Kurz gefasst: Die NIS2-Richtlinie ist ein EU-Rechtsakt für Cybersicherheit. Sie löst die ursprüngliche NIS-Richtlinie ab und erweitert deren Anwendungsbereich deutlich. In Deutschland gilt sie über das BSIG, das am 06.12.2025 in Kraft getreten ist. Betroffen sind besonders wichtige und wichtige Einrichtungen in Sektoren wie Energie, Verkehr, Gesundheit, Wasserversorgung, digitale Infrastruktur, IKT-Dienstleister, Chemie, Lebensmittel und produzierendes Gewerbe. Ob Ihr Unternehmen dazugehört, hängt von Sektor, Unternehmensgröße und Umsatz ab und lässt sich mit der Betroffenheitsprüfung des BSI klären.
Was ist die NIS2-Richtlinie?
Die NIS2-Richtlinie (Netz- und Informationssicherheit) ist eine EU-weite Verordnung, die das Ziel verfolgt, das Cyber-Sicherheitsniveau in der Europäischen Union zu erhöhen. Sie aktualisiert die ursprüngliche NIS-Richtlinie von 2016 und erweitert den Anwendungsbereich erheblich, um auf die zunehmenden Bedrohungen der Cybersicherheit zu reagieren. Ihr Hauptziel ist es, die Widerstandsfähigkeit von Unternehmen und Organisationen gegenüber Cyberangriffen zu stärken und ihre Fähigkeit zu verbessern, auf solche Bedrohungen zu reagieren.
Umsetzung der NIS2-Richtlinie in Deutschland
In Deutschland wird die NIS2-Richtlinie durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) in nationales Recht umgesetzt. Dieses Gesetz erweitert die bestehenden IT-Sicherheitsvorgaben und Meldepflichten für eine größere Anzahl von Unternehmen und Sektoren. Es betrifft nicht nur Betreiber kritischer Infrastrukturen, sondern auch viele andere Unternehmen, die als „besonders wichtige“ oder „wichtige“ Einrichtungen gelten.
Das Gesetz wurde am 24. Juli 2024 vom Kabinett verabschiedet und ist als BSIG am 06.12.2025 in Kraft getreten. Das Inkrafttreten des Gesetzes wird in den kommenden Monaten erwartet.
Unternehmen sollten sich bereits jetzt auf die NIS2-Regulierung vorbereiten, indem sie ihre IT-Sicherheitsmaßnahmen überprüfen und anpassen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt grundsätzlich, die eigene IT-Sicherheit kontinuierlich zu verbessern, unabhängig von den gesetzlichen Anforderungen.
Erste Schritte zur Vorbereitung auf die NIS2-Richtlinie
1. Betroffenheitsprüfung durchführen
Unternehmen sollten zunächst klären, ob sie von der NIS2-Richtlinie betroffen sind. Das BSI bietet dafür eine NIS2-Betroffenheitsprüfung sowie einen Entscheidungsbaum an, die Unternehmen bei der Einstufung und der Identifizierung ihrer Pflichten unterstützen.
Die NIS2-Richtlinie gilt für alle Betreiber kritischer Infrastrukturen in der EU, die entweder:
- mindestens 50 Beschäftigte haben oder
- einen Jahresumsatz von 10 Millionen Euro erzielen.
Dabei ist es unerheblich, ob das Unternehmen seinen Sitz in der EU hat oder nur dort tätig ist.
NIS2 definiert die folgenden Sektoren als kritisch:
Sektoren hoher Kritikalität:
- Energiesektor
- Verkehrswesen (Straße, Schiene, Luft, Wasserwege)
- Finanzwesen und Finanzmarktinfrastrukturen
- Gesundheitssektor
- Wasserversorgung und Abwassermanagement
- Digitale Infrastrukturen (z.B. Rechenzentren, Cloud-Dienste)
- B2B-Dienstleister im Bereich Informations- und Kommunikationstechnologie (IKT)
- Staatliche Verwaltung
- Raumfahrt
Sonstige kritische Sektoren:
- Versandunternehmen (Post- und Kurierdienste)
- Entsorgungswesen
- Chemieindustrie (Produktion und Handel)
- Lebensmittelindustrie (Produktion und Vertrieb)
- Produzierendes Gewerbe
- Anbieter digitaler Services
- Forschungseinrichtungen
Ausnahmen von der Richtlinie gelten für Unternehmen, die Tätigkeiten in Bereichen wie Verteidigung, nationale Sicherheit, öffentliche Sicherheit oder Strafverfolgung ausüben. Auch Justiz, Parlamente und Zentralbanken sind ausgenommen.
