NIS2
NIS2: wer ist betroffen und was jetzt zu tun ist
Von NIS2 betroffen sind mittlere und große Unternehmen aus 18 Sektoren, die als wichtig oder besonders wichtig gelten. Oft trifft es auch ihre Zulieferer. Die EU-Richtlinie erweitert den Kreis der regulierten Betriebe deutlich gegenüber der alten NIS-Richtlinie. Sie verlangt ein belegbares Risikomanagement, kurze Meldewege und eine Verantwortung der Geschäftsleitung. Wer heute prüft, ob er in den Anwendungsbereich fällt, spart sich später Zeitdruck und Haftungsrisiko.
- Betroffen sind grob Unternehmen ab 50 Beschäftigten oder 10 Millionen Euro Umsatz in einem der regulierten Sektoren, plus bestimmte kritische Anbieter unabhängig von der Größe.
- Zwei Kategorien: besonders wichtige und wichtige Einrichtungen, mit gleichen Pflichten, aber unterschiedlicher Aufsicht.
- Kernpflichten: Risikomanagement mit technischen und organisatorischen Maßnahmen, Meldung erheblicher Vorfälle in Stufen, Nachweise und Verantwortung der Leitung.
- Auch wer nicht direkt betroffen ist, bekommt die Anforderungen oft über Lieferketten-Klauseln seiner Kunden.
- Erste Schritte: Betroffenheit feststellen, Lücken gegen die Pflichten analysieren, Maßnahmen umsetzen, Nachweise sammeln.
Dieser Beitrag ordnet die Anforderungen praktisch ein und ist keine Rechtsberatung. Die verbindliche Auslegung im Einzelfall, besonders zum nationalen Umsetzungsgesetz, gehört zu Ihrer Rechtsberatung.
Was NIS2 überhaupt ist
NIS2 ist die zweite Fassung der europäischen Richtlinie zur Netz- und Informationssicherheit. Sie löst die erste NIS-Richtlinie ab und hebt das geforderte Sicherheitsniveau in der EU an. Als Richtlinie gilt sie nicht unmittelbar, sondern über die nationalen Umsetzungsgesetze der Mitgliedstaaten. Für Unternehmen zählt in der Praxis daher das jeweilige nationale Gesetz, das die Vorgaben von NIS2 konkretisiert. Der Kern bleibt in allen Ländern gleich: mehr betroffene Sektoren, verbindliche Mindestmaßnahmen, klare Meldepflichten und eine persönliche Verantwortung der Geschäftsleitung.
Wer ist von NIS2 betroffen?
Die Betroffenheit ergibt sich aus zwei Fragen: Fällt das Unternehmen in einen regulierten Sektor, und erreicht es die Größenschwelle? Als Grundregel gilt eine Größenschwelle ab mittleren Unternehmen, also in der Regel ab 50 Beschäftigten oder ab 10 Millionen Euro Jahresumsatz und Bilanzsumme. Zusätzlich gelten bestimmte Anbieter unabhängig von der Größe als betroffen, etwa Teile der digitalen Infrastruktur.
Die regulierten Sektoren
NIS2 unterscheidet Sektoren mit hoher Kritikalität und weitere kritische Sektoren. Dazu zählen unter anderem:
| Besonders wichtige Bereiche | Weitere kritische Bereiche |
|---|---|
| Energie, Verkehr, Bankwesen und Finanzmärkte | Post- und Kurierdienste |
| Gesundheit, Trinkwasser und Abwasser | Abfallwirtschaft |
| Digitale Infrastruktur und IKT-Dienstverwaltung | Produktion und Verarbeitung von Chemikalien |
| Öffentliche Verwaltung und Raumfahrt | Produktion, Lebensmittel und Herstellung bestimmter Güter |
| Anbieter digitaler Dienste und Forschung |
Zwei Kategorien, ähnliche Pflichten
NIS2 teilt betroffene Betriebe in besonders wichtige und wichtige Einrichtungen. Beide müssen dieselben Sicherheitsanforderungen erfüllen. Der Unterschied liegt vor allem in der Aufsicht: Besonders wichtige Einrichtungen werden proaktiv beaufsichtigt, wichtige Einrichtungen eher anlassbezogen, etwa nach einem Vorfall. Für die eigene Vorbereitung heißt das: Die technische und organisatorische Arbeit ist in beiden Fällen vergleichbar.
