NIS-2 ist die Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union. NIS-2 verpflichtet Einrichtungen aus 18 Sektoren zu Risikomanagement, zur Meldung erheblicher Sicherheitsvorfälle und zu einer Governance, für die die Leitungsebene persönlich einsteht. Die Richtlinie löst die NIS-Richtlinie von 2016 ab und erweitert den Kreis der erfassten Einrichtungen erheblich.

Was ist NIS-2?

NIS-2 ist der zentrale europäische Rechtsrahmen für Cybersicherheit in Wirtschaft und Verwaltung. Die Abkürzung steht für Netz- und Informationssicherheit; die Zwei kennzeichnet die zweite Generation dieses Regelwerks, das die Richtlinie von 2016 ablöst.

Der Anlass für die Neufassung war die Erkenntnis, dass die erste NIS-Richtlinie zu schwach und zu uneinheitlich wirkte. Die Mitgliedstaaten hatten großen Spielraum bei der Frage, wen sie überhaupt erfassen, was zu einem Flickenteppich sehr unterschiedlicher nationaler Regime führte. NIS-2 nimmt diesen Spielraum weitgehend zurück: Der Anwendungsbereich wird über Sektoren und Unternehmensgrößen europaweit einheitlich definiert, die Mindestmaßnahmen sind konkret benannt, und die Meldefristen sind vereinheitlicht.

Zwei Verschiebungen prägen die Richtlinie inhaltlich. Erstens die Ausweitung: Statt weniger großer Betreiber kritischer Anlagen erfasst NIS-2 einen weiten Kreis mittlerer und großer Unternehmen quer durch die Wirtschaft, einschließlich verarbeitendem Gewerbe, Lebensmittelbranche, Abfallwirtschaft und Forschung. Zweitens die Verantwortungszuweisung: NIS-2 adressiert ausdrücklich die Leitungsorgane und knüpft an deren Pflichten persönliche Konsequenzen. Cybersicherheit wird damit zur Geschäftsleitungsaufgabe und ist nicht mehr an die IT-Abteilung delegierbar.

Seit wann gilt NIS-2 und wie ist der Umsetzungsstand?

NIS-2 ist Anfang 2023 in Kraft getreten. Die Mitgliedstaaten hatten die Richtlinie bis zum 17. Oktober 2024 in nationales Recht umzusetzen; ab dem Folgetag sollten die Vorschriften anwendbar sein.

Als Richtlinie entfaltet NIS-2 keine unmittelbare Wirkung gegenüber Unternehmen – maßgeblich ist stets das nationale Umsetzungsgesetz. In Deutschland erfolgt die Umsetzung über das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz, das im Wesentlichen das BSI-Gesetz neu fasst. Deutschland hat die Umsetzungsfrist ebenso wie zahlreiche andere Mitgliedstaaten überschritten; die Europäische Kommission hat deshalb Vertragsverletzungsverfahren eingeleitet.

Für die Praxis heißt das: Der Inhalt der Pflichten steht seit der Verabschiedung der Richtlinie fest und hat sich seither nicht verändert – Vorbereitung war und ist unabhängig vom Gesetzgebungsstand möglich. Fristen, Zuständigkeiten, Registrierungsverfahren und Sanktionsrahmen ergeben sich jedoch erst aus dem nationalen Recht. Der aktuelle Stand von Inkrafttreten, Übergangsregelungen und Registrierungsfristen sollte daher vor jeder Festlegung geprüft werden.

Für wen gilt NIS-2?

NIS-2 gilt für Einrichtungen, die zwei Bedingungen zugleich erfüllen: Sie gehören einem der 18 aufgeführten Sektoren an, und sie überschreiten bestimmte Größenkriterien.

