Inhalt
Die NIS-2-Richtlinie erweitert die europäischen Anforderungen an die Cybersicherheit. Betroffene Unternehmen müssen Sicherheitsrisiken systematisch beherrschen, erhebliche Sicherheitsvorfälle melden und klare Verantwortlichkeiten schaffen. In Deutschland ist das NIS-2-Umsetzungsgesetz seit dem 6. Dezember 2025 in Kraft. Unternehmen sollten deshalb ihre Betroffenheit und die Umsetzung ihrer Pflichten überprüfen.
Was ist die NIS-2-Richtlinie?
Die Richtlinie (EU) 2022/2555, kurz NIS 2, bildet den europäischen Rahmen für ein höheres gemeinsames Cybersicherheitsniveau. Sie erweitert den Kreis regulierter Einrichtungen und stärkt die Anforderungen an Risikomanagement, Vorfallmeldungen und die Verantwortung der Leitungsebene.
Die Richtlinie trat am 16. Januar 2023 in Kraft. Die Mitgliedstaaten mussten sie bis zum 17. Oktober 2024 in nationales Recht umsetzen. Deutschland setzte sie verspätet um; für Unternehmen sind heute insbesondere das geltende BSI-Gesetz (BSIG) und einschlägige sektorale Vorschriften maßgeblich.
Welche Unternehmen sind betroffen?
Entscheidend sind die konkrete Tätigkeit, die Unternehmensgröße und mögliche Sonderregelungen.
Im Regelfall muss ein Unternehmen einer Einrichtungsart der Anlagen 1 oder 2 BSIG angehören und entweder:
- mindestens 50 Beschäftigte haben oder
- Jahresumsatz und Jahresbilanzsumme von jeweils mehr als 10 Millionen Euro aufweisen.
Größe allein begründet keine Betroffenheit. Bestimmte Einrichtungen, beispielsweise DNS-Diensteanbieter, können unabhängig davon erfasst sein. Bei Unternehmensgruppen können Daten verbundener Unternehmen hinzuzurechnen sein; gesetzliche Ausnahmen sind zu prüfen.
Das BSIG unterscheidet besonders wichtige Einrichtungen und wichtige Einrichtungen. Die Einstufung folgt aus Einrichtungsart, Größe und Sondertatbeständen. Für Finanzunternehmen sowie bestimmte Energie- und Telekommunikationsunternehmen sind zusätzlich die jeweiligen Spezialregelungen zu beachten.
Welche Sicherheitsmaßnahmen müssen Unternehmen umsetzen?
Betroffene Einrichtungen müssen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen treffen und deren Umsetzung dokumentieren. Maßgeblich sind unter anderem Risiken, Unternehmensgröße, mögliche Schäden und Umsetzungskosten.
Der gesetzliche Mindestkatalog umfasst:
- Risikoanalysen und Sicherheitskonzepte;
- Erkennung und Bewältigung von Sicherheitsvorfällen;
- Backups, Wiederherstellung, Betriebsfortführung und Krisenmanagement;
- Sicherheit unmittelbarer Lieferanten und Dienstleister;
- sichere Beschaffung, Entwicklung und Wartung sowie Schwachstellenmanagement;
- regelmäßige Bewertung der Wirksamkeit der Schutzmaßnahmen;
- Schulungen und Sensibilisierung;
- Konzepte für Kryptografie und Verschlüsselung;
- Personalsicherheit, Zugriffskontrollen und Verwaltung der IT;
- sichere Authentifizierung und Kommunikation.
Ein Informationssicherheits-Managementsystem, etwa auf Grundlage von ISO 27001 oder BSI-Grundschutz, kann die Umsetzung strukturieren. Eine allgemeine Pflicht zur ISO-27001-Zertifizierung folgt daraus nicht. Entscheidend ist, dass die jeweils geltenden Anforderungen tatsächlich erfüllt werden.
Für bestimmte digitale Anbieter gelten zusätzliche Konkretisierungen durch die Durchführungsverordnung (EU) 2024/2690. Dazu zählen unter anderem Cloudanbieter, Rechenzentren, Managed Service Provider und Managed Security Service Provider. Die Verordnung präzisiert sowohl Sicherheitsmaßnahmen als auch Kriterien für erhebliche Sicherheitsvorfälle.
Welche Registrierungs- und Meldepflichten gelten?
