Weckruf für Unternehmen NIS-2 – nicht warten, sondern machen!

Die neue Bundesregierung möchte die Umsetzung der NIS-2 im Turbomodus durchführen. Unternehmen können dies schon mal vorwegnehmen — doch wo fängt man da eigentlich an? Was nahezu alle Firmen tun müssen, und warum Abwarten keine Option darstellt.

Die NIS-2-Richtlinie der Europäischen Union (Network Information Security 2) soll die Cyber-Resilienz der Unternehmen in allen Mitgliedstaaten stärken. Dieses Ziel verlangt umfassende Anpassungen technischer, organisatorischer und auch rechtlicher Natur in den betroffenen Unternehmen, aber eine Betroffenheits­prüfung ist in nahezu allen Firmen notwendig. „Prosperität und Stabilität hängen von unseren digitalen Fähigkeiten ab und davon, wie gut wir den digitalen Raum verteidigen können“, glaubt BSI-Präsidentin Claudia Plattner. Darum hat die EU den Kreis betroffener Unternehmen gegenüber der bestehenden Gesetzgebung erheblich erweitert.

NIS-2 fokussiert auf 18 Sektoren, darunter Energie- und Wasserversorgung, Finanz-, Transport- und Gesundheitswesen sowie digitale Infrastrukturen — und nimmt dabei auch ihre Lieferanten in die Pflicht.

Breit und weit

Unternehmen mit weniger als 50 Mitarbeitenden oder einem Jahresumsatz von weniger als 10 Millionen Euro fallen grundsätzlich nicht unter die NIS-2-Richtlinie – außer in Ausnahme­fällen. Trifft eine Ausnahmeregelung zu, spielt die Unternehmensgröße für die Anwendbarkeit der Richtlinie keine Rolle (siehe Abschnitt „Stolperfalle Geltungsbereich“ weiter unten).

US-Lieferanten von Firmen im Geltungsbereich der NIS-2 müssen die gleichen Cybersecurity-Standards erfüllen wie ihre EU-Kunden. Lieferketten, die mehrere Mitgliedstaaten umspannen, und Unternehmen, die in mehreren Mitgliedstaaten ansässig sind, müssen die Konformität in jedem betreffenden Mitgliedstaat einhalten.

Die NIS-2 findet allerdings nicht direkt Anwendung, sondern muss erst in das nationale Recht der Mitgliedstaaten einfließen. In Deutschland und Österreich steht die Umsetzung in nationales Recht immer noch aus. Der Koalitionsvertrag der deutschen Bundesregierung vom 9. April 2025 betont die Dringlichkeit. Dennoch kann die Umsetzung erst nach der Ausarbeitung der neuen nationalen Cybersicherheitsstrategie geschehen, und diese ist ja noch in ihrer Entstehung begriffen.

Der Koalitionsvertrag sieht unter anderem die Erschaffung eines neuen Bundesministeriums für Digitales vor. Dieses soll ressortübergreifend für digitale Transformation und Cybersicherheit zuständig sein und die Umsetzung von Digitalisierungsprojekten, einschließlich der NIS-2, effizienter gestalten. Die politischen Verhandlungen um die genaue Ausgestaltung des Umsetzungsgesetzes indes dürften sich bis Jahresende hinausziehen.

Die Zeit drängt, denn inzwischen hat die EU gegen die Nachzügler schon Infringement-Verfahren eingeleitet. Die EU-weite Frist ist bereits am 18. Oktober 2024 verstrichen. Darum können es sich die Unternehmen nicht leisten, ihre Konformität auf die lange Bank zu schieben. „Handeln statt warten“ heißt jetzt die Devise.

Betroffen sind in Deutschland schätzungsweise 30.000 Firmen, in Österreich weitere 5.000 bis 6.000. Bei Verstößen drohen den Organisationen hohe Bußgelder; die Geschäftsleitung macht sich gegebenenfalls sogar persönlich haftbar.

Viele Führungsetagen erkennen mittlerweile den Ernst der Lage und sind gewillt, die erforderlichen Maßnahmen in Vorbereitung auf das Umsetzungsgesetz vorwegzunehmen.

Die NIS-2-Betroffenheitsprüfung ersetzt die Prüfung zur Selbst-Identifizierung nicht und hat keine Indizwirkung für eventuelle Verfahren. Sie ist aber ein guter Startpunkt.

