NIS2 einfach erklärt
NIS2 bezeichnet die zweite europäische Richtlinie zur Sicherheit von Netzwerk- und Informationssystemen. Ihr Ziel ist es, das gemeinsame Cybersicherheitsniveau in der Europäischen Union zu erhöhen und wichtige gesellschaftliche sowie wirtschaftliche Bereiche besser vor Cyberangriffen und IT-Ausfällen zu schützen.
In Deutschland wurden die Vorgaben durch das NIS-2-Umsetzungsgesetz in nationales Recht übertragen. Die wesentlichen Pflichten sind seit dem 6. Dezember 2025 verbindlich.
Was bedeutet NIS2?
NIS steht für Network and Information Security. Die NIS2-Richtlinie erweitert den Anwendungsbereich der vorherigen NIS-Richtlinie deutlich.
Sie verpflichtet betroffene Organisationen unter anderem dazu:
- Cyberrisiken systematisch zu bewerten
- angemessene Sicherheitsmaßnahmen umzusetzen
- erhebliche Sicherheitsvorfälle fristgerecht zu melden
- die Geschäftskontinuität vorzubereiten
- Risiken innerhalb der Lieferkette zu berücksichtigen
- Verantwortlichkeiten der Geschäftsleitung festzulegen
NIS2 betrifft damit nicht nur einzelne Betreiber Kritischer Infrastrukturen. Auch zahlreiche mittelständische Unternehmen, IT-Dienstleister und Zulieferer können unter die gesetzlichen Anforderungen fallen.
Welche Unternehmen sind von NIS2 betroffen?
Das deutsche BSI-Gesetz unterscheidet zwischen:
- besonders wichtigen Einrichtungen
- wichtigen Einrichtungen
Die Zuordnung hängt insbesondere von der Branche, der Unternehmensgröße und der Art der erbrachten Leistungen ab.
Zu den erfassten Bereichen gehören beispielsweise:
- Energie und Versorgung
- Verkehr und Transport
- Gesundheitswesen
- Trinkwasser und Abwasser
- digitale Infrastruktur
- IT- und Telekommunikationsdienste
- Managed Service Provider
- öffentliche Verwaltung
- Post- und Kurierdienste
- Abfallwirtschaft
- Lebensmittelwirtschaft
- Chemie
- bestimmte Produktionsunternehmen
- digitale Plattformen
- Forschung
Als erste Orientierung sind häufig Unternehmen ab 50 Beschäftigten oder mit einem Jahresumsatz beziehungsweise einer Jahresbilanzsumme von mehr als zehn Millionen Euro relevant. Dabei können verbundene und beteiligte Unternehmen bei der Größenberechnung berücksichtigt werden.
Für bestimmte Einrichtungen gelten Sonderregelungen, durch die sie unabhängig von ihrer Größe betroffen sein können. Eine pauschale Beurteilung allein anhand der Mitarbeiterzahl ist daher nicht ausreichend.
Müssen Unternehmen auf eine Benachrichtigung warten?
Nein. Unternehmen müssen grundsätzlich selbst prüfen, ob sie als wichtige oder besonders wichtige Einrichtung gelten.
Eine automatische Aufforderung durch das BSI ist nicht Voraussetzung für die Pflichten. Betroffene Einrichtungen müssen sich innerhalb der gesetzlichen Frist über das BSI-Portal registrieren und ihre Angaben aktuell halten.
Da die Einordnung von Branche, Unternehmensstruktur und Leistungen komplex sein kann, sollte die Betroffenheitsprüfung dokumentiert werden.
Welche Sicherheitsmaßnahmen verlangt NIS2?
Betroffene Unternehmen müssen geeignete, verhältnismäßige und wirksame technische sowie organisatorische Maßnahmen umsetzen und dokumentieren.
Zu den zentralen Themen gehören:
Risikoanalyse und Sicherheitskonzepte
Unternehmen müssen ihre wesentlichen IT-Risiken kennen und daraus geeignete Schutzmaßnahmen ableiten. Dazu gehören klare Zuständigkeiten, dokumentierte Richtlinien und regelmäßige Überprüfungen.
Behandlung von Sicherheitsvorfällen
Es werden geregelte Prozesse benötigt, um Angriffe und Störungen zu erkennen, zu bewerten, einzudämmen und aufzuarbeiten.
Business Continuity und Krisenmanagement
Unternehmen müssen auf größere IT-Ausfälle vorbereitet sein. Dazu gehören beispielsweise getestete Backups, Wiederanlaufpläne, Notfallkommunikation und Verfahren zur Wiederherstellung kritischer Systeme.
Sicherheit der Lieferkette
Auch Risiken durch IT-Dienstleister, Cloud-Anbieter, Softwarehersteller und andere Lieferanten müssen berücksichtigt werden.
Verträge, Zugriffsrechte und Sicherheitsanforderungen an Dienstleister sollten entsprechend geprüft werden.
Schwachstellen- und Patch-Management
Bekannte Sicherheitslücken müssen erkannt, bewertet und innerhalb angemessener Zeit behoben werden. Dazu gehören regelmäßige Updates sowie Prozesse zur Behandlung neu bekannt gewordener Schwachstellen.
