NIS-2-Richtlinie: Das müssen betroffene Unternehmen wissen

Ein Cyberangriff kann für Unternehmen schnell zu einem existenziellen Problem werden. Im schlimmsten Fall sind nicht nur interne Systeme betroffen, sondern es ergeben sich auch gesamtgesellschaftliche Konsequenzen – und das sogar grenzüberschreitend. Mit der NIS-2-Richtlinie sollen deshalb einheitliche Standards für die Cybersicherheit in der EU etabliert werden. Ab 18. Oktober werden die neuen Anforderungen auch für deutsche Unternehmen verpflichtend; ansonsten drohen hohe Bußgeldzahlungen.

In diesem Beitrag bekommen Sie einen kompakten Überblick über die Inhalte von NIS-2, wer betroffen ist und wie Sie die einzelnen Anforderungen richtig umsetzen.

Was ist die NIS-2-Richtlinie?

Internetkriminalität ist längst zu einem grenzübergreifenden Problem geworden. Laut einer EU-Umfrage aus dem Jahr 2022 waren 28 Prozent der KMU von Cyberkriminalität betroffen. Durch die militärische Aggression Russlands gegen die Ukraine hat sich die Bedrohungslage noch verschärft. Hacker greifen im großen Maßstab europäische Unternehmen an, oft mit staatlicher Unterstützung. Zu den häufigsten Angriffsarten zählen die Infizierung mit Ransomware und Phishing-Attacken.

Hinzu kommt die fortschreitende Vernetzung. Das Bundeskriminalamt warnt in einer Pressemitteilung vom 13. Mai 2024 davor, dass zunehmend Straftaten, die im Ausland begangen wurden, Auswirkungen auf Deutschland haben. Während die Inlandstaten mit 134.407 Fällen auf einem hohen Niveau stagnieren, sind die Auslandstaten im Jahr 2023 um 28 % gestiegen.

Die NIS-2-Richtlinie ist eine Reaktion auf diese Entwicklungen. Es handelt sich dabei um eine EU-weite Gesetzgebung, die Unternehmen dazu verpflichtet, Maßnahmen zur Erhöhung ihrer Cybersicherheit zu ergreifen. Die erste NIS-Verordnung wurde bereits 2016 eingeführt und aufgrund neuer Bedrohungslagen im Jahr 2022 erheblich ausgeweitet; das Ergebnis war die neue NIS-2-Richtlinie. Diese muss nun bis Ende 2024 in die nationale Gesetzgebung der Mitgliedstaaten integriert werden.

Wissenswert NIS-2 steht als Abkürzung für die „Network and Information Security“-Direktive der EU in der zweiten Auflage. Ab 18. Oktober ist die neue Regelung europaweit verpflichtend. In Deutschland erfolgt die Umsetzung der europäischen NIS-2-Direktive im Rahmen des NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG). Schätzungen zufolge werden etwa 30.000–40.000 deutsche Unternehmen von NIS-2 betroffen sein.

Welche Unternehmen sind betroffen?

Verpflichtend wird NIS-2 ab dem 18. Oktober 2024 für jede Organisation mit mehr als 50 Mitarbeitern und einem Jahresumsatz von mehr als 10 Millionen Euro, die in einem der 18 definierten Wirtschaftssektoren tätig ist. Es gibt aber auch Sonderfälle, bei denen Unternehmen unabhängig von ihrer Größe der NIS-2-Direktive unterliegen, z. B. wenn ein Ausfall Konsequenzen für die öffentliche Ordnung hätte.

Bei den 18 Sektoren wird zwischen „Essential Entities“ (11 Sektoren) und „Important Entities“ (7 Sektoren) unterschieden. Diese Unterscheidung wirkt sich unter anderem auf den Umfang der staatlichen Aufsicht und die Höhe der möglichen Bußgeldzahlungen aus. Bei den „Essential Entities“ erfolgt die Aufsicht proaktiv, z. B. durch regelmäßige Sicherheitsprüfungen; die vorgesehenen Strafen liegen höher. Bei den „Important Entities“ erfolgt die Aufsicht reaktiv (nach Hinweisen auf Verstöße) und die Bußgeldzahlungen liegen etwas niedriger.

