Kaum ein Regelwerk hat die IT-Sicherheit im deutschen Mittelstand so verändert wie die NIS2-Richtlinie. Bis Ende 2025 betrafen gesetzliche Cybersicherheitspflichten in Deutschland vor allem Betreiber kritischer Infrastrukturen, rund 4.500 Organisationen. Seit dem NIS-2-Umsetzungsgesetz sind es nach Angaben des BSI rund 29.500 Einrichtungen. Darunter sind viele Unternehmen, die sich bisher nie als kritisch verstanden haben: Maschinenbauer, Lebensmittelhersteller, Entsorger, IT-Dienstleister.
Dieser Beitrag gibt Ihnen den Überblick: Was ist die NIS2-Richtlinie, was ist neu gegenüber der Vorgängerregelung, wie wurde sie in Deutschland umgesetzt, wen betrifft sie, welche Pflichten folgen daraus und wie grenzt sie sich von DORA, Cyber Resilience Act und ISO 27001 ab. Für die Details verweisen wir an den passenden Stellen auf unsere vertiefenden Beiträge.
Was ist die NIS2-Richtlinie?
NIS2 steht für die zweite Richtlinie über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Europäischen Union. Ihr offizieller Name ist Richtlinie (EU) 2022/2555. NIS ist die Abkürzung für Network and Information Security, also die Sicherheit von Netz- und Informationssystemen.
Das Ziel: Unternehmen und Einrichtungen, die für Wirtschaft und Gesellschaft besonders wichtig sind, sollen in der ganzen EU ein vergleichbar hohes Sicherheitsniveau erreichen. Dazu legt die Richtlinie Mindeststandards für Risikomanagement, Meldepflichten bei Sicherheitsvorfällen und die Aufsicht durch nationale Behörden fest.
Richtlinie, nicht Verordnung
Ein wichtiger Unterschied, der oft verwechselt wird: NIS2 ist eine Richtlinie, keine Verordnung. Eine EU-Verordnung wie die DSGVO gilt unmittelbar in allen Mitgliedstaaten. Eine Richtlinie dagegen muss erst in nationales Recht umgesetzt werden. Für Unternehmen in Deutschland ist deshalb nicht der Text der EU-Richtlinie direkt maßgeblich, sondern das deutsche Umsetzungsgesetz und das daraus entstandene neue BSI-Gesetz.
Von NIS1 zu NIS2: Was sich geändert hat
Die erste NIS-Richtlinie stammt aus dem Jahr 2016. Sie hat in Deutschland vor allem die Regeln für kritische Infrastrukturen geprägt. In der Praxis zeigte sich, dass die Mitgliedstaaten sie sehr unterschiedlich umgesetzt hatten und viele wichtige Wirtschaftsbereiche nicht erfasst waren. NIS2 ersetzt die alte Richtlinie und schließt diese Lücken.
| Thema | NIS1 (2016) | NIS2 (2022) |
|---|---|---|
| Geltungsbereich | Betreiber wesentlicher Dienste und Anbieter digitaler Dienste, Auswahl durch Mitgliedstaaten | klar definierte Sektoren mit Größenschwellen, deutlich mehr Unternehmen |
| Kategorien | Betreiber wesentlicher Dienste, Anbieter digitaler Dienste | wesentliche und wichtige Einrichtungen, in Deutschland besonders wichtige und wichtige Einrichtungen |
| Sicherheitsmaßnahmen | allgemein formuliert | Mindestkatalog mit zehn Bereichen, darunter Lieferkette und Multi-Faktor-Authentifizierung |
| Meldepflichten | uneinheitlich | gestuft: Frühwarnung in 24 Stunden, Meldung in 72 Stunden, Abschlussbericht nach einem Monat |
| Geschäftsleitung | keine ausdrückliche Verantwortung | Pflicht zur Billigung und Überwachung, Schulungspflicht, Haftung |
| Sanktionen | national sehr unterschiedlich | Mindesthöchstbeträge von 10 Mio. € bzw. 7 Mio. € oder 2 % bzw. 1,4 % des weltweiten Umsatzes |
Was NIS2 außer Unternehmenspflichten regelt
Die NIS2-Richtlinie richtet sich nicht nur an Unternehmen. Ein großer Teil verpflichtet die Mitgliedstaaten selbst, eine funktionierende Cybersicherheitsarchitektur aufzubauen. Für Unternehmen ist das indirekt wichtig, weil daraus Ansprechpartner, Warnungen und Hilfsangebote entstehen:
- Nationale Cybersicherheitsstrategie. Jeder Mitgliedstaat muss eine Strategie mit Zielen, Zuständigkeiten und Maßnahmen festlegen.
- Zuständige Behörden und zentrale Anlaufstelle. In Deutschland übernimmt das BSI die Aufsicht und ist zentrale Anlaufstelle für die Zusammenarbeit mit anderen EU-Staaten.
