Die NIS2-Richtlinie (Network and Information Systems Directive 2) ist in Deutschland durch das NIS2-Umsetzungsgesetz seit dem 6. Dezember 2025 in Kraft und stellt viele Unternehmen vor neue Herausforderungen. Alle rechtlichen Eckdaten haben wir auf unserer NIS2-Übersichtsseite zusammengefasst. Als IT-Dienstleister unterstützen wir Unternehmen bei der Umsetzung der Anforderungen.
Was ist die NIS2-Richtlinie?
Die NIS2-Richtlinie ist eine EU-weite Richtlinie zur Verbesserung der Cybersicherheit kritischer Infrastrukturen und wichtiger Einrichtungen. Sie erweitert die bisherige NIS-Richtlinie und erfasst deutlich mehr Unternehmen.
Welche Unternehmen sind betroffen?
In Deutschland legt das BSI-Gesetz (BSIG) in zwei Anlagen fest, welche Sektoren erfasst sind. Entscheidend ist zuerst, ob Ihr Unternehmen zu einem dieser Sektoren gehört – erst danach kommt es auf die Größe an.
Sektoren der Anlage 1 (besonders wichtige und wichtige Einrichtungen)
- Energie (Strom, Fernwärme und Fernkälte, Kraftstoff und Heizöl, Gas und Wasserstoff)
- Transport und Verkehr (Luftverkehr, Schienenverkehr, Schifffahrt, Straßenverkehr)
- Finanzwesen (Banken, Finanzmarktinfrastrukturen)
- Gesundheit (Gesundheitsdienstleister, Referenzlabore, Arzneimittel-Forschung und -Herstellung, kritische Medizinprodukte)
- Wasser (Trinkwasserversorgung, Abwasserbeseitigung)
- Digitale Infrastruktur (Rechenzentren und Cloud, DNS, Top-Level-Domains und Internet-Knoten, Telekommunikation, Vertrauensdienste, Managed Service Provider und Managed Security Service Provider)
- Weltraum (Bodeninfrastruktur für weltraumgestützte Dienste)
Sektoren der Anlage 2 (wichtige Einrichtungen)
- Transport und Verkehr (Post- und Kurierdienste)
- Abfallbewirtschaftung (Unternehmen mit Abfallbewirtschaftung als Haupttätigkeit)
- Chemie (Herstellung von und Handel mit chemischen Stoffen)
- Produktion, Verarbeitung und Vertrieb von Lebensmitteln (Lebensmittelunternehmen im Großhandel sowie in der industriellen Produktion und Verarbeitung)
- Verarbeitendes Gewerbe (Medizinprodukte und In-vitro-Diagnostika, Datenverarbeitungsgeräte, elektronische und optische Erzeugnisse, Elektrische Ausrüstungen, Maschinenbau, Kraftwagen und Kraftwagenteile, Sonstiger Fahrzeugbau)
- Anbieter digitaler Dienste (Online-Marktplätze, Online-Suchmaschinen, Plattformen sozialer Netzwerke)
- Forschung (Forschungseinrichtungen)
Ab welcher Unternehmensgröße?
Als wichtige Einrichtung gilt, wer mindestens 50 Beschäftigte hat oder bei wem Jahresumsatz und Jahresbilanzsumme jeweils über 10 Mio. € liegen; als besonders wichtige Einrichtung ab 250 Beschäftigten oder bei über 50 Mio. € Umsatz und über 43 Mio. € Bilanzsumme (§ 28 BSIG). Die Einstufung als besonders wichtige Einrichtung nach Größe gilt nur für die Sektoren der Anlage 1. Unternehmen aus Anlage 2 – etwa Lebensmittelindustrie und Maschinenbau – sind ab 50 Beschäftigten wichtige Einrichtungen, auch mit 250 oder mehr Beschäftigten.
Unabhängig von der Größe erfasst sind unter anderem Betreiber kritischer Anlagen (KRITIS) nach § 28 Abs. 1 Nr. 1 BSIG.
Wichtig: Die Unternehmensgröße allein begründet keine Pflicht – entscheidend ist zuerst die Zugehörigkeit zu einem der Sektoren.
Welche Anforderungen müssen erfüllt werden?
