Die NIS-2-Richtlinie ist der Grund, warum Cybersicherheit in Europa von einer Frage der Unternehmenskultur zu einer gesetzlichen Pflicht mit Bußgeldern, Meldefristen und persönlicher Verantwortung der Geschäftsleitung geworden ist. In Deutschland betrifft sie nach der Gesetzesbegründung rund 29.500 Einrichtungen – die meisten davon erstmals.
Dieser Beitrag erklärt die Richtlinie selbst: was sie will, wen sie erfasst, welche Pflichten sie festlegt und wie sie in Deutschland umgesetzt ist. Was betroffene Unternehmen konkret tun müssen, vertieft NIS-2 für Unternehmen; den Umsetzungsweg beschreibt der Fahrplan in sechs Phasen.
Was ist die NIS-2-Richtlinie?
Die NIS-2-Richtlinie ist die Richtlinie (EU) 2022/2555 des Europäischen Parlaments und des Rates über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union. Sie wurde am 14. Dezember 2022 erlassen, am 27. Dezember 2022 im Amtsblatt veröffentlicht und trat am 16. Januar 2023 in Kraft. Die Mitgliedstaaten mussten sie bis zum 17. Oktober 2024 in nationales Recht umsetzen; mit Wirkung vom 18. Oktober 2024 hat sie die erste NIS-Richtlinie (EU) 2016/1148 aufgehoben.
„NIS“ steht für Netz- und Informationssysteme. Als Richtlinie gilt NIS-2 nicht unmittelbar für Unternehmen, sondern verpflichtet die Mitgliedstaaten, ihre Vorgaben in nationale Gesetze zu überführen – in Deutschland geschehen durch das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), das das BSI-Gesetz (BSIG) neu gefasst hat. Für Unternehmen ist damit das nationale Gesetz der maßgebliche Text; die Richtlinie gibt den Rahmen vor, den alle 27 Mitgliedstaaten mindestens erfüllen müssen.
Warum NIS-2? Die Unterschiede zu NIS-1
Die erste NIS-Richtlinie von 2016 erfasste nur wenige Sektoren und ließ den Mitgliedstaaten weiten Spielraum, wen sie als „Betreiber wesentlicher Dienste“ einstuften. Das Ergebnis war ein Flickenteppich: In Deutschland waren rund 2.000 KRITIS-Betreiber reguliert, in anderen Ländern deutlich mehr oder weniger, mit unterschiedlichen Anforderungen. NIS-2 korrigiert das in vier Punkten:
- Einheitlicher Geltungsbereich. Statt nationaler Einzelidentifizierung gilt eine EU-weit einheitliche Größenregel („size-cap rule“): Wer in einem der 18 Sektoren tätig und mindestens ein mittleres Unternehmen ist, ist erfasst.
- Mehr Sektoren. Von sieben Sektoren unter NIS-1 auf 18 – neu dabei unter anderem verarbeitendes Gewerbe, Lebensmittel, Chemie, Post, Abfall, öffentliche Verwaltung und Forschung.
- Konkrete Mindestmaßnahmen. Art. 21 nennt zehn Bereiche, die jede Einrichtung abdecken muss – unter NIS-1 blieb das weitgehend den Mitgliedstaaten überlassen.
- Verantwortung der Leitung und harmonisierte Sanktionen. Art. 20 verpflichtet die Leitungsorgane persönlich; Art. 34 legt EU-weit Mindest-Bußgeldrahmen fest.
Wer fällt unter NIS-2? Sektoren und Größenschwellen
Die Betroffenheit ergibt sich aus Sektor und Größe (Art. 2 und 3 sowie Anhänge I und II):
| Anhang I – Sektoren mit hoher Kritikalität | Anhang II – sonstige kritische Sektoren | |
|---|---|---|
| Sektoren | Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten (B2B), öffentliche Verwaltung, Weltraum | Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe (u. a. Medizinprodukte, Elektronik, Maschinenbau, Fahrzeugbau), Anbieter digitaler Dienste, Forschung |
| Größenschwelle | Mindestens mittleres Unternehmen: ab 50 Beschäftigten oder mehr als 10 Mio. Euro Jahresumsatz und Jahresbilanzsumme | dieselbe Schwelle |
| Einstufung | Große Unternehmen (ab 250 Beschäftigten oder über 50 Mio. Euro Umsatz und 43 Mio. Euro Bilanzsumme): wesentliche Einrichtungen; mittlere: wichtige Einrichtungen | wichtige Einrichtungen |
Unabhängig von der Größe erfasst sind unter anderem Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, TLD-Registries, DNS-Diensteanbieter und bestimmte Anbieter öffentlicher Telekommunikationsnetze. Deutschland nennt die wesentlichen Einrichtungen im BSIG „besonders wichtige Einrichtungen“.
