NIS2 einfach erklärt

NIS2 bezeichnet die zweite europäische Richtlinie zur Sicherheit von Netzwerk- und Informationssystemen. Ihr Ziel ist es, das gemeinsame Cybersicherheitsniveau in der Europäischen Union zu erhöhen und wichtige gesellschaftliche sowie wirtschaftliche Bereiche besser vor Cyberangriffen und IT-Ausfällen zu schützen.

In Deutschland wurden die Vorgaben durch das NIS-2-Umsetzungsgesetz in nationales Recht übertragen. Die wesentlichen Pflichten sind seit dem 6. Dezember 2025 verbindlich.

Was bedeutet NIS2?

NIS steht für Network and Information Security. Die NIS2-Richtlinie erweitert den Anwendungsbereich der vorherigen NIS-Richtlinie deutlich.

Sie verpflichtet betroffene Organisationen unter anderem dazu:

• Cyberrisiken systematisch zu bewerten
• angemessene Sicherheitsmaßnahmen umzusetzen
• erhebliche Sicherheitsvorfälle fristgerecht zu melden
• die Geschäftskontinuität vorzubereiten
• Risiken innerhalb der Lieferkette zu berücksichtigen
• Verantwortlichkeiten der Geschäftsleitung festzulegen

NIS2 betrifft damit nicht nur einzelne Betreiber Kritischer Infrastrukturen. Auch zahlreiche mittelständische Unternehmen, IT-Dienstleister und Zulieferer können unter die gesetzlichen Anforderungen fallen.

Welche Unternehmen sind von NIS2 betroffen?

Das deutsche BSI-Gesetz unterscheidet zwischen:

• besonders wichtigen Einrichtungen
• wichtigen Einrichtungen

Die Zuordnung hängt insbesondere von der Branche, der Unternehmensgröße und der Art der erbrachten Leistungen ab.

Zu den erfassten Bereichen gehören beispielsweise:

• Energie und Versorgung
• Verkehr und Transport
• Gesundheitswesen
• Trinkwasser und Abwasser
• digitale Infrastruktur
• IT- und Telekommunikationsdienste
• Managed Service Provider
• öffentliche Verwaltung
• Post- und Kurierdienste
• Abfallwirtschaft
• Lebensmittelwirtschaft
• Chemie
• bestimmte Produktionsunternehmen
• digitale Plattformen
• Forschung

Als erste Orientierung sind häufig Unternehmen ab 50 Beschäftigten oder mit einem Jahresumsatz beziehungsweise einer Jahresbilanzsumme von mehr als zehn Millionen Euro relevant. Dabei können verbundene und beteiligte Unternehmen bei der Größenberechnung berücksichtigt werden.

Für bestimmte Einrichtungen gelten Sonderregelungen, durch die sie unabhängig von ihrer Größe betroffen sein können. Eine pauschale Beurteilung allein anhand der Mitarbeiterzahl ist daher nicht ausreichend.

Müssen Unternehmen auf eine Benachrichtigung warten?

Nein. Unternehmen müssen grundsätzlich selbst prüfen, ob sie als wichtige oder besonders wichtige Einrichtung gelten.

Eine automatische Aufforderung durch das BSI ist nicht Voraussetzung für die Pflichten. Betroffene Einrichtungen müssen sich innerhalb der gesetzlichen Frist über das BSI-Portal registrieren und ihre Angaben aktuell halten.

Da die Einordnung von Branche, Unternehmensstruktur und Leistungen komplex sein kann, sollte die Betroffenheitsprüfung dokumentiert werden.

Welche Sicherheitsmaßnahmen verlangt NIS2?

Betroffene Unternehmen müssen geeignete, verhältnismäßige und wirksame technische sowie organisatorische Maßnahmen umsetzen und dokumentieren.

Zu den zentralen Themen gehören:

Risikoanalyse und Sicherheitskonzepte

Unternehmen müssen ihre wesentlichen IT-Risiken kennen und daraus geeignete Schutzmaßnahmen ableiten. Dazu gehören klare Zuständigkeiten, dokumentierte Richtlinien und regelmäßige Überprüfungen.

Behandlung von Sicherheitsvorfällen

Es werden geregelte Prozesse benötigt, um Angriffe und Störungen zu erkennen, zu bewerten, einzudämmen und aufzuarbeiten.

Business Continuity und Krisenmanagement

Unternehmen müssen auf größere IT-Ausfälle vorbereitet sein. Dazu gehören beispielsweise getestete Backups, Wiederanlaufpläne, Notfallkommunikation und Verfahren zur Wiederherstellung kritischer Systeme.

Sicherheit der Lieferkette

Auch Risiken durch IT-Dienstleister, Cloud-Anbieter, Softwarehersteller und andere Lieferanten müssen berücksichtigt werden.

Verträge, Zugriffsrechte und Sicherheitsanforderungen an Dienstleister sollten entsprechend geprüft werden.

Schwachstellen- und Patch-Management

Bekannte Sicherheitslücken müssen erkannt, bewertet und innerhalb angemessener Zeit behoben werden. Dazu gehören regelmäßige Updates sowie Prozesse zur Behandlung neu bekannt gewordener Schwachstellen.