Unter Dach und Fach: Kernpflichten auf einen Blick

Auf die betroffenen Unternehmen kommt eine ganze Reihe neuer Pflichten zu. Die Anforderungen stehen im Großen und Ganzen fest. Sie umfassen unter anderem:

• Selbsteinordnung: Unternehmen in betroffenen Sektoren sowie Lieferanten bestimmter Einrichtungsarten müssen regelmäßig prüfen, ob sie von der NIS-2-Richtlinie betroffen sind (anhand von Kriterien wie Mitarbeiterzahl und/oder Umsatz/Bilanzsumme).

• Registrierung bei zuständigen Behörden: Betroffene Unternehmen müssen sich spätestens drei Monate nach Veröffentlichung der nationalen Umsetzung beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren lassen; wer in anderen EU-Mitgliedsstaaten präsent ist, unterliegt auch dort den nationalen NIS-2-Umsetzungsgesetzen.

• Teilnahme am Informationsaustausch: Unternehmen mit der Einstufung als „besonders wichtige“ Einrichtungen müssen aktiv am Informationsaustausch über die zentrale Austauschplattform des BSI (BISP) teilnehmen.

• Einhaltung von Sicherheitsanforderungen: Betroffene Unternehmen müssen geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen zur Gewährleistung der Cyber-Resilienz implementieren. Dazu gehören die Einführung eines Informationssicherheits-Managementsystems (ISMS), die Einhaltung von Normen wie ISO 27001 und eine Reihe konkreter Cybersicherheitsmaßnahmen (siehe dazu weiter unten).

• Meldepflichten: Gemäß der NIS-2-Richtlinie müssen Unternehmen Sicherheitsvorfälle innerhalb von 24 Stunden nach Bekanntwerden melden. Innerhalb von 72 Stunden nach der Meldung sind gegebenenfalls eine Aktualisierung und erste Bewertung fällig, gefolgt von einem detaillierten Abschlussbericht innerhalb eines Monats.

Darüber hinaus gibt es eine Reihe von verbindlichen Sicherheitsmaßnahmen.

Verbindliche Sicherheitsmaßnahmen

Die NIS-2 fordert eine Reihe konkreter technischer und organisatorischer Vorkehrungen zur Stärkung der Cyber-Resilienz, allen voran die Erstellung und Implementierung eines Risikomanagementplans (z.B. basierend auf ISO 27001).

Konkret geht es darum, regelmäßige Risikoanalysen und -bewertungen zur Identifikation und Minimierung von Schwachstellen durchzuführen und Prozesse zur Umsetzung der erforderlichen Behebungsmaßnahmen zu implementieren. Die Einrichtung von Meldestellen und Prozessen für Sicherheitsvorfälle rundet dann das Ganze ab.

Ins NIS-2-Pflichtenheft im Kleingedruckten gehört unter anderem die Einführung sicherer Zugangskontrollen mit Mehrfaktorauthentifizierung und Transportverschlüsselung.

Weiter verlangt die Richtlinie eine Netzwerksegmentierung, also die Trennung von Systemen zur Reduzierung von Angriffsflächen. Aufgrund dieser Vorgaben dürfte das eine oder andere Technologie-Start-up gezwungen sein, von den gemeinsam genutzten Büros ihres Accelerators Abschied zu nehmen.

Eine weitere Anforderung betrifft die kryptografische Absicherung zum Schutz sensibler Daten durch moderne Verschlüsselungstechniken. Diese dürfte stillschweigend auch eine Verpflichtung zum Schutz der Daten während der Verarbeitung umfassen (siehe dazu auch den Bericht zu Confidential Computing der Enclaive GmbH aus Berlin: „Vertrauenswürdige Datenverarbeitung in der hybriden Multicloud“).

Geschäftsleitungen sind verpflichtet, regelmäßig Schulungen zur Erkennung und Bewertung von Risiken und Risikomanagementpraktiken zu absolvieren.

Stolperfalle Geltungsbereich

Die NIS-2 findet auch in Bezug auf kleinere Unternehmen in einer Reihe von Ausnahmefällen Anwendung. Eine solche Ausnahmeregelung betrifft kritische Tätigkeiten, nämlich Aktivitäten mit Auswirkungen auf die öffentliche Ordnung, mit Systemrisiken oder grenzüberschreitenden Auswirkungen. In all diesen Fällen findet die NIS-2 ungeachtet der Unternehmensgröße Anwendung.

Spezifische Dienstleistungen können eine weitere Ausnahmeregelung auslösen. Unternehmen, die als Vertrauensdienstanbieter, Anbieter öffentlicher elektronischer Kommunikationsnetze oder -dienste, TLD-Namenregister und DNS-Diensteanbieter (ausgenommen Betreiber von Root-Namenservern) fungieren, fallen ebenfalls unter die NIS-2-Richtlinie unabhängig von ihrer Größe.