- Computer-Notfallteams (CSIRTs). Sie nehmen Meldungen entgegen, geben Warnungen heraus und unterstützen bei Vorfällen.
- Koordinierte Offenlegung von Schwachstellen. Wer eine Sicherheitslücke findet, soll sie über ein geregeltes Verfahren melden können. Zusätzlich führt die EU-Agentur für Cybersicherheit ENISA eine europäische Schwachstellendatenbank.
- Zusammenarbeit in der EU. Eine Kooperationsgruppe der Mitgliedstaaten, ein Netzwerk der CSIRTs und das Krisennetzwerk EU-CyCLONe sollen dafür sorgen, dass große grenzüberschreitende Vorfälle gemeinsam bewältigt werden.
Für Unternehmen bedeutet das auch: Wer einen Vorfall meldet, erhält vom BSI nicht nur eine Eingangsbestätigung, sondern im besten Fall auch Hinweise, ob andere Organisationen ähnlich betroffen sind und welche Gegenmaßnahmen helfen.
Der Zeitstrahl: Von der EU-Richtlinie zum deutschen Gesetz
| Datum | Ereignis |
|---|---|
| Juli 2016 | Erste NIS-Richtlinie (EU) 2016/1148 verabschiedet |
| 14. Dezember 2022 | NIS2-Richtlinie (EU) 2022/2555 verabschiedet |
| 16. Januar 2023 | NIS2-Richtlinie auf EU-Ebene in Kraft |
| 17. Oktober 2024 | Frist für die Umsetzung in nationales Recht, Deutschland verpasst sie |
| 6. Dezember 2025 | Deutsches NIS-2-Umsetzungsgesetz in Kraft, neues BSI-Gesetz gilt |
| 6. Januar 2026 | BSI-Portal für Registrierung und Meldungen freigeschaltet |
| 6. März 2026 | Ende der gesetzlichen Registrierungsfrist von drei Monaten |
Wichtig für die Praxis: Das deutsche Gesetz sieht für die Kernpflichten keine Übergangsfrist vor. Risikomanagement, Meldepflichten und Geschäftsleiterpflichten gelten seit dem Inkrafttreten.
NIS2 in Deutschland: NIS2UmsuCG und neues BSI-Gesetz
In Deutschland wurde die Richtlinie durch das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz umgesetzt, kurz NIS2UmsuCG. Es hat das BSI-Gesetz grundlegend neu gefasst. Wer heute nachlesen will, welche Pflichten gelten, findet sie im BSIG.
Drei Besonderheiten der deutschen Umsetzung sind für Unternehmen wichtig:
- Eigene Begriffe. Statt der EU-Begriffe „wesentliche“ und „wichtige“ Einrichtungen verwendet das deutsche Recht „besonders wichtige Einrichtungen“ und „wichtige Einrichtungen“.
- Selbstprüfung. Das BSI schreibt niemanden an. Unternehmen müssen selbst prüfen, ob sie betroffen sind, und sich selbst registrieren.
- KRITIS bleibt. Betreiber kritischer Anlagen gelten automatisch als besonders wichtige Einrichtungen und haben zusätzliche Pflichten.
Zuständige Aufsichtsbehörde ist das Bundesamt für Sicherheit in der Informationstechnik. Laut BSI ist die gesetzliche Registrierungsfrist abgelaufen. Betroffene Einrichtungen, die sich noch nicht registriert haben, sollen dies umgehend nachholen.
Wer ist von der NIS2-Richtlinie betroffen?
Ob ein Unternehmen unter NIS2 fällt, hängt von zwei Fragen ab: In welchem Sektor ist es tätig, und wie groß ist es?
Die Sektoren
| Anlage 1 BSIG: Sektoren mit hoher Kritikalität | Anlage 2 BSIG: sonstige kritische Sektoren |
|---|---|
| Energie | Post- und Kurierdienste |
| Transport und Verkehr | Abfallbewirtschaftung |
| Finanzwesen, also Banken und Finanzmarktinfrastrukturen | Produktion, Herstellung und Handel mit chemischen Stoffen |
| Gesundheitswesen | Produktion, Verarbeitung und Vertrieb von Lebensmitteln |
| Wasser und Abwasser | verarbeitendes Gewerbe, etwa Maschinenbau, Fahrzeugbau, Elektrotechnik, Medizinprodukte |
| Digitale Infrastruktur, etwa Rechenzentren, Cloud-Anbieter, Managed Service Provider und Managed Security Service Provider | Anbieter digitaler Dienste wie Online-Marktplätze und Suchmaschinen |
| Weltraum | Forschung |
Die Größenschwellen
Nach § 28 BSIG gilt vereinfacht: Unternehmen in den genannten Sektoren mit mindestens 50 Beschäftigten oder mehr als 10 Mio. € Jahresumsatz und Bilanzsumme sind wichtige Einrichtungen. Ab 250 Beschäftigten oder mehr als 50 Mio. € Umsatz und 43 Mio. € Bilanzsumme in Sektoren der Anlage 1 handelt es sich um besonders wichtige Einrichtungen. Für einige Einrichtungen, etwa Betreiber kritischer Anlagen, DNS-Diensteanbieter oder qualifizierte Vertrauensdiensteanbieter, gelten Sonderregeln unabhängig von der Größe.
