Was ist die NIS2-Richtlinie?
Die NIS2-Richtlinie ist die Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Europäischen Union. Sie löst die erste NIS-Richtlinie ab und verfolgt das Ziel, die Widerstandsfähigkeit wichtiger und besonders wichtiger Einrichtungen europaweit zu stärken. Dazu erweitert sie den Kreis betroffener Sektoren, konkretisiert Anforderungen an das Cyberrisikomanagement und vereinheitlicht Vorgaben für die Meldung erheblicher Sicherheitsvorfälle, Aufsicht und Sanktionen.
Als EU-Richtlinie galt NIS2 nicht einfach in allen Einzelheiten unmittelbar wie eine EU-Verordnung. Die Mitgliedstaaten mussten ihre Vorgaben in nationales Recht übertragen. In Deutschland erfolgte diese Umsetzung insbesondere durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), das seit Dezember 2025 in Kraft ist und unter anderem das BSI-Gesetz geändert hat. Für Unternehmen sind daher die deutschen Umsetzungsvorschriften maßgeblich; die NIS2-Richtlinie bildet deren unionsrechtlichen Rahmen und ist für das Verständnis von Zielen und Systematik wichtig.
Betroffen sein können vor allem mittlere und große Einrichtungen aus 18 gesetzlich erfassten Sektoren, darunter Energie, Verkehr, Gesundheit, digitale Infrastruktur, bestimmte Bereiche des verarbeitenden Gewerbes und Anbieter digitaler Dienste. Daneben gibt es größenunabhängige Sonderfälle. Ob ein Unternehmen erfasst ist, richtet sich nach der konkreten Einrichtungsart, den Größenkriterien, Konzernbeziehungen und möglichen Sondertatbeständen – nicht allein nach einer allgemeinen Branchenbezeichnung.
Was NIS2 verändert
Die europäische NIS2-Richtlinie erweitert den Kreis regulierter Einrichtungen und vereinheitlicht Mindestanforderungen an Cyberrisikomanagement und Vorfallmeldungen. Das deutsche Umsetzungsgesetz ist seit Dezember 2025 in Kraft. Die Regeln richten sich nicht nur an klassische kritische Infrastrukturen. Je nach Sektor, Größe und Sondertatbestand können auch mittelständische Produktions-, Handels-, Digital- und Dienstleistungsunternehmen erfasst sein.
Als Richtwert nennen deutsche Stellen rund 30.000 unmittelbar verpflichtete Unternehmen. Die Zahl ist keine vollständige Liste: Unternehmen müssen ihre Betroffenheit grundsätzlich selbst prüfen. Zusätzlich wirken Anforderungen über Kunden, Konzerne und Lieferketten auf kleinere Betriebe, die nicht direkt unter das Gesetz fallen.
Ist mein Unternehmen betroffen?
Die Einordnung erfolgt typischerweise in drei Schritten: Tätigkeit beziehungsweise Einrichtungsart, Unternehmensgröße und mögliche Sonderfälle. NIS2 unterscheidet besonders wichtige und wichtige Einrichtungen. Beide Gruppen müssen Risikomanagement- und Meldepflichten erfüllen; Unterschiede bestehen vor allem bei Aufsicht und Sanktionen.
Größenschwellen als Ausgangspunkt
In vielen erfassten Sektoren greift die Regulierung ab mittlerer Unternehmensgröße, regelmäßig ab 50 Beschäftigten oder bei mehr als 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme. Die unionsrechtliche KMU-Berechnung kann Partner- und verbundene Unternehmen einbeziehen. Eine isolierte Betrachtung der deutschen Gesellschaft genügt deshalb nicht immer. Für bestimmte Einrichtungen gelten Größenunabhängigkeit oder besondere Regeln.
Die 18 NIS2-Sektoren
Die Richtlinie umfasst elf Sektoren mit hoher Kritikalität und sieben sonstige kritische Sektoren. Dazu zählen insbesondere:
- Energie, Verkehr, Bankwesen und Finanzmarktinfrastrukturen
- Gesundheit, Trinkwasser, Abwasser und digitale Infrastruktur
- Verwaltung öffentlicher IKT-Dienste und Weltraum
- Post und Kurierdienste, Abfallwirtschaft und Chemie
- Lebensmittelproduktion und -handel sowie bestimmte verarbeitende Gewerbe
- Anbieter digitaler Dienste, Forschung und weitere gesetzlich definierte Einrichtungen
Die tatsächliche Betroffenheit hängt von der exakt ausgeübten Tätigkeit ab, nicht allein vom allgemeinen Branchenetikett. Ein Maschinenbauer kann beispielsweise wegen der hergestellten Produktkategorie erfasst sein, während ein ähnlich großes Unternehmen mit anderer Tätigkeit nicht unmittelbar erfasst ist.