Unternehmen unterhalb der Schwellen sind nicht direkt reguliert – erreichen die Anforderungen aber über ihre Kunden (dazu unten). Die verbindliche Prüfung für Deutschland bietet die Betroffenheitsprüfung des BSI.
Welche Pflichten legt die Richtlinie fest?
Art. 20 – Verantwortung der Leitungsorgane
Die Leitungsorgane müssen die Risikomanagement-Maßnahmen ihrer Einrichtung billigen, ihre Umsetzung überwachen und können für Verstöße verantwortlich gemacht werden. Sie sind verpflichtet, an Schulungen teilzunehmen, um Risiken und Managementpraktiken bewerten zu können; Mitarbeitenden sollen vergleichbare Schulungen angeboten werden. Cybersicherheit wird damit von einer IT-Aufgabe zur Leitungsaufgabe.
Art. 21 – Zehn Mindestmaßnahmen für das Risikomanagement
Einrichtungen müssen geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen nach dem Stand der Technik treffen, die auf einem gefahrenübergreifenden Ansatz beruhen und mindestens Folgendes umfassen:
- Konzepte für Risikoanalyse und Sicherheit der Informationssysteme
- Bewältigung von Sicherheitsvorfällen
- Aufrechterhaltung des Betriebs – Backup-Management, Wiederherstellung, Krisenmanagement
- Sicherheit der Lieferkette, einschließlich der Beziehungen zu Anbietern und Dienstleistern
- Sicherheit bei Erwerb, Entwicklung und Wartung von Systemen, einschließlich Schwachstellenmanagement
- Konzepte zur Bewertung der Wirksamkeit der Maßnahmen
- Grundlegende Cyberhygiene und Schulungen
- Konzepte für Kryptografie und Verschlüsselung
- Personalsicherheit, Zugriffskontrolle und Anlagenverwaltung
- Multi-Faktor-Authentifizierung, gesicherte Kommunikation und Notfallkommunikation
Diese Liste ist das Herz der Richtlinie – und zugleich der Grund, warum ein Managementsystem nach ISO 27001 der naheliegende Umsetzungsrahmen ist: Die zehn Bereiche entsprechen weitgehend dessen Struktur und Controls.
Art. 23 – Gestufte Meldepflichten
Erhebliche Sicherheitsvorfälle – solche, die schwerwiegende Betriebsstörungen oder erhebliche Schäden verursachen oder verursachen können – sind an das nationale CSIRT bzw. die zuständige Behörde zu melden:
- Frühwarnung innerhalb von 24 Stunden nach Kenntnis, mit Angabe, ob ein rechtswidriger oder böswilliger Ursprung vermutet wird und ob grenzüberschreitende Auswirkungen möglich sind;
- Meldung innerhalb von 72 Stunden mit Erstbewertung von Schwere und Auswirkungen sowie gegebenenfalls Kompromittierungsindikatoren;
- Zwischenberichte auf Ersuchen;
- Abschlussbericht spätestens einen Monat nach der 72-Stunden-Meldung – oder ein Fortschrittsbericht, wenn der Vorfall noch andauert.
In Deutschland ist das BSI die Meldestelle. Was ein Unternehmen braucht, um diese Fristen einzuhalten, ist weniger Technik als Vorbereitung: Kriterien für „erheblich“, ein benannter Entscheider, ein vorbereiteter Meldeweg.
Weitere Pflichten
Die Richtlinie verpflichtet die Mitgliedstaaten außerdem, Verzeichnisse der betroffenen Einrichtungen zu führen – in Deutschland umgesetzt als Registrierungspflicht beim BSI – und sieht Aufsichts- und Durchsetzungsmaßnahmen vor, die für wesentliche Einrichtungen proaktiv (Prüfungen auch ohne Anlass), für wichtige Einrichtungen anlassbezogen greifen.
Sanktionen: Was Art. 34 vorgibt
Die Richtlinie legt EU-weite Mindest-Höchstbeträge fest, die die Mitgliedstaaten in ihren Gesetzen vorsehen müssen:
- Wesentliche Einrichtungen: Geldbußen bis zu mindestens 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes des Vorjahres – je nachdem, welcher Betrag höher ist.
- Wichtige Einrichtungen: bis zu mindestens 7 Mio. Euro oder 1,4 % des weltweiten Jahresumsatzes.
Deutschland hat diese Rahmen in § 65 BSIG übernommen; der Prozentsatz greift dort bei einem Gesamtumsatz über 500 Mio. Euro. Hinzu kommen Anordnungen, Nachweisverlangen und – bei wesentlichen Einrichtungen in schweren Fällen – die vorübergehende Untersagung von Leitungsfunktionen. Die persönliche Verantwortung der Leitung ergibt sich aus Art. 20 und ist in Deutschland in § 38 BSIG als Umsetzungs-, Überwachungs- und Schulungspflicht mit Haftung gegenüber der eigenen Einrichtung ausgestaltet. Die Details für deutsche Unternehmen: NIS-2 für Unternehmen.
