Die NIS2-Richtlinie (Network and Information Security Directive 2) ist die größte Neuordnung der Cybersicherheits-Pflichten in Europa seit Jahren. In Deutschland betrifft sie schätzungsweise 30.000 bis 40.000 Unternehmen – viele davon zum ersten Mal und ohne es zu wissen. Dieser Leitfaden erklärt, wer betroffen ist, was konkret gefordert wird, welche Fristen und Strafen gelten – und warum Sie mit der Vorbereitung nicht auf das letzte Gesetzesdatum warten sollten.
NIS2 ist eine EU-Richtlinie (2022/2555) zur Stärkung der Cybersicherheit im europäischen Binnenmarkt. Sie ersetzt die ursprüngliche NIS-Richtlinie von 2016 und erweitert den Kreis der betroffenen Unternehmen drastisch – in Deutschland etwa um den Faktor zehn. Statt einiger tausend Betreiber „kritischer Infrastrukturen" (KRITIS) fallen nun ganze Branchen und ein breiter Teil des Mittelstands in den Anwendungsbereich.
Der Kern von NIS2 ist ein risikobasierter Ansatz: Unternehmen müssen ihre Cyber-Risiken systematisch managen, Sicherheitsvorfälle melden und im Ernstfall handlungsfähig bleiben. Anders als bei einer einmaligen Checkliste geht es um einen nachweisbaren, gelebten Prozess – näher an einem Managementsystem als an einem Produkt.
Die erste NIS-Richtlinie adressierte vor allem klassische KRITIS-Betreiber. NIS2 erweitert das in drei Richtungen gleichzeitig: mehr Sektoren, deutlich niedrigere Größenschwellen und – erstmals – die persönliche Verantwortung der Geschäftsleitung. Hinzu kommt ein Aspekt, der in der Diskussion oft untergeht: Die Sicherheit Ihrer Lieferkette wird ausdrücklich Teil Ihrer eigenen Pflichten.
NIS2 unterscheidet zwischen wesentlichen (essential) und wichtigen (important) Einrichtungen. Der Unterschied betrifft vor allem die Intensität der Aufsicht und die Höhe möglicher Bußgelder – die grundlegenden Sicherheitspflichten gelten für beide.
Sie fallen unter NIS2, wenn Sie in einem der genannten Sektoren tätig sind UND:
| Kriterium | Schwellenwert |
|---|---|
| Mitarbeiter | > 50 |
| Jahresumsatz | > 10 Mio. EUR |
| Bilanzsumme | > 10 Mio. EUR |
Wichtig: Es reicht, wenn EIN Kriterium erfüllt ist (Mitarbeiter ODER Umsatz/Bilanz). Einzelne besonders kritische Betreiber können unabhängig von der Größe erfasst sein.
Selbst wenn Sie die Größen- oder Sektor-Kriterien nicht erfüllen, kann NIS2 Sie erreichen: Betroffene Unternehmen müssen die Sicherheit ihrer Lieferkette gewährleisten (Artikel 21). In der Praxis reichen NIS2-pflichtige Kunden ihre Anforderungen vertraglich an Zulieferer und IT-Dienstleister weiter. Wer an Energieversorger, Kliniken, Banken oder große Industrie liefert, sollte davon ausgehen, dass NIS2-nahe Nachweise zunehmend zur Voraussetzung für Aufträge werden – unabhängig von der eigenen unmittelbaren Betroffenheit. Die praktische Konsequenz: Auch kleinere Betriebe sollten früh klären, was ihre größten Kunden von ihnen erwarten werden.
Artikel 21 der Richtlinie definiert zehn Mindest-Maßnahmenbereiche:
| Nr. | Maßnahmenbereich |
|---|---|
| 1 | Risikoanalyse und Sicherheitskonzepte |
| 2 | Bewältigung von Sicherheitsvorfällen |
| 3 | Business Continuity und Krisenmanagement |
| 4 | Sicherheit der Lieferkette |
| 5 | Sicherheit bei Beschaffung, Entwicklung und Wartung |
| 6 | Bewertung der Wirksamkeit von Maßnahmen |
| 7 | Cyberhygiene und Schulungen |
| 8 | Kryptografie |
| 9 | Personalsicherheit und Zugangssteuerung |
| 10 | Multi-Faktor-Authentifizierung |
Auffällig ist die Bandbreite: von technischen Maßnahmen wie Multi-Faktor-Authentifizierung und Kryptografie bis zu organisatorischen Themen wie Lieferketten-Sicherheit, Schulungen und der regelmäßigen Wirksamkeitsprüfung. NIS2 verlangt ausdrücklich nicht das teuerste Werkzeug, sondern angemessene, risikobasierte Maßnahmen – dokumentiert und nachprüfbar. Der oft unterschätzte Punkt ist Nummer 6: Sie müssen belegen können, dass Ihre Maßnahmen auch wirken. Genau hier setzt ein strukturiertes ISMS an – wie es etwa ISO/IEC 27001 beschreibt.
Bei erheblichen Sicherheitsvorfällen müssen Sie das BSI in einem gestuften Verfahren informieren:
Die 24-Stunden-Frist ist kurz. Sie brauchen einen dokumentierten Incident-Response-Prozess, definierte Rollen und eine klare Meldekette – im Ernstfall bleibt keine Zeit, das erst zu improvisieren. Wer erst nach einem Vorfall überlegt, wer zuständig ist, hat die Frist meist schon verpasst.
NIS2 nimmt erstmals die Geschäftsführung persönlich in die Pflicht. Sie muss:
Bei Pflichtverletzungen drohen persönliche Bußgelder und im Extremfall sogar temporäre Tätigkeitsverbote für Führungskräfte. Cybersicherheit wird damit endgültig zur Chefsache – sie lässt sich nicht mehr vollständig in die IT-Abteilung delegieren.
| Einrichtungstyp | Maximales Bußgeld |
|---|---|
| Wesentliche Einrichtungen | 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes |
| Wichtige Einrichtungen | 7 Mio. EUR oder 1,4 % des weltweiten Jahresumsatzes |
Bußgelder sind dabei nur die sichtbarste Folge. Ein gemeldeter oder öffentlich gewordener Vorfall trifft Vertrauen, Kundenbeziehungen und – über die Lieferketten-Klausel – die eigene Auftragslage. Der wirtschaftliche Schaden eines Ausfalls übersteigt das Bußgeld in der Praxis oft deutlich.
In Gesprächen begegnen uns immer wieder dieselben Fehleinschätzungen:
Als IT-Sicherheitsdienstleister und angehender NIS2-Auditor begleiten wir Sie von der ersten Einordnung bis zur laufenden Compliance:
Unsicher, ob Sie betroffen sind? Wir prüfen Ihre Situation in einem 30-minütigen Gespräch – kostenlos und unverbindlich.
Beratung anfragen