NIS2-Richtlinie
Unterstützung bei der Umsetzung der NIS2-Anforderungen – für Unternehmen aus den Sektoren der Anlagen 1 und 2 des BSI-Gesetzes, darunter Energie, Gesundheit, Lebensmittelindustrie und Maschinenbau. In Deutschland gilt NIS2 über das NIS2-Umsetzungsgesetz (NIS2UmsuCG).
Technische Umsetzung von NIS2-Anforderungen wie Endpoint-Schutz, Mail Security und Awareness: Cybersecurity-Leistungen ansehen.
NIS2-Richtlinie im Überblick
Die NIS2-Richtlinie (Richtlinie (EU) 2022/2555) erweitert die Cybersicherheitsanforderungen deutlich und ersetzt die bisherige NIS-Richtlinie. In Deutschland ist sie durch das NIS2-Umsetzungsgesetz umgesetzt, das seit dem 6. Dezember 2025 gilt. Die Pflichten stehen im neu gefassten BSI-Gesetz (BSIG).
- Gilt für Unternehmen aus den Sektoren der Anlagen 1 und 2 ab 50 Beschäftigten oder mit jeweils über 10 Mio. € Umsatz und Bilanzsumme
- Meldepflichten: Erstmeldung spätestens 24 Stunden nach Kenntnis eines erheblichen Sicherheitsvorfalls
- Bis zu 10 Mio. € bzw. 7 Mio. € je nach Einrichtungsart (§ 65 BSIG)
Sektoren der Anlage 1 BSIG
Besonders wichtige oder wichtige Einrichtungen, je nach Größe
- Energie – Strom, Fernwärme und Fernkälte, Kraftstoff und Heizöl, Gas und Wasserstoff
- Transport und Verkehr – Luftverkehr, Schienenverkehr, Schifffahrt, Straßenverkehr
- Finanzwesen – Banken, Finanzmarktinfrastrukturen
- Gesundheit – Gesundheitsdienstleister, Referenzlabore, Arzneimittel-Forschung und -Herstellung, kritische Medizinprodukte
- Wasser – Trinkwasserversorgung, Abwasserbeseitigung
- Digitale Infrastruktur – Rechenzentren und Cloud, DNS, Top-Level-Domains und Internet-Knoten, Telekommunikation, Vertrauensdienste, Managed Service Provider und Managed Security Service Provider
- Weltraum – Bodeninfrastruktur für weltraumgestützte Dienste
Sektoren der Anlage 2 BSIG
Wichtige Einrichtungen
- Transport und Verkehr – Post- und Kurierdienste
- Abfallbewirtschaftung – Unternehmen mit Abfallbewirtschaftung als Haupttätigkeit
- Chemie – Herstellung von und Handel mit chemischen Stoffen
- Produktion, Verarbeitung und Vertrieb von Lebensmitteln – Lebensmittelunternehmen im Großhandel sowie in der industriellen Produktion und Verarbeitung
- Verarbeitendes Gewerbe – Medizinprodukte und In-vitro-Diagnostika, Datenverarbeitungsgeräte, elektronische und optische Erzeugnisse, Elektrische Ausrüstungen, Maschinenbau, Kraftwagen und Kraftwagenteile, Sonstiger Fahrzeugbau
- Anbieter digitaler Dienste – Online-Marktplätze, Online-Suchmaschinen, Plattformen sozialer Netzwerke
- Forschung – Forschungseinrichtungen
Wer ist betroffen?
Als wichtige Einrichtung gilt, wer mindestens 50 Beschäftigte hat oder bei wem Jahresumsatz und Jahresbilanzsumme jeweils über 10 Mio. € liegen; als besonders wichtige Einrichtung ab 250 Beschäftigten oder bei über 50 Mio. € Umsatz und über 43 Mio. € Bilanzsumme (§ 28 BSIG).
Die Einstufung als besonders wichtige Einrichtung nach Größe gilt nur für die Sektoren der Anlage 1. Unternehmen aus Anlage 2 – etwa Lebensmittelindustrie und Maschinenbau – sind ab 50 Beschäftigten wichtige Einrichtungen, auch mit 250 oder mehr Beschäftigten.
unter 50 Beschäftigte
Grundsätzlich nicht erfasst
Keine eigenen NIS2-Pflichten, solange Jahresumsatz oder Jahresbilanzsumme höchstens 10 Mio. € beträgt. Ausnahmen gelten unabhängig von der Größe, etwa für Betreiber kritischer Anlagen. Als Zulieferer können Anforderungen mittelbar über Verträge ankommen.
