Was ist NIS2? Pflichten, Fristen & Umsetzung für Unternehmen

Was ist NIS2? Die wichtigste Cybersecurity-Richtlinie der EU

NIS2 steht für die zweite EU-Richtlinie zur Netz- und Informationssicherheit (englisch: Network and Information Security Directive 2). Sie ist die Nachfolgerin der ersten NIS-Richtlinie aus dem Jahr 2016 und hebt das Cybersecurity-Niveau in der Europäischen Union deutlich an. Ziel ist es, kritische und wichtige Einrichtungen widerstandsfähiger gegen Cyberangriffe zu machen und ein einheitliches Sicherheitsniveau in allen Mitgliedstaaten zu schaffen.

Der zentrale Unterschied zur alten Regelung: NIS2 betrifft nicht mehr nur wenige Betreiber kritischer Infrastrukturen, sondern schätzungsweise zehntausende Unternehmen in Deutschland – darunter viele mittelständische Betriebe, die sich bisher nicht als „regulierte" Branche verstanden haben. Für Geschäftsführer und IT-Verantwortliche bedeutet das: Cybersicherheit wird von der freiwilligen Kür zur gesetzlichen Pflicht.

Wer ist von NIS2 betroffen?

NIS2 unterscheidet grundsätzlich zwei Kategorien: wesentliche Einrichtungen (essential entities) und wichtige Einrichtungen (important entities). Ob ein Unternehmen unter die Richtlinie fällt, hängt von zwei Faktoren ab – der Branche und der Unternehmensgröße.

Erfasst werden Sektoren wie Energie, Verkehr, Bankwesen, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, öffentliche Verwaltung, Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel sowie verarbeitendes Gewerbe und Anbieter digitaler Dienste. Als grobe Orientierung gilt häufig die Schwelle von rund 50 Beschäftigten oder etwa 10 Millionen Euro Jahresumsatz – je nach Sektor und Kritikalität gelten jedoch Abweichungen.

Wichtig zu verstehen: Auch wenn Ihr Unternehmen selbst nicht direkt unter NIS2 fällt, kann es über die Lieferkette mittelbar betroffen sein. Regulierte Auftraggeber sind verpflichtet, die Sicherheit ihrer Zulieferer und Dienstleister zu bewerten – entsprechende Sicherheitsanforderungen werden dann vertraglich weitergegeben.

Ob Ihr Unternehmen konkret in den Anwendungsbereich fällt, ist eine rechtliche Einzelfallfrage. Dieser Beitrag ordnet das Thema allgemein ein und ersetzt keine individuelle Rechts- oder Compliance-Beratung.

Fristen: Ab wann gilt NIS2?

Die EU-Richtlinie ist bereits seit Januar 2023 in Kraft; die Frist zur Umsetzung in nationales Recht endete am 17. Oktober 2024. In Deutschland erfolgt die Umsetzung über das NIS2-Umsetzungsgesetz (NIS2UmsuCG), das das BSI-Gesetz erweitert. Das deutsche Gesetzgebungsverfahren hat sich verzögert, das Inkrafttreten wird jedoch erwartet und die zuständige Behörde, das Bundesamt für Sicherheit in der Informationstechnik (BSI), bereitet die Durchsetzung vor.

Für betroffene Unternehmen gilt: Es gibt keine mehrjährige Schonfrist mehr. Pflichten wie Registrierung und Meldewesen greifen mit Inkrafttreten weitgehend unmittelbar. Wer heute beginnt, seine Sicherheitsmaßnahmen zu ordnen, ist klar im Vorteil gegenüber Unternehmen, die auf letzte Klarstellungen warten.

Welche Pflichten bringt NIS2 mit sich?

NIS2 formuliert konkrete Anforderungen, die über bloße Empfehlungen hinausgehen. Die wichtigsten Pflichten im Überblick:

• Risikomanagement: Unternehmen müssen ein technisches und organisatorisches Konzept einführen, das Cyberrisiken systematisch identifiziert, bewertet und mindert.
• Meldepflichten: Erhebliche Sicherheitsvorfälle sind der zuständigen Behörde zu melden – eine erste Meldung typischerweise innerhalb von 24 Stunden, ein detaillierterer Bericht innerhalb von 72 Stunden und ein Abschlussbericht nach spätestens einem Monat.
• Business Continuity: Backup-Management, Notfallpläne und Wiederherstellungsprozesse müssen vorhanden und erprobt sein.
• Lieferkettensicherheit: Die Sicherheit von Zulieferern und Dienstleistern ist zu bewerten und vertraglich abzusichern.
• Zugriffskontrolle und Verschlüsselung: Multi-Faktor-Authentifizierung, sichere Kommunikation und Kryptografie gehören zum Mindeststandard.
• Schulung und Sensibilisierung: Mitarbeitende und insbesondere die Leitungsebene müssen regelmäßig in Cybersicherheit geschult werden.

