Was NIS2 ist
NIS2 ist die Richtlinie (EU) 2022/2555, die zweite EU-Richtlinie zur Netz- und Informationssicherheit. Sie verpflichtet Betreiber wichtiger Dienste, ihre IT gegen Angriffe abzusichern, Vorfälle zu melden und die Verantwortung dafür in der Geschäftsleitung zu verankern.
Der entscheidende Unterschied zur Vorgängerregelung: Es trifft nicht mehr nur große Konzerne und Netzbetreiber, sondern viele mittlere Betriebe, darunter kommunale Unternehmen, die bisher nie mit dem BSI zu tun hatten.
Wer in einer Kommune betroffen ist
Die Kernverwaltung einer Gemeinde, also Rathaus, Bauamt, Meldestelle, fällt in der Regel nicht unter NIS2; ob für Kommunen Landesregelungen gelten, klärt Ihre Rechtsberatung. Betroffen sind aber häufig die Betriebe, die eine Kommune trägt oder an denen sie beteiligt ist:
- Stadtwerke und Energieversorger (Sektor Energie), auch bei Strom- oder Wärmenetzen in kleinem Maßstab
- Wasserversorger und Abwasserverbände (Sektoren Trinkwasser und Abwasser)
- Krankenhäuser, Kliniken und Rettungsdienste in kommunaler Trägerschaft (Sektor Gesundheit)
- Verkehrsbetriebe, Häfen und Fährbetriebe (Sektor Verkehr), was in Ostfriesland Inselverkehr einschließt
- Kommunale IT-Dienstleister und Rechenzentren, die mehrere Körperschaften versorgen (Sektor digitale Infrastruktur)
- Abfallwirtschaftsbetriebe (Sektor Abfall) als „wichtige Einrichtung“
Ob eine Einrichtung betroffen ist, hängt von zwei Dingen ab: dem Sektor und der Größe. Beides muss zutreffen.
Größe und Sektor entscheiden
Erfasst sind im Kern mittlere und große Einrichtungen bestimmter Sektoren; maßgeblich sind Beschäftigtenzahl und Umsatz bzw. Bilanzsumme. Die Kernverwaltung einer Gemeinde fällt meist nicht darunter. Ob ein Betrieb die Schwellen erreicht, prüft Ihre Rechtsberatung; die Zahlen dafür stellen wir mit Ihnen zusammen.
Die Pflichten im Überblick
- Registrierung beim BSI, sobald die Einrichtung unter die Regelung fällt; die Fristen klären wir im Gespräch. Die Einrichtung muss ihre Betroffenheit selbst feststellen; es kommt kein Brief.
- Risikomanagement: angemessene technische und organisatorische Maßnahmen nach dem Stand der Technik, verhältnismäßig zur Größe und zum Risiko.
- Meldung erheblicher Sicherheitsvorfälle an das BSI in drei Stufen.
- Verantwortung der Geschäftsleitung: Billigung und Überwachung der Maßnahmen, Schulungspflicht, persönliche Haftung.
- Nachweise bei besonders wichtigen Einrichtungen und Betreibern kritischer Anlagen.
Risikomanagement in zehn Maßnahmen
Das Gesetz nennt zehn Bereiche, die mindestens abgedeckt sein müssen. Für einen kommunalen Betrieb mit 50 bis 150 Beschäftigten heißt das in der Praxis:
- Risikoanalyse und Sicherheitskonzept: Welche Systeme sind kritisch, was passiert bei Ausfall, wer entscheidet. Ein Dokument, das jährlich fortgeschrieben wird.
- Bewältigung von Vorfällen: Ein Notfallplan auf Papier, der auch funktioniert, wenn das Netz steht. Wer ruft wen an, in welcher Reihenfolge.
- Betriebskontinuität: Datensicherung außer Haus mit getesteter Wiederherstellung, Notstrom für die Leitsysteme, Ersatzverfahren für die Kasse der Stadtwerke.
- Sicherheit der Lieferkette: Welche Dienstleister haben Zugriff, mit welchen Verträgen. Fernwartungszugänge nur auf Anforderung und zeitlich begrenzt.
- Sicherheit bei Beschaffung und Betrieb: Updates mit festem Rhythmus, Schwachstellen bekannt und bewertet, keine Systeme ohne Hersteller-Support am Netz.
- Bewertung der Wirksamkeit: Einmal im Jahr prüfen lassen, ob die Maßnahmen greifen, zum Beispiel durch einen Penetrationstest von außen.