Anhang	Sektoren
Anhang I – Sektoren mit hoher Kritikalität	Energie · Verkehr · Bankwesen · Finanzmarktinfrastrukturen · Gesundheitswesen · Trinkwasser · Abwasser · Digitale Infrastruktur · Verwaltung von IKT-Diensten · Öffentliche Verwaltung · Weltraum
Anhang II – Sonstige kritische Sektoren	Post- und Kurierdienste · Abfallbewirtschaftung · Chemie · Lebensmittel · Verarbeitendes Gewerbe · Anbieter digitaler Dienste · Forschung

Die Zuordnung zu Anhang I oder II bestimmt nicht den Umfang der Pflichten, sondern die Einstufung und damit die Aufsichtsintensität. Beide Anhänge sind zudem weiter gefasst, als die Kurzbezeichnungen vermuten lassen: Unter „Verarbeitendes Gewerbe“ fallen etwa Medizinprodukte, Datenverarbeitungsgeräte, Elektronik, Maschinenbau sowie Kraftfahrzeug- und Fahrzeugbau, unter „Digitale Infrastruktur“ auch Rechenzentrumsdienste, Vertrauensdienste und Cloud-Anbieter. Die Prüfung der eigenen Betroffenheit sollte deshalb anhand der ausführlichen Sektorenbeschreibungen und der zugrunde liegenden Wirtschaftszweigsystematik erfolgen, nicht anhand der Überschriften.

Als Größenschwelle gilt grundsätzlich die Einstufung als mittleres Unternehmen: ab 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz beziehungsweise Bilanzsumme. Unterhalb dieser Schwelle greift die Richtlinie in der Regel nicht – mit Ausnahmen für Einrichtungen, deren Ausfall besonders weitreichende Folgen hätte, etwa Anbieter öffentlicher Telekommunikationsnetze, Vertrauensdiensteanbieter, Registrierungsstellen für Domainnamen und Teile der öffentlichen Verwaltung. Diese sind unabhängig von ihrer Größe erfasst.

Die praktisch wichtigste Folge ist der Umfang der Ausweitung. Während die bisherige KRITIS-Regulierung in Deutschland über Schwellenwerte einen Kreis von wenigen 1.000 Anlagen erfasste, betrifft NIS-2 nach Schätzungen ein Vielfaches davon – überwiegend mittelständische Unternehmen ohne bisherige Erfahrung mit IT-Aufsicht. Eine Besonderheit ist zudem, dass es keine behördliche Feststellung gibt: Einrichtungen müssen selbst prüfen, ob sie erfasst sind, und sich registrieren.

Was unterscheidet besonders wichtige von wichtigen Einrichtungen?

NIS-2 teilt die erfassten Einrichtungen in zwei Kategorien ein, die sich in den inhaltlichen Pflichten kaum, in Aufsicht und Sanktionsrahmen aber deutlich unterscheiden.

Merkmal	Besonders wichtige Einrichtungen	Wichtige Einrichtungen
Zuordnung	Große Unternehmen in Anhang-I-Sektoren sowie bestimmte Einrichtungen unabhängig von der Größe	Mittlere Unternehmen in Anhang-I-Sektoren sowie mittlere und große in Anhang-II-Sektoren
Aufsicht	Proaktiv: Vor-Ort-Prüfungen, Sicherheitsscans und Audits auch ohne Anlass	Reaktiv: Prüfung im Wesentlichen bei Hinweisen auf Verstöße
Bußgeldrahmen	Bis 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes	Bis 7 Millionen Euro oder 1,4 Prozent des weltweiten Jahresumsatzes

Als groß gilt ein Unternehmen ab 250 Beschäftigten oder ab mehr als 50 Millionen Euro Jahresumsatz bei zugleich mehr als 43 Millionen Euro Bilanzsumme. Die Risikomanagementpflichten selbst sind für beide Kategorien identisch – wer sich also auf die geringere Aufsichtsintensität verlässt, verkennt, dass die inhaltlichen Anforderungen dieselben bleiben.

