# NIS2: Anwendungsbereich und Pflichten (FAQ)

> 40 Fragen zu NIS2: Anwendungsbereich und Pflichten, verständlich beantwortet: was zu prüfen ist, was NetSenX zeigt und was ein Sensor nicht sieht.

Source page: https://netsenx.com/de/faq/nis2

## Brauche ich für NIS2 ein NDR?

NIS2 nennt NDR nicht ausdrücklich, verlangt aber, dass Sie Sicherheitsvorfälle erkennen, bewältigen und erhebliche Vorfälle fristgerecht melden. Art. 21 zählt die Bewältigung von Sicherheitsvorfällen zu den vorgeschriebenen Risikomanagementmaßnahmen; Art. 23 verlangt eine Frühwarnung binnen 24 Stunden, eine Meldung binnen 72 Stunden und einen Abschlussbericht binnen eines Monats. Netzwerküberwachung ist ein praktischer Weg, Vorfälle rechtzeitig zu erkennen und die für diese Meldungen nötigen Belege zu sichern; NetSenX verfolgt die Fristen nach Art. 23 für jeden Vorfall. Die Pflichten liegen bei Ihrer Organisation — kein Werkzeug erfüllt sie allein.

https://netsenx.com/de/faq/do-i-need-ndr-for-nis2

## Verlangt NIS2 eine Netzwerküberwachung?

NIS2 nennt weder Netzwerküberwachung noch NDR ausdrücklich, doch Art. 21 zählt die Bewältigung von Sicherheitsvorfällen zu den vorgeschriebenen Risikomanagementmaßnahmen, und Art. 23 verlangt, erhebliche Vorfälle in festen Fristen zu melden. Einen Vorfall, den Sie nicht erkannt haben, können Sie nicht melden; eine kontinuierliche Netzwerküberwachung ist daher ein praktischer Weg, beides zu erfüllen.

https://netsenx.com/de/faq/does-nis2-require-network-monitoring

## Welche Meldefristen gelten nach NIS2?

Nach Art. 23 Abs. 4: eine Frühwarnung binnen 24 Stunden, nachdem Sie von einem erheblichen Sicherheitsvorfall Kenntnis erlangt haben, eine Meldung des Vorfalls binnen 72 Stunden, ein Zwischenbericht auf Ersuchen der Behörde und ein Abschlussbericht spätestens einen Monat nach der Meldung. Nationale Gesetze können Einzelheiten regeln; prüfen Sie daher die Vorschriften Ihres Landes.

https://netsenx.com/de/faq/what-are-the-nis2-incident-reporting-deadlines

## Gilt NIS2 für mittelständische Unternehmen?

Grundsätzlich gilt NIS2 für Einrichtungen der in den Anhängen I und II genannten Sektoren, die nach der Empfehlung 2003/361/EG mindestens mittlere Unternehmen sind (50 oder mehr Beschäftigte oder Jahresumsatz und Jahresbilanzsumme jeweils über 10 Mio. EUR), und für einige Einrichtungen unabhängig von ihrer Größe. Ob Ihre Organisation erfasst ist, bestätigt Ihre nationale Behörde oder Ihre Rechtsberatung.

https://netsenx.com/de/faq/does-nis2-apply-to-mid-sized-companies

## Reicht NetSenX die NIS2-Meldung für uns ein?

Nein. NetSenX verfolgt die Fristen aus Art. 23 für jeden Vorfall, bewahrt die Alarme und das Audit-Log auf, auf die sich die Meldung stützt, und bereitet für Ihren Datenschutzbeauftragten eine Meldung nach Art. 33 DSGVO vor; die Meldungen an das CSIRT oder die zuständige Behörde reicht Ihre Organisation ein.

https://netsenx.com/de/faq/does-netsenx-submit-the-nis2-report-for-us

## Wie hoch sind die Bußgelder nach NIS2?

Nach Artikel 34 der Richtlinie (EU) 2022/2555 müssen die Mitgliedstaaten Höchstbußgelder von mindestens 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist, für wesentliche Einrichtungen und von mindestens 7 Mio. EUR oder 1,4 % für wichtige Einrichtungen vorsehen. Das sind Untergrenzen für das Höchstmaß, nicht der Betrag, den jemand tatsächlich zahlt: Das nationale Recht legt die genauen Beträge, die bußgeldbewehrten Verstöße und das Verfahren fest, und Behörden berücksichtigen etwa Schwere und Dauer des Verstoßes und die Kooperation des Unternehmens. Deutschland sieht in § 65 BSIG bis zu 10 Mio. EUR bzw. 7 Mio. EUR vor, bei Einrichtungen mit einem Gesamtumsatz von mehr als 500 Mio. EUR bis zu 2 % bzw. 1,4 % des weltweiten Umsatzes. Prüfen Sie die für Sie geltenden Beträge im Recht Ihres Landes.

https://netsenx.com/de/faq/what-are-the-nis2-fines

## Wer ist im Unternehmen für NIS2 verantwortlich?

Die Leitung. Artikel 20 NIS2 verlangt, dass die Leitungsorgane wesentlicher und wichtiger Einrichtungen die Risikomanagementmaßnahmen für Cybersicherheit billigen, ihre Umsetzung überwachen und für Verstöße verantwortlich gemacht werden können, und dass ihre Mitglieder an Schulungen teilnehmen. Praktisch heißt das: Geschäftsführung oder Vorstand können die Verantwortung nicht an die IT oder einen Dienstleister abgeben, auch wenn andere die Arbeit erledigen; sie billigen die Maßnahmen, erhalten regelmäßig Berichte und müssen belegen können, dass Aufsicht stattfand. Das nationale Recht regelt die Einzelheiten. In Deutschland etwa verpflichtet § 38 BSIG die Geschäftsleitung, die Maßnahmen umzusetzen und zu überwachen, lässt sie gegenüber der Einrichtung nach Gesellschaftsrecht haften und verlangt regelmäßige Schulungen. Benennen Sie eine Person für die tägliche Steuerung und protokollieren Sie jede Überprüfung.

