NIS2-Richtlinie

Was regelt die NIS2-Richtlinie?

Die NIS2-Richtlinie regelt Cybersicherheit auf drei Ebenen. Unternehmen der erfassten Sektoren müssen Risiken managen, erhebliche Sicherheitsvorfälle melden und ihre Lieferkette absichern (Art. 21 und 23). Ihre Leitungsorgane billigen diese Maßnahmen, überwachen die Umsetzung und können für Verstöße verantwortlich gemacht werden (Art. 20). Die Mitgliedstaaten brauchen eine nationale Cybersicherheitsstrategie, Aufsichtsbehörden und Computer-Notfallteams (CSIRTs), die auf EU-Ebene in einem gemeinsamen Netzwerk zusammenarbeiten. Eine EU-Richtlinie gilt allerdings nicht unmittelbar. Jeder Mitgliedstaat muss sie in eigenes Recht übertragen, und erst dieses Gesetz verpflichtet die Unternehmen.

Was ist der Unterschied zwischen NIS und NIS2?

NIS2 ersetzt die erste NIS-Richtlinie (EU) 2016/1148, die ab Mai 2018 galt und am 18. Oktober 2024 aufgehoben wurde. In der Praxis zählen drei Unterschiede. NIS1 erfasste sieben Sektoren, NIS2 erfasst 18, darunter das verarbeitende Gewerbe, Chemie, Lebensmittel und Abfallwirtschaft. Unter NIS1 bestimmten die Mitgliedstaaten selbst, wer Betreiber eines wesentlichen Dienstes ist, in Deutschland waren das im Wesentlichen die KRITIS-Betreiber. Unter NIS2 entscheiden Sektor und Unternehmensgröße, und jedes Unternehmen prüft seine Einstufung selbst. Außerdem nimmt NIS2 die Leitungsorgane in die Pflicht und sieht Bußgelder bis 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist.

Wie ist NIS2 in Deutschland umgesetzt?

In Deutschland gilt NIS2 seit dem 6. Dezember 2025 über das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz, das das BSI-Gesetz (BSIG) neu gefasst hat. Deutschland lag damit gut ein Jahr hinter der EU-Frist vom 17. Oktober 2024. Das BSIG spricht von „besonders wichtigen" statt „wesentlichen" Einrichtungen und meint dieselbe Gruppe. Einen Bescheid über die Betroffenheit verschickt niemand, jedes Unternehmen prüft selbst und registriert sich beim BSI. Bis zum 30. September 2026 hatten das 20.141 Einrichtungen getan, das BSI rechnet mit rund 29.500. Wie die Prüfung nach § 28 BSIG abläuft, mit Schwellenwerten, Sonderfällen und Rechenbeispielen, steht in unserem Blogartikel „NIS2: Wer ist betroffen?".

Was verlangt NIS2 von Unternehmen?

NIS2 verlangt Risikomanagement-Maßnahmen nach dem Stand der Technik, in Deutschland geregelt in § 30 BSIG. Dazu gehören Vorfallsbehandlung, Business Continuity mit Backups und Wiederherstellung, Sicherheit in der Lieferkette, sichere Entwicklung und Wartung von IT-Systemen, Kryptografie und Multi-Faktor-Authentifizierung. Erhebliche Sicherheitsvorfälle melden Unternehmen gestuft, die erste Meldung spätestens nach 24 Stunden. Für Industrial DevOps steckt der Kern im Punkt sichere Entwicklung und Lieferkette. Automatisierte Scans, SBOMs, Policy-Checks und protokollierte Deployments liefern die Belege, die eine Prüfung verlangt.

Warum ist NIS2 Chefsache?

NIS2 ist Chefsache, weil das Gesetz die Geschäftsleitung selbst verpflichtet. Nach § 38 BSIG muss sie die Risikomanagement-Maßnahmen umsetzen, deren Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Verletzt sie diese Pflichten schuldhaft, haftet sie gegenüber dem Unternehmen. Nach einem Vorfall reicht dann die Erinnerung an ein Meeting nicht, gebraucht werden datierte Beschlüsse und Berichte. Am längsten dauert erfahrungsgemäß die Lieferkette. Typisch ist der IT-Dienstleister, der seit Jahren Server und Firewall betreut und dafür einen dauerhaften Administratorzugang hat. Sein Vertrag regelt die Reaktionszeit bei einer Störung, aber nicht, ob und wann er einen Angriff auf seine eigenen Systeme meldet. Solche Klauseln nachzuverhandeln zieht sich über Quartale, und wer damit erst nach dem ersten Auskunftsersuchen der Aufsicht beginnt, verhandelt unter Zeitdruck.