50–249 Beschäftigte
Wichtige Einrichtung – in den Sektoren der Anlagen 1 und 2
Erfasst, wenn das Unternehmen einem Sektor der Anlage 1 oder 2 angehört. Gleiches gilt bei weniger Beschäftigten, wenn Jahresumsatz und Jahresbilanzsumme jeweils über 10 Mio. € liegen.
ab 250 Beschäftigte
Besonders wichtige Einrichtung (Anlage 1) bzw. wichtige Einrichtung (Anlage 2)
In Anlage-1-Sektoren gilt das Unternehmen als besonders wichtig – ebenso bei über 50 Mio. € Umsatz und über 43 Mio. € Bilanzsumme. In Anlage-2-Sektoren bleibt es eine wichtige Einrichtung.
Unabhängig von der Größe erfasst
- Betreiber kritischer Anlagen (KRITIS) – besonders wichtige Einrichtung (§ 28 Abs. 1 Nr. 1 BSIG)
- Qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Registries und DNS-Diensteanbieter – besonders wichtige Einrichtung (§ 28 Abs. 1 Nr. 2 BSIG)
- Sonstige Vertrauensdiensteanbieter – wichtige Einrichtung (§ 28 Abs. 2 Nr. 1 BSIG)
- Anbieter öffentlich zugänglicher Telekommunikationsdienste und Betreiber öffentlicher Telekommunikationsnetze – wichtige Einrichtung, ab 50 Beschäftigten oder bei jeweils über 10 Mio. € Umsatz und Bilanzsumme besonders wichtige Einrichtung (§ 28 Abs. 1 Nr. 3, Abs. 2 Nr. 2 BSIG)
Gleiche Pflichten, auch in der Lieferkette
Für wichtige und besonders wichtige Einrichtungen gelten dieselben Pflichten nach § 30 BSIG – einschließlich der Sicherheit der Lieferkette. Die Maßnahmen müssen verhältnismäßig sein; Größe und Risiko des Unternehmens fließen in die Bewertung ein.
Kleinere Unternehmen ohne eigene NIS2-Pflichten können als Zulieferer mittelbar betroffen sein, wenn Kunden Sicherheitsanforderungen vertraglich weitergeben – mehr dazu unter NIS2 und Lieferkette.
Wichtige Anforderungen im Detail
Risikomanagement und Sicherheitsmaßnahmen
Unternehmen müssen geeignete technische und organisatorische Maßnahmen ergreifen, die dem Stand der Technik entsprechen sollen, und deren Umsetzung dokumentieren (§ 30 BSIG).
Bewältigung von Sicherheitsvorfällen
Gefordert sind Abläufe, mit denen Sicherheitsvorfälle erkannt, eingedämmt und behoben werden – im Fachjargon Incident Response.
Meldepflichten bei Vorfällen
Bei einem erheblichen Sicherheitsvorfall: Erstmeldung spätestens nach 24 Stunden, Meldung spätestens nach 72 Stunden, Abschlussmeldung spätestens einen Monat danach – jeweils an die gemeinsame Meldestelle von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (§ 32 BSIG).
Aufrechterhaltung des Betriebs
Backup-Management, Wiederherstellung nach einem Notfall und Krisenmanagement sorgen dafür, dass wichtige Geschäftsabläufe auch bei einem Vorfall weiterlaufen (Business Continuity Management).
Lieferketten-Sicherheit
Unternehmen müssen auch die Sicherheit ihrer Lieferkette berücksichtigen, einschließlich der Beziehungen zu direkten Zulieferern und Dienstleistern.
Schulung und Sensibilisierung
Grundlegende Schulungen und Sensibilisierung der Mitarbeitenden sind Pflicht. Die Geschäftsleitung muss selbst regelmäßig an Schulungen teilnehmen (§ 38 BSIG).
Mindestmaßnahmen nach § 30 Abs. 2 BSIG
- Risikoanalyse und Sicherheitskonzepte
- Bewältigung von Sicherheitsvorfällen
- Aufrechterhaltung des Betriebs: Backup, Wiederherstellung, Krisenmanagement
- Sicherheit der Lieferkette, auch gegenüber direkten Dienstleistern
- Sicherheit bei Beschaffung, Entwicklung und Wartung, einschließlich Umgang mit Schwachstellen
- Prüfung, ob die Maßnahmen wirken
- Schulungen und Sensibilisierung
- Verschlüsselung
- Personalsicherheit, Zugriffskontrolle und Verwaltung der IT
- Multi-Faktor-Anmeldung und gesicherte Kommunikation
Konsequenzen bei Verstößen
Bußgelder
Bis zu 10 Mio. € für besonders wichtige und bis zu 7 Mio. € für wichtige Einrichtungen; bei mehr als 500 Mio. € Gesamtumsatz bis zu 2 % bzw. 1,4 % des weltweiten Umsatzes (§ 65 BSIG).