Betroffene Unternehmen müssen angemessene Maßnahmen treffen, Vorfälle melden und die Verantwortung in der Geschäftsleitung verankern:
1. Risikomanagement-Maßnahmen (§ 30 BSIG)
- Risikoanalyse und Sicherheitskonzepte
- Bewältigung von Sicherheitsvorfällen
- Aufrechterhaltung des Betriebs: Backup, Wiederherstellung, Krisenmanagement
- Sicherheit der Lieferkette, auch gegenüber direkten Dienstleistern
- Sicherheit bei Beschaffung, Entwicklung und Wartung, einschließlich Umgang mit Schwachstellen
- Prüfung, ob die Maßnahmen wirken
- Schulungen und Sensibilisierung
- Verschlüsselung
- Personalsicherheit, Zugriffskontrolle und Verwaltung der IT
- Multi-Faktor-Anmeldung und gesicherte Kommunikation
Für wichtige und besonders wichtige Einrichtungen gelten dieselben Pflichten nach § 30 BSIG – einschließlich der Sicherheit der Lieferkette. Die Maßnahmen müssen verhältnismäßig sein; Größe und Risiko des Unternehmens fließen in die Bewertung ein.
2. Meldepflichten
Bei einem erheblichen Sicherheitsvorfall gelten feste Fristen (§ 32 BSIG):
- Erstmeldung spätestens 24 Stunden nach Kenntnis eines erheblichen Sicherheitsvorfalls
- Meldung spätestens 72 Stunden nach Kenntnis
- Abschlussmeldung spätestens einen Monat nach der Meldung
3. Verantwortung der Geschäftsleitung
Die Geschäftsleitung muss die Maßnahmen umsetzen und überwachen, regelmäßig an Schulungen teilnehmen und haftet der eigenen Gesellschaft für schuldhaft verursachte Schäden (§ 38 BSIG). Befolgt eine besonders wichtige Einrichtung Anordnungen des BSI trotz Frist nicht, kann die zuständige Aufsichtsbehörde unzuverlässigen Geschäftsleitungen als letztes Mittel die Tätigkeit vorübergehend untersagen (§ 61 Abs. 9 BSIG).
Was bedeutet das für Ihr Unternehmen?
Sofortmaßnahmen
-
Prüfen Sie, ob Ihr Unternehmen betroffen ist
- Analysieren Sie Ihren Sektor und Ihre Unternehmensgröße
- Konsultieren Sie bei Bedarf einen IT-Sicherheitsexperten
-
Lückenanalyse (Gap-Analyse) durchführen
- Bewerten Sie Ihre aktuellen IT-Sicherheitsmaßnahmen
- Identifizieren Sie Lücken gegenüber den NIS2-Anforderungen
-
Maßnahmenplan erstellen
- Entwickeln Sie einen strukturierten Umsetzungsplan
- Priorisieren Sie kritische Maßnahmen
Langfristige Maßnahmen
- Einführung eines ISMS (Managementsystem für Informationssicherheit)
- Regelmäßige Sicherheitsaudits
- Kontinuierliche Verbesserung der IT-Sicherheit
- Schulung und Sensibilisierung der Mitarbeiter
Unterstützung bei der Umsetzung
Als IT-Dienstleister unterstützen wir Unternehmen bei der Umsetzung der NIS2-Anforderungen:
- Compliance-Check: Prüfung, ob Ihr Unternehmen betroffen ist
- Lückenanalyse: Bewertung Ihrer aktuellen Sicherheitsmaßnahmen
- Umsetzungsplanung: Entwicklung eines strukturierten Maßnahmenplans
- Technische Implementierung: Umsetzung der erforderlichen Sicherheitsmaßnahmen
- Schulungen: Sensibilisierung Ihrer Mitarbeiter für IT-Sicherheit
- Dokumentation: Erstellung der erforderlichen Dokumentation
Fazit
Die NIS2-Richtlinie stellt viele Unternehmen vor neue Herausforderungen. Eine frühzeitige und strukturierte Umsetzung ist entscheidend, um Bußgelder und Reputationsschäden zu vermeiden. Mit der richtigen Unterstützung können Sie die Anforderungen erfolgreich meistern und gleichzeitig Ihre IT-Sicherheit nachhaltig verbessern.
Haben Sie Fragen zur NIS2-Richtlinie oder benötigen Sie Unterstützung bei der Umsetzung? Erstgespräch anfragen