Die NIS-2-Richtlinie wurde umgesetzt – und sie ist mehr als nur ein bürokratisches Update. Sie ist der „Elefant im Raum“ für die europäische Wirtschaft. Allein in Deutschland erweitert sie den Kreis der betroffenen Unternehmen auf schätzungsweise 30.000 Einrichtungen. Was wie eine weitere IT-Sicherheitsanforderung klingt, ist in Wirklichkeit ein Paradigmenwechsel. Es geht nicht länger nur um den Schutz Ihrer Systeme, sondern um die persönliche Existenz: Das NIS2UmsuCG sieht die persönliche Haftung der Geschäftsführung und drakonische Strafen (bis zu 2 % des weltweiten Jahresumsatzes oder 10 Millionen Euro für besonders wichtige Einrichtungen) vor [2], [3], [4], [6], [9], [12].
Die wahre Compliance-Lösung liegt daher nicht in bloßen Checklisten, sondern tief in der technischen Architektur. Wir zeigen in diesem Blogartikel, warum moderne Infrastrukturen, die Prinzipien wie kontinuierliche Authentifizierung (Zero-Trust), ab sofort zu kritischen Compliance-Enablern werden und Ihre Cyber-Resilienz strategisch mitentscheiden [3], [14]. compliance für cloud & ki, die euer business nicht ausbremst — sondern
Was ist NIS-2? Das Wichtigste in 60 Sekunden
Die NIS-2-Richtlinie (Network and Information Security Directive 2), die im Januar 2023 in Kraft getreten ist, ersetzt die ursprüngliche NIS 1-Richtlinie. Ihr Hauptziel ist es, ein hohes gemeinsames Cybersicherheitsniveau in der gesamten Europäischen Union zu gewährleisten. Der zentrale Fokus liegt auf der Cyber-Resilienz von Organisationen – also der Fähigkeit, auch im Falle von Cyberangriffen kritische Dienste aufrechtzuerhalten [2], [3], [4], [5], [8], [15].
Der Geltungsbereich der NIS-2 geht weit über die bisherigen nationalen KRITIS-Regulierungen hinaus. Die Richtlinie erfasst nun auch kleine und mittlere Institutionen in Deutschland; Schätzungen zufolge sind hierzulande nun rund 30.000 Einrichtungen betroffen. Die betroffenen Unternehmen werden in „Besonders wichtige Einrichtungen“ (Essential) und „Wichtige Einrichtungen“ (Important) unterteilt. Die Zuordnung erfolgt primär über eine Kombination aus Unternehmensgröße (Mitarbeiterzahl, Umsatz/Bilanzsumme) und der Zugehörigkeit zu einem der 18 kritischen Sektoren [2], [3], [6], [7], [8], [9], [11], [15].
Betroffene Einrichtungen müssen zwei Hauptanforderungspakete erfüllen: Risikomanagement und Meldepflichten. Präventiv müssen sie geeignete, verhältnismäßige und wirksame technische sowie organisatorische Maßnahmen zur Beherrschung der Cyberrisiken implementieren, gestützt auf eine Risikoanalyse. Reaktiv ist ein mehrstufiges Melderegime bei erheblichen Sicherheitsvorfällen verpflichtend. Die Erstmeldung muss dabei unverzüglich, spätestens aber innerhalb von 24 Stunden nach Kenntnisnahme des Vorfalls an die zuständige Behörde erfolgen, gefolgt von einem ausführlichen Bericht nach 72 Stunden und einer Abschlussmeldung innerhalb eines Monats [2], [3], [4], [5], [6], [7].
