NIS2 – Definition, Anforderungen & Umsetzung für Unternehmen

Was ist NIS2?

NIS2 (Network and Information Security Directive 2) ist die überarbeitete EU-Richtlinie zur Cybersicherheit, die die ursprüngliche NIS-Richtlinie von 2016 ersetzt. Sie trat am 17. Oktober 2024 in Kraft (EU-Ebene) und wird in Deutschland als NIS2UmsuCG (NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz) in nationales Recht umgesetzt. NIS2 erweitert den Geltungsbereich massiv: In Deutschland sind nun rund 30.000 Unternehmen betroffen – gegenüber zuvor ~5.000 unter NIS1. Betroffene Unternehmen müssen Risikomanagement, Meldepflichten, Lieferkettensicherheit und Geschäftsführer-Haftung implementieren. Verstöße können mit Bußgeldern bis zu 10 Millionen Euro oder 2 % des globalen Jahresumsatzes geahndet werden.

NIS2 ist die tiefgreifendste Veränderung der Cybersicherheitslandschaft in der EU seit Jahren: 30.000 Unternehmen in Deutschland müssen Cybersicherheits-Mindeststandards umsetzen – und die Geschäftsführung haftet persönlich für deren Umsetzung. Wer NIS2 ignoriert, riskiert nicht nur Bußgelder, sondern persönliche Haftung der Unternehmensleitung.

Auf einen Blick – Key Facts

NIS2-Sektoren – Wer ist betroffen?

NIS2-Kernpflichten im Überblick

NIS2-Mindestmaßnahmen (Art. 21)

Häufig gestellte Fragen (FAQ)

Wie finde ich heraus, ob mein Unternehmen von NIS2 betroffen ist?
Zwei Prüfschritte: 1) Fällt mein Unternehmen in einen der NIS2-Sektoren (Energie, Transport, Gesundheit, IT, Lebensmittel, Chemie etc.)? 2) Überschreite ich die Größenschwellen (≥50 Mitarbeiter ODER ≥10 Mio. € Umsatz für Important Entities; ≥250 MA ODER ≥50 Mio. € für Essential Entities)? Das BSI bietet auf seiner Website einen Selbsttest an. Wichtig: Auch wenn Ihr Unternehmen nicht direkt betroffen ist, können Ihre Kunden NIS2-Pflichten an Sie (Lieferkette) weitergeben.

Was sind die Unterschiede zwischen Essential und Important Entities?
Essential Entities (EE) – kritischere Sektoren (Energie, Gesundheit, Transport, Wasser, Finanzmarkt): Höhere Bußgelder (bis 10 Mio. € oder 2 % Umsatz), strengere Aufsicht (proaktiv durch Behörden), umfangreichere Prüfpflichten. Important Entities (IE) – weniger kritische Sektoren (Lebensmittel, Post, digitale Dienste, verarbeitendes Gewerbe): Niedrigere Bußgelder (bis 7 Mio. € oder 1,4 % Umsatz), reaktive Aufsicht (nur bei Verdacht oder Vorfall). Die Mindestanforderungen (Art. 21) gelten für beide Kategorien gleich.

Was bedeutet Geschäftsführer-Haftung unter NIS2?
NIS2 macht die Unternehmensleitung (Geschäftsführer, Vorstände) persönlich verantwortlich für die Genehmigung und Überwachung von Cybersicherheitsmaßnahmen. Bei schuldhafter Verletzung dieser Pflichten können Behörden das Management persönlich haftbar machen – bis hin zu einem temporären Tätigkeitsverbot. Das bedeutet konkret: Die Geschäftsführung muss Cybersicherheit aktiv steuern, über den Status informiert sein und Ressourcen bereitstellen. „Das war Sache der IT-Abteilung" ist keine Entlastung mehr.

Was passiert bei einem meldepflichtigen Vorfall?
NIS2 schreibt ein dreistufiges Meldemodell vor: Stufe 1 (24 Stunden): Erstmeldung – Art des Vorfalls, betroffene Systeme, erste Einschätzung. Stufe 2 (72 Stunden): Zwischenmeldung – genauere Analyse, Ausmaß, erste Gegenmaßnahmen. Stufe 3 (1 Monat): Abschlussbericht – vollständige Analyse, Ursachen, Konsequenzen. Gemeldet wird beim BSI (für national bedeutsame Vorfälle) oder CERT. Ein erheblicher Vorfall ist definiert als: Betriebsunterbrechung, finanzielle Verluste über Schwellenwert, Auswirkungen auf andere Entitäten.

Wie kann ich NIS2-Compliance effizient umsetzen?
Empfohlener Fahrplan: 1) Betroffenheitsprüfung (bin ich NIS2-pflichtig?). 2) Gap-Analyse gegen NIS2-Anforderungen (was fehlt noch?). 3) Prioritäten setzen nach Risiko (MFA, Backups, Patch-Management zuerst). 4) ISMS aufbauen oder erweitern (ISO 27001 als Rahmen). 5) Incident-Response-Plan dokumentieren und testen. 6) Lieferantenbewertungen durchführen. 7) Schulungen für Management und Mitarbeiter. 8) Beim BSI registrieren. Tipp: ISO 27001 liefert ~80 % der NIS2-Anforderungen ab – eine Zertifizierung ist keine Pflicht, aber ein gutes Fundament.

Fazit

NIS2 ist eine Zäsur für die Cybersicherheitslandschaft in Deutschland: 30.000 betroffene Unternehmen, persönliche Geschäftsführer-Haftung und 24-Stunden-Meldefristen setzen neue Standards. Wer NIS2 als Chance begreift, professionalisiert seine Cybersicherheit auf ein Niveau, das auch ohne gesetzliche Pflicht sinnvoll wäre. Die Anforderungen sind managebar – ISO 27001, MFA, Patch-Management, Backup und Incident Response decken den Kern ab.