https://netsenx.com/de/faq/who-is-responsible-for-nis2-in-a-company

## Gilt NIS2 für ein Unternehmen mit weniger als 50 Beschäftigten?

Meist nicht unmittelbar, aber es gibt Ausnahmen, und NIS2 kann Sie über Ihre Kunden erreichen. Grundsätzlich gilt NIS2 für Einrichtungen der genannten Sektoren, die nach der EU-Definition mindestens mittlere Unternehmen sind, vereinfacht: 50 oder mehr Beschäftigte oder Jahresumsatz und Jahresbilanzsumme jeweils über 10 Mio. EUR. Artikel 2 Absatz 2 erfasst manche Einrichtungen unabhängig von der Größe, etwa Anbieter öffentlicher elektronischer Kommunikation, Vertrauensdiensteanbieter, Top-Level-Domain-Registries und DNS-Diensteanbieter sowie Einrichtungen, die ein Mitgliedstaat als kritisch einstuft. Prüfen Sie außerdem, ob Ihre Gruppe als ein Unternehmen zählt, denn Zahlen von Partner- und verbundenen Unternehmen können zusammengerechnet werden. Selbst außerhalb des Anwendungsbereichs sollten Sie Fragebögen erwarten, weil erfasste Kunden nach Artikel 21 das Lieferantenrisiko steuern müssen. Das letzte Wort haben Ihr nationales Recht und Ihre Behörde.

https://netsenx.com/de/faq/is-nis2-mandatory-for-companies-with-fewer-than-50-staff

## Kann eine kleine Tochtergesellschaft wegen ihrer Gruppe unter NIS2 fallen?

Ja, das kann sie. NIS2 misst die Größe nach der EU-Definition kleiner und mittlerer Unternehmen (Empfehlung 2003/361/EG der Kommission), nach der Beschäftigte, Umsatz und Bilanzsumme von Partner- und verbundenen Unternehmen grundsätzlich den eigenen Zahlen hinzugerechnet werden. Eine Tochter mit 30 Beschäftigten in einem großen Konzern kann daher als groß gelten und erfasst sein, wenn sie in einem genannten Sektor tätig ist. Nationale Gesetze können das abmildern: § 28 Abs. 4 BSIG etwa rechnet die Zahlen der Gruppe nicht hinzu, wenn das Unternehmen bei Beschaffenheit und Betrieb seiner IT-Systeme von seinen Partner- oder verbundenen Unternehmen unabhängig ist. Erfassen Sie jede Gesellschaft der Gruppe mit Sektor und Gruppenzahlen, prüfen Sie die nationalen Regeln in jedem Land, in dem sie tätig ist, und dokumentieren Sie das Ergebnis.

https://netsenx.com/de/faq/can-a-small-subsidiary-be-in-nis2-scope-because-of-its-group

## Unser Kunde fällt unter NIS2. Müssen wir die Anforderungen auch erfüllen?

Nicht gesetzlich, sofern Sie nicht selbst erfasst sind, praktisch aber schon die Anforderungen Ihres Kunden. Artikel 21 Absatz 2 Buchstabe d verpflichtet erfasste Einrichtungen, die Sicherheit der Lieferkette zu gewährleisten, einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern, und Artikel 21 Absatz 3 verlangt, die Schwachstellen und Cybersicherheitspraktiken jedes unmittelbaren Anbieters zu berücksichtigen. Ihr Kunde wird also Fragebögen schicken, Nachweise verlangen und Sicherheits- und Meldeklauseln in den Vertrag schreiben. Antworten Sie wahrheitsgemäß, dokumentieren Sie, was Sie haben, und verhandeln Sie Pflichten, die zu Ihrer Größe passen. Vertragsbedingungen binden Sie auch dort, wo die Richtlinie es nicht tut. NetSenX hilft bei einer wiederkehrenden Frage, der Angriffserkennung: Netzwerkerkennung in jedem Plan, auch im Free-Plan, eine Alarmhistorie und ein Audit-Log zum Vorzeigen, mit Kundendaten in der EU.

https://netsenx.com/de/faq/our-customer-is-in-nis2-scope-do-we-have-to-comply

## Was verlangt NIS2 von einem erfassten mittelständischen Unternehmen?

Grob gesagt vier Dinge. Erstens Governance: Die Leitung billigt die Cybersicherheitsmaßnahmen, überwacht sie und nimmt an Schulungen teil (Artikel 20). Zweitens Risikomanagement: geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen auf Grundlage eines gefahrenübergreifenden Ansatzes, die mindestens die zehn Bereiche aus Artikel 21 Absatz 2 abdecken, von Risikoanalyse und Vorfallbewältigung bis zu Backups, Lieferkette, Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentifizierung. Drittens Meldungen: Erhebliche Vorfälle gehen stufenweise an das CSIRT oder die zuständige Behörde, eine Frühwarnung binnen 24 Stunden, eine Meldung binnen 72 Stunden und ein Abschlussbericht binnen eines Monats (Artikel 23). Viertens Registrierung und Aufsicht nach nationalem Recht. Verhältnismäßig heißt: zugeschnitten auf Größe und Risiko. NetSenX hilft bei Erkennung, Vorfallnachweisen und Fristverfolgung; der Rest ist Ihr Programm.

https://netsenx.com/de/faq/what-does-nis2-require-from-a-mid-sized-company

## Welche zehn Risikomanagementmaßnahmen nennt Artikel 21 NIS2?

Artikel 21 Absatz 2 nennt die Mindestbereiche, die jede erfasste Einrichtung abdecken muss. In einfachen Worten: Konzepte für Risikoanalyse und Sicherheit der Informationssysteme; Bewältigung von Sicherheitsvorfällen; Aufrechterhaltung des Betriebs wie Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement; Sicherheit der Lieferkette; Sicherheit bei Erwerb, Entwicklung und Wartung von Systemen einschließlich Umgang mit und Offenlegung von Schwachstellen; Konzepte zur Bewertung der Wirksamkeit der Maßnahmen; grundlegende Cyberhygiene und Schulungen; Konzepte für Kryptografie und gegebenenfalls Verschlüsselung; Sicherheit des Personals, Zugriffskontrolle und Verwaltung von Anlagen; sowie Multi-Faktor- oder kontinuierliche Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation und gegebenenfalls gesicherte Notfallkommunikation. Jede Maßnahme muss risikoangemessen und verhältnismäßig sein. Nationale Gesetze übernehmen die Liste; in Deutschland ist es § 30 Abs. 2 BSIG. NetSenX unterstützt Vorfallbewältigung und Wirksamkeitsnachweise, nicht die ganze Liste.

