Alle Portale:
Mit der Umsetzung der EU-Richtlinie NIS-2 (Netz- und Informationssicherheits-Richtlinie 2) in Deutschland wurden die Anforderungen an die Informationssicherheit deutlich ausgeweitet. Ziel der Regelungen ist es, die Cyberresilienz von Organisationen zu stärken – insbesondere in Bereichen, die für die Versorgung der Bevölkerung von besonderer Bedeutung sind.
Dieser Beitrag gibt eine fachliche Orientierung, welche Organisationen grundsätzlich betroffen sein können, welche Fristen relevant sind und welche Themen jetzt adressiert werden sollten. Er ersetzt keine individuelle Rechts- oder Fachberatung, sondern dient als strukturierter Überblick für Verantwortliche im DRK-Verbund.
Das Gesetz zur Umsetzung der NIS-2-Richtlinie ist am 6. Dezember 2025 in Kraft getreten. Seitdem gelten – abhängig von der individuellen Betroffenheit – neue Pflichten, unter anderem zu:
Besonders relevant ist NIS-2 für DRK-Einheiten mit Bezug zum Gesundheitswesen und/oder mit größerem IT-Betrieb, zum Beispiel:
Diese Organisationen sollten ihre mögliche Betroffenheit jetzt aktiv prüfen.
Die NIS-2-Regelungen unterscheiden zwischen „besonders wichtigen“ und „wichtigen“ Einrichtungen. Vereinfacht gesagt können Organisationen betroffen sein, wenn:
Auch KRITIS-Organisationen müssen die Anforderungen der NIS2 erfüllen – ergänzend zu bestehenden Verpflichtungen, etwa nach § 8a BSIG.
Wichtig:
Die Betroffenheit ist nicht pauschal, sondern muss von jeder Organisation eigenständig geprüft und nachvollziehbar dokumentiert werden.
NIS-2 fordert die Umsetzung „geeigneter und verhältnismäßiger“ Maßnahmen. Zu den zentralen Themenfeldern zählen unter anderem:
In der Praxis bedeutet dies einen Mix aus organisatorischen Regelungen, Prozessen, technischen Maßnahmen und Qualifizierung.
Zur strukturierten Umsetzung ist in der Regel ein Informationssicherheitsmanagementsystem (ISMS) erforderlich. Hierfür kommen unterschiedliche Frameworks in Betracht (z. B. ISO 27001, BSI IT-Grundschutz oder weitere). Welche Struktur geeignet ist, hängt von Größe, Aufgaben und Risikoprofil der jeweiligen Organisation ab.
NIS2 macht Informationssicherheit ausdrücklich zur Chefsache:
Bei Verstößen oder fehlender Umsetzung sieht das Gesetz empfindliche Sanktionen vor:
Dieser Beitrag dient ausschließlich der fachlichen Orientierung. Er stellt keine Rechtsberatung dar und ersetzt keine individuelle Prüfung oder Beratung durch entsprechend qualifizierte Stellen.
Im DRK-Einkaufsportal stehen verschiedene Rahmenvertragspartner zur Verfügung, die das DRK bei der Umsetzung von NIS-2-Richtlinien unterstützen können. Bitte prüfen Sie die Angebote und Partneraktionen im Portal hinsichtlich der individuellen Anforderungen Ihrer Gliederung.
© KI-generiertes Bild mit Open AI