Die NIS2-Richtlinie (Network and Information Security 2) ist seit 2024 in französisches Recht umgesetzt. Sie erweitert den Kreis der zur Cybersicherheit verpflichteten Strukturen massiv, weit über die kritischen Großunternehmen hinaus. Viele KMU und öffentliche Verwaltungen sind betroffen, ohne es zu wissen.
Kriterium 1 — Größe Ihrer Organisation
NIS2 greift, sobald Sie die KMU-Schwellen überschreiten (50 Mitarbeitende oder 10 Mio. € Jahresumsatz / Bilanzsumme). Darunter sind Sie formal nicht verpflichtet, wir empfehlen jedoch dringend die freiwillige Konformität, die Cyberversicherungs-Anforderungen konvergieren auf dieselben Grundlagen.
Kriterium 2 — Ihre Branche
NIS2 unterscheidet zwei Kategorien: „wesentliche Einrichtungen“ (Energie, Verkehr, Bankwesen, Gesundheit, Wasser, digitale Infrastruktur, Raumfahrt, öffentliche Verwaltung) und „wichtige Einrichtungen“ (Postdienste, Abfallwirtschaft, kritische Fertigung, Lebensmittel, Fertigung, Forschung, Cloud-Anbieter usw.).
Kriterium 3 — Ihre konkreten Pflichten
Erfasste Strukturen müssen eine dokumentierte Cyber-Governance, eine Risikoanalyse, technische Mindestmaßnahmen (MFA, Protokollierung, unveränderliches Backup, Schulung), einen Incident-Response-Plan einrichten und jeden erheblichen Cybervorfall innerhalb von 24 Stunden an die ANSSI melden.
Kriterium 4 — Sanktionen
Sanktionen reichen bis zu 10 Mio. € oder 2 % des weltweiten Umsatzes für wesentliche Einrichtungen, 7 Mio. € oder 1,4 % für wichtige Einrichtungen. Die persönliche Haftung der Geschäftsführung kann ausgelöst werden.
Kriterium 5 — Umsetzungsfahrplan
Die Eintragung der Einrichtungen startete 2025. Die ANSSI-Kontrollen werden schrittweise verstärkt. Frühzeitiges Handeln vermeidet Eile und Sanktionen.
Kriterium 6 — Ihre Subunternehmer
NIS2 führt eine erweiterte Lieferketten-Verantwortung ein: Sie müssen sicherstellen, dass Ihre kritischen Subunternehmer (IT-Dienstleister, Hoster, SaaS-Anbieter) selbst Mindestsicherheitsstandards anwenden. Eine Prüfung Ihrer Lieferantenverträge ist unverzichtbar.
Kriterium 7 — Ihre aktuelle Haltung
Wer kein aktuelles Cyber-Audit hat, dessen Active Directory nicht gehärtet wurde, dessen Backups nicht vierteljährlich getestet werden, dessen Teams kein Phishing-Training erhalten haben, ist verwundbar, unabhängig vom NIS2-Status.
Wo anfangen?
- NIS2-Positionierungsaudit (1 Tag) zur Klärung Ihrer Exposition
- Kartografie der aktuellen Cyber-Haltung gegenüber ANSSI-Anforderungen
- Bezifferter und priorisierter Maßnahmenplan über 6 bis 18 Monate
- Aufbau der ISMS-Dokumentation
- Schulung von Geschäftsführung und Mitarbeitenden
- Vorbereitung des Incident-Response-Plans