Häufig gestellte Fragen zur NIS2
Die einfache Merkregel ist: Nahezu alle Branchen und alle Unternehmen mit mehr als 50 Mitarbeitern oder mehr als 10 Mío. Euro Umsatz gehören dazu.
Ausgenommen sind im wesentlichen nur der öffentliche Dienst, Handel, die Produktion unkritische Stoffe oder die Bauwirtschaft.
Ähnlich dem bekannten Thema mit DSGVO/AVV und Verarbeitungsketten definiert NIS2 auch eine Lieferkette. Sollten also Ihre eigenen Kunden NIS2 unterliegen, könnte es hilfreich sein, auch schon selbst deswegen NIS2 konform zu operieren.
Die Bußgelder bis zu 7 Mio. € richten nach der Klassifizierung “Besonders wichtiges Unternehmen” oder “Wichtiges Unternehmen”. Achtung: Bussgekder sind nicht versicherbar!
Das BSI prüft der Einhaltung des Gesetzes. Die Prüfverfahren können mannigfaltig sein – von Tests auf öffentlich erreichbaren IP-Punkten (Scans) bis zu regelmäßigen Inspektionen. Frequenzen und Prüfverfahren richten sich aus an der Unternehmensklassifizierung nach „wichtigen“ und „besonders wichtigen“ Einrichtungsarten.
Die Schwerpunkte des Gesetzes beziehen sich auf die 4 genannten Bereiche: Risikomanagement, Sicherer Betrieb, BCM und Schulung und es wird absichtlich nur eine „lose formuliert“ TOM-Liste benannt.
Realisiert werden müssen diese TOMs nach dem „Stand der Technik“ und genauere Anforderungen sind in den Standards wie ISO 27.0000, VdS 10.000 oder dem BSI-Grundschutz beschrieben.
Aufgrund der 24h Meldepflichten ist eine 7×24 Schwachstellen-Monitoring Lösung inkl. SIEM/SOC unabdingbar.
Ebenso eine Lösung wie Auto-Patching von Servern und vieles mehr.
Inhalt umschalten