Eine böse Überraschung in regulatorischer Hinsicht könnten außerdem die sogenannten alleinigen Anbieter erleben, wenn sie unvorbereitet in den Geltungsbereich der NIS-2 hineinstolpern. Die Rede ist hier von jenen Unternehmen, die in einem Mitgliedstaat als einzige einen Dienst bereitstellen, der essenziell für die Aufrechterhaltung kritischer gesellschaftlicher oder wirtschaftlicher Aktivitäten sein kann. Auch diese Organisationen müssen die NIS-2-Anforderungen ungeachtet ihrer Betriebsgröße erfüllen.

Außerdem sind von NIS-2 betroffene Organisationen aufgrund ihrer Kritikalität gezwungen, strenge Sicherheitsvorkehrungen in ihrer gesamten Lieferkette durchzusetzen, und so müssen auch kleinste Lieferanten dieser Betriebe entsprechende Maßnahmen umsetzen.

Angesichts der drohenden Bußgelder sind die regelmäßige Durchführung einer NIS-2-Betroffenheitsprüfung und entsprechende Vorbereitungsmaßnahmen für alle Unternehmen Pflicht.

Unternehmen mit einem Jahresumsatz von 50 Millionen Euro oder mehr fallen in die Kategorie der „wesentlichen Einrichtungen“. Diese Unternehmen müssen umfassende Cybersicherheitsmaßnahmen umsetzen, die Risikomanagement, Lieferketten-Sicherheit und Geschäftskontinuitätsplanung umfassen.

Wie man es nicht macht

Wie man es eben nicht macht, hat zum Leidwesen seiner Nutzer der US-Ableger der T-Mobile vorgemacht. Das Schwester­unternehmen des deutschen Flaggschiff-Mobilfunkers verfügt über das fort­schrit­tlichste, schnellste und umfas­sendste 5G-Netz Nordamerikas und ist das weltweit größte Tele­kommunikations­unternehmen nach Marktkapitalisierung.

Eine Cyberattacke gegen T-Mobile US im ersten Pandemiejahr (2020) hat kundeneigene Netzwerkinformationen (CPNI) von 200.000 Nutzern offengelegt, darunter Telefonnummern und anrufbezogene Daten.

Im folgenden Jahr (2021) hatten Hacker rund ein halbes Jahr lang Echtzeit-Zugriff auf sensible Kundendaten und bedienten sich umfassend. Die Passwörter zum Zugriff auf interne Systeme hatten sie anhand einiger offensichtlicher Möglichkeiten erraten – 2FA-Authentifizierung hätte dies verhindern können (inzwischen wurde diese auch umgesetzt). Der Vorfall kam erst ans Tageslicht, nachdem die Täter ihre Datenbeute im Internet veröffentlicht hatten.

Rund ein Jahr später raffte sich das Unternehmen auf, Schadensersatz in Höhe von 350 Millionen US-Dollar an einige der Betroffenen auszuzahlen, um eine Sammelklage beizulegen.

Ein wirksames Risikomanagement- und Meldesystem wurde anscheinend nicht implementiert, denn die Pannen häuften sich daraufhin weiter.

Bereits im folgenden Jahr (2022) erlangten Angreifer unbefugten Zugriff auf sensible Kundendaten, diesmal über eine Managementplattform von T-Mobile US, die der Mobilfunker einem MVNO (Mobile Virtual Network Operator) bereitstellte. MVNOs nutzen die weltweite Infrastruktur von T-Mobile, um eigene Mobilfunkdienste anzubieten. Einige zugangsrelevante Daten sollen sich die Angreifer von Mitarbeitern des T-Mobile-Konzerns herausgephischt haben. Hätte eine Mitarbeitersensibilisierung für die Bedrohungslage den Vorfall verhindern können?

Im Januar 2023 nutzten Hacker eine API-Schwachstelle aus. Diesmal waren „nur“ 37 Millionen Kundenkonten betroffen. Bei dieser Gelegenheit stellte T-Mobile US noch einen älteren Sicherheitsvorfall fest, der sich im November 2022 unbemerkt abgespielt hatte. Weitere Vorfälle ließen nicht lange auf sich warten.

In den folgenden beiden Monaten (Februar und März 2023) legte ein neuer Verstoß persönliche Daten einiger Kunden offen, darunter behördliche Ausweise und PIN-Nummern. Ende April raffte sich T-Mobile US dazu auf, einen neu aufgedeckten Cybervorfall rund tausend seiner Kunden mitzuteilen, nachdem man frühere Cybersicherheitspannen verschwiegen hatte.