Zugriffs- und Identitätsschutz
Berechtigungen sollten nach dem Least-Privilege-Prinzip vergeben und regelmäßig überprüft werden.
Abhängig vom Risiko gehören dazu auch:
- Multi-Faktor-Authentifizierung
- sichere Administrationskonten
- geregeltes Benutzer-Onboarding und -Offboarding
- Schutz privilegierter Zugänge
- sichere Kommunikationsmittel
Schulungen und Cyberhygiene
Mitarbeitende müssen für Cyberrisiken sensibilisiert werden. Auch die Geschäftsleitung benötigt regelmäßige Schulungen, um Risiken und Sicherheitsmaßnahmen beurteilen zu können.
Welche Meldepflichten gelten?
Erhebliche Sicherheitsvorfälle müssen dem BSI in mehreren Stufen gemeldet werden:
- Frühe Erstmeldung: spätestens innerhalb von 24 Stunden nach Kenntniserlangung
- Folgemeldung: spätestens innerhalb von 72 Stunden
- Abschlussmeldung: grundsätzlich spätestens einen Monat nach der Meldung
Welche Vorfälle als erheblich gelten, hängt unter anderem von der verursachten Betriebsstörung, den finanziellen Schäden und den Auswirkungen auf andere Personen oder Organisationen ab.
Unternehmen benötigen deshalb klare interne Melde- und Eskalationswege. Ohne vorbereitete Prozesse können die kurzen Fristen kaum zuverlässig eingehalten werden.
Welche Verantwortung trägt die Geschäftsleitung?
NIS2 macht Informationssicherheit ausdrücklich zu einer Aufgabe der Unternehmensleitung.
Die Geschäftsleitung muss die erforderlichen Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und sich regelmäßig zu den relevanten Sicherheitsfragen fortbilden.
Die Verantwortung kann nicht vollständig an die IT-Abteilung oder einen externen Dienstleister übertragen werden. Technische Spezialisten können bei der Umsetzung unterstützen, die übergeordnete Steuerungs- und Kontrollpflicht bleibt jedoch beim Unternehmen.
Ist eine ISO-27001-Zertifizierung ausreichend?
Nein. Eine Zertifizierung nach ISO 27001 kann eine gute Grundlage für strukturierte Informationssicherheit schaffen, ersetzt aber nicht automatisch die Prüfung und Erfüllung aller NIS2-Anforderungen.
NIS2 ist außerdem keine Zertifizierung. Es gibt kein allgemeines „NIS2-Zertifikat“, das sämtliche Pflichten abschließend bestätigt.
Unternehmen müssen vielmehr nachweisen können, dass die erforderlichen Maßnahmen tatsächlich umgesetzt, dokumentiert, überwacht und regelmäßig verbessert werden.
Sind auch nicht direkt betroffene Unternehmen relevant?
Ja. Unternehmen können indirekt mit NIS2-Anforderungen konfrontiert werden, wenn sie Dienstleister oder Zulieferer einer betroffenen Einrichtung sind.
Auftraggeber können beispielsweise verlangen:
- dokumentierte Sicherheitsmaßnahmen
- definierte Meldewege
- Nachweise zu Backup und Notfallvorsorge
- Multi-Faktor-Authentifizierung
- geregeltes Patch Management
- Sicherheitsanforderungen in Verträgen
- Informationen zu Unterauftragnehmern
Damit kann NIS2 auch für kleinere Unternehmen geschäftlich relevant werden, selbst wenn sie nicht unmittelbar unter das Gesetz fallen.
Wie sollten Unternehmen vorgehen?
Ein sinnvoller Einstieg umfasst folgende Schritte:
- Betroffenheit und Unternehmensstruktur prüfen
- Verantwortlichkeiten festlegen
- kritische Systeme, Prozesse und Dienstleister erfassen
- vorhandene Sicherheitsmaßnahmen bewerten
- Lücken priorisieren und Maßnahmen planen
- Melde- und Notfallprozesse einrichten
- Geschäftsleitung und Mitarbeitende schulen
- Maßnahmen dokumentieren und regelmäßig kontrollieren
NIS2 sollte nicht als einmaliges IT-Projekt betrachtet werden. Die Anforderungen verlangen einen kontinuierlichen Prozess zur Steuerung und Verbesserung der Informationssicherheit.
Fazit
NIS2 erweitert die gesetzlichen Cybersicherheitsanforderungen auf zahlreiche Unternehmen und Branchen. Betroffene Einrichtungen müssen ihre Risiken aktiv steuern, geeignete Schutzmaßnahmen umsetzen und erhebliche Sicherheitsvorfälle innerhalb kurzer Fristen melden.
Dabei stehen nicht nur technische Maßnahmen im Mittelpunkt. Ebenso wichtig sind klare Verantwortlichkeiten, dokumentierte Prozesse, Lieferkettensicherheit, Notfallvorsorge und die Einbindung der Geschäftsleitung.
Eine erste Orientierung zur möglichen Betroffenheit und zum bestehenden Handlungsbedarf bietet der NIS2-Mini-Check von KNS IT.