Registrierung: Was gilt jetzt?
Betroffene Einrichtungen müssen sich über die dafür vorgesehene staatliche Plattform registrieren und bestimmte Stammdaten sowie Kontaktstellen mitteilen. Nach dem derzeit kommunizierten Übergang gilt für bereits verpflichtete Unternehmen: Die ursprüngliche Registrierungsfrist ist abgelaufen; eine Kulanzphase wird bis zum 31. Juli 2026 angegeben. Diese Kulanz sollte nicht als Aufschub für Sicherheitsmaßnahmen verstanden werden.
Prüfen Sie aktuelle Hinweise unmittelbar beim BSI. Verantwortlichkeiten, Portalbetrieb und Detailfristen können durch Vollzugshinweise konkretisiert werden. Wer eine mögliche Betroffenheit erkennt, sollte die Entscheidung samt Quellen dokumentieren und rechtlich validieren lassen.
Welche Pflichten stehen im Mittelpunkt?
Risikomanagement
Unternehmen müssen verhältnismäßige technische, operative und organisatorische Maßnahmen treffen. NIS2 nennt unter anderem Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Betriebskontinuität, Backup- und Krisenmanagement, Sicherheit der Lieferkette, Schwachstellenmanagement, Wirksamkeitskontrollen, Cyberhygiene, Kryptografie, Zugriffskontrolle und Mehrfaktor-Authentifizierung. Es geht um ein gesteuertes System, nicht um den Kauf einzelner Werkzeuge.
Verantwortung der Geschäftsleitung
Leitungsorgane müssen Maßnahmen billigen und deren Umsetzung überwachen. Sie benötigen ausreichende Kenntnisse, um Risiken und Maßnahmen beurteilen zu können. Versäumnisse können zu persönlicher Verantwortlichkeit führen. Schnittstellen zur Geschäftsführer- und Organhaftung sollten fachlich und rechtlich eingeordnet werden.
Meldung erheblicher Sicherheitsvorfälle
Für erhebliche Vorfälle sieht NIS2 einen mehrstufigen Prozess vor: eine frühe Warnung grundsätzlich binnen 24 Stunden nach Kenntniserlangung, eine Vorfallmeldung grundsätzlich binnen 72 Stunden und einen Abschlussbericht regelmäßig innerhalb eines Monats. Ob ein Ereignis erheblich ist, muss anhand der rechtlichen Kriterien bewertet werden. Ein Incident-Response-Plan sollte Eskalationswege, Entscheidungsbefugnisse und verfügbare Informationen vorab festlegen.
Lieferkette und Dienstleister
Betroffene Unternehmen müssen Sicherheitsrisiken unmittelbarer Anbieter und Dienstleister berücksichtigen. Das kann Sicherheitsanforderungen, Nachweise, Vorfallkommunikation und Exit-Regelungen in Verträgen erfordern. Auch nicht unmittelbar verpflichtete KMU werden deshalb häufiger Fragebögen oder vertragliche Mindeststandards ihrer Kunden erhalten.
Praktischer 8-Schritte-Plan
- Betroffenheit prüfen: Tätigkeiten, Größe, Konzernbeziehungen und Sondertatbestände erfassen.
- Entscheidung dokumentieren: Quellen, Annahmen und verantwortliche Personen festhalten.
- Verantwortung etablieren: Geschäftsleitung, Informationssicherheit, Recht und Betrieb zusammenbringen.
- Ist-Zustand bewerten: Maßnahmen gegen die gesetzlichen Risikofelder und etablierte Standards spiegeln.
- Lücken priorisieren: Identitäten, Schwachstellen, Backups, Protokollierung und Notfallfähigkeit zuerst risikobasiert bearbeiten.
- Meldeprozess testen: 24- und 72-Stunden-Abläufe mit Rollen, Vertretungen und Kontakten üben.
- Lieferanten steuern: Kritische Abhängigkeiten klassifizieren und Vertragsanforderungen abstufen.
- Registrieren und nachhalten: BSI-Vorgaben erfüllen, Nachweise pflegen und Wirksamkeit regelmäßig prüfen.