Bei der Berechnung der Größenkriterien ist zudem zu beachten, dass verbundene und Partnerunternehmen einzubeziehen sein können. Eine für sich genommen kleine Tochtergesellschaft kann dadurch in den Anwendungsbereich fallen, weil die Kennzahlen des Verbunds maßgeblich sind. Umgekehrt gilt die Einstufung grundsätzlich je juristischer Person, sodass innerhalb eines Konzerns unterschiedliche Gesellschaften unterschiedlich einzuordnen sein können. Diese Prüfung gehört an den Anfang jedes Umsetzungsprojekts und sollte dokumentiert werden – auch für den Fall, dass sie zu dem Ergebnis kommt, nicht betroffen zu sein.

Welche Risikomanagementpflichten stellt NIS-2?

Art. 21 der Richtlinie benennt zehn Mindestmaßnahmen, die nach einem gefahrenübergreifenden Ansatz und verhältnismäßig zum Risiko umzusetzen sind:

Risikoanalyse und Konzepte für die Sicherheit von Informationssystemen
Bewältigung von Sicherheitsvorfällen einschließlich Erkennung, Reaktion und Nachbereitung
Aufrechterhaltung des Betriebs mit Backup-Management, Wiederherstellung und Krisenmanagement
Sicherheit der Lieferkette einschließlich der Beziehungen zu unmittelbaren Anbietern und Dienstleistern
Sicherheit bei Erwerb, Entwicklung und Wartung von IKT-Systemen samt Schwachstellenmanagement und Offenlegungsverfahren
Bewertung der Wirksamkeit der ergriffenen Risikomanagementmaßnahmen
Grundlegende Cyberhygiene und Schulungen im Bereich Cybersicherheit
Kryptografie und Verschlüsselung nach einem dokumentierten Konzept
Sicherheit des Personals, Zugriffskontrolle und Verwaltung von Anlagen
Multi-Faktor-Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gesicherte Notfallkommunikationssysteme

Die vierte Maßnahme verdient besondere Aufmerksamkeit, weil sie über die eigene Organisation hinausreicht: Einrichtungen müssen die Sicherheit ihrer Lieferanten und Dienstleister bewerten und in Verträgen abbilden. Damit wirkt NIS-2 mittelbar auch auf Unternehmen, die selbst nicht in den Anwendungsbereich fallen, aber erfasste Kunden beliefern. Ein Managementsystem nach ISO 27001 deckt einen erheblichen Teil dieser Maßnahmen methodisch ab, ersetzt die gesetzlichen Pflichten aber nicht.

Welche Verantwortung trägt die Geschäftsleitung nach NIS-2?

NIS-2 weist die Verantwortung ausdrücklich der Leitungsebene zu. Leitungsorgane müssen die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und können für Verstöße verantwortlich gemacht werden. Zusätzlich sind sie verpflichtet, an Schulungen zu Cybersicherheitsrisiken teilzunehmen, und sollen vergleichbare Schulungen ihren Beschäftigten anbieten.

Diese Regelung ist der schärfste Bruch mit der bisherigen Praxis. Cybersicherheit war in vielen Organisationen faktisch an die IT delegiert; NIS-2 macht die Billigung und Überwachung zur nicht delegierbaren Leitungsaufgabe. Bei besonders wichtigen Einrichtungen sehen die Aufsichtsbefugnisse zudem die Möglichkeit vor, Leitungspersonen vorübergehend die Ausübung von Leitungsfunktionen zu untersagen – ein Instrument, das über finanzielle Sanktionen deutlich hinausgeht.

Welche Meldepflichten sieht NIS-2 vor?

NIS-2 verpflichtet erfasste Einrichtungen, erhebliche Sicherheitsvorfälle in einem dreistufigen Verfahren zu melden. Als erheblich gilt ein Vorfall, der schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht oder verursachen kann, oder der andere natürliche oder juristische Personen durch erhebliche Schäden beeinträchtigt.