Im September 2023 haben Hacker 89 GB Daten im Internet veröffentlicht, diesmal zur Abwechslung hauptsächlich über T-Mobile-Mitarbeiter. Als das Unternehmen mit der Krisenbewältigung kämpfte, legte ein neuer IT-Fehler – auch bereits im September – sensible Daten einiger Kunden anderen Kunden offen.

Eine anhängige Klage der Generalstaatsanwaltschaft dreht sich im Jahre 2025 um einen Vorfall, in dem 79 Millionen Kunden von T-Mobile US durch die persistente Cyber-Ignoranz des Anbieters geschädigt worden seien. Die Generalstaatsanwaltschaft argumentiert, dass T-Mobile US nicht nur unzureichende Sicherheitsmaßnahmen getroffen, sondern auch die Schwere des Vorfalls heruntergespielt habe. Dies habe die betroffenen Kunden daran gehindert, angemessen auf das Risiko von Identitätsdiebstahl oder Betrug zu reagieren.

Eine Reihe von Cyber-Vorfällen lässt auf eine persistente Bedrohungs­lage und eine Unternehmens­kultur der Ignoranz bei IT- und Kundensupport-Dienstleistern von T-Mobile USA schließen.

Cyberverstöße im Zeitraum 2021 bis 2023 will T-Mobile US demnächst mit FCC-Strafen in Höhe von 15,75 Millionen US-Dollar abgelten. Zusätzlich verpflichtete sich das Unternehmen, denselben Betrag wie die Strafe in Sicherheitsverbesserungen zu investieren.

Zum Vergleich: Im Jahr 2024 betrug die Gesamtvergütung der zwölf Vorstandsmitglieder von T-Mobile US zusammengerechnet mehr als 50 Millionen US-Dollar (mit weiteren leistungsbezogenen Anreizen noch obendrauf).

Die beiden Teilstrafen sind ein Tropfen auf den heißen Stein – davon kommt bei den Geschädigten nämlich kein Cent an.

Hätte T-Mobile US ähnliche Verstöße in Europa begangen und wäre es als essenzielles Unternehmen eingestuft worden, fielen die potenziellen Strafen unter der NIS-2-Richtlinie deutlich höher aus.

Die NIS-2 sieht für „essentielle Unternehmen“ Bußgelder in Höhe von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, was auch immer höher ausfällt. Für „wichtige Unternehmen“ beträgt die obere Grenze bis zu 7 Millionen Euro oder 1,4 Prozent des weltweiten Jahresumsatzes, was auch immer höher ausfällt. Weitere Konsequenzen umfassen die Veröffentlichung von Verstößen, temporäre Suspendierung von Geschäftsaktivitäten und persönliche Haftung von Führungskräften bei grober Fahrlässigkeit.

Bei einem geschätzten globalen Umsatz von etwa 79 Milliarden US-Dollar (2023) hätte eine NIS-2-Strafe für T-Mobile US bis zu 1,58 Milliarden US-Dollar (2 Prozent des Umsatzes) betragen können.

Sollten die anhaltenden Sicherheitsvorfälle bei T-Mobile US Schwachstellen in globalen Prozessen oder Systemen der Deutschen Telekom aufdecken, könnte dies im Rahmen der NIS-2 negative Auswirkungen auf europäische Schwesterunternehmen und den deutschen Mutterkonzern haben. Die Schwachpunkte sind die gemeinsame IT-Infrastruktur und Lieferkettenrisiken. Eine Untersuchung durch europäische Behörden könnte erfolgen, wenn Daten von EU-Europäern betroffen sein oder Schwachstellen in globalen Systemen nachweisbar aufgedeckt werden sollten. Da wäre auch die EU-DSGVO mit im Spiel. (Die Strafen in Europa verstehen sich additiv: einmal gemäß der EU-DSGVO und separat gemäß der NIS-2.)

Vor kurzem hat die Europäische Kommission begonnen, Ideen zur Überarbeitung der Cybersicherheitsvorschriften der EU einzuholen. Im Mittelpunkt der Überprüfung des Cybersecurity Act (CSA) stehen das Mandat der EU-Agentur für Cybersicherheit ENISA, der europäische Rahmen für Cybersicherheitszertifizierungen sowie die Bewältigung von Sicherheitsrisiken in der IKT-Lieferkette. Die EU hat es offenbar auf dem Radar.

Fazit

Die NIS-2 soll die Cyber-Resilienz der EU stärken. Dafür müssen die Unternehmen mitspielen. Wer jetzt nicht handelt, riskiert hohe Bußgelder und organisatorisches Chaos.

Über die Autoren: Das Autorenduo Anna Kobylinska und Filipe Pereira Martins arbeitet für McKinley Denali, Inc., USA.

(ID:50428108)