Hier eine Übersicht über die 18 Sektoren der NIS-2-Direktive:

„Essential Entities“	„Important Entities“
– Energiewirtschaft – Verkehrswesen – Banken – Finanzen & Versicherungen  – Gesundheitswesen  – Trinkwasser – Abwasser – Digitale Infrastruktur – IKT-Anbieter – Öffentliche Verwaltung  – Weltraum	– Post- und Kurierdienste  – Abfallwirtschaft – Produktion & Handel mit chemischen Stoffen – Produktion, Verarbeitung & Vertrieb von Lebensmitteln  – Verarbeitendes Gewerbe  – Anbieter digitaler Dienste – Forschung

Das sind die Ziele

Durch die zunehmende Digitalisierung ist eine länderübergreifende Cyber-Bedrohungslage entstanden. NIS-2 wirkt dem entgegen. Die Direktive wird die Cyberresilienz im öffentlichen und privaten Bereich erhöhen und die Reaktionsfähigkeit der zuständigen Behörden in der gesamten EU verbessern.

Insgesamt lassen sich drei übergeordnete Ziele aus der Richtlinie ableiten:

• Die EU-Mitgliedstaaten sollen besser gegen Cyberangriffe gerüstet sein (siehe auch Blogartikel „Ransomware-Schutz: Die Top-12-Maßnahmen für Unternehmen“)
• Die Zusammenarbeit der Mitgliedstaaten und der Informationsaustausch, auch zwischen Unternehmen, sollen verbessert werden
• Alle Sektoren, die eine zentrale Stellung in der Wirtschaft und Gesellschaft einnehmen, sollen eine Sicherheitskultur praktizieren

Was passiert bei Nichteinhaltung der Richtlinie?

Betroffene Unternehmen, welche die neuen Vorschriften ignorieren bzw. nicht korrekt umsetzen, müssen mit ernsten Konsequenzen rechnen. Für „Essential Entities“ werden Bußgelder bis zu 10 Millionen Euro oder 2 % des weltweiten Unternehmensumsatzes fällig. Es gilt der jeweils höhere Betrag. Für „Important Entities“ werden bei Verstößen Bußgelder bis zu 7 Millionen Euro oder 1,4 % des weltweiten Unternehmensumsatzes fällig. Auch hier gilt der jeweils höhere Betrag.

Welche Auswirkungen hat NIS-2 auf Nicht-EU-Unternehmen?

Die Verordnung wurde primär für europäische Unternehmen erlassen. Nicht-EU-Unternehmen sind dann betroffen, wenn sie in der EU tätig sind bzw. Dienstleistungen für EU-Bürger oder EU-Unternehmen erbringen. Lieferanten oder Dienstleister von NIS-2-Unternehmen sind indirekt betroffen. Sie müssen damit rechnen, dass sich ihre Kunden an sie wenden und die Einhaltung von bestimmten Sicherheitsvorgaben fordern werden, um den Supply-Chain-Anforderungen von NIS-2 zu genügen.

NIS-1 vs. NIS-2: Das ist neu

Die NIS-2-Richtlinie basiert auf der 2016 eingeführten NIS-1-Direktive, führt jedoch wesentliche Erweiterungen auf.

Mit NIS-2 hat sich zum einen der Anwendungsbereich vergrößert. Es werden nun deutlich mehr Sektoren definiert, die aufgrund ihres wirtschaftlichen und gesellschaftlichen Einflusses als kritisch gelten.

Weiterhin haben sich die Meldepflichten verschärft. Vorfälle müssen nun schon kurze Zeit nach ihrem Eintritt an die nationale Sicherheitsbehörde kommuniziert werden. Generell wurden die Anforderungen an das Risikomanagement deutlich erhöht. Unternehmen müssen jetzt umfangreichere Prozesse implementieren, um Compliance zu gewährleisten. Auch die vorgesehenen Sanktionen wurden verschärft und gleichzeitig vereinheitlicht. Das wird es den Behörden in Zukunft erleichtern, Verstöße effektiv und zeitnah zu ahnden.

Außerdem rückt die Direktive die Lieferketten in den Blick. Nicht nur die Unternehmen selbst, sondern auch ihre Lieferanten müssen nun hohe Sicherheitsstandards einhalten. Last, but not least wird mit der Erweiterung der Richtlinie die Rolle nationaler Aufsichtsbehörden sowie der ENISA (European Network and Information Security Agency) gestärkt.