https://netsenx.com/de/faq/what-are-the-ten-nis2-article-21-measures

## Was unterscheidet wesentliche und wichtige Einrichtungen nach NIS2?

Vor allem die Art der Aufsicht und die Höchstbußgelder, nicht die Pflichten selbst. Beide müssen die Risikomanagementmaßnahmen nach Artikel 21 umsetzen und erhebliche Vorfälle nach Artikel 23 melden. Nach Artikel 3 sind wesentliche Einrichtungen grob gesagt große Unternehmen der Sektoren aus Anhang I sowie manche Einrichtungen unabhängig von ihrer Größe, etwa qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Registries und DNS-Diensteanbieter, und solche, die ein Mitgliedstaat bestimmt; wichtige Einrichtungen sind die übrigen erfassten Einrichtungen aus Anhang I und II. Wesentliche Einrichtungen unterliegen einer vorausschauenden Aufsicht mit jederzeit möglichen Prüfungen und Audits (Artikel 32), wichtige einer nachträglichen Aufsicht bei Anzeichen von Verstößen (Artikel 33). Die Höchstbußgelder unterscheiden sich nach Artikel 34. Das deutsche BSIG spricht von besonders wichtigen und wichtigen Einrichtungen (§ 28).

https://netsenx.com/de/faq/what-is-the-difference-between-essential-and-important-entities

## Welche Sektoren erfasst NIS2?

Achtzehn Sektoren in zwei Anhängen. Anhang I, Sektoren mit hoher Kritikalität, umfasst Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten für Geschäftskunden (Managed Service und Managed Security Service Provider), öffentliche Verwaltung und Weltraum. Anhang II, sonstige kritische Sektoren, umfasst Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Produktion und Vertrieb von Lebensmitteln, verarbeitendes Gewerbe (Medizinprodukte; Datenverarbeitungsgeräte, elektronische und optische Erzeugnisse; elektrische Ausrüstungen; Maschinenbau; Kraftwagen; sonstiger Fahrzeugbau), Anbieter digitaler Dienste (Online-Marktplätze, Suchmaschinen und soziale Netzwerke) sowie Forschung. Jeder Sektor ist in Einrichtungsarten unterteilt; lesen Sie also den genauen Wortlaut für Ihre Tätigkeit, nicht nur den Sektornamen. Ob ein bestimmtes Unternehmen erfasst ist, entscheiden dann Größenschwellen und nationale Festlegungen, in Deutschland die Anlagen 1 und 2 zum BSIG.

https://netsenx.com/de/faq/which-sectors-does-nis2-cover

## Haften Geschäftsführer nach NIS2 persönlich?

Sie können haften, so wie das nationale Recht es regelt. Artikel 20 Absatz 1 verpflichtet die Mitgliedstaaten sicherzustellen, dass die Leitungsorgane wesentlicher und wichtiger Einrichtungen für Verstöße gegen ihre Pflicht verantwortlich gemacht werden können, die Cybersicherheitsmaßnahmen zu billigen und zu überwachen. Für wesentliche Einrichtungen erlaubt Artikel 32 den Behörden zudem, als letztes Mittel ein vorübergehendes Verbot der Ausübung von Leitungsaufgaben zu beantragen, wenn angeordnete Maßnahmen ausbleiben. In Deutschland haften Geschäftsleitungen der Einrichtung für schuldhaft verursachte Schäden nach den Regeln des Gesellschaftsrechts (§ 38 Abs. 2 BSIG), und unzuverlässigen Geschäftsleitungen besonders wichtiger Einrichtungen kann die Tätigkeit vorübergehend untersagt werden (§ 61 Abs. 9). Prüfen Sie Ihr Landesrecht und Ihre D&O-Versicherung und führen Sie Protokolle, die Billigung und Überprüfung der Maßnahmen belegen.

https://netsenx.com/de/faq/are-managers-personally-liable-under-nis2

## Ist eine Cybersicherheitsschulung für die Geschäftsleitung nach NIS2 Pflicht?

Ja, für die Mitglieder der Leitungsorgane erfasster Einrichtungen; wie oft, regelt das nationale Recht. Artikel 20 Absatz 2 verlangt, dass diese Mitglieder an Schulungen teilnehmen, um ausreichende Kenntnisse und Fähigkeiten zu erwerben, Risiken zu erkennen und Risikomanagementpraktiken der Cybersicherheit sowie deren Auswirkungen auf die Dienste der Einrichtung zu bewerten, und ermutigt dazu, Beschäftigten regelmäßig ähnliche Schulungen anzubieten. Stunden oder Zertifikate schreibt NIS2 nicht vor. Nationale Gesetze ergänzen: In Deutschland müssen Geschäftsleitungen nach § 38 Abs. 3 BSIG regelmäßig an Schulungen teilnehmen. Ein sinnvolles Programm behandelt Bedrohungen, das Risikobild des Unternehmens, die Pflichten der Leitung und die Meldefristen und enthält eine Planspielübung. Bewahren Sie Teilnahmelisten und Unterlagen als Nachweis auf. NetSenX bietet keine Schulungen; seine verständlich formulierten Alarme eignen sich als realistische Beispiele.

https://netsenx.com/de/faq/is-management-training-mandatory-under-nis2

## Was muss die Geschäftsleitung nach Artikel 20 NIS2 billigen?

Die Risikomanagementmaßnahmen für Cybersicherheit, die die Einrichtung nach Artikel 21 ergreift, und sie muss außerdem deren Umsetzung überwachen. Praktisch billigt die Leitung eine kurze Reihe von Unterlagen und Entscheidungen: die Risikobewertung und die daraus folgenden Prioritäten, die Sicherheitsrichtlinien für die zehn Bereiche aus Artikel 21 Absatz 2, das Verfahren zur Vorfallbewältigung und Meldung, den Plan für Betriebsfortführung und Backups, den Umgang mit Lieferantensicherheit sowie Budget und Verantwortliche je Bereich. Billigung ist keine einmalige Unterschrift: Die Leitung sollte regelmäßig Berichte erhalten, ob die Maßnahmen wirken, über Lücken entscheiden und ihre Entscheidungen festhalten. Verlangen Sie Belege statt nur Richtlinien, etwa Wiederherstellungstests, Überwachungsabdeckung und Vorfallregister. NetSenX liefert Nachweise für Erkennung und Vorfallbewältigung im Netzwerk; die Billigung des Rests bleibt Aufgabe der Leitung.

