NIS-2

Die Digitalisierung betrifft sämtliche Wertschöpfungsprozesse und macht Unternehmen wie Behörden ohne ausreichende Sicherheitsmaßnahmen gleichermaßen anfällig für Cyberangriffe. Die europäische Union hat sich daher das Ziel gesetzt innerhalb der Mitgliedsstaaten ein höheres Sicherheitsniveau zu schaffen und die Resilienz von Unternehmen und Behörden gegenüber Cyberangriffen zu erhöhen. Mit diesem Ziel hat die europäische Union die EU-Richtlinie 2022/2555, auch NIS-2-Richtlinie genannt verabschiedet, und die NIS-Richtlinie 2016/1148 aufgehoben. Die Vorgaben der NIS-2-Richtlinie wurden von der Bundesregierung mit dem Gesetz zur Umsetzung der NIS-2-Richtlinie (NIS-2UmsuCG) zum 06. Dezember 2025 vollständig in nationales Recht überführt.

Das bisherige BSI-Gesetz wurde somit umfassend modernisiert und erweitert. Die Anzahl der regulierten Einrichtungen wurde von 4.500 auf ca. 30.000 erhöht. Neben der Definition erhöhter Anforderungen an das Risikomanagement der betroffenen Unternehmen wurde auch das BSI mit erweiterten Aufsichts- und Durchsetzungsbefugnissen ausgestattet.

Ziele von NIS-2

Die europäische Union verfolgt mit der NIS-2 Richtlinie vier strategische Ziele:

1. EU-weite Harmonisierung in Form eines einheitlichen Mindeststandards für Risikomanagement, technische und organisatorische Sicherheit, Vorfallserkennung und Incident Response (Reaktion auf Vorfälle)

2. Verbesserung der Cyberresilienz innerhalb der Union, indem mehr Sektoren Vorgaben zur Cybersicherheit erhalten

3. Stärkung der Governance, indem die Richtlinie festlegt, dass die Verantwortung für die Cybersicherheit bei der Unternehmensführung liegt. Die Unternehmensleitung muss die Cybersicherheits-Risikomanagementmaßnahmen billigen und deren Umsetzung überwachen. Zudem wird die Unternehmensführung verpflichtet sich hinsichtlich Cyberrisiken schulen lassen (§38 Abs. 3 BSIG-E).

4. Erhöhung der Transparenz durch Meldepflichten durch die Festlegung eines einheitlichen Meldeweges und Fristen, um Vorfälle schneller sichtbar zu machen und Behörden in die Lage zu versetzen, koordinierter zu reagieren.

Wer ist von der NIS-2-Richtlinie betroffen?

Mit NIS-2 rückt ein wesentlich breiterer Teil der Unternehmen in den Fokus der Regulierung. Statt wie bisher nur einige tausend KRITIS-Betreiber betrifft, das neue Gesetz nun rund 30.000 Unternehmen.

In der deutschen Umsetzung existieren zwei Kategorien, die jeweils unterschiedliche Pflichten und Aufsichtsintensitäten nach sich ziehen. Unterschieden wird zwischen „Besonders wichtige Einrichtungen“ und „Wichtige Einrichtungen“ – der Hauptunterschied besteht darin, dass für „Wichtige Einrichtungen“ geringere Geldstrafen vorgesehen sind und sie einer reaktiven Aufsicht durch die Behörden unterliegen. Die „Besonders wichtigen Einrichtungen“ unterliegen hingegen einer proaktiven Aufsicht.

Besonders wichtige Einrichtungen (hohe Kritikalität) sind Unternehmen, die entgeltlich Waren oder Dienstleistungen anbieten und einer der in Anlage 1 des BSIG bestimmten Einrichtungsarten zuzuordnen sind sofern diese entweder mehr als 250 Mitarbeitende ODER mehr als 50 Millionen Euro Jahresumsatz und 43 Millionen Euro Jahresbilanzsumme aufweisen. Das Unternehmen muss in einem der folgenden Sektoren tätig sein: 

• Energie

• Transport und Verkehr

• Finanzwesen

• Gesundheit

• Wasser

• Digitale Infrastruktur

• Weltraum

Wichtige Einrichtungen (sonstige Kritikalität) sind Unternehmen, die mehr als 50 Mitarbeitende ODER mehr als 10 Millionen Jahresumsatz und 10 Millionen Euro Jahresbilanzsumme aufweisen und in folgenden Sektoren tätig sind: 

• Abfallwirtschaft

• Post- und Kurierdienste

• Chemische Erzeugnisse – Produktion und Vertrieb

• Lebensmittel – Produktion und Vertrieb

• Hersteller – Computer, Elektronik, Optik, Maschinen, Kraftfahrzeuge und Anhänger, Transportmittel

• Digitale Anbieter – Suchmaschinen, soziale Netzwerke, Online-Marktplätze

• Forschungseinrichtungen

Ausgenommen von der NIS-2-Richtlinie sind Unternehmen in den Bereichen nationale Sicherheit, Verteidigung, öffentliche Sicherheit oder Strafverfolgung. Justiz, Parlamente und die Zentralbanken der EU sind aus Gründen der staatlichen Souveränität nicht von NIS-2 betroffen. Für diese Bereiche gelten jedoch in der Regel eigene Richtlinien für Cybersicherheit.