2. Zuständige Personen benennen
Unternehmen müssen mindestens zwei Personen benennen, die für die Informationssicherheit verantwortlich sind. Das BSI bietet hierfür den IT-Grundschutz-Baustein ORP.2 Personal als Orientierung, der die Anforderungen an diese Rollen beschreibt.
3. Verantwortung des Managements
Die Unternehmensleitung sollte sich aktiv auf ihre Rolle im Risikomanagement vorbereiten. Dazu gehört die Teilnahme an Schulungen und die Nutzung von Ressourcen wie dem Handbuch und dem Toolkit der Allianz für Cyber-Sicherheit zur Verwaltung von Cyber-Risiken.
4. Bestandsaufnahme der Informationssicherheit
Unternehmen sollten eine Bestandsaufnahme ihrer Informationssicherheit durchführen, um ihren aktuellen Status zu bewerten. Je nach Unternehmensgröße und bestehender Sicherheitsstruktur können unterschiedliche Maßnahmen erforderlich sein:
- Für kleine und mittlere Unternehmen (KMU) bietet sich der CyberRisikoCheck nach DIN SPEC 27076 an.
- Große Unternehmen sollten prüfen, ob sie nach IT-Grundschutz oder ISO 27001/2 arbeiten, und gegebenenfalls Nachbesserungen vornehmen.
5. Kontinuierliche Verbesserung der Informationssicherheit
Die NIS2-Richtlinie fordert Unternehmen auf, kontinuierlich an der Verbesserung ihrer Informationssicherheit zu arbeiten. Wichtige Themen sind hierbei:
- Risikomanagement
- Sicherheitsvorfallmanagement
- Betriebskontinuität und Notfallwiederherstellung
- Sicherheit der Lieferkette
- Schulungen zur Informationssicherheit
- Einsatz von Verschlüsselung und Kryptografie
Meldepflichten und Umgang mit Warnungen
Unternehmen sollten sich auf die kommende Meldepflicht für Sicherheitsvorfälle vorbereiten. Dazu gehört die Einrichtung von Prozessen und Rollen, die eine schnelle Meldung an das BSI ermöglichen. Auch der Umgang mit eingehenden Warnungen und Lageberichten des BSI sollte bereits jetzt geklärt werden. Wie Sie dieselben NIS2-Anforderungen im Kubernetes-Betrieb nachweisen, also Prozesse, Protokolle und Rollen im Cluster, zeigen wir auf einer eigenen Seite.
Mitglieder der Allianz für Cyber-Sicherheit und des UP KRITIS erhalten schon jetzt wertvolle Lage- und Warninformationen, die sie für ihre Vorbereitungen nutzen können.
Umsetzung der NIS2-Compliance durch ein ISMS
Ein Informationssicherheitsmanagementsystem (ISMS) nach ISO 27001 bietet einen strukturierten Rahmen zur Erfüllung der NIS2-Anforderungen. Es unterstützt Unternehmen bei der Identifizierung und Bewertung von Risiken, der Umsetzung von Sicherheitsmaßnahmen und der kontinuierlichen Verbesserung der Informationssicherheit. Durch ein ISMS können Unternehmen sicherstellen, dass ihre Sicherheitskontrollen wirksam sind und den sich ändernden Bedrohungen gerecht werden.