Eine Besonderheit von NIS2 ist die persönliche Verantwortung der Geschäftsführung. Leitungsorgane müssen die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und können bei Pflichtverletzungen persönlich haften. Cybersicherheit ist damit endgültig Chefsache und kein reines IT-Thema mehr.

NIS2 umsetzen: Ein praxisnaher Fahrplan

Für den Mittelstand lässt sich die Umsetzung in überschaubare Schritte gliedern. Der folgende Fahrplan hat sich in der Praxis bewährt:

• Schritt 1 – Betroffenheit klären: Prüfen Sie Branche, Größe und Rolle in der Lieferkette. Halten Sie das Ergebnis dokumentiert fest.
• Schritt 2 – Ist-Aufnahme: Erstellen Sie ein Inventar Ihrer IT-Systeme, Daten und Prozesse. Nur was Sie kennen, können Sie schützen.
• Schritt 3 – Gap-Analyse: Vergleichen Sie den aktuellen Stand mit den NIS2-Anforderungen und priorisieren Sie die Lücken nach Risiko.
• Schritt 4 – Technische Härtung: Führen Sie Multi-Faktor-Authentifizierung, Netzwerksegmentierung, Patch-Management und geprüfte Backups ein. Ein Penetration Testing deckt reale Schwachstellen auf, bevor Angreifer sie finden.
• Schritt 5 – Prozesse etablieren: Definieren Sie einen Incident-Response-Plan, Meldeketten und Verantwortlichkeiten für den Ernstfall.
• Schritt 6 – Menschen schulen: Sensibilisieren Sie Belegschaft und Leitung regelmäßig, insbesondere gegen Phishing und Social Engineering.
• Schritt 7 – Dokumentieren und nachhalten: Halten Sie alle Maßnahmen nachweisbar fest und überprüfen Sie sie in festen Zyklen.

Gerade kleinere Unternehmen unterschätzen häufig, wie viel bereits vorhandene Infrastruktur sich mit vertretbarem Aufwand NIS2-tauglich machen lässt. Der entscheidende Hebel ist selten neue Technik, sondern Struktur, Dokumentation und klare Zuständigkeiten.

Welche Rolle spielt moderne Technologie und KI?

Cyberangriffe werden zunehmend automatisiert und KI-gestützt durchgeführt. Umgekehrt hilft moderne Technologie auch bei der Verteidigung: Anomalie-Erkennung, automatisiertes Log-Monitoring und intelligente Filter reduzieren die Reaktionszeit erheblich. Wer seine Systeme ohnehin modernisiert, sollte Sicherheit von Anfang an mitdenken – etwa bei einer Webseitenerstellung oder beim Einsatz von Chatbots, die auf Unternehmensdaten zugreifen. In einer KI-Beratung lässt sich klären, welche Automatisierung Ihre Sicherheitslage sinnvoll stärkt, ohne neue Risiken zu schaffen.

Fazit: NIS2 ist eine Chance, nicht nur eine Pflicht

NIS2 hebt die Anforderungen an Cybersicherheit spürbar an und betrifft weit mehr Unternehmen als die bisherige Regelung. Wer die Vorgaben frühzeitig strukturiert angeht, erfüllt nicht nur eine gesetzliche Pflicht, sondern schützt seine Geschäftsfähigkeit, das Vertrauen der Kunden und die eigene Haftungsposition. Statt in letzter Minute zu reagieren, lohnt es sich, jetzt eine belastbare Grundlage zu schaffen.

Sie möchten wissen, wo Ihr Unternehmen bei den NIS2-Anforderungen steht und welche Schritte sinnvoll sind? Unser Team unterstützt Sie mit strukturierter NIS2-Beratung und ganzheitlicher Cyber Security. Nehmen Sie unverbindlich Kontakt auf – wir ordnen Ihre Situation gemeinsam ein und zeigen einen realistischen Weg zur Umsetzung.