NIS2

Q: Was ist der Unterschied zwischen NIS-Richtlinie und NIS-2-Richtlinie?

Die erste NIS-Richtlinie stammt aus dem Jahr 2016. Die nachfolgende NIS-2-Richtlinie wurde Ende 2022 beschlossen und trat im Januar 2023 in Kraft; sie erweitert den Geltungsbereich deutlich und verschärft die Sicherheitsanforderungen für Unternehmen. Ziel der EU ist ein höheres und einheitlicheres Schutzniveau gegen Cyberangriffe in den Mitgliedstaaten.

NIS2 bringt für viele Unternehmen in Deutschland neue Pflichten, feste Fristen und deutlich mehr Verantwortung bei der Cybersicherheit. Der Artikel zeigt, wer betroffen ist, wo konkreter Handlungsbedarf besteht und wie sich die Anforderungen im Unternehmen umsetzen lassen.

NIS2 – Auf einen Blick

Was genau ist NIS2?

NIS2 ist eine EU-Richtlinie zur Cybersicherheit, die Unternehmen und Einrichtungen zu verbindlichen Maßnahmen für Risikosteuerung, IT-Sicherheit und die Meldung von Sicherheitsvorfällen verpflichtet.

Wer muss NIS2 umsetzen?

Betroffen sind Unternehmen und Einrichtungen aus 18 festgelegten Sektoren, wenn sie die gesetzlichen Größen- oder Tätigkeitskriterien erfüllen.

Wann ist NIS2 in Deutschland in Kraft getreten?

Das deutsche Umsetzungsgesetz trat am 6. Dezember 2025 in Kraft. Seit 2026 gelten die NIS-2-Vorgaben für alle betroffenen Unternehmen.

Welche Anforderungen stellt NIS2?

Unternehmen müssen unter anderem Risikomanagement, technische Sicherheitsmaßnahmen, Lieferkettensicherheit, Schulungen sowie feste Meldeprozesse für Sicherheitsvorfälle umsetzen.

Was regelt die NIS-2-Richtlinie der Europäischen Union?

Mit der NIS-2-Richtlinie zieht die Europäische Union die Vorgaben für Cybersicherheit spürbar an. Unternehmen müssen Risiken in ihren Netz- und Informationssystemen systematisch angehen, Vorfälle innerhalb fester Fristen melden und klare Verantwortlichkeiten bis in die Geschäftsleitung schaffen.

Im Vergleich zur früheren NIS-Richtlinie von 2016 greift NIS2 deutlich weiter. Mehr Branchen und Unternehmen fallen unter die Vorgaben, zugleich wird genauer geregelt, wie Informationssicherheit, Risikomanagement und Nachweise im Betrieb organisiert werden müssen. Die Richtlinie stärkt zudem die Zusammenarbeit der EU-Mitgliedstaaten bei Cyberbedrohungen und Sicherheitsvorfällen.

Im Kern geht es um drei Bereiche:

Risiken beherrschen: Unternehmen müssen angemessene technische, organisatorische und operative Maßnahmen gegen Cyberbedrohungen einführen.
Vorfälle melden: Für erhebliche Sicherheitsvorfälle gelten kurze Meldefristen mit einer ersten Frühwarnung innerhalb von 24 Stunden.
Verantwortung übernehmen: Leitungsorgane müssen die Maßnahmen zur Cybersicherheit billigen, ihre Umsetzung überwachen und sich selbst entsprechend schulen.

In Deutschland wurde die europäische Vorgabe durch das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) in nationales Recht überführt. Das Gesetz überträgt die europäischen Regelungen auf Deutschland und trat am 6. Dezember 2025 in Kraft.

Betroffene Unternehmen und Branchen nach der NIS-2-Richtlinie

Für die Betroffenheit zählen vor allem Branche und Unternehmensgröße. NIS2 erfasst Unternehmen aus den festgelegten Sektoren ab 50 Mitarbeitern oder ab 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme. In Deutschland betrifft das rund 29.500 Unternehmen.

Zusätzlich gibt es Einrichtungen, die unabhängig von ihrer Größe unter die Vorgaben fallen. Das deutsche Umsetzungsgesetz unterscheidet zwischen wichtigen und besonders wichtigen Einrichtungen.

