Sicherheit & NIS-2
NIS-2 Umsetzung – Cybersicherheit verbindlich organisieren
Seit dem 6. Dezember 2025 gilt in Deutschland das NIS-2-Umsetzungsgesetz. Rund 29.500 Unternehmen und Einrichtungen sind damit gesetzlich verpflichtet, ihre IT-Sicherheit nach dem Stand der Technik zu organisieren, sich beim BSI zu registrieren und erhebliche Sicherheitsvorfälle innerhalb fester Fristen zu melden. Betroffen sind nicht mehr nur klassische KRITIS-Betreiber, sondern viele mittelständische Unternehmen aus Industrie und Maschinenbau, Logistik, Lebensmittelwirtschaft, Gesundheitswesen und digitalen Diensten – und über die Lieferkette auch deren Zulieferer.
Die Rühlig Group unterstützt Unternehmen in Göttingen, im Harz und in Sachsen-Anhalt bei der NIS-2 Umsetzung: von der Betroffenheitsprüfung über die Analyse Ihrer IT bis zur Umsetzung technischer und organisatorischer Maßnahmen.
Cybersecurity
Cybersecurity bezeichnet den Schutz von IT-Systemen, Netzwerken und Daten vor unbefugtem Zugriff, Cyberangriffen und digitalen Bedrohungen. Für Unternehmen jeder Größe ist ein durchdachtes Sicherheitskonzept unverzichtbar geworden, um sensible Daten zu schützen, den Geschäftsbetrieb aufrechtzuerhalten und gesetzliche Anforderungen wie die NIS-2-Richtlinie zu erfüllen. Professionelle Cybersecurity-Maßnahmen helfen dabei, Risiken frühzeitig zu erkennen und zuverlässig abzuwehren.
NIS-2
NIS-2 ist eine EU-Richtlinie, die einheitliche Mindestanforderungen an die Cybersicherheit für Unternehmen und Organisationen in Europa festlegt und die bisherige NIS-Richtlinie von 2016 ablöst. Sie gilt grundsätzlich für mittlere und große Unternehmen aus 18 definierten Wirtschaftssektoren, darunter Energie, Gesundheitswesen und digitale Infrastruktur. Für betroffene Unternehmen ist die Umsetzung der NIS-2-Anforderungen unverzichtbar, um gesetzliche Pflichten zu erfüllen und die eigene IT-Resilienz nachhaltig zu stärken.
Cybersicherheit Bürosysteme
Cybersicherheit für Kopier- und Drucksysteme bezeichnet den Schutz von Druck- und Multifunktionsgeräten vor unbefugtem Zugriff und Cyberangriffen, die über diese Geräte in das gesamte Firmennetzwerk eindringen können. Falsch eingebundene oder veraltete Systeme stellen ein häufig unterschätztes Sicherheitsrisiko dar, das durch Maßnahmen wie verschlüsselte Festplatten, sichere Zugangskontrolle und regelmäßige Firmware-Updates gezielt minimiert werden kann. Eine sichere Integration der Bürotechnik in das bestehende IT-Sicherheitskonzept ist daher unverzichtbar für den zuverlässigen Schutz vertraulicher Unternehmensdaten.
Was bedeutet NIS-2 für Ihr Unternehmen?
NIS-2 geht auf die EU-Richtlinie 2022/2555 zurück und ist in Deutschland im BSI-Gesetz (BSIG) umgesetzt. Das Gesetz unterscheidet zwischen besonders wichtigen und wichtigen Einrichtungen. Betroffen sind in der Regel Unternehmen ab 50 Beschäftigten oder mehr als 10 Mio. Euro Jahresumsatz und Bilanzsumme, die in einem der Sektoren nach Anlage 1 oder 2 des BSI-Gesetzes tätig sind – etwa Energie, Gesundheit, Transport und Verkehr, Lebensmittel, Maschinenbau oder digitale Dienste. Für sie gelten diese Pflichten:
- Registrierung beim BSI spätestens drei Monate nach Eintritt der Betroffenheit – zweistufig über „Mein Unternehmenskonto“ und das BSI-Portal
- Risikomanagement-Maßnahmen nach dem Stand der Technik, unter anderem Risikoanalyse, Incident Response, Backup und Notfallmanagement, Lieferkettensicherheit, Schulungen, Verschlüsselung, Zugriffskontrolle und Multi-Faktor-Authentifizierung
- Meldepflichten bei erheblichen Sicherheitsvorfällen: frühe Erstmeldung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden, Abschlussmeldung nach 30 Tagen
- Verantwortung der Geschäftsleitung: Maßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen (§ 38 BSIG)
Bei Verstößen drohen Bußgelder von bis zu 10 Mio. Euro für besonders wichtige und bis zu 7 Mio. Euro für wichtige Einrichtungen; bei Unternehmen mit mehr als 500 Mio. Euro Gesamtumsatz können sie bis zu 2 % bzw. 1,4 % des Gesamtumsatzes erreichen (§ 65 BSIG). Ausführliche Hintergründe finden Sie in unserem Ratgeber NIS-2.