NIS-2: Das sind die wichtigsten Anforderungen an Unternehmen

Wie gestaltet sich nun das Prozedere für Unternehmen? Im ersten Schritt gilt es zu prüfen, ob die eigene Organisation unter einen der definierten NIS-2-Sektoren fällt. Ist dies der Fall, müssen im Anschluss die Anforderungen aus dem NIS2UmsuCG umgesetzt werden.

Das erstreckt sich primär auf vier Bereiche:

1. Registrierung bei der nationalen Behörde
2. Risikobewertung und -management
3. Lieferkettenanforderungen
4. Meldepflichten

Schauen wir uns diese Anforderungen im Detail an.

1. Registrierung bei der nationalen Behörde

Deutsche Unternehmen, die unter die NIS-2-Richtlinie fallen, müssen sich proaktiv beim Bundesamt für Sicherheit in der Informationstechnik (BSI) als „verpflichtende Institution“ registrieren. Diese Meldung muss von wichtigen Einrichtungen („Important Entities“) innerhalb von drei Monaten nach dem Inkrafttreten des NIS2UmsuCG erfolgen. Betreiber kritischer Anlagen („Essential Entities“) haben für die Registrierung sogar nur einen Tag Zeit.

2. Implementierung einer Risikobewertung und eines Risikomanagements

Um die unternehmensspezifischen Cyberrisiken zu erkennen, schreibt das Gesetz regelmäßige Risikobewertungen vor, um potenzielle Schwachstellen auszumachen. Darüber hinaus müssen „geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen“ zur Absicherung der eigenen Systeme getroffen werden. Das betrifft sowohl die IT-Systeme selbst als auch deren physische Umgebung. Diese Maßnahmen umfassen unter anderem:

• Konzepte für die Risikoanalyse
  Unternehmen sollten klare Konzepte für die Risikoanalyse und die Sicherheit ihrer Informationssysteme entwickeln. Dazu gehören eine regelmäßige Bewertung der Risiken, die Einführung von Maßnahmen zur Risikominimierung und die regelmäßige Evaluierung dieser Maßnahmen.

• Vorfall-Bewältigung
  Im Falle eines Cybervorfalls müssen Mechanismen zur schnellen Erkennung, Analyse und Eindämmung vorhanden sein (siehe unseren Blogbeitrag „Wie ein Security Operations Center (SOC) für mehr Cybersicherheit sorgt„). Unternehmen sollen zeitnah auf Bedrohungen reagieren können.

• Business Continuity Management
  Firmen müssen über genaue Pläne verfügen, wie sie im Falle eines Cyberangriffes betroffene Daten und Systeme schnellstmöglich wiederherstellen können (siehe auch Blogartikel „Wie Sie eine Backup-Strategie für Ihr Unternehmen entwickeln“). Das Ziel ist es, eine Geschäftsunterbrechung abzuwenden bzw. Ausfallzeiten so gering wie möglich zu halten.

• Einkaufsrichtlinien für die IT-Sicherheit
  Sicherheitsüberlegungen müssen in allen Phasen des Einkaufs und der Wartung von IT-Systemen berücksichtigt werden. Unternehmen sollten ausschließlich sichere Technologien einsetzen und regelmäßige Upgrades durchführen.

• Bewertung der Wirksamkeit von Sicherheitsmaßnahmen
  Im Rahmen regelmäßiger IT-Audits sollte die Wirksamkeit der implementierten Sicherheitsstrategien bewertet werden.

• Cyberhygiene und Schulungen
  Die einmalige Implementierung von Securitysoftware reicht nicht aus, um langfristig Cybersicherheit zu garantieren. Cyberhygiene muss fortlaufend betrieben werden. Das umfasst auch die regelmäßige Schulung der Mitarbeiter, mit dem Ziel, das Sicherheitsbewusstsein aller Beteiligten zu verbessern.

• Einsatz von Verschlüsselungstechnologien
  Für sensible Informationen sollten bei der Übertragung Verschlüsselungstechnologien eingesetzt werden. So wird die Integrität der Daten gewährleistet.

• Einrichtung von Zugriffskontrollen
  Oftmals haben Mitarbeiter wesentlich mehr Zugriffsrechte auf Daten, als sie für ihre Arbeit brauchen. Daher sollten Zugriffsrechte streng vergeben und regelmäßig neu bewertet werden. Es sollten nur möglichst wenige Personen Zugang zu den kritischen Systemen haben („Least Privilege Access“).