- Cyberhygiene und Schulung: Regelmäßige Schulungen, für die Leitung ausdrücklich vorgeschrieben, dazu eine Phishing-Übung. Wir planen dafür zwei Stunden im Jahr je Person.
- Kryptografie: Verschlüsselte Datenträger, verschlüsselte Übertragung, kein Passwort auf Zetteln.
- Personalsicherheit, Zugriffskontrolle, Asset-Management: Wer darf was, Rechte beim Ausscheiden entzogen, eine Liste aller Geräte und Programme.
- Mehr-Faktor-Authentifizierung und sichere Kommunikation: Zweiter Faktor für Fernzugriff, E-Mail-Postfächer und Verwaltungskonten ohne Ausnahme.
Nichts davon ist exotisch. Der größte Aufwand liegt meist darin, es aufzuschreiben, zu testen und jedes Jahr wieder anzufassen.
Meldepflichten bei erheblichen Vorfällen
„Erheblich“ ist ein Vorfall, der schwere Betriebsstörungen oder finanzielle Verluste verursacht oder andere Personen erheblich beeinträchtigen kann. Ein verschlüsselter Server der Stadtwerke, der die Abrechnung lahmlegt, ist erheblich. Eine Phishing-Mail, die niemand geöffnet hat, ist es nicht. Wer unsicher ist, meldet lieber einmal zu viel; eine Meldung ist kein Schuldeingeständnis.
Was die Leitung persönlich betrifft
Die Geschäftsleitung, bei einem Eigenbetrieb die Werkleitung, beim Zweckverband der Verbandsvorsteher, muss die Risikomanagement-Maßnahmen billigen und ihre Umsetzung überwachen. Sie muss regelmäßig an Schulungen teilnehmen. Verletzt sie diese Pflichten, folgt daraus eine Haftung; welche, klärt Ihre Rechtsberatung. Das ist der Teil des Gesetzes, der in Gremiensitzungen am meisten Aufmerksamkeit bekommt, und zu Recht: Das Thema lässt sich nicht an die IT delegieren.
Wie hoch Bußgelder ausfallen können, klärt Ihre Rechtsberatung. Für kommunale Betriebe ist weniger das Bußgeld das Risiko als der Ausfall selbst: Fällt in einem Wasserwerk das Leitsystem aus, wird daraus schnell eine Krisenlage.
Rechenbeispiel: Stadtwerke mit 70 Beschäftigten
Ein Versorger mit Strom- und Wärmenetz, 70 Beschäftigten, Leitsystem, Abrechnung und Kundencenter. Die Mengen sind Beispiele; Preise nennen wir im Angebot.
| Baustein | Menge | Rechenweg |
|---|---|---|
| Risikoanalyse, Sicherheitskonzept, Notfallplan | 1 Einsatz | Stunden × Stundensatz, Fortschreibung nach Aufwand |
| Netzsegmentierung Büro und Leittechnik, Firewall | nach Angebot | Pflege im Vertrag |
| Backup außer Haus mit Testwiederherstellung | Datenmenge in GB | 300 GB je Gerät für 12,99 € im Monat, ab 20 Geräten nach Angebot, mehr Speicher auf Anfrage |
| Zweiter Faktor für alle Konten | 70 Konten | 70 × Preis je Konto |
| Schulung mit Phishing-Übung, zwei Stunden je Person | 70 Personen × 2 Stunden | Stunden × Stundensatz |
| Penetrationstest von außen | 1 Test | nach Angebot |
| Service-Level Gold mit 2 Stunden Reaktionszeit, Monitoring als Modul | 1 Vertrag | 299,90 € je Monat netto, Module laut Preisrechner |
Im ersten Jahr ist der Aufwand höher, danach deutlich geringer. Zum Vergleich: Ein Ransomware-Vorfall kann bei einem Versorger dieser Größe erhebliche Kosten verursachen, dazu kommt der Reputationsschaden.
Checkliste für die nächsten 90 Tage
Wer diese neun Punkte in 90 Tagen schafft, hat den größten Teil des Risikomanagements erledigt. Danach geht es vor allem darum, alles aktuell zu halten.
Wo Ihr Betrieb bei diesen Punkten heute steht, zeigt der NIS2-Check in wenigen Minuten, als Radar je Handlungsfeld mit ersten Maßnahmen. Er ersetzt keine Prüfung der Betroffenheit.