Bin ich betroffen? Der 3-Stufen NIS-2-Realitätscheck
Die zentrale Frage für viele Unternehmen ist, ob die Richtlinie ihre Organisation erfasst. Im Gegensatz zur früheren Regulierung gibt es keine automatische Benachrichtigung durch Behörden. Stattdessen sind Organisationen jetzt zur eigenständigen Prüfung und Registrierung beim Bundesamt für Sicherheit in der Informationstechnik (BSI) verpflichtet. Schätzungen zufolge erweitert sich der Kreis der Betroffenen von zuvor etwa 4.500 auf rund 30.000 Einrichtungen in Deutschland. Die Zeiten, in denen nur die „üblichen Verdächtigen“ (wie Energieversorger oder Wasserwirtschaft) im Fokus standen, sind vorbei [2], [6], [9], [10], [11], [14], [15].
Hier ist der ausführliche 3-Stufen-Check für eine erste Orientierung:
1. Prüfen Sie Ihren Sektor: NIS-2 erfasst insgesamt 18 Sektoren, unterteilt in:
- Hohe Kritikalität (Besonders wichtige Einrichtungen): Dazu zählen u. a. Energie, Transport, Gesundheitswesen, Trinkwasser, Abwasser, Digitale Infrastrukturen und Öffentliche Verwaltung.
- Sonstige Kritikalität (Wichtige Einrichtungen): Darunter fallen Post- und Kurierdienste, Abfallwirtschaft, Produktion/Herstellung von Waren, Forschungseinrichtungen und Anbieter digitaler Dienste (wie Online-Marktplätze).
2. Prüfen Sie Ihre Größe: Die Betroffenheit richtet sich nach den Schwellenwerten für mittlere und große Unternehmen in den relevanten Sektoren:
- Wichtige Einrichtungen (mittlere): Haben mindestens 50 Beschäftigte oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Mio. EUR.
- Besonders wichtige Einrichtungen (große, in Sektoren hoher Kritikalität): Haben über 249 Beschäftigte oder über 50 Mio. EUR Umsatz und 43 Mio. EUR Bilanzsumme.
3. Sonderfälle & Supply-Chain-Prüfung:
Sie sind unabhängig von Ihrer Größe betroffen, wenn Sie:
- Betreiber kritischer Anlagen (KRITIS) sind.
- Der einzige Anbieter einer kritischen Dienstleistung im Mitgliedstaat sind (z. B. ein kleiner kommunaler Fernwärmeanbieter).
- Zu bestimmten spezifischen Einrichtungsarten zählen, wie TLD-Namenregister, DNS-Diensteanbieter oder qualifizierte Vertrauensdiensteanbieter.
Unabhängig davon: Prüfen Sie die indirekte Betroffenheit durch die Lieferkette: Sind Sie ein wichtiger Zulieferer (z. B. IKT-Dienstleister) für ein direkt betroffenes Unternehmen? Dieses muss die Sicherheit der Lieferkette als Teil seiner Risikomanagementmaßnahmen bewerten und kann die Umsetzung relevanter Sicherheitsanforderungen von Ihnen verlangen [1], [3], [5], [6], [7], [9], [10].
Eine detaillierte, wenn auch rechtlich nicht bindende, Ersteinschätzung bietet die NIS-2-Betroffenheitsprüfung des BSI. Unternehmen sollten rechtzeitig handeln, um die Pflichten des NIS2UmsuCG vorzubereiten. Sie finden diese unter folgendem Link: https://betroffenheitspruefung-nis-2.bsi.de/.
Was NIS-2 technisch von Ihnen verlangt
Die NIS-2-Richtlinie verlangt von betroffenen Unternehmen die Einführung geeigneter, verhältnismäßiger und wirksamer technischer und organisatorischer Maßnahmen (TOMs), die dem Stand der Technik entsprechen. Diese Maßnahmen müssen auf einem gefahrenübergreifenden Ansatz basieren, um sowohl digitale Sicherheitsvorfälle als auch physische Bedrohungen (wie Diebstahl oder Systemausfälle) zu schützen [5], [7], [11].