• Multi-Faktor-Authentifizierung
  Um Zugang zu kritischen Systemen zu bekommen, sollte eine Multi-Faktor-Authentifizierung implementiert werden. Die Hürde für unbefugte Zugriffe wird dadurch signifikant erhöht.

• Sichere Kommunikation
  Es sollten Sicherheitsmechanismen für alle Formen der Kommunikation eingerichtet werden. Das umfasst sowohl die schriftliche Kommunikation via E-Mail als auch Video- und Sprachaufnahmen.

Die Einhaltung dieser Anforderungen ist Chefsache. Bei mangelhaftem Risikomanagement haftet die Geschäftsleitung persönlich gegenüber dem Unternehmen.

3. Anforderungen an die Sicherheit der Lieferkette

Unternehmen werden durch NIS-2 dazu angehalten, ihre eigenen Vorgaben an die Cybersicherheit auf die Lieferkette auszuweiten. Der Hintergrund: Angreifer könnten die Supply-Chain als Einfallstor für Cyberattacken missbrauchen bzw. kritischen Unternehmen die Produktionsgrundlage entziehen.

Ein Beispiel: Energieerzeuger gehören zu den kritischen Infrastrukturen, weil sie die Energieversorgung eines Landes sicherstellen. Von der NIS-2-Richtlinie könnten nun aber auch die Hersteller von Windrädern betroffen sein, weil sie als wichtiger Teil der Lieferkette eingestuft werden.

Die Sicherheitsanforderungen müssen Teil der Verträge mit den Zulieferern sein. Abhängig davon, welche Produkte oder Dienstleistungen die Lieferanten bereitstellen, können die Behörden im Einzelfall den Nachweis einer entsprechenden Cybersicherheitszertifizierung verlangen.

4. Meldepflicht bei Sicherheitsvorfällen

Sollte es zu einem IT-Sicherheitsvorfall kommen, haben Unternehmen die Pflicht, diesen umgehend an die nationale Behörde zu melden. Die NIS-2-Direktive sieht konkrete Fristen vor, bis wann der Vorfall gemeldet werden muss:

1. Frühwarnung innerhalb von 24 Stunden
   Ab der Entdeckung des Sicherheitsvorfalls muss eine Meldung innerhalb eines Tages erfolgen. Dabei muss der Verdacht möglichst genau beschrieben werden. Wichtig ist, zu spezifizieren, ob es sich um einen rechtswidrigen, böswilligen und/oder grenzüberschreitenden Angriff handelt.
2. Berichterstattung innerhalb von 72 Stunden
   Nach spätestens 72 Stunden muss das betroffene Unternehmen eine erste Bewertung des Sicherheitsvorfalls abgeben. Relevant ist eine Benennung des Schweregrades, der Auswirkungen und in welchem Umfang eine Kompromittierung stattgefunden hat.
3. Abschlussbericht nach 1 Monat
   Einen Monat nach dem Vorfall muss ein detaillierter Bericht vorliegen, der die Art der Bedrohung und die Ursachen beschreibt. Der Bericht muss auch konkrete Abhilfemaßnahmen benennen.

Welche Aufgaben hat die ENISA?

Die Agentur der Europäischen Union für Cybersicherheit (engl. European Network and Information Security Agency, ENISA) übernimmt wichtige Aufgaben bei der Umsetzung der NIS-2-Richtlinie.

Die Agentur wurde 2004 mit dem Ziel gegründet, ein einheitliches Cybersicherheitsniveau in ganz Europa zu erreichen. Eine der Hauptaufgaben der ENISA besteht darin, die Politik fachlich bei Cybersicherheitsfragen zu beraten. Weiterhin unterstützt sie die Mitgliedstaaten bei der Implementierung von Cybersicherheitsstandards, unter anderem von NIS-2. Die Rolle der ENISA wird durch die neue Direktive gestärkt.

Wissenswert Die Mitgliedstaaten sind dafür verantwortlich, dass die NIS-2-Vorgaben eingehalten werden. Dazu müssen sie „Computer Security Incident Response Teams“ (CSIRTs) benennen, die für die Handhabung von Störungen verantwortlich sind. Durch solche nationalen „Single Points of Contact“ (SPoC) soll die innereuropäische Zusammenarbeit erleichtert werden. In der Praxis geschieht dies, indem die CSIRTs an die übergeordnete ENISA berichten. Hier laufen also alle Fäden zusammen.