Welche Pflichten NIS2 auslöst
Die Anforderungen lassen sich in drei Blöcke fassen: Risikomanagement, Meldepflichten und Governance.
Risikomanagement mit konkreten Maßnahmen
Betroffene müssen geeignete technische und organisatorische Maßnahmen nach dem Stand der Technik ergreifen. Dazu gehören unter anderem Konzepte für Risikoanalyse und Informationssicherheit, Vorfallbehandlung, Backup und Notfallmanagement, Sicherheit der Lieferkette, Zugriffskontrolle, Umgang mit Schwachstellen, Verschlüsselung sowie Multi-Faktor-Authentifizierung. Wichtig ist der Nachweis: Die Maßnahmen müssen belegbar vorhanden und wirksam sein, nicht nur auf dem Papier stehen.
Meldepflichten in Stufen
Erhebliche Sicherheitsvorfälle sind gestuft zu melden. In der Regel gilt eine frühe Erstmeldung innerhalb von 24 Stunden, eine ausführlichere Meldung innerhalb von 72 Stunden und ein Abschlussbericht spätestens nach einem Monat. Voraussetzung ist, dass ein Vorfall überhaupt zeitnah erkannt und intern eskaliert wird. Das verlangt eine laufende Überwachung und klare Zuständigkeiten.
Verantwortung der Geschäftsleitung
NIS2 nimmt die Leitungsebene in die Pflicht. Die Geschäftsleitung muss die Risikomaßnahmen billigen, ihre Umsetzung überwachen und sich fortbilden. Bei Verstößen drohen Aufsichtsmaßnahmen und Bußgelder, und die Verantwortung lässt sich nicht vollständig delegieren. Cyber-Sicherheit wird damit zur Chefsache im rechtlichen Sinn.
Fristen und Stand der Umsetzung
Auf europäischer Ebene ist NIS2 in Kraft und war bis zum 17. Oktober 2024 in nationales Recht zu überführen. Deutschland setzt die Vorgaben über das BSI-Gesetz (BSIG) um, in der durch das NIS2-Umsetzungsgesetz geänderten Fassung. Das BSI ist dabei zentrale Melde- und Registrierungsstelle. Betroffene Einrichtungen müssen sich im BSI-Portal registrieren, und diese Registrierungsfrist ist nach Angaben des BSI bereits abgelaufen. Wer betroffen ist und sich noch nicht registriert hat, sollte das also umgehend nachholen. Ob Ihre Einrichtung konkret in den Anwendungsbereich fällt, können Sie mit der offiziellen NIS-2-Betroffenheitsprüfung des BSI einschätzen. Den verbindlichen Stichtag und die Auslegung im Einzelfall klärt Ihre Rechtsberatung anhand des aktuellen Gesetzes.
Was jetzt konkret zu tun ist
Die Vorbereitung folgt einer klaren Reihenfolge, unabhängig vom exakten Datum des nationalen Gesetzes.
- Betroffenheit feststellen. Sektor und Größe prüfen, dazu die offizielle NIS-2-Betroffenheitsprüfung des BSI nutzen, und ergänzend klären, ob Kunden die Anforderungen über die Lieferkette weitergeben.
- Verantwortung verankern. Eine zuständige Rolle benennen, die Leitungsebene einbinden und Berichtswege festlegen.
- Lückenanalyse. Den Ist-Stand gegen die geforderten Maßnahmen abgleichen und die Lücken nach Risiko und Aufwand priorisieren.