Pflichten der Geschäftsleitung
Die Geschäftsleitung muss die Maßnahmen umsetzen und überwachen, regelmäßig an Schulungen teilnehmen und haftet der eigenen Gesellschaft für schuldhaft verursachte Schäden (§ 38 BSIG). Befolgt eine besonders wichtige Einrichtung Anordnungen des BSI trotz Frist nicht, kann die zuständige Aufsichtsbehörde unzuverlässigen Geschäftsleitungen als letztes Mittel die Tätigkeit vorübergehend untersagen (§ 61 Abs. 9 BSIG).
Schadensersatz
Entstehen Kunden oder Partnern Schäden, weil Sicherheitsmaßnahmen fehlten, sind zusätzlich Schadensersatzansprüche möglich.
Weiterführende Informationen – BSI
Offizielle Informationen des Bundesamts für Sicherheit in der Informationstechnik (BSI):
Häufige Fragen zu NIS2
NIS2 ist eine EU-Richtlinie zur Cybersicherheit, die Richtlinie (EU) 2022/2555. In Deutschland gilt sie über das NIS2-Umsetzungsgesetz (NIS2UmsuCG), das am 6. Dezember 2025 in Kraft getreten ist und das BSI-Gesetz (BSIG) neu gefasst hat. Betroffene Unternehmen müssen Mindestmaßnahmen zur IT-Sicherheit umsetzen und erhebliche Sicherheitsvorfälle melden.
Unternehmen aus den Sektoren der Anlagen 1 und 2 des BSI-Gesetzes, darunter Energie, Gesundheit, Lebensmittelindustrie und Maschinenbau. Als wichtige Einrichtung gilt, wer mindestens 50 Beschäftigte hat oder bei wem Jahresumsatz und Jahresbilanzsumme jeweils über 10 Mio. € liegen; als besonders wichtige Einrichtung ab 250 Beschäftigten oder bei über 50 Mio. € Umsatz und über 43 Mio. € Bilanzsumme (§ 28 BSIG). Die Einstufung als besonders wichtige Einrichtung nach Größe gilt nur für die Sektoren der Anlage 1. Unternehmen aus Anlage 2 – etwa Lebensmittelindustrie und Maschinenbau – sind ab 50 Beschäftigten wichtige Einrichtungen, auch mit 250 oder mehr Beschäftigten. Kleinere Unternehmen ohne eigene NIS2-Pflichten können als Zulieferer mittelbar betroffen sein.
Die Mindestmaßnahmen nach § 30 BSIG reichen von Risikoanalyse, Notfallplanung und der Sicherheit der Lieferkette bis zu Schulungen und Multi-Faktor-Anmeldung. Für wichtige und besonders wichtige Einrichtungen gelten dieselben Pflichten nach § 30 BSIG – einschließlich der Sicherheit der Lieferkette. Die Maßnahmen müssen verhältnismäßig sein; Größe und Risiko des Unternehmens fließen in die Bewertung ein. Bei einem erheblichen Sicherheitsvorfall: Erstmeldung spätestens nach 24 Stunden, Meldung spätestens nach 72 Stunden, Abschlussmeldung spätestens einen Monat danach – jeweils an die gemeinsame Meldestelle von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (§ 32 BSIG).
Bis zu 10 Mio. € für besonders wichtige und bis zu 7 Mio. € für wichtige Einrichtungen; bei mehr als 500 Mio. € Gesamtumsatz bis zu 2 % bzw. 1,4 % des weltweiten Umsatzes (§ 65 BSIG). Die Geschäftsleitung muss die Maßnahmen umsetzen und überwachen, regelmäßig an Schulungen teilnehmen und haftet der eigenen Gesellschaft für schuldhaft verursachte Schäden (§ 38 BSIG). Befolgt eine besonders wichtige Einrichtung Anordnungen des BSI trotz Frist nicht, kann die zuständige Aufsichtsbehörde unzuverlässigen Geschäftsleitungen als letztes Mittel die Tätigkeit vorübergehend untersagen (§ 61 Abs. 9 BSIG).
NIS2-Compliance prüfen
Unser interaktiver Compliance-Check hilft Ihnen dabei, Ihren aktuellen Status bezüglich der NIS2-Richtlinie einzuschätzen und konkrete Handlungsempfehlungen zu erhalten.
Rechtsstand: – Die Inhalte dienen der Orientierung und ersetzen keine Rechtsberatung.