Vorteile: So profitieren Unternehmen von der NIS-2-Verordnung

Im Zeitalter der Digitalisierung besteht die Frage nicht mehr darin, ob ein Unternehmen von einem Cyberangriff betroffen sein wird, sondern wann. Es sollte also im eigenen Interesse der Unternehmen sein, die Direktive genau umzusetzen. Aber auch die hohen Sanktionen von NIS-2 stellen einen Grund dar, die digitale Betriebsstabilität verbessern zu wollen. Wer das tut, profitiert von zahlreichen Vorteilen:

→ Vertrauensaufbau bei Kunden und Partnern
Unternehmen, die sich nachweislich um ihre Cybersicherheit und den Schutz sensibler Kundendaten bemühen, erhöhen das Vertrauen ihrer Stakeholder in sie.

→ Entscheidender Wettbewerbsvorteil
Die Einhaltung von NIS-2 kann zu einem wichtigen Wettbewerbsvorteil werden. Beklagt ein direkter Mitbewerber einen Sicherheitsvorfall, können Unternehmen, die nachweislich eine hohe Cybersicherheit gewährleisten, attraktiver für Neukunden erscheinen.

→ Vorbereitung auf zukünftige Regulierungen
Durch die frühzeitige Implementierung von NIS-2 sind Unternehmen besser auf zukünftige gesetzliche Anforderungen im Bereich der Cybersicherheit vorbereitet. Sie können bereits auf einer soliden Basis aufbauen.

→ Schnellere Reaktion auf Krisen
NIS-2 zwingt Unternehmen dazu, Reaktionspläne zu erstellen. Dadurch sind sie besser auf Katastrophenfälle vorbereitet. Sie haben gute Chancen, rechtzeitig zu handeln, bevor das System großflächig infiziert wird.

Mit der Einhaltung der NIS-2-Richtlinie fördern Sie eine Kultur der Sicherheit in Ihrem Unternehmen. Das macht Sie nicht nur resilienter, sondern auch wirtschaftlich leistungsfähiger.

Herausforderungen bei der NIS-2-Umsetzung

Viele Unternehmen, die bislang nicht von der NIS-Richtlinie betroffen waren, fallen nun unter die neue NIS-2-Direktive. Sie müssen nun innerhalb kurzer Zeit die Anforderungen korrekt umsetzen.

Die meisten KMU können das intern kaum leisten, weil das Inhouse-Team mit Kernaufgaben beschäftigt ist und auch weil häufig das entsprechende Know-how fehlt. Hier empfiehlt sich die Zusammenarbeit mit einem externen Managed-Security-Provider. Diese Dienstleister können schnell maßgeschneiderte Sicherheitslösungen umsetzen.

Einen Stolperstein bildet auch die Lieferkettensicherheit. Unternehmen müssen sich nicht mehr nur um ihre internen Systeme kümmern, sondern auch Lieferanten in den Blick nehmen. Die Supervision externer Partner gehört daher für viele Firmen zu den größten NIS-2-Herausforderungen. Auch hier kann die Zusammenarbeit mit einem Provider Abhilfe schaffen. Spezialisierte Security-Dienstleister sind mit der Lieferkettenproblematik vertraut und haben entsprechende Mechanismen schon für andere Unternehmen umgesetzt.

Firmen müssen außerdem eine umfassende Dokumentation nachweisen und regelmäßige IT-Audits durchführen – beides Themen, die bei KMU regelmäßig aufgeschoben werden. Auch hier erweist sich die Zusammenarbeit mit einem Provider als entscheidend. Sie verfügen über erprobte Prozesse und Tools, welche die Durchführung stark vereinfachen.  

Mit Proact haben Sie einen erfahrenen Partner, der Ihnen bei all diesen Herausforderungen zur Seite steht. So stellen Sie sicher, dass Sie die NIS-2-Richtlinie einhalten und vermeiden existenzbedrohende Strafzahlungen.

Implementierung in 7 Schritten mit Proact

Proact hat einen 7-Stufen-Ansatz entwickelt, mit dem wir Unternehmen bei der Umsetzung von NIS-2 unterstützen. Auf diese Weise stärken wir Ihre allgemeine Cyberresilienz und stellen sicher, dass Sie nach einem Angriff schnell wieder betriebsfähig sind.