Die Registrierung muss grundsätzlich spätestens drei Monate nach Eintritt der Betroffenheit erfolgen. Dafür stellt das BSI das BSI-Portal bereit.
Für erhebliche Sicherheitsvorfälle gilt grundsätzlich:
| Meldung | Frist |
|---|---|
| Frühe Erstmeldung | Unverzüglich, spätestens 24 Stunden nach Kenntniserlangung |
| Konkretisierte Vorfallmeldung | Unverzüglich, spätestens 72 Stunden nach Kenntniserlangung |
| Zwischenmeldung | Auf behördliche Anforderung |
| Abschlussmeldung | Spätestens einen Monat nach der konkretisierten Vorfallmeldung |
Bei andauernden Vorfällen tritt zunächst eine Fortschrittsmeldung an die Stelle der Abschlussmeldung.
Welche Verantwortung trägt die Geschäftsleitung?
Die Geschäftsleitung muss die erforderlichen Risikomanagementmaßnahmen umsetzen und deren Umsetzung überwachen. Sie muss außerdem regelmäßig selbst an Schulungen teilnehmen, um Cyberrisiken und Schutzmaßnahmen beurteilen zu können.
Aufgaben können organisatorisch verteilt werden. Die gesetzlichen Leitungs- und Überwachungspflichten bleiben jedoch bestehen. Bei schuldhafter Pflichtverletzung kann die Geschäftsleitung gegenüber der eigenen Einrichtung für entstandene Schäden haften.
Welche Konsequenzen drohen bei Verstößen?
Das BSIG sieht abhängig von Pflichtverletzung und Einrichtungskategorie unterschiedliche Bußgelder vor. Für bestimmte Verstöße gelten folgende Höchstgrenzen:
| Einrichtungskategorie | Mögliche Bußgeldhöchstgrenze |
|---|---|
| Besonders wichtige Einrichtungen | 10 Millionen Euro; bei mehr als 500 Millionen Euro weltweitem Gesamtumsatz bis zu 2 Prozent |
| Wichtige Einrichtungen | 7 Millionen Euro; bei mehr als 500 Millionen Euro weltweitem Gesamtumsatz bis zu 1,4 Prozent |
Die Umsatzberechnung richtet sich nach den gesetzlichen Vorgaben und bezieht das Unternehmen ein, dem die Einrichtung angehört. Für andere Verstöße gelten niedrigere Höchstbeträge.
Wie können Unternehmen ihre Betroffenheit prüfen?
Die Prüfung sollte bei den tatsächlich angebotenen Leistungen beginnen. Eine Branchenbezeichnung allein ist häufig zu ungenau. Empfehlenswert ist eine dokumentierte Bewertung mit folgenden Fragen:
- Welche Tätigkeiten und Leistungen bietet das Unternehmen konkret an?
- Welche gesetzlichen Einrichtungsarten kommen dafür infrage?
- Welche Größenwerte und Unternehmensverbindungen sind zu berücksichtigen?
- Greifen Sonderregelungen oder sektorspezifische Vorschriften?
- Welche Pflichten und Zuständigkeiten ergeben sich daraus?
Das Ergebnis sollte nachvollziehbar festgehalten und bei wesentlichen Änderungen des Unternehmens erneut geprüft werden.
Welche Maßnahmen sollten Unternehmen jetzt ergreifen?
Für die praktische Umsetzung empfiehlt sich ein verbindlicher Maßnahmenplan:
- Betroffenheit klären: Einrichtungsart, Größenwerte und Sonderfälle dokumentiert bewerten.
- Registrierung prüfen: Sicherstellen, dass erforderliche Angaben fristgerecht übermittelt wurden.
- Sicherheitslücken priorisieren: Bestehende Schutzmaßnahmen mit den geltenden Anforderungen abgleichen und Verantwortliche benennen.
- Vorfallprozesse erproben: Meldewege, Vertretungen und Eskalationen anhand realistischer Szenarien testen.
- Geschäftsleitung einbinden: Entscheidungen, Schulungen und regelmäßige Berichte verbindlich organisieren.
- Wirksamkeit nachweisen: Maßnahmen, Übungen und Verbesserungen nachvollziehbar dokumentieren.
Ein dauerhaft funktionierender Sicherheitsprozess hilft, regulatorische Anforderungen zu erfüllen und die Auswirkungen von Cyberangriffen auf den Geschäftsbetrieb zu begrenzen.
Zurück zur Übersicht des Glossars