IDW //
IDW veröffentlicht Knowledge Paper zur NIS-2-Umsetzung
WP/StB Prof. Dr. Holger Philipps
Die sogenannte NIS-2-Richtlinie (Richtlinie (EU) 2022/2555 des Europäischen Parlaments und des Rats vom 14.12.2022 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union) schafft einen einheitlichen Rechtsrahmen für die Aufrechterhaltung der Cybersicherheit in 18 kritischen Sektoren in der gesamten EU. Sie verpflichtet mehr Unternehmen und Branchen als bisher zu einheitlich europäischen Sicherheitsstandards und setzt strengere Sicherheitsanforderungen voraus, sieht umfangreiche Meldepflichten bei Sicherheitsvorfällen sowie schärfere Sanktionen bei Verstößen vor und soll die Zusammenarbeit zwischen den EU-Mitgliedstaaten bei der Abwehr von Cyberangriffen verbessern. Dem entsprechend erweitert das seit Dezember 2025 geltende NIS-2-Umsetzungsgesetz den Anwendungsbereich des BSI-Gesetzes (BSIG) deutlich. Aufgrund dessen steigt die Zahl betroffener Organisationen von bisher rund 4.500 auf etwa 29.500. Damit fallen nun auch viele mittelständische Unternehmen aus unterschiedlichsten Sektoren in den Geltungsbereich des Gesetzes. Von den Regelungen betroffene Unternehmen mussten sich nach dem NIS-2-Umsetzungsgesetz bis zum 6.3.2026 beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren. In diesem Zusammenhang veröffentlichte das Institut der Wirtschaftsprüfer in Deutschland (IDW) ein neues Knowledge Paper. Zweck des Knowledge Papers ist Unternehmen u. a. dabei zu unterstützen, zu klären, ob sie von den Regelungen betroffen sind, welche Pflichten danach für sie gelten und wo sie konkret tätig werden müssen. Das Knowledge Paper gibt ihnen praxisorientierte Hinweise zur ersten Betroffenheitsprüfung, zur Analyse zentraler Pflichten sowie zu operativen Handlungsempfehlungen wie Gap-Analysen, Prozessanpassungen und Mitarbeiterschulungen. Für den Berufsstand gibt das Knowledge Paper Hinweise, dass und wie Wirtschaftsprüfer betroffene Unternehmen bei der Umsetzung ihrer Pflichten begleiten können, z. B. durch Betroffenheitsanalysen, Gap-Analysen, Weiterentwicklung von Risiko- und Compliance-Strukturen und unabhängige Beurteilung implementierter Maßnahmen.