Cyber- & IT-Sicherheit

Fällt unser Unternehmen unter NIS2?

Das hängt von Ihrem Sektor (18 Sektoren) und Ihrer Größe ab, in der Regel ab 50 Beschäftigten oder mehr als 10 Mio. € Jahresumsatz und Jahresbilanzsumme. Manche Einrichtungen sind unabhängig von ihrer Größe erfasst. In Deutschland gilt das NIS2UmsuCG seit dem 6. Dezember 2025, und betroffene Einrichtungen müssen sich beim BSI registrieren.

Was müssen wir melden, und wie schnell?

Bei erheblichen Sicherheitsvorfällen:

• eine Frühwarnung innerhalb von 24 Stunden
• eine Meldung innerhalb von 72 Stunden
• einen Abschlussbericht innerhalb eines Monats

Gilt der Cyber Resilience Act für Software?

Ja. Er erfasst Produkte mit digitalen Elementen, die in der EU auf den Markt gebracht werden, einschließlich eigenständiger Software. Die Meldepflichten gelten seit dem 11. September 2026, die gesamte Verordnung ab dem 11. Dezember 2027.

Haftet die Geschäftsleitung persönlich?

Nach NIS2 muss die Geschäftsleitung die Risikomanagementmaßnahmen im Bereich der Cybersicherheit billigen und überwachen sowie an Schulungen teilnehmen. Bei Verstößen gegen diese Pflichten kann sie haften.

Für wen gilt DORA?

DORA gilt seit dem 17. Januar 2025 für Finanzunternehmen wie Banken, Versicherungen und Wertpapierfirmen. Mittelbar betroffen sind ihre IKT-Dienstleister, und kritische IKT-Drittdienstleister werden direkt beaufsichtigt.