https://netsenx.com/de/faq/what-do-board-members-approve-under-nis2-article-20

## Wie kann eine Geschäftsführung prüfen, ob die Cybermaßnahmen tatsächlich wirken?

Indem sie Tests und Ergebnisse verlangt statt Beschreibungen. NIS2 nennt selbst Konzepte und Verfahren zur Bewertung der Wirksamkeit der Maßnahmen unter den Pflichtbereichen (Artikel 21 Absatz 2 Buchstabe f). Nützliche Prüfungen ohne Technikwissen: Lassen Sie die IT ein echtes System aus dem Backup wiederherstellen und die Dauer berichten; fragen Sie nach dem Anteil der Konten mit Multi-Faktor-Authentifizierung und der Liste der Ausnahmen; fragen Sie nach dem Datum des letzten externen Penetrationstests und welche Befunde noch offen sind; fragen Sie, welche Netzsegmente überwacht werden, und lassen Sie sich einen aktuellen Alarm und die Reaktion darauf zeigen; und halten Sie einmal im Jahr eine kurze Planspielübung ab. Vergleichen Sie die Antworten von Quartal zu Quartal. NetSenX liefert den Erkennungsteil in verständlicher Sprache: Alarmhistorie, Liste der überwachten Segmente und Audit-Log der Entscheidungen.

https://netsenx.com/de/faq/how-can-a-managing-director-check-cyber-measures-work

## Deckt NetSenX alle Maßnahmen aus Artikel 21 NIS2 ab?

Nein. NetSenX unterstützt einige davon und sagt offen, welche nicht. Am meisten hilft es bei der Bewältigung von Sicherheitsvorfällen (Artikel 21 Absatz 2 Buchstabe b): Netzwerkerkennung von C2-Beaconing, Scans, lateraler Bewegung und ungewöhnlichem ausgehendem Datenvolumen in jedem Plan, auch im Free-Plan, mit Verfolgung der Fristen aus Artikel 23 je Vorfall. Es liefert Nachweise zur Bewertung der Wirksamkeit (Buchstabe f): Alarmhistorie, überwachte Segmente und Audit-Log der Entscheidungen, PDF-Berichte ab dem Starter-Plan. Teilweise Sicht gibt es für die Lieferkette (Buchstabe d), weil es zeigt, was Fernsitzungen von Lieferanten im Netz tun, und für die Anlagenverwaltung (Buchstabe i) über die Netzwerkkarte. Richtlinien schreiben, Backups betreiben, Zugriffe verwalten, Multi-Faktor-Authentifizierung durchsetzen, Personal schulen oder Schwachstellen offenlegen kann es nicht. Kein Werkzeug sorgt allein für Konformität: NIS2 ist ein organisatorisches Programm.

https://netsenx.com/de/faq/does-netsenx-cover-all-nis2-article-21-measures

## Macht uns der Kauf eines Sicherheitswerkzeugs NIS2-konform oder registriert?

Nein. Konformität heißt, dass Ihre Organisation unter Aufsicht der Leitung die Risikomanagementmaßnahmen nach Artikel 21 getroffen hat und erhebliche Vorfälle so meldet, wie Artikel 23 es verlangt; ein Werkzeug kann einen Teil dieser Arbeit unterstützen, sie aber nicht für Sie erledigen. Die Registrierung ist ein eigener rechtlicher Schritt: Sind Sie erfasst, übermitteln Sie Ihre Angaben nach dem Verfahren Ihres nationalen Rechts an die Behörde, in Deutschland etwa über die Registrierung beim BSI nach § 33 BSIG, und kein Anbieter kann das durch den Verkauf von Software für Sie erledigen. Seien Sie vorsichtig bei Produkten, die als Weg zur Konformität verkauft werden. NetSenX unterstützt Erkennung, Vorfallnachweise und die Verfolgung der NIS2-Fristen und sagt, was es nicht tut; ob Sie erfasst sind und die Registrierung bleiben bei Ihnen.

https://netsenx.com/de/faq/does-buying-a-security-tool-make-us-nis2-compliant

## Bei welchen NIS2-Aufgaben hilft Software, und bei welchen nicht?

Software hilft bei Aufgaben, die Daten erzeugen oder auswerten; Entscheidungen treffen, rechtliche Verantwortung tragen oder Verhalten ändern kann sie nicht. Werkzeuge helfen beim Erkennen von Vorfällen (Netzwerk- und Endpoint-Erkennung), beim Aufbewahren von Nachweisen und Verfolgen von Meldefristen, beim Schwachstellen- und Patchmanagement, beim Durchsetzen von Multi-Faktor-Authentifizierung, beim Betreiben und Testen von Backups, bei der Anlagenverwaltung und beim Sammeln von Prüfnachweisen. Sie können nicht entscheiden, ob Sie erfasst sind, Sie nicht registrieren, keine Maßnahmen anstelle der Leitung billigen, nicht beurteilen, ob ein Vorfall erheblich ist, keine Meldungen einreichen, keine Lieferantenverträge verhandeln und niemanden zur Schulung bewegen. Planen Sie beide Spalten: die Werkzeuge und daneben die Person, die jeweils entscheidet. NetSenX deckt Netzwerkerkennung, Vorfallnachweise und die Verfolgung der NIS2-Fristen ab; Meldungen reicht es nie für Sie ein.