Kategorie	Typische Einordnung	Beispiele
Wichtige Einrichtungen	mittelgroße Unternehmen ab 50 Mitarbeitern oder 10 Millionen Euro Umsatz aus den erfassten Sektoren	Maschinenbau, Fahrzeugbau, Elektrotechnik, Chemie, Lebensmittel, Abfallwirtschaft, Post- und Kurierdienste, Forschung
Besonders wichtige Einrichtungen	Größere Unternehmen ab 250 Mitarbeitern oder 50 Millionen Euro Umsatz aus Sektoren mit hoher Kritikalität sowie bestimmte Anbieter unabhängig von ihrer Größe	Energie, Verkehr, Gesundheit, Banken, Wasser, digitale Infrastruktur, IKT-Dienste, Cloud- und Rechenzentrumsdienste

Insgesamt umfasst die NIS-2-Richtlinie 18 Sektoren. Besonders hohe Anforderungen gelten in Bereichen wie Energie, Verkehr, Gesundheit, Wasser und digitaler Infrastruktur. Dort können einzelne Einrichtungen auch unterhalb der üblichen Größenschwellen erfasst werden.

Hinzu kommt die Lieferkette. Regulierte Unternehmen müssen Sicherheitsrisiken bei Dienstleistern und Zulieferern stärker berücksichtigen. Dadurch können Anforderungen an Cybersicherheit und Nachweise auch bei Unternehmen ankommen, die selbst nicht unmittelbar unter NIS2 fallen.

NIS2 sicher umsetzen

CSM Consulting unterstützt Sie dabei, Ihre NIS-2-Anforderungen strukturiert zu bewerten und passende Maßnahmen für Ihr Unternehmen zeitnah umzusetzen.

IT-Sicherheit in Netz- und Informationssystemen nach NIS2

NIS2 macht IT-Sicherheit zu einer verbindlichen Managementaufgabe. Betroffene Unternehmen müssen ihre Netz- und Informationssysteme risikobasiert schützen, die Maßnahmen dokumentieren und regelmäßig prüfen, ob sie im Alltag tatsächlich funktionieren.

Risikomanagement und technische Sicherheitsmaßnahmen

Für die Sicherheit in der Informationstechnik nennt NIS2 zehn verpflichtende Bereiche des Risikomanagements. Ausgangspunkt ist immer die eigene Gefährdungslage. Dabei wird geprüft, welche Systeme kritisch sind, welche Angriffe realistisch erscheinen und welche Folgen ein Ausfall hätte.

Die zehn NIS-2-Maßnahmen sind:

Risikoanalysen und verbindliche Sicherheitsrichtlinien
Erkennung und Behandlung von Sicherheitsvorfällen
Backup, Wiederherstellung und Krisenmanagement
Sichere Beschaffung, Entwicklung und Wartung von IT-Systemen
Prüfung der Wirksamkeit eingeführter Maßnahmen
Cyberhygiene und regelmäßige Schulungen
Kryptografie und Verschlüsselung
Personal-, Zugriffs- und Berechtigungssicherheit
Verwaltung kritischer IT-Assets
Multi-Faktor-Authentifizierung und sichere Kommunikationswege

Lieferkette, Schwachstellen und Business Continuity

Die eigene Infrastruktur ist nur ein Teil der Rechnung. NIS2 bezieht ausdrücklich auch Dienstleister, Zulieferer und eingesetzte IT-Produkte in das Risikomanagement ein.

Drei Bereiche stehen dabei besonders im Fokus:

Lieferkette: Sicherheitsrisiken bei direkten Lieferanten und Dienstleistern müssen bewertet werden. Eine bestehende [Lieferantenbewertung] lässt sich dafür um Cyberrisiken ergänzen.
Schwachstellen: Sicherheitslücken sollen erkannt, bewertet und zeitnah behandelt werden. Dafür braucht es einen festen Prozess vom Fund bis zur Behebung, etwa über ein ISO-27001-Schwachstellenmanagement.
Business Continuity: Backups allein reichen für den Ernstfall nicht. Gefordert sind auch Wiederanlauf, Krisenmanagement und klare Kommunikationswege zur Aufrechterhaltung kritischer Leistungen und zur schnellen Wiederherstellung nach einem Cyberangriff.

Geschäftsführung und Schulungspflichten

Bei NIS2 bleibt die Verantwortung auf Leitungsebene. Geschäftsführer und Vorstände müssen die Sicherheitsmaßnahmen genehmigen, deren Umsetzung überwachen und regelmäßig an Schulungen zur Cybersicherheit teilnehmen. Damit wird Cybersecurity auch zu einem festen Bestandteil der Governance.