Pflichten für Unternehmen

NIS-2 verpflichtet Unternehmen zu einem ganzheitlichen Sicherheitskonzept, welches Technik, Prozesse und Mitarbeiterführung umfasst. 

Zu den Kernpflichten gehören der Aufbau eines strukturierten Risikomanagementsystems, um Risiken systematisch zu identifizieren, zu bewerten und dokumentiert zu behandeln. Die Pflicht der Sicherstellung der Lieferkettensicherheit zwingt Unternehmen zudem dazu nachweisen zu können, dass auch Dienstleister und Zulieferer angemessene Sicherheitsstandards anwenden. Zudem sind Unternehmen dazu verpflichtet klare interne Prozesse zum Umgang mit Sicherheitsvorfällen und der regelmäßigen Überprüfung der Wirksamkeit der durchgeführten Maßnahmen zu implementieren.

Von besonderer Relevanz sind im Rahmen von NIS-2 die vorgegebenen Meldepflichten. 

Von NIS-2 betroffene Unternehmen müssen erhebliche IT-Sicherheitsvorfälle an das BSI melden. Dazu zählen u.a. Kompromittierungen, Störungen kritischer Dienste, Ausfälle mit Relevanz für Kunden oder Lieferketten sowie schwerwiegende Cyberangriffe.

Der vorgeschriebene Meldeprozess ist dabei in drei Schritte unterteilt:

1. Frühwarnung (24h) – eine erste Kurzmeldung, die innerhalb von 24 Stunden beim BSI erfolgen muss

2. Detailbericht (72h) – technische Analysen, Maßnahmen und Auswirkungen, welche innerhalb von 72h kommuniziert werden müssen

3. Abschlussbericht (<30 Tage) – eine finale Bewertung und Sammlung von Erkenntnissen innerhalb von 30 Tagen

Die Meldung beinhaltet eine Bewertung des Vorfalls inkl. Schweregrad, Auswirkungen, Kompromittierungsindikatoren sowie Kontaktinformationen. Das BSI quittiert Meldungen, nimmt ggf. Kontakt auf und verarbeitet Meldungen.

Alle von NIS-2 betroffenen Unternehmen mussten sich bis zum 6. März 2026 beim BSI registrieren. Erst mit der Registrierung beim BSI gilt ein Unternehmen offiziell als NIS-2-Einrichtung und unterliegt der Aufsicht durch das BSI.

Managementpflichten, Sanktionen und Haftungsregelungen

Die Unternehmensführung trägt mit der Verpflichtung zur Umsetzung von NIS-2 eine wesentlich aktivere Rolle in Bezug auf die in ihrem Unternehmen vorhandene Informationssicherheit. Die Unternehmensführung muss sich nachweislich mit der Sicherheit auseinandersetzen, Schulungen absolvieren und sicherstellen, dass Ressourcen, Prozesse und Verantwortlichkeiten im Unternehmen eindeutig definiert sind. Die Unternehmensführung wird somit vom Genehmiger zum Gestalter und Verantwortlichem zur Schaffung eines angemessenen Sicherheitsniveaus.

Um die neuen Anforderungen durchzusetzen, sieht NIS-2 einen strengeren Sanktionsrahmen vor, der sich am Sanktionsrahmen der DSGVO orientiert. Die Sanktionsvorschriften sind in Stufen aufgeteilt, wobei die Einstufung, ob das Unternehmen eine wichtige oder eine besonders wichtige Einrichtung darstellt, relevant wird.

Die Sanktionsvorschriften gelten bei fahrlässigem oder vorsätzlichem Verschulden.

Der Bußgeldrahmen für wichtige Einrichtungen liegt bei bis zu 7 Mio. EUR oder 1,4% des weltweiten Jahresumsatzes des Vorjahres. Der Bußgeldrahmen für besonders wichtige Einrichtungen liegt bei bis zu 10 Mio. EUR oder 2% des weltweiten Jahresumsatzes des Vorjahres. Es gilt stets der höhere Betrag.