1. Schritt: Vorbereitung
Im ersten Schritt bewerten wir gemeinsam mit Ihnen die Risiken und Schwachstellen Ihrer Systeme. Wir identifizieren kritische Vermögenswerte und Daten und legen die Wiederherstellungsziele und -strategien fest (siehe Proact Cyber-Sicherheitscheck).

2. Schritt: Backup
Im nächsten Schritt unterstützen wir Sie bei der Erstellung einer robusten Backup-Strategie. Dazu gehört die Durchführung regelmäßiger Backups von kritischen Daten, wobei durch verschiedene Speicherorte und -medien Redundanz sichergestellt wird.

3. Schritt: Erkennung und Benachrichtigung
Jede Organisation sollte über Mechanismen verfügen, um einen Cyberangriff sofort zu erkennen. Proact unterstützt Sie dabei, ein Frühwarnsystem (siehe Proact SOC) einzurichten, das alle Stakeholder sofort über den Vorfall in Kenntnis setzt. Dazu gehören unter anderem die IT- und Sicherheitsteams, das Management und die Kunden.

4. Schritt: Eindämmung und Wiederherstellung
Sobald ein Angriff erkannt wurde, ist es entscheidend, den Schaden einzudämmen und zu verhindern, dass sich z. B. Ransomware weiter ausbreitet. Dafür müssen die betroffenen Systeme isoliert und ggf. heruntergefahren werden. Dann beginnt der Wiederherstellungsprozess (siehe auch Blogartikel „Ransomware-Recovery: Wie Sie Ihre Daten wiederherstellen“). Das Ziel ist es, nach minimalen Ausfallzeiten weiterarbeiten zu können.

5. Schritt: Untersuchung
Nachdem der Angriff eingedämmt wurde, führt Proact eine gründliche Untersuchung durch. Wir bestimmen die Ursache, das Ausmaß und die Auswirkungen des Angriffs. Dies hilft Ihnen dabei, etwaige zusätzliche, bisher unerkannte Risiken innerhalb Ihres Unternehmens zu identifizieren.

6. Schritt: Abhilfe
Im vorletzten Schritt helfen wir Ihnen dabei, die neu entdeckten Sicherheitslücken zu schließen. Das betrifft beispielsweise die Absicherung von Endgeräten, das Patch-Management oder die Schulung der Mitarbeiter.

7. Schritt: Wiederherstellung
Der letzte Schritt besteht darin, geschäftskritische Systeme wieder vollständig herzustellen. In diesem Zusammenhang kann es sinnvoll sein, die Backup-Daten und -Systeme nochmals zu überprüfen und zu validieren.

Wie Sie an diesem Ablauf leicht erkennen – IT-Security ist ein iterativer Prozess. Nach dem Angriff ist vor dem Angriff. Nur wer sich dieser Realität stellt, wird sein Unternehmen nachhaltig schützen können. Wir helfen Ihnen dabei.

Setzen Sie jetzt NIS-2 um – mit den Security-Services von Proact!

Sie möchten möglichst bald NIS-2-konform werden und gleichzeitig Ihre Cyberresilienz erhöhen? Dann sollten wir uns unterhalten. Mit unseren Managed-Security-Services adressieren wir alle Anforderungen der neuen EU-Direktive. Der Vorteil – statt Ihr Inhouse-Team zu überlasten, geben Sie Aufgaben an einen hochspezialisierten Partner ab. Sie können sich auf Ihre Kernaufgaben konzentrieren, während wir Ihre IT-Sicherheit anheben. Gleichzeitig stehen wir in engem Kontakt zu Ihren Teammitgliedern, um effiziente Abläufe zu gewährleisten.

Das Herzstück unserer NIS-2-Strategie besteht in unserem erprobten, siebenstufigen Resilienz-Framework. Mithilfe dieses Verfahrens haben wir bereits zahlreiche KMU auf die NIS-2-Richtlinie eingestellt. Diese Unternehmen wissen sich nun beruhigt – ihre IT-Sicherheit ist auf dem neuesten Stand und hohen Strafzahlungen wurde vorgebeugt. Dieses gute Gefühl, alles getan zu haben, können wir auch für Sie erreichen.

Das hört sich interessant an? Dann kontaktieren Sie uns noch heute für eine kostenlose Beratung. Wir freuen uns, von Ihnen zu hören!