Stufe	Frist	Inhalt
Frühwarnung	binnen 24 Stunden nach Kenntnis	Erste Einschätzung, Verdacht auf rechtswidrige Handlung, mögliche grenzüberschreitende Auswirkungen
Meldung des Vorfalls	binnen 72 Stunden nach Kenntnis	Aktualisierte Bewertung, Schweregrad, Auswirkungen, erste Erkenntnisse zu Kompromittierungsindikatoren
Abschlussbericht	binnen eines Monats nach der Meldung	Ursachenanalyse, ergriffene Abhilfemaßnahmen, grenzüberschreitende Auswirkungen

Auf Anfrage der Behörde kommen Zwischenberichte hinzu; dauert die Bewältigung länger an, tritt zunächst ein Fortschrittsbericht an die Stelle des Abschlussberichts. Ergänzend müssen Einrichtungen Empfänger ihrer Dienste über Vorfälle informieren, die diese betreffen könnten.

Zu beachten ist, dass diese Meldepflicht neben anderen besteht. Bei betroffenen personenbezogenen Daten greift parallel die 72-Stunden-Frist der DSGVO, bei Finanzunternehmen die abweichenden Fristen nach DORA, bei Produktherstellern künftig die Meldepflichten des Cyber Resilience Act. Vierundzwanzig Stunden reichen nicht, um Zuständigkeiten, Bewertungsmaßstäbe und Portalzugänge erst im Ereignisfall zu klären.

Welche Anforderungen stellt NIS-2 an die Kommunikation?

NIS-2 benennt Kommunikation ausdrücklich als Bestandteil der Mindestmaßnahmen. Art. 21 Abs. 2 lit. j verlangt neben Multi-Faktor-Authentifizierung ausdrücklich gesicherte Sprach-, Video- und Textkommunikation sowie gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung. Damit ist die Absicherung der internen Kommunikation keine Ableitung aus allgemeinen Sicherheitsgrundsätzen, sondern eine eigenständig genannte Anforderung.

Hinzu kommt der Bezug über zwei weitere Maßnahmen: Die Aufrechterhaltung des Betriebs umfasst ausdrücklich das Krisenmanagement, und die Bewältigung von Sicherheitsvorfällen setzt funktionierende Melde- und Abstimmungswege voraus. Zusammen mit den kurzen Meldefristen ergibt sich eine praktische Anforderung, die über die reine Verschlüsselung hinausgeht: Der Kommunikationsweg muss auch dann tragen, wenn die eigene Infrastruktur Gegenstand des Vorfalls ist.

Genau hier liegt die verbreitete Lücke. Bei einem Ransomware-Angriff gelten Verzeichnisdienst, E-Mail und Kollaborationsplattform als kompromittiert oder werden vorsorglich abgeschaltet – und mit ihnen entfallen die dort gespeicherten Kontaktlisten, Eskalationspläne und Notfalldokumente. Organisationen halten deshalb vorab freigegebene Kanäle bereit, die unabhängig von der betroffenen Infrastruktur funktionieren, Entscheidungen nachvollziehbar dokumentieren und in den Übungen zur Notfallkommunikation mitgeprüft werden. Fehlt ein solcher Kanal, weichen Beteiligte auf private Consumer-Messenger aus – mit Folgen für Vertraulichkeit, Nachweisfähigkeit und die spätere Aufarbeitung gegenüber der Aufsicht.

Wie sich gesicherte Text-, Sprach- und Notfallkommunikation im Sinne von Art. 21 abbilden lässt, zeigt Teamwire in einer Demo oder im kostenlosen Test.

Wie verhält sich NIS-2 zu KRITIS, DORA und dem Cyber Resilience Act?

NIS-2 ist der horizontale Rahmen für Cybersicherheit von Organisationen; daneben bestehen speziellere und ergänzende Regelwerke.

