Was ist die NIS2-Richtlinie und gilt sie in Serbien?

NIS2 ist eine Richtlinie der Europäischen Union zur Sicherheit von Netz- und Informationssystemen. Serbien ist zwar kein EU-Mitglied, doch das nationale Gesetz über Informationssicherheit ist an NIS2 angeglichen und führt ähnliche Pflichten für Unternehmen in bestimmten Sektoren ein.

Welche Unternehmen müssen das Gesetz über Informationssicherheit einhalten?

Unternehmen aus Sektoren wie Energie, Verkehr, Bankwesen, Gesundheitswesen und digitale Infrastruktur, sofern sie die Größenschwelle überschreiten (in der Regel ab 50 Beschäftigten oder entsprechendem Jahresumsatz), sowie Unternehmen besonderer Kategorien (kritische Infrastruktur, einziger Anbieter einer Dienstleistung) unabhängig von ihrer Größe.

Welche Folgen hat es, wenn ein Unternehmen die NIS2-Pflichten nicht erfüllt?

Verstöße können zu Geldbußen sowie zu Reputations- und Geschäftsschäden führen, einschließlich des Vertrauensverlusts bei Partnern und Kunden, die von ihren Lieferanten Compliance verlangen.

Was ist, wenn die Prüfung ergibt, dass mein Unternehmen nicht betroffen ist?

Es lohnt sich dennoch, die grundlegende Sicherheitsinfrastruktur zu verbessern — die Pflichten können im Laufe der Zeit ausgeweitet werden, und gute Sicherheitspraxis verringert das Risiko von Cybervorfällen unabhängig von gesetzlichen Pflichten.

NIS2-Prüfung - Fällt Ihr Unternehmen unter das Gesetz?

Prüfung der NIS2-Pflicht und des aktuellen Sicherheitsstands

Beantworten Sie die Fragen in zwei Schritten. Das Ergebnis dient der Information und beruht auf dem serbischen Gesetz über Informationssicherheit und der NIS2-Richtlinie — es ersetzt keine offizielle Bewertung.

Schritt 1 — Fällt Ihr Unternehmen unter NIS2?

Firmenname (für den Bericht, optional)

Haupttätigkeit des Unternehmens

Unternehmensgröße

Besondere Kategorien (falls zutreffend) Einziger Anbieter eines bestimmten wichtigen Dienstes in Serbien iDas Unternehmen ist der einzige Anbieter eines Dienstes, der für das Funktionieren von Wirtschaft oder Gesellschaft unerlässlich ist, ohne realistische Alternative auf dem Markt. Teil der kritischen Infrastruktur (CER-Richtlinie) iInfrastruktur, deren Ausfall Sicherheit, Wirtschaft oder öffentliche Gesundheit ernsthaft gefährdet (z. B. Energiesysteme, Verkehrswege, Krankenhäuser). Qualifizierter Vertrauensdiensteanbieter / TLD-Register / DNS-Anbieter iUnternehmen, die elektronische Zertifikate/Signaturen ausstellen, die .rs-Domain verwalten oder für den Betrieb des Internets wichtige DNS-Dienste erbringen. Behörde der Staatsverwaltung oder Einheit der lokalen Selbstverwaltung iMinisterien, Agenturen, Gemeinden, Städte und andere öffentliche Stellen.

Schritt 2 — Aktuelle Sicherheitsinfrastruktur

Firewall an der Netzwerkgrenze
Antivirus / EDR (Endpoint Detection & Response) auf allen Geräten
Backup und Disaster Recovery (getestet, inkl. Offsite-/Cloud-Kopie)
Multi-Faktor-Authentifizierung (MFA) für kritische Konten
Netzwerksegmentierung (VLANs für kritische Systeme)
Schwachstellen- und Update-Management (Patch-Management)
Informationssicherheitsrichtlinie (schriftliches ISMS-Dokument)
Plan zur Reaktion auf Vorfälle (Incident Response)
Zugriffskontrolle — Prinzip der geringsten Rechte (RBAC)
Datenverschlüsselung (im Ruhezustand und bei der Übertragung)
Sicherheitsschulung der Beschäftigten (Security Awareness)
SIEM / zentrale Protokollierung und Überwachung
Geschäftskontinuität und Notfallwiederherstellung (BCP/DRP)
Sicherheit der Lieferkette (Prüfung von Lieferanten/Partnern)

Dies ist eine informative Selbsteinschätzung und keine offizielle rechtliche Einstufung. Die abschließende Bewertung trifft die zuständige Behörde bzw. ein Fachberater.

Für eine detaillierte Bewertung und einen auf Ihr Unternehmen zugeschnittenen Compliance-Plan fordern Sie eine kostenlose Beratung an.