Die NIS-2-Richtlinie listet mindestens zehn obligatorische Sicherheitsbereiche auf, um die Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit der Netz- und Informationssysteme zu gewährleisten:
- Technische Abwehrmaßnahmen: Dies beinhaltet den Einsatz von Kryptografie und gegebenenfalls Verschlüsselung, sowie die zwingende Nutzung von Multi-Faktor-Authentifizierung (MFA) oder kontinuierlicher Authentifizierung zur Zugriffskontrolle.
- Cybersicherheits-Risikomanagement: Es sind Konzepte zur Risikoanalyse zu etablieren, um Bedrohungen und deren Folgen systematisch zu bewerten.
- Vorfalls- und Kontinuitätsmanagement: Unternehmen müssen Prozesse zur Bewältigung von Sicherheitsvorfällen (Erkennung, Analyse, Eindämmung) und ein Business Continuity Management (BCM), einschließlich Backup-Management und Krisenmanagement, einrichten.
- Lieferkettensicherheit: Es muss die Sicherheit der Lieferkette bewertet werden, einschließlich der Berücksichtigung der Cybersicherheitspraktiken unmittelbarer Anbieter und Dienstleister.
- Governance und Personal: Die Geschäftsleitung trägt die persönliche Haftungsverantwortung und muss die Maßnahmen genehmigen und überwachen. Außerdem sind regelmäßige Schulungen und Sensibilisierungsmaßnahmen im Bereich der Cyberhygiene für Personal und Führungskräfte vorgeschrieben [3], [5], [7], [9], [12].
Unternehmen müssen zudem ein dreistufiges Meldeverfahren für erhebliche Sicherheitsvorfälle an das BSI (oder die zuständige Behörde) einhalten:
- Frühwarnung innerhalb von 24 Stunden nach Kenntnisnahme des Vorfalls.
- Ausführlicher Bericht innerhalb von 72 Stunden (inkl. erster Bewertung von Schweregrad und Kompromittierungsindikatoren).
- Abschlussbericht spätestens einen Monat nach der 72-Stunden-Meldung [2], [4], [5], [6], [7].
Die kurzen Fristen machen deutlich: Sie können nicht melden, was Sie nicht entdecken. Da die vollständige Verhinderung von Cyberangriffen als unrealistisch gilt, ist ein effektives Sicherheitsvorfall-Management zentral. Dies erfordert leistungsfähige Systeme zur fortlaufenden Angriffserkennung. Reine Log-Sammlung genügt nicht mehr; vielmehr sind Lösungen zur Anomalieerkennung (wie SIEM oder Managed Extended Detection and Response/MXDR) erforderlich, die verdächtiges Verhalten in Echtzeit identifizieren. Die Erkennungszeit (Time-to-Detect) wird somit zur kritischsten Kennzahl, da sie die Einhaltung der 24-Stunden-Meldepflicht direkt beeinflusst [3], [6], [7].
Fazit
Die NIS-2 Richtlinie erweitert die Cybersicherheitspflichten drastisch auf Tausende von Unternehmen. Betroffene müssen technisches Risikomanagement (wie Multi-Faktor-Authentifizierung und Kryptografie) und strenge Meldepflichten (24/72 Stunden) sofort umsetzen. Angesichts der persönlichen Haftung der Geschäftsleitung und drohender hoher Bußgelder (bis zu 10 Mio. EUR oder 2% Umsatz) ist Compliance jetzt Chefsache.
Quellen
- Bundesamt für Sicherheit in der Informationstechnik (BSI) (2025). Fragebogen NIS-2 Richtlinie Bund (NIS-2-Betroffenheitsprüfung). BSI. https://betroffenheitspruefung-nis-2.bsi.de/.
- Deutscher Bundestag, Internetredaktion (2025). Gesetz zur Informationssicherheit in der Bundesverwaltung beschlossen. Deutscher Bundestag. https://www.bundestag.de/dokumente/textarchiv/2025/kw46-de-nis-2-1123138.