Umsetzung in Deutschland: das NIS-2-Umsetzungsgesetz
Deutschland hat die Umsetzungsfrist vom 17. Oktober 2024 verpasst; der erste Gesetzentwurf verfiel mit dem Ende der 20. Legislaturperiode. Das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz wurde am 13. November 2025 vom Bundestag beschlossen, am 5. Dezember 2025 verkündet und ist seit dem 6. Dezember 2025 in Kraft. Es fasst das BSI-Gesetz neu und übernimmt die Struktur der Richtlinie:
- § 28 BSIG – Einstufung als besonders wichtige oder wichtige Einrichtung
- § 30 BSIG – die zehn Risikomanagement-Maßnahmen
- § 32 BSIG – Meldepflichten (24 h / 72 h / ein Monat)
- § 33 BSIG – Registrierung beim BSI binnen drei Monaten
- § 38 BSIG – Pflichten und Haftung der Geschäftsleitung
- § 65 BSIG – Bußgelder
Wie die Zuständigkeiten zwischen EU, Bund und Aufsicht verteilt sind, erklärt Zentralstelle und 2. Säule. NIS-2 steht dabei nicht allein: Für den Finanzsektor gilt parallel die Verordnung DORA, für vernetzte Produkte der Cyber Resilience Act, für den physischen Schutz kritischer Anlagen die CER-Richtlinie mit dem KRITIS-Dachgesetz. Ein Managementsystem, das NIS-2 abdeckt, ist die gemeinsame Grundlage für alle vier.
Die Lieferkette: Wie NIS-2 auch nicht regulierte Unternehmen erreicht
Art. 21 Abs. 2 lit. d verpflichtet jede erfasste Einrichtung, die Sicherheit ihrer Lieferkette zu managen – einschließlich der sicherheitsrelevanten Aspekte der Beziehungen zu ihren unmittelbaren Anbietern und Dienstleistern. In der Praxis heißt das: Regulierte Unternehmen bewerten ihre Lieferanten, schreiben Sicherheitsanforderungen in Verträge und verlangen Nachweise.
Dieser Kaskadeneffekt trifft Unternehmen, die selbst nicht unter die Richtlinie fallen: IT-Dienstleister und Managed-Service-Provider, Softwareanbieter, Industriezulieferer, Logistiker – und zwar unabhängig vom Sitz, also auch Unternehmen in der Schweiz oder außerhalb der EU. Wer keinen belastbaren Sicherheitsnachweis vorlegen kann, verliert Ausschreibungen oder bestehende Verträge. Was Zulieferer konkret erwartet und warum ein ausgefüllter Fragebogen nicht reicht: NIS-2 in der Lieferkette und Lieferantenfragebögen als Scheinsicherheit.
NIS-2 umsetzen: ISO 27001 als Rahmen
Die Richtlinie schreibt weder einen Standard noch eine Zertifizierung vor. Sie verlangt Maßnahmen, die wirksam, verhältnismäßig und nachweisbar sind – und genau das leistet ein Informationssicherheits-Managementsystem. ISO/IEC 27001 deckt die zehn Bereiche aus Art. 21 weitgehend durch seine Struktur und die Controls des Anhangs A ab; der BSI IT-Grundschutz bietet dieselbe Abdeckung mit deutscher Methodik. Ergänzt werden müssen in beiden Fällen die Pflichten außerhalb des ISMS: Registrierung, gestufte Meldung, Schulung der Leitung.
Der Weg dorthin in Kurzform:
- Betroffenheit und Einstufung prüfen und dokumentieren.
- Gap-Analyse gegen die zehn Bereiche aus Art. 21 / § 30 BSIG.
- ISMS aufbauen oder erweitern, Geschäftsleitung mit Beschluss, Berichtsweg und Schulung einbinden.
- Meldeprozess festlegen und üben; registrieren, falls noch nicht geschehen.
- Wirksamkeit prüfen – etwa durch ein internes Audit – und Nachweise führen.
Den vollständigen Fahrplan mit Phasen, Dauer und Ergebnissen beschreibt NIS-2 umsetzen in sechs Phasen.
Fazit
NIS-2 vereinheitlicht, was NIS-1 den Mitgliedstaaten überließ: wer reguliert ist, welche Maßnahmen mindestens gelten, wie gemeldet wird und wer verantwortlich ist. In Deutschland ist die Richtlinie seit Dezember 2025 geltendes Recht mit Registrierungspflicht, Meldefristen und persönlicher Verantwortung der Geschäftsleitung – und über die Lieferkette reicht sie weit über die 29.500 direkt regulierten Einrichtungen hinaus. Wer die zehn Maßnahmen aus Art. 21 in einem Managementsystem umsetzt, erfüllt die Richtlinie nicht nur, sondern hat auch den Nachweis in der Hand, den Kunden und Aufsicht verlangen.
