Was ist NIS-2?
NIS-2 ist die Kurzbezeichnung für die Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Europäischen Union.
Die Richtlinie erweitert den Kreis regulierter Einrichtungen und verschärft die Anforderungen an das Management von Cyberrisiken. Sie richtet sich insbesondere an Organisationen, deren Leistungen für Wirtschaft, Gesellschaft oder öffentliche Versorgung von besonderer Bedeutung sind.
In Deutschland wurden die europäischen Vorgaben durch das NIS-2-Umsetzungsgesetz in nationales Recht übertragen. Das Gesetz ist seit dem 6. Dezember 2025 in Kraft.
Welches Ziel verfolgt NIS-2?
NIS-2 soll die Widerstandsfähigkeit von Unternehmen und öffentlichen Einrichtungen gegenüber Cyberangriffen und IT-Ausfällen verbessern.
Die Regelungen sollen insbesondere dazu beitragen:
- Cyberrisiken frühzeitig zu erkennen,
- Sicherheitsmaßnahmen systematisch umzusetzen,
- schwerwiegende Sicherheitsvorfälle schneller zu melden,
- Lieferketten und Dienstleister besser abzusichern,
- die Verantwortung der Geschäftsleitung zu stärken,
- ein vergleichbares Sicherheitsniveau innerhalb der EU zu schaffen.
Welche Unternehmen können betroffen sein?
Ob eine Organisation von NIS-2 erfasst wird, hängt von mehreren Kriterien ab.
Wesentliche Faktoren sind:
- die ausgeübte Tätigkeit,
- die Zuordnung zu einem gesetzlich genannten Sektor,
- die Zahl der Beschäftigten,
- Jahresumsatz und Jahresbilanzsumme,
- die Bedeutung der angebotenen Leistung,
- besondere gesetzliche Einzelfallregelungen.
Zu den erfassten Bereichen können beispielsweise gehören:
- Energie,
- Verkehr,
- Gesundheitswesen,
- Trinkwasser und Abwasser,
- digitale Infrastruktur,
- IT- und Cloud-Dienstleistungen,
- öffentliche Verwaltung,
- Post- und Kurierdienste,
- Abfallwirtschaft,
- Chemie,
- Lebensmittelwirtschaft,
- bestimmte Bereiche des verarbeitenden Gewerbes.
Auch Unternehmen, die bisher nicht als Betreiber kritischer Infrastrukturen galten, können deshalb unter die neuen Regelungen fallen.
Was sind besonders wichtige und wichtige Einrichtungen?
Das deutsche Recht unterscheidet insbesondere zwischen besonders wichtigen Einrichtungen und wichtigen Einrichtungen.
Die Einordnung hängt unter anderem von Branche, Unternehmensgröße und konkreter Tätigkeit ab.
Beide Gruppen müssen grundlegende Anforderungen an Risikomanagement und Meldeverfahren erfüllen. Unterschiede bestehen vor allem bei der behördlichen Aufsicht und bei möglichen Maßnahmen der zuständigen Behörden.
Müssen Unternehmen ihre Betroffenheit selbst prüfen?
Unternehmen sollten eigenständig und nachvollziehbar prüfen, ob sie vom NIS-2-Umsetzungsgesetz erfasst werden.
Eine solche Prüfung sollte insbesondere dokumentieren:
- welche Tätigkeiten das Unternehmen ausübt,
- welchen gesetzlichen Sektoren diese Tätigkeiten zugeordnet werden können,
- wie viele Beschäftigte das Unternehmen hat,
- welche Umsatz- und Bilanzwerte maßgeblich sind,
- ob verbundene Unternehmen zu berücksichtigen sind,
- ob besondere Ausnahmen oder Sonderregelungen gelten.
Das Bundesamt für Sicherheit in der Informationstechnik stellt hierfür eine unverbindliche Betroffenheitsprüfung bereit.
Welche Pflichten ergeben sich aus NIS-2?
Betroffene Einrichtungen müssen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen treffen.
Zu den zentralen Pflichten gehören:
- Registrierung bei der zuständigen Behörde,
- systematisches Risikomanagement,
- Schutz vor Sicherheitsvorfällen,
- Erkennung und Behandlung von Vorfällen,
- geregelte Meldeverfahren,
- Notfall- und Wiederanlaufplanung,
- Absicherung von Lieferketten und Dienstleistern,
- Schwachstellenmanagement,
- Schulungen und Sensibilisierung,
- Nachweis und Dokumentation der Umsetzung.
Welche Sicherheitsmaßnahmen sind erforderlich?
NIS-2 schreibt keinen identischen Maßnahmenkatalog für jedes Unternehmen vor.
Die Maßnahmen müssen sich an der individuellen Risikosituation orientieren. Dabei sind insbesondere Größe, Tätigkeit, Bedrohungslage, Eintrittswahrscheinlichkeit und mögliche Auswirkungen zu berücksichtigen.
Relevante Themenbereiche sind beispielsweise:
- Risikoanalyse und Sicherheitskonzepte,
- Bewältigung von Sicherheitsvorfällen,
- Aufrechterhaltung des Geschäftsbetriebs,
- Backup- und Wiederherstellungsmanagement,
- Krisenmanagement,
- Sicherheit der Lieferkette,
- sichere Beschaffung und Entwicklung von IT-Systemen,
- Behandlung und Offenlegung von Schwachstellen,
- Bewertung der Wirksamkeit von Sicherheitsmaßnahmen,
- Verschlüsselung und Kryptografie,
- Zugriffs- und Berechtigungsmanagement,
- Mehrfaktor-Authentifizierung.