Zugriffs- und Identitätsschutz

Berechtigungen sollten nach dem Least-Privilege-Prinzip vergeben und regelmäßig überprüft werden.

Abhängig vom Risiko gehören dazu auch:

• Multi-Faktor-Authentifizierung
• sichere Administrationskonten
• geregeltes Benutzer-Onboarding und -Offboarding
• Schutz privilegierter Zugänge
• sichere Kommunikationsmittel

Schulungen und Cyberhygiene

Mitarbeitende müssen für Cyberrisiken sensibilisiert werden. Auch die Geschäftsleitung benötigt regelmäßige Schulungen, um Risiken und Sicherheitsmaßnahmen beurteilen zu können.

Welche Meldepflichten gelten?

Erhebliche Sicherheitsvorfälle müssen dem BSI in mehreren Stufen gemeldet werden:

1. Frühe Erstmeldung: spätestens innerhalb von 24 Stunden nach Kenntniserlangung
2. Folgemeldung: spätestens innerhalb von 72 Stunden
3. Abschlussmeldung: grundsätzlich spätestens einen Monat nach der Meldung

Welche Vorfälle als erheblich gelten, hängt unter anderem von der verursachten Betriebsstörung, den finanziellen Schäden und den Auswirkungen auf andere Personen oder Organisationen ab.

Unternehmen benötigen deshalb klare interne Melde- und Eskalationswege. Ohne vorbereitete Prozesse können die kurzen Fristen kaum zuverlässig eingehalten werden.

Welche Verantwortung trägt die Geschäftsleitung?

NIS2 macht Informationssicherheit ausdrücklich zu einer Aufgabe der Unternehmensleitung.

Die Geschäftsleitung muss die erforderlichen Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und sich regelmäßig zu den relevanten Sicherheitsfragen fortbilden.

Die Verantwortung kann nicht vollständig an die IT-Abteilung oder einen externen Dienstleister übertragen werden. Technische Spezialisten können bei der Umsetzung unterstützen, die übergeordnete Steuerungs- und Kontrollpflicht bleibt jedoch beim Unternehmen.

Ist eine ISO-27001-Zertifizierung ausreichend?

Nein. Eine Zertifizierung nach ISO 27001 kann eine gute Grundlage für strukturierte Informationssicherheit schaffen, ersetzt aber nicht automatisch die Prüfung und Erfüllung aller NIS2-Anforderungen.

NIS2 ist außerdem keine Zertifizierung. Es gibt kein allgemeines „NIS2-Zertifikat“, das sämtliche Pflichten abschließend bestätigt.

Unternehmen müssen vielmehr nachweisen können, dass die erforderlichen Maßnahmen tatsächlich umgesetzt, dokumentiert, überwacht und regelmäßig verbessert werden.

Sind auch nicht direkt betroffene Unternehmen relevant?

Ja. Unternehmen können indirekt mit NIS2-Anforderungen konfrontiert werden, wenn sie Dienstleister oder Zulieferer einer betroffenen Einrichtung sind.

Auftraggeber können beispielsweise verlangen:

• dokumentierte Sicherheitsmaßnahmen
• definierte Meldewege
• Nachweise zu Backup und Notfallvorsorge
• Multi-Faktor-Authentifizierung
• geregeltes Patch Management
• Sicherheitsanforderungen in Verträgen
• Informationen zu Unterauftragnehmern

Damit kann NIS2 auch für kleinere Unternehmen geschäftlich relevant werden, selbst wenn sie nicht unmittelbar unter das Gesetz fallen.

Wie sollten Unternehmen vorgehen?

Ein sinnvoller Einstieg umfasst folgende Schritte:

1. Betroffenheit und Unternehmensstruktur prüfen
2. Verantwortlichkeiten festlegen
3. kritische Systeme, Prozesse und Dienstleister erfassen
4. vorhandene Sicherheitsmaßnahmen bewerten
5. Lücken priorisieren und Maßnahmen planen
6. Melde- und Notfallprozesse einrichten
7. Geschäftsleitung und Mitarbeitende schulen
8. Maßnahmen dokumentieren und regelmäßig kontrollieren

NIS2 sollte nicht als einmaliges IT-Projekt betrachtet werden. Die Anforderungen verlangen einen kontinuierlichen Prozess zur Steuerung und Verbesserung der Informationssicherheit.

Fazit

NIS2 erweitert die gesetzlichen Cybersicherheitsanforderungen auf zahlreiche Unternehmen und Branchen. Betroffene Einrichtungen müssen ihre Risiken aktiv steuern, geeignete Schutzmaßnahmen umsetzen und erhebliche Sicherheitsvorfälle innerhalb kurzer Fristen melden.

Dabei stehen nicht nur technische Maßnahmen im Mittelpunkt. Ebenso wichtig sind klare Verantwortlichkeiten, dokumentierte Prozesse, Lieferkettensicherheit, Notfallvorsorge und die Einbindung der Geschäftsleitung.

Eine erste Orientierung zur möglichen Betroffenheit und zum bestehenden Handlungsbedarf bietet der NIS2-Mini-Check von KNS IT.