Das Haftungsrisiko der Geschäftsführung bezieht sich z.B. bei einem Cyberangriff auf Kostenpositionen wie möglichen Lösegeldzahlungen (Ransomware), Kosten für externe Dienstleister (z.B. Forensik) und Bußgeldern.

Die Haftung der Geschäftsführung ist bis in das Privatvermögen möglich, z.B. bei Verletzung der Überwachungspflichten. Ein Verzicht des Unternehmens auf Ersatzansprüche gegen die Geschäftsführung oder ein Vergleich über diese Ansprüche ist unwirksam. Eine Ausnahme stellt lediglich die Zahlungsunfähigkeit dar.

Umsetzung von NIS-2 in der Praxis

Für viele Unternehmen bedeutet NIS-2 vor allem: Strukturen zu schaffen, die Sicherheit nicht nur dokumentieren, sondern auch leben. Ein wirksamer Ansatz ist der Aufbau eines Informationssicherheits-Managementsystems (ISMS) auf Basis der ISO/IEC 27001:2022 Norm. 

Die Anforderungen von NIS-2 lauten im Überblick:

• Einrichtung eines wirksamen Risikomanagements einschließlich detaillierter Risikobewertungen der IT-Infrastruktur sowie der Umsetzung angemessener technischer und organisatorischer Maßnahmen 

• Erstellung von Notfall- und Business-Continuity-Plänen, um den Geschäftsbetrieb im Fall eines Cyberangriffs schnellstmöglich aufrechterhalten oder wiederherstellen zu können

• Meldung von Sicherheitsvorfällen und Berichterstattung innerhalb strenger Fristen

• Überprüfung von Zulieferern und Dienstleistern zur Stärkung der Sicherheit in der Lieferkette

• Dokumentation und regelmäßige Aktualisierung der implementierten Sicherheitsmaßnahmen zur nachvollziehbaren und belastbaren Nachweisführung

• Förderung des Risikobewusstseins der Mitarbeitenden

Im Rahmen des ISMS nach ISO/IEC 27001:2022 werden aufgrund einer gemeinsamen Schnittmenge bereits viele Anforderungen von NIS-2 adressiert. Darüber hinaus können noch offene spezifische Anforderungen durch den strukturierten Ansatz eines ISMS systematisch identifiziert und umgesetzt werden.

Der Aufbau eines ISMS ist damit eine wirksame und nachhaltige Methode, um sowohl aktuelle als auch künftige Anforderungen an die Informationssicherheit effizient zu erfüllen. Unabhängig davon sind die Durchführung von GAP-Analysen, eine belastbare Projektplanung und -organisation, die Prüfung der Lieferkette sowie die Entwicklung standardisierter Prozesse für den Umgang mit Sicherheitsvorfällen wesentliche Voraussetzungen für eine erfolgreiche Umsetzung von NIS-2.

Fazit

Die NIS-2 Richtlinie verbessert die Cybersicherheitsregulierung in der europäischen Union. Mit der erheblichen Ausweitung des Anwendungsbereichs, klar festgelegten Meldepflichten, einer stärkeren Verpflichtung der Unternehmensführung sowie erweiterten Aufsichts- und Sanktionsmöglichkeiten schafft die Richtlinie einen deutlich verbindlicheren Rahmen für den Umgang mit Informationssicherheitsrisiken.

Für die betroffenen Unternehmen lässt sich feststellen, dass Cybersicherheit nicht länger lediglich ein Thema der IT ist, sondern viel mehr zu einer strategischen Managementaufgabe geworden ist. Insbesondere die Anforderungen an Risikomanagement, Lieferkettensicherheit, Vorfallbehandlung und Nachweisführung machen deutlich, dass es ein systematisches und dauerhaft wirksames Sicherheitsniveau aufgebaut werden muss.

Eine tragfähige Grundlage bietet ein Informationssicherheits-Managementsystem, z.B. nach der ISO/IEC 27001:2022 Norm, um die Anforderungen von NIS-2 strukturiert, nachvollziehbar und nachhaltig zu erfüllen. Unternehmen können somit nicht nur regulatorische Risiken reduzieren, sondern stärken zugleich ihre Widerstandsfähigkeit gegenüber Cyberangriffen.

Die NIS-2 Richtlinie stellt somit zusammengefasst nicht nur eine gesetzliche Verpflichtung, sondern auch einen Impuls, die Informationssicherheit in Unternehmen ernst zu nehmen und als festen Bestandteil der Unternehmenskultur für eine verantwortungsvolle und zukunftsfähige Unternehmensführung zu implementieren.