https://netsenx.com/de/faq/which-nis2-tasks-can-software-help-with

## Schreibt NIS2 ein bestimmtes Sicherheitswerkzeug wie Angriffserkennung vor?

Nein. NIS2 ist technologieneutral: Artikel 21 verlangt geeignete und verhältnismäßige Maßnahmen unter Berücksichtigung des Stands der Technik, einschlägiger Normen und der Umsetzungskosten, nennt aber keine Produktkategorie. Praktisch können Sie Vorfälle weder bewältigen (Artikel 21 Absatz 2 Buchstabe b) noch fristgerecht melden (Artikel 23), ohne sie irgendwie zu erkennen; die meisten Einrichtungen kombinieren daher Endpoint-Schutz, Protokollsammlung und Netzwerkerkennung nach ihrem Risiko. Nationales Recht kann für manche Einrichtungen konkreter sein: § 31 Abs. 2 BSIG verpflichtet Betreiber kritischer Anlagen, Systeme zur Angriffserkennung einzusetzen, während andere besonders wichtige und wichtige Einrichtungen unter die allgemeinen Maßnahmen des § 30 fallen. Wählen Sie Werkzeuge nach den Risiken Ihrer Bewertung und dokumentieren Sie die Begründung.

https://netsenx.com/de/faq/does-nis2-require-a-specific-security-tool

## Was passiert, wenn wir wachsen oder ein Unternehmen kaufen und die NIS2-Schwelle überschreiten?

Sie fallen ab dem Zeitpunkt unter die Regeln, an dem Sie die Kriterien Ihres nationalen Rechts erfüllen, und die Fristen für Registrierung und Maßnahmen beginnen. Wachstum bei Beschäftigten oder Umsatz oder ein Zukauf, durch den Sie Teil einer größeren Gruppe werden, kann ändern, ob Sie als mittleres oder großes Unternehmen gelten und in welche Kategorie Sie fallen. Prüfen Sie die Zahlen zu jedem Jahresende und vor jedem Vollzug eines Erwerbs nach der EU-Methode für Beschäftigte, Umsatz und Bilanzsumme, einschließlich Partner- und verbundener Unternehmen. Wann Pflichten beginnen, regelt das nationale Recht: In Deutschland verlangt § 33 Abs. 1 BSIG die Registrierung spätestens drei Monate, nachdem eine Einrichtung erstmals oder erneut als besonders wichtig oder wichtig gilt. Bauen Sie die Risikomanagementmaßnahmen auf, bevor Sie die Schwelle überschreiten, und prüfen Sie die Sicherheit des Zielunternehmens in der Due Diligence.

https://netsenx.com/de/faq/what-if-we-cross-the-nis2-size-threshold

## Wer entscheidet, ob unser Unternehmen unter NIS2 fällt?

In den meisten Ländern prüfen Sie es zuerst selbst anhand der Kriterien Ihres nationalen Rechts, und die Behörde kann das Ergebnis bestätigen oder korrigieren. NIS2 setzt den Rahmen: Sektor und Einrichtungsart nach Anhang I oder II, Größe nach der EU-Definition und die größenunabhängigen Ausnahmen (Artikel 2). Die Mitgliedstaaten müssen eine Liste wesentlicher und wichtiger Einrichtungen erstellen (Artikel 3 Absatz 4) und verlassen sich in der Praxis meist darauf, dass Unternehmen sich selbst registrieren; manche schreiben auch Unternehmen an, die sie für erfasst halten. In Deutschland kann das BSI eine Einrichtung selbst registrieren, wenn sie ihrer Pflicht nicht nachkommt (§ 33 Abs. 3 BSIG). Dokumentieren Sie daher Ihre Prüfung: Tätigkeiten, Sektorzuordnung, Gruppenzahlen, Ergebnis und wer es freigegeben hat. Bleibt das Ergebnis unklar, fragen Sie die Behörde oder eine Rechtsberatung. Ein Anbieter kann diese Entscheidung nicht für Sie treffen.

https://netsenx.com/de/faq/who-decides-whether-we-are-in-nis2-scope

## Müssen wir uns nach NIS2 registrieren, und wo?

Meist ja, wenn Sie erfasst sind, bei der Behörde, die Ihr nationales Recht nennt. Artikel 3 Absatz 4 NIS2 verpflichtet die Mitgliedstaaten, eine Liste wesentlicher und wichtiger Einrichtungen zu erstellen und von den Einrichtungen mindestens Name, Anschrift und aktuelle Kontaktdaten einschließlich E-Mail-Adressen, IP-Adressbereichen und Telefonnummern, den Mitgliedstaat sowie Sektor und Teilsektor zu verlangen. Bestimmte digitale Anbieter wie DNS- und Cloud-Anbieter, Rechenzentren, Managed Service und Managed Security Service Provider registrieren sich nach Artikel 27 im Land ihrer Hauptniederlassung. Verfahren und Frist sind national geregelt: In Deutschland verlangt § 33 BSIG die Registrierung beim BSI spätestens drei Monate, nachdem eine Einrichtung erstmals als solche gilt, und die Mitteilung von Änderungen binnen zwei Wochen. Prüfen Sie das Portal Ihres Landes und bewahren Sie die Bestätigung auf.

https://netsenx.com/de/faq/do-we-have-to-register-under-nis2

## Warum schicken uns Kunden plötzlich NIS2-Lieferantenfragebögen?

Weil NIS2 sie für die Sicherheit ihrer Lieferkette verantwortlich macht. Artikel 21 Absatz 2 Buchstabe d verlangt von erfassten Einrichtungen, die Sicherheit der Lieferkette zu gewährleisten, einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern, und Artikel 21 Absatz 3 verlangt, Schwachstellen, Produktqualität und Cybersicherheitspraktiken jedes Anbieters zu berücksichtigen. Prüfer und Behörden werden fragen, wie sie das getan haben, und ein Fragebogen ist der übliche erste Schritt, oft gefolgt von Vertragsklauseln zu Sicherheitsmaßnahmen, Vorfallmeldung und Auditrechten. Sehen Sie es als Vertriebsfrage: Eine schnelle, ehrliche und belegte Antwort hilft, den Kunden zu halten. Halten Sie ein Standard-Antwortpaket bereit, mit Richtlinien, gegebenenfalls Zertifizierungen, Vorfallbewältigung, Datenstandort und Überwachung. NetSenX liefert in jedem Plan Nachweise für den Überwachungsteil.

https://netsenx.com/de/faq/why-are-customers-sending-nis2-supplier-questionnaires