Operative Aufgaben können an die IT-Abteilung, Informationssicherheitsbeauftragte oder externe Dienstleister gehen. Die Verantwortung der Geschäftsleitung verschwindet dadurch nicht. Bei Pflichtverletzungen kann daraus auch eine persönliche Haftung nach den geltenden gesellschaftsrechtlichen Regeln entstehen.

Unternehmen müssen Mitarbeitern Schulungen anbieten, damit Sicherheitsregeln im Tagesgeschäft funktionieren. Dazu gehören etwa der Umgang mit Phishing-Mails, Passwörtern, Zugriffsrechten und verdächtigen Vorfällen.

Meldepflichten bei Sicherheitsvorfällen

Bei einem erheblichen Sicherheitsvorfall zählt unter NIS2 vor allem Tempo. Betroffene Unternehmen müssen das Bundesamt für Sicherheit in der Informationstechnik (BSI) früh informieren und den Vorfall anschließend schrittweise genauer dokumentieren.

Dafür sieht die NIS-2-Richtlinie ein dreistufiges Meldeverfahren vor:

Innerhalb von 24 Stunden erfolgt eine erste Frühwarnung. Sie enthält eine vorläufige Einschätzung des Vorfalls und Hinweise darauf, ob eine böswillige Handlung vermutet wird.
Innerhalb von 72 Stunden folgt eine ausführlichere Meldung. Zu diesem Zeitpunkt sollten bereits mehr Informationen zu Auswirkungen, Ursache und eingeleiteten Gegenmaßnahmen vorliegen.
Spätestens nach einem Monat ist ein Abschlussbericht erforderlich. Darin werden Verlauf, Folgen, Ursache und dauerhaft umgesetzte Maßnahmen dokumentiert.

Ansprechpartner, Vertretungen und Eskalationsstufen sollten schon vor einem Cyberangriff eindeutig geregelt sein. Muss erst im Ernstfall geklärt werden, wer den Vorfall bewertet oder die Meldung an das BSI übernimmt, wird die 24-Stunden-Frist schnell zum Problem.

Registrierung und Meldungen über das BSI-Portal

Betroffene Einrichtungen müssen sich selbst beim BSI registrieren. Seit 2026 gelten dafür neue Registrierungs- und Meldepflichten. Auch die spätere Kommunikation zu NIS2 und die Meldung erheblicher Sicherheitsvorfälle laufen über das BSI-Portal.

Für die Registrierung wird zunächst ein Unternehmenskonto auf Basis eines ELSTER-Organisationszertifikats benötigt. Anschließend werden im Portal unter anderem Unternehmensdaten, Ansprechpartner, Sektor und die Einstufung als wichtige oder besonders wichtige Einrichtung hinterlegt.

Die ursprüngliche dreimonatige Registrierungsfrist endete am 6. März 2026. Eine zusätzliche Frist lief bis zum 31. Juli 2026. Unternehmen, die ihre Betroffenheit bislang noch nicht geprüft oder die Registrierung versäumt haben, sollten diesen Schritt daher unverzüglich nachholen.

NIS2 und ISO 27001

Zwischen NIS2 und ISO 27001 gibt es große Überschneidungen. Ein bestehendes ISMS schafft bereits feste Strukturen für die Informationssicherheit und liefert damit eine gute Basis für die Compliance, deckt die gesetzlichen Anforderungen aber nicht automatisch vollständig ab.

Themen, die auch ISO 27001 abdeckt	Zusätzliche bzw. konkretere NIS-2-Pflichten
Risikoanalyse und Risikobewertung	feste gesetzliche Meldefristen
Asset- und Schwachstellenmanagement	Registrierung beim BSI
Rollen und Verantwortlichkeiten	besondere Pflichten der Geschäftsleitung
interne Audits und Wirksamkeitskontrolle	gesetzliche Aufsicht und Sanktionen
Steuerung externer Anbieter	konkrete Vorgaben zur Lieferkettensicherheit

Für Unternehmen mit ISO 27001 lohnt sich daher zuerst ein gezielter Abgleich. Die Unterschiede im Detail zeigt unser Vergleich NIS2 vs. ISO 27001.

Folgen bei Verstößen

Verstöße gegen NIS2 können hohe Bußgelder und zusätzliche Aufsichtsmaßnahmen nach sich ziehen. Für besonders wichtige Einrichtungen sind Bußgelder von bis zu 10 Millionen Euro beziehungsweise 2 Prozent des weltweiten Jahresumsatzes vorgesehen. Bei wichtigen Einrichtungen liegt die Obergrenze bei bis zu 7 Millionen Euro beziehungsweise 1,4 Prozent des weltweiten Jahresumsatzes.