NIS2-Pflichten und ihr Nachweis im Betrieb
| Pflicht | Was das konkret heißt | Woran man sie im Betrieb nachweist |
|---|---|---|
| Risikomanagement | Konzept zur Risiko-Evaluierung erstellen, Risiken für IT-Systeme, Daten und Prozesse bewerten und fortschreiben | Risikoregister mit Bewertung, Verantwortlichem und Datum, dokumentierte Reviews, Ableitung konkreter Maßnahmen |
| Sicherheitsvorfallmanagement und Meldeprozesse | Rollen und Abläufe, die einen Vorfall erkennen, bewerten und an das BSI melden, plus Umgang mit BSI-Warnungen und Lageberichten | Incident-Runbook, benannte Alarmierungskette, Ticket-Historie mit Zeitstempeln, Nachweis der Meldewege |
| Betriebskontinuität und Notfallwiederherstellung | Krisenreaktionsplan für Cybervorfälle und vorbereitete Wiederherstellungsmaßnahmen für kritische Systeme | Backup- und Restore-Protokolle, dokumentierte Wiederanlauf-Tests mit Ergebnis, aktueller Notfallplan mit Rollen |
| Sicherheit der Lieferkette | Sicherheitsanforderungen an IT-Dienstleister, Cloud- und Rechenzentrumsanbieter stellen und deren Einhaltung nachhalten | Verzeichnis der relevanten Dienstleister, Sicherheitsanforderungen im Vertrag, Melde- und Eskalationswege, Nachweise der Dienstleister wie ISO/IEC 27001 |
| Verschlüsselung und sichere Kommunikation | Sicherer Datenaustausch, starke Authentifizierungsverfahren und sichere Kommunikationsprotokolle im Regelbetrieb | Dokumentierte Konfigurationsstände, Zertifikats- und Schlüsselverwaltung, Nachweis der Abdeckung mit Mehrfaktor-Authentifizierung |
| Verantwortliche benennen und Leitung einbinden | Benannte Verantwortliche für Informationssicherheit, Unternehmensleitung aktiv im Risikomanagement und geschult | Benennungen mit Rollenbeschreibung und Vertretung, Schulungsnachweise der Leitung, Protokolle der Sicherheitsberichte an die Leitung |
| Überwachung und regelmäßige Bewertung | Sicherheit der IT-Systeme laufend überwachen, Updates und Datensicherung aufrechterhalten, Wirksamkeit regelmäßig bewerten | Monitoring- und Alerting-Auswertungen, Log-Aufbewahrung mit definierter Frist, Patch- und Backup-Reports |
| Schulung des Personals | Beschäftigte regelmäßig zu Cybersicherheitsrisiken und zum Verhalten im Vorfall schulen | Schulungsplan mit Wiederholungsintervall, Teilnehmerlisten, Nachweis über abgedeckte Rollen und Bereiche |
Die 8 wichtigsten Schritte zur NIS2-Compliance
- Konzept zur Risiko-Evaluierung erstellen
- Sicherheit der IT-Systeme überwachen und regelmäßig bewerten
- Krisenreaktionsplan für Cybervorfälle implementieren
- Wiederherstellungsmaßnahmen vorbereiten
- Sicheren Datenaustausch durch Technologien wie Verschlüsselung gewährleisten
- IT-Sicherheit kontinuierlich durch Updates und Datensicherung aufrechterhalten
- Meldeprozesse für Sicherheitsvorfälle etablieren
- Personal regelmäßig zu Cybersicherheitsrisiken schulen
Häufige Fragen zur NIS2-Richtlinie
Was ist NIS2?
NIS2 ist die EU-Richtlinie zur Netz- und Informationssicherheit. Sie hebt das Cybersicherheitsniveau in der EU an, indem sie Risikomanagement, Meldepflichten und die Verantwortung der Leitung verbindlich vorgibt. Der Anwendungsbereich ist gegenüber der ursprünglichen NIS-Richtlinie deutlich breiter. In Deutschland wirkt NIS2 über das BSIG, das am 06.12.2025 in Kraft getreten ist. Für Sie zählt die nationale Umsetzung, nicht der Richtlinientext selbst.
Wer ist von NIS2 betroffen?
Betroffen sind Einrichtungen in den Sektoren hoher Kritikalität – Energie, Verkehr, Finanzwesen, Gesundheit, Wasser und Abwasser, digitale Infrastruktur, IKT-Dienstleister, staatliche Verwaltung und Raumfahrt – sowie in weiteren kritischen Sektoren wie Post- und Kurierdiensten, Entsorgung, Chemie, Lebensmitteln, produzierendem Gewerbe, Anbietern digitaler Dienste und Forschung. Ob Sie darunterfallen, hängt zusätzlich von Größe und Umsatz ab. Das BSI stellt dafür eine Betroffenheitsprüfung und einen Entscheidungsbaum bereit.