## Wie beantworten wir im Kundenfragebogen die Frage nach einer Angriffserkennung?

Genau: was Sie haben, wo, und wer reagiert. Eine gute Antwort nennt die Art der Erkennung (Netzwerk, Endgerät oder beides), welche Standorte und Segmente sie abdeckt, wie Alarme eine Person erreichen und wie schnell, und welche Nachweise Sie vorlegen können. Zum Beispiel: Netzwerkerkennung läuft in den Segmenten von Zentrale und Lager über einen Sensor am Spiegelport; Alarme gehen per E-Mail an die IT-Leitung und unseren IT-Dienstleister; wir führen eine Alarmhistorie und ein Audit-Log der Entscheidungen; Endpoint-Schutz läuft auf allen Laptops und Servern. Fehlt etwas, etwa eine Nachtbereitschaft, sagen Sie es und nennen Sie, was Sie stattdessen tun. Mit NetSenX können Sie antworten, dass Netzwerkerkennung in jedem Plan besteht, mit Alarmhistorie, Audit-Log, PDF-Berichten ab dem Starter-Plan und Kundendaten in der EU.

https://netsenx.com/de/faq/how-to-answer-do-you-have-intrusion-detection-on-a-questionnaire

## Womit sollte ein Unternehmen bei der Vorbereitung auf NIS2 anfangen?

Klären Sie, ob und wie Sie erfasst sind, und schließen Sie dann die Lücken, die bei einem echten Vorfall am meisten schaden würden. Eine praktische Reihenfolge: Anwendungsbereich und Kategorie nach nationalem Recht bestätigen und sich gegebenenfalls registrieren; eine verantwortliche Person auf Leitungsebene benennen und die Geschäftsleitung über ihre Pflichten unterrichten; kritische Systeme, Daten und Lieferanten auflisten; sicherstellen, dass Sie einen Vorfall bemerken würden, über Endpoint- und Netzwerkerkennung, und dass jemand die Alarme erhält; ein kurzes Verfahren für Reaktion und Meldung schreiben, das die Stufen 24 Stunden, 72 Stunden und ein Monat aus Artikel 23 einhält; eine Wiederherstellung aus Backups testen; Multi-Faktor-Authentifizierung für E-Mail, Fernzugriff und Administratorkonten einschalten; dann die übrigen Maßnahmen aus Artikel 21 in einem risikobasierten, von der Leitung gebilligten Plan abarbeiten. NetSenX kann die Schritte Erkennung und Fristverfolgung in jedem Plan abdecken, auch im Free-Plan.

https://netsenx.com/de/faq/what-should-a-company-do-first-to-prepare-for-nis2

## Wie führt ein kleines oder mittleres Unternehmen eine Cyber-Risikobewertung für NIS2 durch?

Einfach, konkret und regelmäßig, statt umfangreich und theoretisch. NIS2 verlangt Konzepte zur Risikoanalyse (Artikel 21 Absatz 2 Buchstabe a) und einen gefahrenübergreifenden Ansatz; berücksichtigen Sie also neben Angriffen auch Brand, Stromausfall und menschliche Fehler. Eine praktikable Methode: die Leistungen auflisten, die das Geschäft tragen, und die Systeme, Daten und Lieferanten, von denen jede abhängt; für jede beschreiben, was schiefgehen kann, wie wahrscheinlich das ist und was es kosten würde; vorhandene Maßnahmen und Lücken notieren; die Lücken nach Auswirkung ordnen; und für die wichtigsten mit der Leitung Verantwortliche und Termine vereinbaren. Eine Seite pro kritischer Leistung genügt für den Anfang. Überprüfen Sie die Bewertung jährlich und nach jedem Vorfall oder größeren Änderungen. NetSenX führt die Bewertung nicht durch, aber seine Alarme und die Netzwerkkarte zeigen, welche Risiken in Ihrem Netz tatsächlich auftreten.

https://netsenx.com/de/faq/how-do-smes-do-a-cyber-risk-assessment-for-nis2

## Hat mein Land NIS2 schon in nationales Recht umgesetzt?

Prüfen Sie die Website Ihrer Regierung oder Ihrer nationalen Cybersicherheitsbehörde, denn die Antwort ist von Land zu Land verschieden und ändert sich mit der Zeit. NIS2 ist eine Richtlinie und gilt für Unternehmen über nationale Gesetze; Artikel 41 setzte das Datum, bis zu dem die Mitgliedstaaten sie erlassen mussten, und mehrere waren spät dran. In Deutschland hat das NIS2UmsuCG das BSI-Gesetz (BSIG) neu gefasst; andere Länder haben eigene Gesetze verabschiedet oder sind noch dabei, oft mit anderen Bezeichnungen, Behörden, Registrierungsportalen und Einzelheiten. Solange Ihr nationales Gesetz nicht in Kraft ist, binden dessen Pflichten, Fristen und Bußgelder Sie nicht in gleicher Weise, doch Kunden und Versicherer verlangen womöglich schon Maßnahmen auf NIS2-Niveau, und frühere nationale Regeln können weiter gelten. Planen Sie mit der Richtlinie als Grundlage und passen Sie an, wenn Ihr Gesetz feststeht.

https://netsenx.com/de/faq/has-my-country-transposed-nis2

## Verlangt NIS2 Multi-Faktor-Authentifizierung?

Sie nennt sie als Pflichtbereich, soweit angemessen. Artikel 21 Absatz 2 Buchstabe j umfasst die Verwendung von Multi-Faktor-Authentifizierung oder kontinuierlicher Authentifizierung, gesicherter Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherter Notfallkommunikationssysteme innerhalb der Einrichtung. Soweit angemessen lässt Raum für eine risikobasierte Entscheidung, doch für die Konten, die Angreifer am häufigsten ins Visier nehmen, ist ein Verzicht kaum zu begründen: E-Mail, Fernzugriff und VPN, Administratorkonten, Cloud-Konsolen, Backup-Systeme und Finanzanwendungen. Beginnen Sie dort, nutzen Sie nach Möglichkeit Authenticator-Apps oder Hardwareschlüssel statt SMS, beziehen Sie Konten von Dienstleistern ein und führen Sie eine Liste dokumentierter Ausnahmen mit Begründung. Versicherer fragen meist nach denselben Konten. NetSenX selbst bietet Zwei-Faktor-Authentifizierung in jedem Plan; MFA für Ihre anderen Systeme verwaltet es nicht.