In 6 Schritten zur NIS-2 Umsetzung
- Betroffenheit klären: Die NIS-2-Betroffenheitsprüfung des BSI gibt eine erste Orientierung. Sie ersetzt keine rechtliche Bewertung, zeigt aber schnell, ob Handlungsbedarf besteht.
- Registrieren: Betroffene Einrichtungen registrieren sich über „Mein Unternehmenskonto“ und das BSI-Portal und benennen eine Kontaktstelle.
- Ist-Zustand erfassen: Welche Systeme, Daten und Prozesse sind geschäftskritisch? Wo bestehen bekannte Schwachstellen?
- Risiken bewerten und priorisieren: Maßnahmen dort ansetzen, wo Schaden und Eintrittswahrscheinlichkeit am höchsten sind.
- Maßnahmen umsetzen: Firewall, Patch-Management, Backup und Datensicherung, Multi-Faktor-Authentifizierung, restriktive Benutzerrechte – auch Netzwerkdrucker gehören dazu, siehe Cybersicherheit für Kopier- und Drucksysteme.
- Organisation regeln und nachweisen: Notfall- und Meldeprozesse festlegen, Verantwortliche benennen, Mitarbeitende schulen, Maßnahmen dokumentieren und regelmäßig überprüfen.
NIS-2 ist kein einmaliges Projekt, sondern ein fortlaufender Prozess. Orientierung bieten die Empfehlungen des BSI, insbesondere der IT-Grundschutz.
Leistungen von Rühlig zur NIS-2 Umsetzung
Die Rühlig Group begleitet Sie von der ersten Einschätzung bis zum laufenden Betrieb:
- IT-Sicherheits-Checkup für kleine und mittelständische Unternehmen – schnell, unverbindlich und kostenlos
- Unterstützung bei der NIS-2-Betroffenheitsprüfung und bei der Einordnung der Ergebnisse
- Analyse Ihrer IT-Infrastruktur und Ableitung priorisierter Maßnahmen
- Umsetzung technischer Schutzmaßnahmen: Firewall, Endpoint-Schutz, Backup, E-Mail-Sicherheit und Benutzerrechte
- Absicherung von Druck- und Multifunktionssystemen als häufig übersehene Schwachstelle
- Sensibilisierung und Schulung Ihrer Mitarbeitenden
- Laufende Betreuung im Rahmen unserer IT-Services
Hinweis: Die Informationen auf dieser Seite dienen der allgemeinen Orientierung und ersetzen keine Rechtsberatung.
Wie sicher ist Ihre IT heute?
Mit dem kostenlosen IT-Sicherheits-Checkup für kleine und mittelständische Unternehmen.
Zum IT-Sicherheits-Checkup
EIN UNVERBINDLICHES ERSTGESPRÄCH
Interessiert an weiteren Informationen zur NIS-2 Umsetzung?
Für eine individuelle Beratung rund um die NIS-2 Umsetzung und die Cybersicherheit Ihres Unternehmens stehen wir Ihnen gerne zur Verfügung. Gemeinsam entwickeln wir eine bedarfsgerechte Lösung, die auf Ihre Anforderungen hinsichtlich Compliance, Ausfallsicherheit, Datenschutz und Wirtschaftlichkeit abgestimmt ist. Rühlig unterstützt Sie bei Planung, Einführung und Optimierung Ihrer NIS-2-Maßnahmen – von der Analyse Ihrer bestehenden IT-Infrastruktur über die Priorisierung konkreter Schutzmaßnahmen bis zur sicheren Integration in Ihre Systemlandschaft.
Kontaktieren Sie uns noch heute und erfahren Sie, wie Sie Ihr Unternehmen mit einer strukturierten NIS-2 Umsetzung rechtssicher und widerstandsfähig aufstellen.