Sanktionen können beispielsweise greifen, wenn:

vorgeschriebene Sicherheitsmaßnahmen fehlen
Meldepflichten nicht eingehalten werden
die Registrierung versäumt wird oder
angeforderte Nachweise nicht vorgelegt werden

Daneben stärkt NIS2 die Aufsicht durch das BSI. Besonders wichtige Einrichtungen können auch vorbeugend kontrolliert werden. Bei wichtigen Einrichtungen erfolgt die Prüfung stärker anlassbezogen, etwa bei konkreten Hinweisen auf Verstöße.

Die Geschäftsführung muss die Sicherheitsmaßnahmen genehmigen und deren Umsetzung überwachen. Werden diese Pflichten verletzt, können zusätzlich persönliche Haftungsfragen entstehen.

NIS2 umsetzen – erste Schritte

Die Umsetzung der NIS-2-Vorgaben beginnt mit einer sauberen Bestandsaufnahme. Neue Tools oder umfangreiche Sicherheitsprojekte sollten erst folgen, wenn klar ist, welche Anforderungen bereits erfüllt werden und wo tatsächlich Lücken bestehen.

Ein sinnvoller Ablauf besteht aus fünf Schritten:

Betroffenheit und Einstufung klären: Sektor, Größe und Tätigkeit prüfen und festlegen, ob das Unternehmen als wichtige oder besonders wichtige Einrichtung gilt.
Bestehende Strukturen bewerten: Eine GAP-Analyse zeigt, welche Prozesse bereits funktionieren und wo noch Handlungsbedarf besteht. Vorhandene ISO-27001-Strukturen können direkt einbezogen werden.
Risiken und Maßnahmen priorisieren: Kritische Systeme erfassen, Sicherheitsrisiken bewerten und technische sowie organisatorische Maßnahmen festlegen. Dazu zählen etwa MFA, Zugriffsschutz, Backups und ein geregeltes ISO-27001-Schwachstellenmanagement.
Abläufe verbindlich regeln: Vor allem Meldewege, Krisenmanagement, Lieferkettensicherheit und Dokumentation brauchen klare Zuständigkeiten. Im Ernstfall müssen Zuständigkeiten längst geklärt sein.
Schulen und Wirksamkeit prüfen: Geschäftsleitung und Mitarbeiter müssen ihre Aufgaben kennen. Anschließend wird regelmäßig kontrolliert, ob die eingeführten Maßnahmen funktionieren und zur aktuellen Risikolage passen.

Unternehmen mit einem bestehenden Informationssicherheitsmanagementsystem (ISMS) starten dabei mit einem deutlichen Vorsprung. Viele Grundlagen sind schon vorhanden und können für NIS2 gezielt erweitert werden.

Häufige Fragen und Antworten

Bin ich von NIS2 betroffen?

NIS2 greift grundsätzlich, wenn ein Unternehmen zu einem der 18 erfassten Sektoren gehört und die gesetzlichen Größenschwellen erreicht. Dazu zählen mindestens 50 Mitarbeiter oder 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme. Zusätzlich können bestimmte Organisationen aufgrund ihrer besonderen Bedeutung unabhängig von der Größe in den Geltungsbereich fallen.

Danach wird unterschieden, ob es sich um eine wichtige oder besonders wichtige Einrichtung handelt. Auch kleinere Unternehmen können über Sonderregelungen oder Anforderungen aus der Lieferkette mit NIS2 in Berührung kommen.

Was ist der Unterschied zwischen NIS-Richtlinie und NIS-2-Richtlinie?

Die erste NIS-Richtlinie stammt aus dem Jahr 2016. Die nachfolgende NIS-2-Richtlinie wurde Ende 2022 beschlossen und trat im Januar 2023 in Kraft; sie erweitert den Geltungsbereich deutlich und verschärft die Sicherheitsanforderungen für Unternehmen. Ziel der EU ist ein höheres und einheitlicheres Schutzniveau gegen Cyberangriffe in den Mitgliedstaaten.

Welche Rolle spielt das Bundesamt für Sicherheit bei NIS2?

Das BSI ist die zentrale Aufsichts- und Meldestelle für NIS2 in Deutschland. Es nimmt Registrierungen und Sicherheitsmeldungen entgegen, prüft die Umsetzung gesetzlicher Vorgaben und unterstützt damit die nationale Cybersicherheitsstrategie.