Welche Rolle spielt eine Cyberversicherung?
Cyberversicherung ist kein NIS2-Nachweis und ersetzt keine organisatorische oder technische Maßnahme. Sie kann jedoch den finanziellen Umgang mit verbleibenden Risiken unterstützen und Zugang zu spezialisierten Krisendienstleistern schaffen. Die Risikofragen im Antragsprozess können zugleich sichtbar machen, wo grundlegende Kontrollen fehlen. Das darf nicht mit einem Compliance-Audit verwechselt werden.
Eine sinnvolle Reihenfolge ist: Risiken verstehen, Mindestmaßnahmen umsetzen, Reaktion erproben und anschließend prüfen lassen, welcher Risikotransfer zur Bilanz und Ausfalltoleranz passt. Mehr dazu erläutert unsere Seite zur Cyberversicherung für KMU.
Was eine belastbare Dokumentation ausmacht
NIS2 verlangt nicht nur Maßnahmen, sondern eine nachvollziehbare Steuerung. Ein Unternehmen sollte zeigen können, welche Risiken erkannt wurden, wer über Prioritäten entschieden hat, wann Kontrollen geprüft wurden und wie Abweichungen behandelt werden. Richtlinien ohne praktische Umsetzung genügen ebenso wenig wie technische Einzelmaßnahmen ohne Verantwortliche und Wirksamkeitsnachweis.
Hilfreich sind ein aktuelles Anlagen- und Dienstleisterverzeichnis, Risikoregister, freigegebene Sicherheitsrichtlinien, Protokolle von Leitungssitzungen, Schulungsnachweise, Testergebnisse und dokumentierte Notfallübungen. Die Tiefe muss zum Risiko passen. Ein mittelständischer Hersteller braucht keine Papiermenge eines Großkonzerns, wohl aber belastbare Belege für seine wesentlichen Entscheidungen.
Bei der Priorisierung zählt die tatsächliche Auswirkung auf Geschäft und Versorgung. Kritische Identitäten, von außen erreichbare Systeme und Wiederanlauffähigkeit verdienen meist früh Aufmerksamkeit. Kennzahlen sollten Entscheidungen ermöglichen: etwa Patchdauer kritischer Lücken, MFA-Abdeckung privilegierter Konten, Wiederherstellungszeiten oder Anteil geprüfter kritischer Lieferanten.
Häufige Fragen zu NIS2
Gilt NIS2 nur für KRITIS-Unternehmen?
Nein. Der Kreis geht deutlich über bisherige KRITIS-Betreiber hinaus. Maßgeblich sind gesetzlich definierte Einrichtungsarten, Größenregeln und Sondertatbestände.
Sind Unternehmen unter 50 Beschäftigten immer ausgenommen?
Nein. Sonderregeln, größenunabhängige Einrichtungsarten und die KMU-Berechnung verbundener Unternehmen können zu einem anderen Ergebnis führen.
Reicht ISO 27001 für NIS2?
Ein etabliertes ISMS kann eine starke Grundlage sein. Eine Zertifizierung beweist aber nicht automatisch, dass alle konkreten rechtlichen Pflichten, Meldewege und sektoralen Anforderungen erfüllt sind.
Wer entscheidet, ob ein Vorfall meldepflichtig ist?
Das Unternehmen benötigt einen dokumentierten Bewertungs- und Eskalationsprozess unter Beteiligung geeigneter technischer und rechtlicher Fachleute. Im Zweifel sind behördliche Informationen maßgeblich.
Drohen Sanktionen?
Ja. NIS2 sieht Aufsichts- und Durchsetzungsmaßnahmen sowie umsatzbezogene Höchstbußgelder vor. Die konkrete deutsche Regelung und Einordnung hängt vom Einrichtungstyp und Verstoß ab.
Die 18 Sektoren vollständig eingeordnet
Zu den elf Sektoren mit hoher Kritikalität zählen Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, Verwaltung von IKT-Diensten, öffentliche Verwaltung und Weltraum. Die sieben sonstigen kritischen Sektoren sind Post- und Kurierdienste, Abfallbewirtschaftung, Herstellung und Handel mit chemischen Stoffen, Lebensmittel, verarbeitendes Gewerbe, Anbieter digitaler Dienste und Forschung.