Jetzt unverbindliche Beratung anfordern
MATTHIAS HENTSCHEL
IT-Leiter
0173 5712512
hentschel@ruehlig.com
Häufige Fragen zur NIS-2 Umsetzung
Ist mein Unternehmen von NIS-2 betroffen?
Von NIS-2 betroffen sind in der Regel Unternehmen mit mindestens 50 Beschäftigten oder mehr als 10 Mio. Euro Jahresumsatz und Bilanzsumme, die in einem der Sektoren nach Anlage 1 oder 2 des BSI-Gesetzes tätig sind – etwa Energie, Gesundheit, Transport und Verkehr, digitale Infrastruktur, Abfallwirtschaft, Lebensmittel, Maschinenbau oder Anbieter digitaler Dienste. Einige Einrichtungen, zum Beispiel Betreiber kritischer Anlagen, fallen unabhängig von ihrer Größe darunter. Eine erste Orientierung bietet die Betroffenheitsprüfung des BSI. Die Rühlig Group hilft Ihnen, das Ergebnis richtig einzuordnen.
Seit wann gilt NIS-2 in Deutschland?
Das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz ist am 6. Dezember 2025 in Kraft getreten. Seitdem gelten die Pflichten zu Risikomanagement, Registrierung und Meldung von Sicherheitsvorfällen für besonders wichtige und wichtige Einrichtungen. Eine allgemeine Übergangsfrist sieht das Gesetz nicht vor.
Was muss ich für die NIS-2 Umsetzung als Erstes tun?
Der erste Schritt der NIS-2 Umsetzung ist die Klärung der Betroffenheit, danach folgt die Registrierung beim BSI innerhalb von drei Monaten. Anschließend sollten Sie den Ist-Zustand Ihrer IT-Sicherheit erfassen und Risiken bewerten. Daraus ergibt sich eine priorisierte Maßnahmenliste. Mit dem kostenlosen IT-Sicherheits-Checkup von Rühlig erhalten Sie dafür eine strukturierte Ausgangsbasis.
Welche technischen Maßnahmen verlangt NIS-2?
NIS-2 verlangt Risikomanagement-Maßnahmen nach dem Stand der Technik, ohne bestimmte Produkte vorzuschreiben. Das BSI-Gesetz nennt in § 30 Abs. 2 zehn Bereiche, darunter Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Backup und Notfallmanagement, Lieferkettensicherheit, Schwachstellenmanagement, Schulungen, Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentifizierung. Welche Maßnahmen für Ihr Unternehmen angemessen sind, hängt von Größe, Branche und Risikolage ab. Rühlig unterstützt Sie bei Auswahl und Umsetzung.
Welche Meldepflichten gelten nach NIS-2?
Nach NIS-2 müssen erhebliche Sicherheitsvorfälle in drei Stufen an das BSI gemeldet werden: eine frühe Erstmeldung innerhalb von 24 Stunden, eine Meldung mit erster Bewertung innerhalb von 72 Stunden und eine Abschlussmeldung nach 30 Tagen. Damit das im Ernstfall funktioniert, sollten Zuständigkeiten, Kontaktwege und Abläufe vorher festgelegt sein. Rühlig hilft Ihnen, solche Notfall- und Meldeprozesse aufzubauen.
Haftet die Geschäftsleitung bei Verstößen gegen NIS-2?
Ja, die Geschäftsleitung trägt bei NIS-2 ausdrücklich Verantwortung. Nach § 38 BSIG muss sie die Risikomanagement-Maßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen; verletzt sie diese Pflichten, haftet sie der eigenen Einrichtung für schuldhaft verursachte Schäden. Eine dokumentierte NIS-2 Umsetzung ist deshalb auch ein Schutz für die Leitungsebene. Für die rechtliche Bewertung im Einzelfall empfehlen wir eine Rechtsberatung.
Betrifft NIS-2 auch Unternehmen, die nicht selbst unter das Gesetz fallen?
Indirekt ja. NIS-2 verpflichtet betroffene Unternehmen, auch die Sicherheit ihrer Lieferkette zu berücksichtigen. Zulieferer und Dienstleister werden deshalb zunehmend nach ihren Sicherheitsmaßnahmen gefragt oder vertraglich verpflichtet. Wer seine IT-Sicherheit nachweisbar aufstellt, verschafft sich so einen Wettbewerbsvorteil.