- Dzubba, P., & Ochs, M. (2024). NIS 2-Richtlinie: Zusammenfassung und Umsetzung für Deutschland. Blog des Fraunhofer-Institut für Experimentelles Software Engineering. Fraunhofer-Institut für Experimentelles Software Engineering IESE. https://www.iese.fraunhofer.de/blog/nis-2-richtlinie-zusammenfassung-umsetzung-deutschland/.
- Effenberger, S. (2025). NIS-2-Richtlinie: Anforderungen, Strafen und Umsetzung. Docusnap Blog. Docusnap GmbH. https://www.docusnap.com/it-dokumentation/nis-2-richtlinie.
- Europäisches Parlament und Rat der Europäischen Union (2022). Richtlinie (EU) 2022/2555 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union (NIS-2-Richtlinie). Amtsblatt der Europäischen Union, L 333, 80–152. EUR-Lex. Retrieved from https://eur-lex.europa.eu/eli/dir/2022/2555/oj?locale=de.
- Funke, H.-W., & Rost, C. (2023). Bedeutung der NIS-2-EU-Richtlinie für die Cybersicherheit. DGUV forum, 11. Deutsche Gesetzliche Unfallversicherung. https://forum.dguv.de/ausgabe-11-2023/bedeutung-der-nis-2-eu-richtlinie-fuer-die-cybersicherheit/.
- G DATA CyberDefense AG (2025). NIS-2-Richtlinie: Was jetzt für Unternehmen wichtig ist. Die EU-Richtlinie und der aktuelle deutsche Gesetzesentwurf im Überblick. https://www.gdata.de/business/nis-2-richtlinie.
- Generaldirektion Kommunikationsnetze, Inhalte und Technologien (2025). NIS2-Richtlinie: Sicherung von Netz- und Informationssystemen. Gestaltung der digitalen Zukunft Europas. Europäische Kommission. https://digital-strategy.ec.europa.eu/de/policies/nis2-directive.
- Wolff, M. (2025). NIS-2: Neue Pflichten für Unternehmen. Cybersicherheit wird Pflicht. Industrie- und Handelskammer Aachen. https://www.ihk.de/aachen/innovation/digitalisierung/nis-2-neue-pflichten-fuer-unternehmen-6200390.
- Landesamt für Sicherheit in der Informationstechnik (LSI) (2025). NIS-2 FAQ. LSI. https://www.lsi.bayern.de/kritis/nis-2/faq/index.html.
- Ministerium des Innern und für Sport des Landes Rheinland-Pfalz (2025). NIS-2 – Was bedeutet diese EU-Richtlinie für meine Organisation? https://mdi.rlp.de/themen/verfassungsschutz/cyberschutz/ebling-bei-fachtagung-land-staerkt-kommunen-bei-cybersicherheit-1/nis-2-was-bedeutet-diese-eu-richtlinie-fuer-meine-organisation.
- OpenKRITIS (2025). Bußgelder in KRITIS. Paul Weissmann c/o, Insignals GmbH. https://www.openkritis.de/betreiber/bussgelder-kritis-bsig.html.
- Amt für Veröffentlichungen der Europäischen Union (2016). Dokument 32014R0910. Sicherere Transaktionen im Internet. Vertrauensdienste. EUR-Lex. Retrieved from https://eur-lex.europa.eu/legal-content/DE/LSU/?uri=CELEX:32014R0910.
- Glenzer, A. (2025). NIS-2-Richtlinie für Forschungseinrichtungen. PricewaterhouseCoopers GmbH. https://www.pwc.de/de/cyber-security/europaeische-nis-2-richtlinie-implikationen-fuer-unternehmen-und-institutionen/nis-2-richtlinie-fuer-forschungseinrichtungen.html.
- Tempel, N. (2025). Beitrag von Nena Tempel [LinkedIn update]. LinkedIn. Retrieved from https://www.linkedin.com/posts/nena-tempel_gestern-hat-der-bundestag-endlich-das-nis2-activity-7394984969867149312-7SEf?rcm=ACoAACjb6Q0Bf6BBHIUYacbljIt1hWUwXBialG4.