Regelwerk	Adressat	Verhältnis zu NIS-2
Bisherige KRITIS-Regulierung	Betreiber kritischer Anlagen oberhalb von Schwellenwerten	Geht in der NIS-2-Umsetzung auf; der erfasste Kreis wird deutlich größer
DORA	Finanzunternehmen und ihre IKT-Dienstleister	Speziellere Regelung; verdrängt NIS-2 in den abgedeckten Bereichen
CER-Richtlinie / KRITIS-Dachgesetz	Kritische Einrichtungen	Ergänzt den IT-Fokus um physische Resilienz
Cyber Resilience Act	Hersteller von Produkten mit digitalen Elementen	Adressiert Produkte; erleichtert den Nachweis in der Lieferkette
DSGVO	Verantwortliche und Auftragsverarbeiter	Eigenständige Meldepflicht; läuft parallel

Für die Umsetzung ist die Verzahnung mit der Lieferkette der praktisch relevanteste Punkt. Anforderungen aus NIS-2 lassen sich teilweise über Nachweise nach dem Cyber Resilience Act belegen; umgekehrt gehören die Sicherheitszusagen von Dienstleistern in die vertragliche Dokumentation, etwa in einen Auftragsverarbeitungsvertrag.

Wie können sich Einrichtungen auf NIS-2 vorbereiten?

Die Vorbereitung auf NIS-2 folgt einer überschaubaren Reihenfolge, die unabhängig vom nationalen Gesetzgebungsstand begonnen werden kann:

Betroffenheit prüfen – Sektorzuordnung, Größenkriterien, Kategorie, und zwar für jede Gesellschaft im Konzern einzeln
Lückenanalyse gegen die zehn Mindestmaßnahmen, idealerweise entlang eines bestehenden Rahmenwerks
Leitungsorgan einbinden, Billigung dokumentieren, Schulungen ansetzen
Lieferkette erfassen – Verzeichnis der IKT-Dienstleister, Bewertung, Anpassung von Verträgen
Meldeprozess aufsetzen – Rollen, Vertretungen, Bewertungsmaßstab für „erheblich“, Vorlagen, geübter Ablauf
Kontinuität und Wiederanlauf über ein Business Continuity Management belastbar machen, einschließlich unabhängiger Kommunikationswege
Nachweisfähigkeit herstellen – Dokumentation, Wirksamkeitsprüfung, wiederkehrender Turnus statt Einmalprojekt

Erfahrungsgemäß liegt der größte Aufwand nicht in der Technik, sondern in Schritt 4 und 7: Die vollständige Erfassung der IKT-Dienstleister und die dauerhafte Nachweisführung verlangen Prozesse, die es in vielen Organisationen bislang nicht gibt.

Zusammenfassung: Wichtige Punkte zu NIS-2

NIS-2 ist die Richtlinie (EU) 2022/2555 und der zentrale europäische Rechtsrahmen für Cybersicherheit in Wirtschaft und Verwaltung.
Als Richtlinie wirkt NIS-2 nicht unmittelbar; maßgeblich ist das nationale Umsetzungsgesetz, in Deutschland die Neufassung des BSI-Gesetzes.
Erfasst sind 18 Sektoren in zwei Anhängen, kombiniert mit Größenkriterien ab mittleren Unternehmen – der Kreis wächst gegenüber der bisherigen KRITIS-Regulierung um ein Vielfaches.
Es gibt keine behördliche Feststellung: Einrichtungen müssen ihre Betroffenheit selbst prüfen und sich registrieren.
Besonders wichtige und wichtige Einrichtungen unterscheiden sich in Aufsichtsintensität und Bußgeldrahmen, nicht in den inhaltlichen Pflichten.
Art. 21 benennt zehn Mindestmaßnahmen, darunter Lieferkettensicherheit, Cyberhygiene, Verschlüsselung und Multi-Faktor-Authentifizierung.
Ausdrücklich verlangt werden gesicherte Sprach-, Video- und Textkommunikation sowie gesicherte Notfallkommunikationssysteme.
Die Leitungsebene trägt persönliche Verantwortung: Billigung, Überwachung, Schulungspflicht – bis hin zum möglichen Tätigkeitsverbot.
Erhebliche Vorfälle sind dreistufig zu melden: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht binnen eines Monats.
DORA verdrängt NIS-2 für Finanzunternehmen; der Cyber Resilience Act ergänzt die Produktebene und erleichtert Nachweise in der Lieferkette.

NIS-2-Richtlinie