüfen: täglich, verschlüsselt, getrennt vom Netzwerk
• Endpoint-Schutz auf allen Geräten aktivieren (EDR-Lösung wie Bitdefender GravityZone)
• Patch-Management systematisieren: alle Systeme auf aktuellem Stand halten

Mittelfristig:

• IT-Sicherheitsrichtlinien schriftlich dokumentieren
• Mitarbeiterschulungen zu Phishing und Social Engineering durchführen
• Incident-Response-Plan erstellen
• Lieferkette: IT-Dienstleister auf Sicherheitsnachweise prüfen (ISO 27001 o.ä.)

Wie hilft VIOCOM dabei?

VIOCOM ist nach ISO 27001 zertifiziert und unterstützt KMU im Ruhrgebiet bei der NIS2-Compliance:

• Security-Audit mit Lywand und SEC-AUDITOR: vollständige Bestandsaufnahme Ihrer aktuellen Sicherheitslage
• VIOCOM RMM: 24/7 Monitoring und proaktives Patch-Management
• Bitdefender GravityZone: Endpoint-Schutz mit EDR auf allen Endgeräten
• Dokumentation: Unterstützung bei der schriftlichen Fixierung von Sicherheitsrichtlinien

Sprechen Sie uns an – wir zeigen Ihnen, wo Sie stehen und was als nächstes zu tun ist.

Kostenlosen Security-Check anfragen