Betroffene Unternehmen müssen sich beim Bundesamt mit definierten Informationen registrieren. Die Meldung muss innerhalb von drei Monaten erfolgen, nachdem sie unter die Vorgaben fallen. Welche Informationen beim Registrierungsprozess genau gefragt sein werden, steht zum aktuellen Zeitpunkt noch nicht fest.

Unternehmen sind dazu verpflichtet, Risikoanalysen durchzuführen und entsprechende Maßnahmen zur Risikominimierung umzusetzen. Ziel dabei ist es, verhältnismäßige technische und organisatorische Maßnahmen auszuwählen, damit Störungen vermieden und Auswirkungen von Sicherheitsvorfällen möglichst gering gehalten oder gar verhindert werden.

Drei Jahre nach Inkrafttreten der NIS-2 müssen die betroffenen Einrichtungen ihre Erfüllung der Anforderungen gegenüber dem Bundesamt für Sicherheit in der Informationstechnik (BSI) nachweisen. Danach muss der Nachweis alle zwei Jahre erneut erbracht werden.

Die Geschäftsleitung muss die zu erfüllenden Maßnahmen freigeben. Außerdem sind regelmäßige Schulungen und Trainings zur Risikoidentifizierung sowie zur allgemeinen Sensibilisierung im Umgang mit IT-Sicherheit Aufgabe der Leitung.

Ernsthafte Sicherheitsvorfälle müssen unverzüglich dem BSI gemeldet werden. Das NIS2UmsuCG sieht zusätzlich einen dreistufigen Meldeprozess vor, in dem Unternehmen einen vorläufigen Bericht innerhalb von 24 Stunden, einen vollständigen Bericht innerhalb von 72 Stunden und einen Abschlussbericht innerhalb eines Monats vorlegen müssen.

Bei erheblichen Sicherheitsvorfällen kann der Bund das Unternehmen anweisen, die Nutzer des Dienstes über den Vorfall zu informieren und vor möglichen Gefahren zu warnen.

Die NIS-2 betrifft jedoch nicht nur Unternehmen. Auch die Behörden sind nun verpflichtet einige neue Vorschriften umzusetzen. Zum Beispiel müssen sie eine nationale Cybersicherheitsstrategie entwickeln und ihre Rolle bei IT-Sicherheitsvorfällen ist klar definiert. So darf die Aufsichtsbehörde, in Deutschland das BSI, Vor-Ort-Kontrollen und gezielte Sicherheitsprüfungen und -scans durchführen. Zudem kann das BSI sogar einen Beauftragten zur Überwachung einsetzen und dem Management vorübergehend die Wahrnehmung der Leitungsaufgaben untersagen. Weiterhin soll eine europäische Schwachstellendatenbank und ein Cybersecurity Incident Response Team (CSIRT) errichtet werden.

Wenn Unternehmen die Anforderungen nicht erfüllen, können die Behörden Sanktionen und Bußgelder verhängen. Je nach Einordnung in wesentliche oder wichtige Einrichtung, drohen dieser 7-10 Millionen Euro bzw. 1,4-2 Prozent des weltweiten Jahresumsatzes Strafe – je nachdem welcher Betrag höher ist.