- Maßnahmen umsetzen. Technische und organisatorische Kontrollen einführen oder härten, von Zugriffskontrolle über Backup bis Vorfallbehandlung.
- Meldeprozess einrichten. Erkennung, Eskalation und Meldung so aufsetzen, dass die 24- und 72-Stunden-Fenster realistisch einzuhalten sind.
- Nachweise sammeln. Zu jeder Anforderung einen Beleg führen, damit der Zustand jederzeit prüffähig ist.
Der aufwendigste Teil ist selten die einzelne Maßnahme, sondern der belastbare Nachweis, dass alle Anforderungen zusammen erfüllt sind. Genau hier setzt eine strukturierte Readiness an, die jede Pflicht auf einen konkreten Beleg abbildet, statt eine Liste von Absichten zu hinterlassen.
NIS2-Readiness ohne Rätselraten
In einem ersten Gespräch ordnen wir Ihre Betroffenheit ein und zeigen, welche Pflichten für Sie gelten und was bis zur Prüffähigkeit fehlt. Am Ende steht ein klarer Plan mit Nachweisen, nicht nur eine Einschätzung. Details zum Vorgehen auf unserer Seite zur NIS2-Readiness.
Gespräch anfragenCyberSec42 bereitet vor, setzt um, sammelt Nachweise und begleitet bis zur akkreditierten Stelle. CyberSec42 ist selbst keine akkreditierte Zertifizierungsstelle und leistet keine Rechtsberatung.
Häufige Fragen zu NIS2
Wer ist von NIS2 betroffen?
Betroffen sind in der Regel mittlere und große Unternehmen in einem der regulierten Sektoren, also grob ab 50 Beschäftigten oder 10 Millionen Euro Umsatz. Zusätzlich gelten bestimmte kritische Anbieter unabhängig von der Größe als betroffen, etwa Teile der digitalen Infrastruktur.
Ab wann gilt NIS2?
Die EU-Frist zur Umsetzung war der 17. Oktober 2024. In Deutschland gilt NIS2 über das BSI-Gesetz in der Fassung des NIS2-Umsetzungsgesetzes; das BSI ist Melde- und Registrierungsstelle, und die Registrierungsfrist für betroffene Einrichtungen ist nach Angaben des BSI bereits abgelaufen. Wer betroffen ist, sollte die Registrierung umgehend nachholen. Den verbindlichen Stichtag für Ihren Fall klärt Ihre Rechtsberatung.
Welche Pflichten bringt NIS2 mit sich?
Die drei Kernblöcke sind Risikomanagement mit technischen und organisatorischen Mindestmaßnahmen, gestufte Meldepflichten für erhebliche Vorfälle innerhalb von 24 und 72 Stunden sowie ein Abschlussbericht, und die persönliche Verantwortung der Geschäftsleitung für die Umsetzung.
Was passiert bei Verstößen gegen NIS2?
Das nationale Gesetz sieht Aufsichtsmaßnahmen und Bußgelder vor, und die Geschäftsleitung trägt eine persönliche Verantwortung, die sich nicht vollständig delegieren lässt. Die genaue Höhe und Ausgestaltung ergibt sich aus dem jeweiligen nationalen Umsetzungsgesetz.
Bin ich betroffen, wenn ich Zulieferer eines betroffenen Unternehmens bin?
Möglicherweise ja, auch ohne selbst direkt in den Anwendungsbereich zu fallen. NIS2 verlangt von betroffenen Unternehmen, die Sicherheit ihrer Lieferkette zu steuern. In der Praxis geben viele Kunden die Anforderungen über vertragliche Klauseln an ihre Dienstleister und Zulieferer weiter.
Was ist der erste Schritt zur NIS2-Readiness?
Zuerst die Betroffenheit klären, dann eine Lückenanalyse gegen die geforderten Maßnahmen durchführen. So wird sichtbar, welche Lücken bestehen und in welcher Reihenfolge sie zu schließen sind, bevor Maßnahmen und Nachweise folgen.