Hinter jedem Oberbegriff stehen präzise Einrichtungsarten. „Verarbeitendes Gewerbe“ meint nicht jede Produktion, sondern bestimmte Bereiche wie Medizinprodukte, Datenverarbeitungs- und Elektronikgeräte, elektrische Ausrüstungen, Maschinenbau sowie Fahrzeugbau. Bei digitalen Diensten werden unter anderem Online-Marktplätze, Suchmaschinen und Plattformen sozialer Netzwerke erfasst. Entscheidend ist die tatsächlich erbrachte Leistung, nicht allein das Branchenetikett.
Ein schneller Selbsttest – und seine Grenzen
Vier Fragen liefern eine erste Orientierung: Erbringt das Unternehmen eine in den gesetzlichen Anlagen genannte Leistung? Erreicht es die Schwelle eines mittleren Unternehmens? Gehört es zu einer Unternehmensgruppe, deren Zahlen nach der KMU-Definition einzubeziehen sind? Greift ein Sondertatbestand unabhängig von der Größe? Lautet die Antwort auf die erste und mindestens eine weitere Frage „ja“, ist eine vertiefte rechtliche Prüfung sinnvoll. Das Ergebnis sollte mit Tätigkeit, Berechnungsgrundlage, Quellenstand und Freigabe dokumentiert sein.
Auch eine begründete Nichtbetroffenheit ist kein Freibrief. Vertragspartner können Sicherheitsnachweise verlangen, und allgemeine Pflichten aus Datenschutz, Gesellschaftsrecht oder Branchenregeln bleiben bestehen. Umgekehrt führt die bloße Tätigkeit für ein NIS2-Unternehmen nicht automatisch zur eigenen gesetzlichen Verpflichtung.
Zeitleiste, Aufsicht und Haftung
Seit dem Inkrafttreten im Dezember 2025 gelten die materiellen Pflichten grundsätzlich; sie beginnen nicht erst mit der Registrierung. Für schon bestehende registrierungspflichtige Einrichtungen ist die reguläre Frist verstrichen. Die kommunizierte Kulanz bis 31. Juli 2026 betrifft den administrativen Vollzug der Registrierung, nicht die Erlaubnis, Risikomanagement oder Meldebereitschaft aufzuschieben. Neu gegründete oder später unter die Kriterien fallende Einrichtungen müssen die dann geltenden Fristen gesondert prüfen.
Behörden können Informationen und Nachweise verlangen, Prüfungen veranlassen und Abhilfemaßnahmen anordnen. Für Verstöße sind erhebliche, teils umsatzbezogene Bußgeldrahmen vorgesehen; ihre Höhe hängt von Einrichtungskategorie, Pflichtverletzung und Sachverhalt ab. Zielführend ist deshalb nicht „Papier für die Prüfung“, sondern nachweisbar wirksame Risikosteuerung.
Die Delegation an IT-Leitung oder Dienstleister entlastet die Geschäftsleitung nicht von ihrer Überwachungsaufgabe. Sie braucht regelmäßige, entscheidungsfähige Berichte über wesentliche Risiken, kritische Maßnahmen, Abweichungen, Wiederanlaufzeiten und akzeptierte Restrisiken. Schulungen der Leitungsorgane sollten deren Rolle abdecken und dokumentiert werden. Haftungsfragen sind einzelfallabhängig; weder D&O- noch Cyberversicherung ersetzt pflichtgemäße Leitung und Kontrolle.
Was Unternehmen jetzt zuerst tun sollten
Wenn die Registrierung noch offen ist, sollten Betroffenheitsprüfung und Portalprozess parallel laufen. Warten Sie nicht auf ein vollkommenes Sicherheitsprogramm. Benennen Sie eine verantwortliche Leitungsperson, schaffen Sie eine erreichbare Meldestelle und schließen Sie die größten operativen Lücken zuerst: Mehrfaktor-Authentifizierung an kritischen Zugängen, nachweisbar wiederherstellbare Backups, aktuelle externe Systeme und ein klarer Eskalationsweg für Vorfälle.
Danach folgt die Verstetigung. Maßnahmen brauchen Eigentümer, Termine, Budget und einen Wirksamkeitsnachweis. Ein kurzer, tatsächlich geübter Notfallplan ist wertvoller als ein umfangreiches Dokument, das im Ernstfall niemand kennt. Lassen Sie die rechtliche Einordnung, insbesondere Sektor, Größenberechnung und Sondertatbestände, bei Zweifeln qualifiziert prüfen. Der jeweilige aktuelle Stand des BSI bleibt für Registrierung und Vollzug maßgeblich.