https://netsenx.com/de/faq/does-nis2-require-multi-factor-authentication

## Verlangt NIS2 Verschlüsselung?

Sie verlangt Konzepte und Verfahren für den Einsatz von Kryptografie und gegebenenfalls Verschlüsselung (Artikel 21 Absatz 2 Buchstabe h). Das heißt, schriftlich festzulegen, wo und wie Ihr Unternehmen verschlüsselt: Daten bei der Übertragung (TLS für Websites, E-Mail und Fernzugriff), gespeicherte Daten (Festplattenverschlüsselung auf Laptops, verschlüsselte Backups und Datenbanken) sowie die Verwaltung von Schlüsseln und Zertifikaten, einschließlich wer darauf zugreifen darf und wie sie erneuert werden. Stützen Sie die Auswahl auf aktuelle Empfehlungen Ihrer nationalen Behörde, in Deutschland etwa des BSI, oder der ENISA, und führen Sie ein Verzeichnis, wo Kryptografie eingesetzt wird, damit Sie schwache Verfahren ersetzen können, wenn sich Empfehlungen ändern. NetSenX analysiert Verkehrsmetadaten und entschlüsselt nie; wo der Agent Pakete erfasst, unter Linux oder als SPAN- oder TAP-Sensor, liest er TLS-Handshakes und zeigt so, welche Verbindungen schwache oder veraltete Verschlüsselung nutzen.

https://netsenx.com/de/faq/does-nis2-require-encryption

## Verlangt NIS2 Backups und einen Notfallplan für den Betrieb?

Ja. Artikel 21 Absatz 2 Buchstabe c nennt die Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, sowie Krisenmanagement unter den Mindestmaßnahmen. Praktisch sollte eine erfasste Einrichtung zeigen können: welche Dienste und Systeme kritisch sind und wie lange sie ausfallen dürfen; Backups dieser Systeme, so aufbewahrt, dass ein Angreifer, der das Netz kontrolliert, sie nicht löschen oder verschlüsseln kann, etwa offline oder unveränderlich; Wiederherstellungstests mit festgehaltenen Ergebnissen und Zeiten; eine Wiederanlaufreihenfolge; und einen Krisenplan mit Rollen, Kontaktlisten auf Papier und einem Kommunikationsweg ohne Firmen-E-Mail. Üben Sie mindestens jährlich. Aufsicht und Versicherer fragen beide nach Nachweisen über Wiederherstellungstests. NetSenX sichert und stellt nichts wieder her; es kann Alarm schlagen, wenn ein Gerät viele Dateifreigaben berührt oder Daten hinausschickt, was einer Ransomware-Verschlüsselung oft vorausgeht.

https://netsenx.com/de/faq/does-nis2-require-backups-and-business-continuity

## Was sagt NIS2 zur Sicherheit der Lieferkette?

Dass erfasste Einrichtungen die Sicherheitsrisiken steuern müssen, die von ihren Lieferanten und Dienstleistern ausgehen. Artikel 21 Absatz 2 Buchstabe d umfasst die Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen der Einrichtung und ihren unmittelbaren Anbietern oder Diensteanbietern, und Artikel 21 Absatz 3 verlangt, die spezifischen Schwachstellen jedes unmittelbaren Anbieters, die Gesamtqualität der Produkte und die Cybersicherheitspraktiken der Anbieter einschließlich sicherer Entwicklungsverfahren zu berücksichtigen. Artikel 22 ergänzt koordinierte Risikobewertungen kritischer Lieferketten auf EU-Ebene. Praktisch: eine Liste der Lieferanten mit Zugang zu Systemen oder Daten führen, nach Risiko ordnen, von den risikoreicheren Nachweise verlangen, Sicherheits- und Meldeklauseln in Verträge schreiben, ihren Zugang begrenzen und überwachen und jährlich überprüfen. NetSenX zeigt, was Fernsitzungen von Lieferanten im Netz tun, und meldet, wenn sie sich auf andere Geräte ausbreiten.

https://netsenx.com/de/faq/what-does-nis2-say-about-supply-chain-security

## Verlangt NIS2 ein Verzeichnis der IT-Anlagen?

Ja, als Teil eines Pflichtbereichs. Artikel 21 Absatz 2 Buchstabe i umfasst Sicherheit des Personals, Konzepte für die Zugriffskontrolle und die Verwaltung von Anlagen, und Systeme, von denen Sie nichts wissen, lassen sich kaum schützen, patchen oder wiederherstellen. Ein brauchbares Verzeichnis nennt für jedes Gerät, System und jeden Cloud-Dienst: was es ist, wo es läuft, wem es gehört, wie kritisch es ist, welche Daten es enthält und ob es unterstützt und gepatcht wird. Aktuell bleibt es, wenn Sie Quellen kombinieren: Geräteverwaltung, Einkaufsbelege, Cloud-Konten und das, was Sie tatsächlich im Netz sehen. Unbekannte Geräte sind ein häufiger Befund, vom alten Server bis zum kleinen Rechner in der Steckdose. In jedem Plan listet die Netzwerkkarte von NetSenX die in überwachten Segmenten gesehenen Geräte mit gemeldetem Namen und erstem und letztem Zeitpunkt auf und hilft so, zu finden, was das Papierverzeichnis übersehen hat.

https://netsenx.com/de/faq/does-nis2-require-an-asset-inventory

## Wer überwacht die Einhaltung von NIS2, und was darf die Aufsicht tun?

Die zuständige Behörde, die Ihr nationales Recht bestimmt, oft die nationale Cybersicherheitsbehörde oder eine Fachaufsicht. Die Artikel 32 und 33 geben den Behörden Aufsichts- und Durchsetzungsbefugnisse: Vor-Ort-Prüfungen und externe Aufsicht, regelmäßige, gezielte und anlassbezogene Audits, Sicherheitsscans, Auskunfts- und Nachweisverlangen zu den Maßnahmen, verbindliche Anweisungen und Anordnungen zur Mängelbeseitigung, Anordnungen zur Unterrichtung von Kunden über Bedrohungen sowie Bußgelder. Wesentliche Einrichtungen können jederzeit vorausschauend beaufsichtigt werden, wichtige meist nachträglich bei Anzeichen von Verstößen. In Deutschland übt das BSI diese Befugnisse nach den §§ 61 und 62 BSIG aus, einschließlich der Anordnung von Audits durch unabhängige Stellen. Bereiten Sie sich vor, indem Sie Ihre Dokumentation aktuell halten, damit Sie eine Anfrage in Tagen statt Monaten beantworten.