Welche Rolle spielt die Geschäftsleitung?
NIS-2 stärkt ausdrücklich die Verantwortung der Leitungsorgane.
Die Geschäftsleitung muss die erforderlichen Risikomanagementmaßnahmen billigen und deren Umsetzung überwachen.
Sie sollte deshalb insbesondere:
- Informationssicherheit als Führungsaufgabe behandeln,
- Verantwortlichkeiten eindeutig festlegen,
- ausreichende Ressourcen bereitstellen,
- wesentliche Risiken und Maßnahmen kennen,
- regelmäßige Berichte und Kontrollen verlangen,
- an vorgesehenen Schulungen teilnehmen.
Informationssicherheit kann damit nicht vollständig an die IT-Abteilung oder einen externen Dienstleister delegiert werden.
Welche Meldepflichten bestehen?
Erhebliche Sicherheitsvorfälle müssen innerhalb gesetzlich vorgegebener Fristen gemeldet werden.
Das Meldeverfahren kann mehrere Stufen umfassen:
- eine frühe Erstmeldung,
- eine ausführlichere Folgemeldung,
- gegebenenfalls Zwischenmeldungen,
- einen Abschlussbericht nach Bearbeitung des Vorfalls.
Damit ein Unternehmen diese Fristen einhalten kann, benötigt es klare interne Meldewege und Zuständigkeiten.
Vorab sollte geregelt sein:
- wie ein Vorfall erkannt wird,
- wer intern informiert werden muss,
- wer die rechtliche Bewertung übernimmt,
- wer die Meldung an das BSI abgibt,
- welche Informationen kurzfristig verfügbar sein müssen,
- wie der Vorfall dokumentiert wird.
Welche Bedeutung hat die Lieferkette?
NIS-2 verlangt auch die Berücksichtigung von Risiken, die durch Lieferanten und externe Dienstleister entstehen.
Unternehmen sollten deshalb unter anderem prüfen:
- welche Dienstleister für kritische Prozesse eingesetzt werden,
- welche Daten und Systeme diese Dienstleister verarbeiten,
- welche Sicherheitsanforderungen vertraglich geregelt sind,
- wie Sicherheitsvorfälle gemeldet werden,
- welche Unterauftragnehmer beteiligt sind,
- welche Ausweich- oder Wechselmöglichkeiten bestehen.
Die Nutzung eines Cloud- oder IT-Dienstleisters entbindet das beauftragende Unternehmen nicht von seiner eigenen Verantwortung.
Hilft ein bestehendes ISMS bei der Umsetzung?
Ein vorhandenes Informationssicherheitsmanagementsystem kann die Umsetzung der NIS-2-Anforderungen erheblich erleichtern.
Insbesondere ein an ISO/IEC 27001 ausgerichtetes ISMS enthält bereits viele relevante Strukturen, beispielsweise:
- Risikobewertungen,
- Rollen und Verantwortlichkeiten,
- Maßnahmenpläne,
- Lieferantenmanagement,
- Vorfallmanagement,
- Notfallvorsorge,
- interne Kontrollen und Audits.
Dennoch sollte geprüft werden, welche zusätzlichen gesetzlichen Anforderungen bestehen. Dazu gehören insbesondere Registrierung, formale Meldepflichten und spezifische Verantwortlichkeiten.
Wie sollte ein Unternehmen vorgehen?
Eine strukturierte Umsetzung kann in folgenden Schritten erfolgen:
- Betroffenheit rechtlich und organisatorisch prüfen
- Ergebnis der Prüfung dokumentieren
- Verantwortlichkeiten festlegen
- bestehende Sicherheitsorganisation erfassen
- Risiko- und Gap-Analyse durchführen
- notwendige Maßnahmen priorisieren
- Melde- und Notfallprozesse einrichten
- Lieferanten und Dienstleister überprüfen
- Geschäftsleitung und Beschäftigte schulen
- Wirksamkeit regelmäßig kontrollieren
Welche Folgen können Verstöße haben?
Bei Verstößen können die zuständigen Behörden Aufsichts- und Durchsetzungsmaßnahmen ergreifen.
Dazu können beispielsweise gehören:
- Anordnungen zur Beseitigung von Sicherheitsmängeln,
- Nachweis- und Informationspflichten,
- Prüfungen und Kontrollen,
- Bußgelder,
- weitere Maßnahmen gegenüber der betroffenen Einrichtung.
Unabhängig von behördlichen Sanktionen können unzureichende Sicherheitsmaßnahmen erhebliche wirtschaftliche Folgen verursachen, etwa Betriebsunterbrechungen, Datenverluste, Haftungsrisiken und Vertrauensschäden.
Welchen Nutzen hat eine strukturierte NIS-2-Umsetzung?
Die Umsetzung von NIS-2 sollte nicht allein als gesetzliche Pflicht betrachtet werden.
Ein strukturiertes Vorgehen unterstützt Unternehmen dabei:
- Cyberrisiken transparent zu machen,
- Verantwortlichkeiten eindeutig zu regeln,
- Sicherheitsmaßnahmen sinnvoll zu priorisieren,
- auf Vorfälle schneller zu reagieren,
- Ausfallzeiten zu reduzieren,
- Kunden- und Lieferantenanforderungen besser zu erfüllen,
- die Widerstandsfähigkeit des Unternehmens dauerhaft zu stärken.
NIS-2 schafft damit einen verbindlichen organisatorischen Rahmen für ein professionelles und nachweisbares Cybersicherheitsmanagement.