Was muss ich zur NIS2-Registrierung beim BSI tun?
Die Registrierung läuft über das BSI. Klären Sie zuerst mit der Betroffenheitsprüfung, ob und als welche Einrichtungsart Sie eingestuft sind, und benennen Sie die Verantwortlichen für Informationssicherheit samt Kontaktweg. Halten Sie Stammdaten, Sektorzuordnung und die erbrachten Dienste bereit. Die konkreten Formalitäten und Fristen gibt das BSI vor, prüfen Sie diese direkt dort, bevor Sie melden.
Welche Meldepflichten gelten?
NIS2 verlangt, dass Sie erhebliche Sicherheitsvorfälle an das BSI melden. Praktisch heißt das: definierte Rollen, ein erreichbarer Meldeweg und ein Prozess, der einen Vorfall erkennt, bewertet und dokumentiert. Legen Sie außerdem fest, wer Warnungen und Lageberichte des BSI entgegennimmt und auswertet. Die genauen Meldefristen und Stufen stehen im BSIG, übernehmen Sie sie von dort in Ihr Runbook.
Was bedeutet NIS2 für meine Dienstleister?
NIS2 zieht die Lieferkette in die Pflicht. Sie müssen Sicherheitsanforderungen an IT-Dienstleister, Cloud- und Rechenzentrumsanbieter stellen und deren Einhaltung nachhalten. Praktisch bedeutet das: ein Verzeichnis der relevanten Dienstleister, Sicherheitsanforderungen im Vertrag, klare Melde- und Eskalationswege bei Vorfällen und Nachweise wie ein zertifiziertes Managementsystem. Pexon ist ISO/IEC 27001 zertifiziert und liefert diese Nachweise für die betreuten Umgebungen.
Was passiert bei Verstößen?
Bei Verstößen drohen aufsichtsrechtliche Maßnahmen und Sanktionen. Den Rahmen dafür regelt das BSIG, inklusive der Verantwortung der Unternehmensleitung. Konkrete Höhen und Einzelfälle bewerten wir nicht: Pexon ist keine Rechtsberatung. Klären Sie die rechtliche Einordnung mit Ihrer Rechtsabteilung oder einer Kanzlei. Wir setzen die technische und organisatorische Seite um und sorgen dafür, dass Nachweise im Betrieb entstehen.
Zusammenfassung
Die NIS2-Richtlinie stellt eine bedeutende Erweiterung der Cybersicherheitsanforderungen in der EU dar und betrifft eine Vielzahl von Unternehmen, insbesondere in kritischen Sektoren. Unternehmen müssen sich proaktiv auf die Umsetzung dieser Richtlinie vorbereiten, um ihre Widerstandsfähigkeit gegen Cyber-Bedrohungen zu stärken. Dazu gehören die Identifizierung der Betroffenheit, die Benennung verantwortlicher Personen, die Durchführung einer umfassenden Bestandsaufnahme der Informationssicherheit und die Implementierung eines Informationssicherheitsmanagementsystems (ISMS) nach ISO 27001.
Neben organisatorischen Maßnahmen sind auch technische Sicherheitsvorkehrungen unerlässlich, um den Anforderungen der NIS2 gerecht zu werden. Dazu zählen starke Authentifizierungsverfahren, sichere Kommunikationsprotokolle und eine kontinuierliche Überwachung der Netzwerksicherheit.
Unternehmen, die von der NIS2-Richtlinie betroffen sind, müssen sowohl die Betriebskontinuität sicherstellen als auch effizient auf Cyber-Bedrohungen reagieren. Die Umsetzung der NIS2-Anforderungen ist ein fortlaufender Prozess, der eine kontinuierliche Verbesserung der Informationssicherheit erfordert. Durch eine rechtzeitige und systematische Vorbereitung können Unternehmen die Einhaltung der NIS2 sicherstellen und ihre Cybersicherheit nachhaltig stärken.