https://netsenx.com/de/faq/who-supervises-nis2-and-what-can-they-do

## Gilt NIS2 für Unternehmen mit Sitz außerhalb der EU?

Unter Umständen ja, wenn sie Dienste in der EU erbringen. NIS2 gilt für Einrichtungen, die ihre Dienste in der Union erbringen oder dort tätig sind (Artikel 2), und Artikel 26 legt fest, welcher Mitgliedstaat zuständig ist: in der Regel der, in dem die Einrichtung niedergelassen ist, mit Sonderregeln für Anbieter öffentlicher elektronischer Kommunikation, für die öffentliche Verwaltung und für bestimmte digitale Anbieter wie DNS- und Cloud-Anbieter, Rechenzentren, Managed Service und Managed Security Service Provider, Online-Marktplätze, Suchmaschinen und soziale Netzwerke, die dem Land ihrer Hauptniederlassung in der EU unterliegen. Ein Anbieter solcher digitalen Dienste ohne Niederlassung in der EU, der dort Dienste anbietet, muss einen Vertreter in einem Mitgliedstaat benennen. Nicht-EU-Unternehmen außerhalb dieser Kategorien begegnen NIS2 meist über die Lieferantenanforderungen ihrer EU-Kunden.

https://netsenx.com/de/faq/does-nis2-apply-to-companies-outside-the-eu

## Welche Nachweise wird eine NIS2-Aufsicht verlangen?

Belege, dass die Maßnahmen bestehen, von der Leitung gebilligt sind und tatsächlich wirken. Rechnen Sie mit Anforderungen zu: Prüfung des Anwendungsbereichs und Registrierung; Risikoanalyse und Sicherheitsrichtlinien für die Bereiche aus Artikel 21 Absatz 2; Protokollen, die Billigung und Überprüfung durch die Leitung zeigen, sowie Nachweisen über Schulungen der Leitung; Verfahren zur Vorfallbewältigung und Vorfallregister mit den eingereichten Meldungen und ihrem Zeitpunkt; Ergebnissen von Backups und Wiederherstellungstests; Lieferantenliste mit Verträgen und Bewertungen; Stand von Zugriffskontrolle und Multi-Faktor-Authentifizierung; Ergebnissen von Audits und Penetrationstests und den folgenden Korrekturen. § 30 Abs. 1 BSIG verpflichtet die Einrichtungen ausdrücklich, die Einhaltung ihrer Risikomanagementpflichten zu dokumentieren. NetSenX liefert Vorfallnachweise: Alarme mit Zeit, Geräten und Zielen, NIS2-Fristen je Vorfall, ein Audit-Log der Entscheidungen und ab dem Starter-Plan PDF-Berichte.

https://netsenx.com/de/faq/what-evidence-will-a-nis2-supervisor-ask-for

## Was ist die Durchführungsverordnung (EU) 2024/2690 zu NIS2?

Der Rechtsakt der Kommission, der für bestimmte digitale Einrichtungen detaillierte technische und methodische Anforderungen an die Maßnahmen nach Artikel 21 festlegt und bestimmt, wann ein Vorfall bei ihnen als erheblich gilt. Sie gilt für DNS-Diensteanbieter, Top-Level-Domain-Registries, Anbieter von Cloud-Computing-Diensten, Anbieter von Rechenzentrumsdiensten, Betreiber von Content Delivery Networks, Managed Service Provider, Managed Security Service Provider, Online-Marktplätze, Online-Suchmaschinen, Plattformen für soziale Netzwerke und Vertrauensdiensteanbieter. Für sie beschreibt die Verordnung, die unmittelbar und ohne nationale Umsetzung gilt, was jede Maßnahme enthalten muss, vom Risikomanagement und der Vorfallbewältigung bis zu Zugriffskontrolle und Kryptografie. § 30 Abs. 3 BSIG gibt diesem Durchführungsrechtsakt für diese Einrichtungsarten ausdrücklich Vorrang. Gehören Sie nicht dazu, ist er trotzdem eine nützliche, konkrete Checkliste für Ihre eigenen Maßnahmen, und Kunden von Managed Service Providern erwarten oft, dass Lieferanten ihr folgen.

https://netsenx.com/de/faq/what-is-the-nis2-implementing-regulation-2024-2690

## Wie unterscheiden sich die nationalen NIS2-Gesetze der EU-Staaten?

In Bezeichnungen, Behörden, Verfahren und manchen Einzelheiten, bei gleichem Kern. Jedes nationale Gesetz muss das Wesentliche der Richtlinie enthalten: Sektoren und Größenregeln, die Maßnahmen aus Artikel 21, die Pflichten der Leitungsorgane, die gestufte Meldung nach Artikel 23 und Bußgelder mindestens auf dem Niveau von Artikel 34. Unterschiede, auf die Sie stoßen werden: wer zuständige Behörde und CSIRT ist und wie man sie erreicht; das Registrierungsportal und seine Fristen; ob weitere Einrichtungen einbezogen werden, etwa Teile der öffentlichen Hand oder kleinere Unternehmen; zusätzliche nationale Anforderungen wie die Systeme zur Angriffserkennung für Betreiber kritischer Anlagen in Deutschland (§ 31 Abs. 2 BSIG) oder ein benannter Sicherheitsbeauftragter; sowie Verfahren und tatsächliche Höhe der Bußgelder. Wer in mehreren Ländern tätig ist, ordnet jede Gesellschaft ihrem nationalen Recht und ihrer Behörde zu und prüft das Recht jedes Landes, denn die örtlichen Begriffe und Fristen entscheiden.

https://netsenx.com/de/faq/how-do-national-nis2-laws-differ

Allgemeine Information, keine Rechtsberatung. Nationale Gesetze können die hier zitierten EU-Texte ergänzen, etwa um Fristen, Formulare oder Meldewege: Prüfen Sie die Regeln Ihres Landes.

FAQ: https://netsenx.com/de/faq