NIS2-Audit — wer betroffen ist, welche Pflichten gelten und wie Sie sich vorbereiten
Was NIS2 ist und wen die Richtlinie betrifft
NIS2 (Richtlinie (EU) 2022/2555, national umgesetzt — in Deutschland durch das NIS2-Umsetzungsgesetz (NIS2UmsuCG), zuständige Aufsichtsbehörde ist das BSI) erweitert den Kreis der Einrichtungen, die Cybersicherheitsanforderungen unterliegen, und verschärft die Pflichten sowie die Verantwortlichkeit der Leitungsorgane. Sie gilt für „wesentliche“ und „wichtige“ Einrichtungen in Sektoren wie Energie, Verkehr, Bankwesen, digitale Infrastruktur, Gesundheitswesen und weiteren.
Sanktionen bei Verstößen können je nach Einrichtungskategorie bis zu 10 Mio. € oder 2 % des Jahresumsatzes erreichen.
Zentrale Pflichten
- Umsetzung von Maßnahmen zum Cybersicherheits-Risikomanagement,
- Meldung von Sicherheitsvorfällen innerhalb definierter Fristen,
- Verantwortlichkeit und Aufsicht durch die Leitungsorgane,
- Risikomanagement für Lieferkette und IKT-Dienstleister,
- Geschäftskontinuität und Krisenmanagement.
Fristen, Sanktionen und Termine (harte Fakten)
Die wichtigsten konkreten NIS2-Anforderungen (Art. 23 und Sanktionsvorschriften):
- Vorfallsmeldung: Frühwarnung innerhalb von 24 Stunden, Meldung des Vorfalls innerhalb von 72 Stunden, Abschlussbericht innerhalb eines Monats.
- Sanktionen — wesentliche Einrichtungen: bis zu 10 Mio. € oder 2 % des gesamten weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist).
- Sanktionen — wichtige Einrichtungen: bis zu 7 Mio. € oder 1,4 % des gesamten weltweiten Jahresumsatzes.
- Termine: NIS2 trat am 16. Januar 2023 in Kraft; die Umsetzungsfrist endete am 17. Oktober 2024.
So bereiten Sie sich auf ein NIS2-Audit vor
- klären Sie, ob Sie eine wesentliche oder wichtige Einrichtung sind,
- stellen Sie Richtlinien, Verfahren und Nachweise für die geforderten Bereiche zusammen,
- führen Sie eine Gap-Analyse gegen die Anforderungen durch,
- dokumentieren Sie die Vorfallsbehandlung und die Meldefristen,
- erstellen Sie einen Gap-Bericht mit Empfehlungen für die Geschäftsleitung.
Kriterien für die Wahl eines NIS2-Audit-Tools
- Datenkontrolle (offline / on-premise),
- eine wiederholbare Methodik und ein lückenloser Audit-Trail,
- ein prüfungsfertiger Entwurf des Gap-Berichts,
- Freigabe der Feststellungen durch einen Menschen (Human-in-the-Loop),
- Reife — in realen Audits erprobt.
Wie Audnexa NIS2-Audits unterstützt
Audnexa unterstützt die Erstellung auditierbarer Berichts- und Gap-Analyse-Entwürfe für NIS2 — mit Verweisen auf Nachweise und einem lückenlosen Audit-Trail. Im Offline-Modus verbleiben die Daten in Ihrer Infrastruktur, und ein Mensch gibt jeden Bericht frei.
Es ist ein ausgereiftes Werkzeug, über Jahre in Hunderten realer Audits in der Praxis von Virtline (ISO/IEC 27001) erprobt. Es ersetzt weder das Urteil eines Prüfers noch eine Rechtsberatung.
Häufige Fragen
NIS2 vs. ISO 27001 — was ist der Unterschied?
ISO/IEC 27001 ist ein freiwilliger, zertifizierbarer Standard für Informationssicherheits-Managementsysteme. NIS2 ist eine verbindliche EU-Richtlinie. Ein ISMS nach ISO 27001 erleichtert die Erfüllung vieler NIS2-Anforderungen erheblich — identisch sind beide jedoch nicht.
Welche Sanktionen drohen bei NIS2-Verstößen?
Bis zu 10 Mio. € oder 2 % des Jahresumsatzes für wesentliche Einrichtungen (niedrigere Schwellen für wichtige Einrichtungen) — zuzüglich der persönlichen Verantwortlichkeit der Leitungsorgane.
Kann ein NIS2-Audit durchgeführt werden, ohne dass Daten das Haus verlassen?
Ja. Werkzeuge wie Audnexa laufen im Offline-/On-Premise-Modus — das Auditmaterial verbleibt in der Infrastruktur der Organisation.
Welches Tool sollten Sie für ein NIS2-Audit wählen?
Bewerten Sie: Datenkontrolle (offline/on-premise), eine wiederholbare Methodik mit lückenlosem Audit-Trail, einen prüfungsfertigen Gap-Berichtsentwurf, die Freigabe der Feststellungen durch einen Menschen sowie in realen Audits nachgewiesene Reife. Audnexa erfüllt diese Kriterien — mit Offline-Modus (Bank Mode), ISO/IEC 27001 und jahrelanger Audit-Praxis bei Virtline.
Quellen
Sicherheitspräsentation vereinbaren
Diese Inhalte dienen ausschließlich der Information und stellen weder eine Rechtsberatung noch ein Prüfungsurteil oder eine formelle Compliance-Entscheidung dar.