NIS2: Was bedeutet die EU-Richtlinie für Unternehmen?

NIS2 ist eine EU-Richtlinie, die die Cybersicherheit in Europa stärken soll. Sie verpflichtet deutlich mehr Unternehmen als bisher, ihre IT abzusichern und Sicherheitsvorfälle zu melden. In Deutschland setzt das NIS2-Umsetzungsgesetz die Vorgaben in nationales Recht um.

Was ist NIS2?

NIS steht für „Network and Information Security“. Die EU verabschiedete NIS2 Ende 2022 als Nachfolger der ersten NIS-Richtlinie von 2016. Deutschland setzte die Vorgaben mit Verspätung um: Das NIS2-Umsetzungsgesetz trat im Dezember 2025 in Kraft und ändert vor allem das BSI-Gesetz. Die Aufsicht übernimmt das Bundesamt für Sicherheit in der Informationstechnik (BSI).

Bisher galten strenge Sicherheitsregeln vor allem für Betreiber kritischer Infrastrukturen, etwa Energieversorger. NIS2 weitet den Kreis stark aus. Nach Schätzungen der Bundesregierung fallen in Deutschland rund 30.000 Unternehmen unter die neuen Regeln.

Welche Unternehmen sind von NIS2 betroffen?

Ob ein Unternehmen unter NIS2 fällt, hängt von zwei Faktoren ab: dem Sektor und der Größe.

Sektor: Betroffen sind unter anderem Energie, Transport, Gesundheit, Banken, digitale Infrastruktur, IT-Dienstleistungen, Logistik, Lebensmittel, Chemie und Teile der verarbeitenden Industrie.
Größe: In der Regel gilt NIS2 ab 50 Beschäftigten oder ab einem Jahresumsatz und einer Bilanzsumme von jeweils über 10 Millionen Euro.
Einstufung: Das Gesetz unterscheidet zwischen „besonders wichtigen“ und „wichtigen“ Einrichtungen. Davon hängen Aufsicht und Höhe möglicher Bußgelder ab.

Für IT-Dienstleister ist NIS2 doppelt relevant. Managed Service Provider zählen selbst zu den regulierten Sektoren. Zugleich verlangen ihre Kunden zunehmend Nachweise, dass sie die Anforderungen erfüllen.

Welche Pflichten bringt NIS2 mit sich?

Betroffene Unternehmen müssen vor allem diese Punkte umsetzen:

Registrierung: Unternehmen melden sich selbstständig beim BSI an. Eine Aufforderung durch die Behörde erfolgt nicht.
Risikomanagement: Dazu zählen unter anderem Backups, Notfallpläne, Zugriffskontrollen, Verschlüsselung und die Absicherung der Lieferkette.
Meldepflichten: Erhebliche Sicherheitsvorfälle melden Unternehmen in drei Stufen. Eine Frühwarnung geht innerhalb von 24 Stunden an das BSI, die eigentliche Meldung nach spätestens 72 Stunden, ein Abschlussbericht nach einem Monat.
Verantwortung der Geschäftsleitung: Die Geschäftsführung muss die Maßnahmen billigen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Bei Verstößen haftet sie persönlich.

Welche Bußgelder drohen bei Verstößen?

NIS2 sieht empfindliche Strafen vor. Besonders wichtige Einrichtungen riskieren bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes. Für wichtige Einrichtungen liegt die Grenze bei 7 Millionen Euro oder 1,4 Prozent des Umsatzes. Es gilt jeweils der höhere Betrag.

Wie bereiten Sie Ihr Unternehmen auf NIS2 vor?

Ein schrittweises Vorgehen hilft, den Aufwand beherrschbar zu halten:

Betroffenheit prüfen: Das BSI stellt auf seiner Website eine Betroffenheitsprüfung bereit. Sie liefert eine erste Einschätzung in wenigen Minuten.
Registrieren: Fällt das Unternehmen unter NIS2, steht die Registrierung beim BSI an erster Stelle.
Risiken analysieren: Eine Bestandsaufnahme zeigt, welche Systeme kritisch sind und wo Lücken bestehen.
Maßnahmen umsetzen: Viele Anforderungen decken sich mit bewährten Standards wie ISO 27001 oder dem IT-Grundschutz des BSI.
Meldeprozess festlegen: Klare Zuständigkeiten sorgen dafür, dass im Ernstfall niemand die 24-Stunden-Frist verpasst.
Dienstleister einbeziehen: Auch Lieferanten und IT-Partner müssen zum Sicherheitsniveau passen.

Häufige Fragen zu NIS2

Gilt NIS2 auch für kleine Unternehmen?
Meist nicht direkt. Kleine Unternehmen spüren NIS2 aber oft indirekt, weil regulierte Kunden von ihren Lieferanten Sicherheitsnachweise verlangen.

Was ist der Unterschied zwischen NIS2 und KRITIS?
KRITIS bezeichnet kritische Infrastrukturen wie Strom- oder Wasserversorgung, für die schon länger strenge Regeln gelten. NIS2 erweitert den Kreis der regulierten Unternehmen erheblich.

Reicht eine ISO-27001-Zertifizierung für NIS2?
Sie deckt viele Anforderungen ab, ersetzt aber nicht alles. Registrierung und Meldepflichten gegenüber dem BSI kommen zusätzlich hinzu.

Kann ein IT-Dienstleister bei NIS2 unterstützen?
Ja. Spezialisierte Dienstleister übernehmen etwa Risikoanalysen, den Aufbau eines ISMS oder die Überwachung durch ein Security Operations Center.