Was verlangt NIS2 von einem erfassten mittelständischen Unternehmen?

Grob gesagt vier Dinge. Erstens Governance: Die Leitung billigt die Cybersicherheitsmaßnahmen, überwacht sie und nimmt an Schulungen teil (Artikel 20). Zweitens Risikomanagement: geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen auf Grundlage eines gefahrenübergreifenden Ansatzes, die mindestens die zehn Bereiche aus Artikel 21 Absatz 2 abdecken, von Risikoanalyse und Vorfallbewältigung bis zu Backups, Lieferkette, Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentifizierung. Drittens Meldungen: Erhebliche Vorfälle gehen stufenweise an das CSIRTCSIRT: Computer Security Incident Response Team. Das nationale Team, an das erhebliche Vorfälle gemeldet werden. oder die zuständige Behörde, eine Frühwarnung binnen 24 Stunden, eine Meldung binnen 72 Stunden und ein Abschlussbericht binnen eines Monats (Artikel 23). Viertens Registrierung und Aufsicht nach nationalem Recht. Verhältnismäßig heißt: zugeschnitten auf Größe und Risiko. NetSenX hilft bei Erkennung, Vorfallnachweisen und Fristverfolgung; der Rest ist Ihr Programm.

Allgemeine Information, keine Rechtsberatung. Nationale Gesetze können die hier zitierten EU-Texte ergänzen, etwa um Fristen, Formulare oder Meldewege: Prüfen Sie die Regeln Ihres Landes.

← Alle 40 Fragen zu NIS2: Anwendungsbereich und PflichtenAlle Themen