Die genaue Prüfung mit Sonderfällen, Konzernzugehörigkeit und Praxisbeispielen finden Sie in unserem Beitrag Wer ist von NIS2 betroffen?. Für eine erste Einschätzung bietet das BSI eine kostenlose Betroffenheitsprüfung an.
Die Pflichten im Überblick
Für betroffene Unternehmen ergeben sich aus dem BSI-Gesetz vier Gruppen von Pflichten.
1. Registrierung
Betroffene Einrichtungen müssen sich beim BSI registrieren und Angaben zu Unternehmen, Sektor und Kontaktstellen machen. Die Registrierung läuft über das BSI-Portal und setzt ein Konto bei „Mein Unternehmenskonto“ auf Basis eines ELSTER-Organisationszertifikats voraus.
2. Risikomanagement
§ 30 BSIG verlangt geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen. Mindestens abgedeckt sein müssen zehn Bereiche:
- Konzepte für Risikoanalyse und Informationssicherheit
- Bewältigung von Sicherheitsvorfällen
- Aufrechterhaltung des Betriebs, Backup-Management und Krisenmanagement
- Sicherheit der Lieferkette
- Sicherheit bei Beschaffung, Entwicklung und Wartung, einschließlich Schwachstellenmanagement
- Bewertung der Wirksamkeit der Maßnahmen
- Schulungen und Sensibilisierung
- Kryptografie und Verschlüsselung
- Personalsicherheit, Zugriffskontrolle und Management der Anlagen
- Multi-Faktor-Authentifizierung und gesicherte Kommunikation, auch für Notfälle
Die Umsetzung ist zu dokumentieren. Was das konkret bedeutet, zeigen unsere Beiträge zu den NIS2-Anforderungen und die NIS2 Checkliste.
3. Meldepflichten
Erhebliche Sicherheitsvorfälle müssen gestuft an das BSI gemeldet werden. Laut BSI gilt: eine erste Meldung spätestens nach 24 Stunden, eine Folgemeldung spätestens nach 72 Stunden und eine Abschlussmeldung spätestens einen Monat nach der Meldung. Erheblich ist ein Vorfall vereinfacht dann, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste verursachen kann oder andere Personen erheblich schädigen kann.
4. Pflichten der Geschäftsleitung
Nach § 38 BSIG muss die Geschäftsleitung die Risikomanagementmaßnahmen umsetzen und deren Umsetzung überwachen. Sie muss regelmäßig an Schulungen teilnehmen und haftet bei schuldhafter Pflichtverletzung gegenüber der Einrichtung nach den Regeln des Gesellschaftsrechts. Cybersicherheit kann damit nicht mehr vollständig an die IT delegiert werden. Mehr dazu im Beitrag Was ist NIS2 Compliance?.
Aufsicht und Bußgelder
Die Richtlinie unterscheidet bei der Aufsicht zwischen den beiden Kategorien. Wesentliche, in Deutschland besonders wichtige Einrichtungen unterliegen nach Art. 32 der Richtlinie einer proaktiven Aufsicht: Die Behörde kann auch ohne konkreten Anlass prüfen, etwa durch Audits und Vor-Ort-Kontrollen. Wichtige Einrichtungen werden nach Art. 33 vor allem anlassbezogen beaufsichtigt, zum Beispiel wenn Hinweise auf Verstöße vorliegen oder ein Vorfall eingetreten ist.
Bei Verstößen sieht § 65 BSIG Bußgelder vor:
| Verstoß | Besonders wichtige Einrichtungen | Wichtige Einrichtungen |
|---|---|---|
| Risikomanagement, Dokumentation, Meldepflichten | bis 10 Mio. €, bei mehr als 500 Mio. € Umsatz bis 2 % des weltweiten Umsatzes | bis 7 Mio. €, bei mehr als 500 Mio. € Umsatz bis 1,4 % des weltweiten Umsatzes |
| Registrierung versäumt | bis 500.000 € | bis 500.000 € |
Hinzu kommt der Schaden, der durch einen erfolgreichen Angriff entstehen kann. Nach der Bitkom-Studie Wirtschaftsschutz 2025 lag der Gesamtschaden durch Datendiebstahl, Spionage und Sabotage für die deutsche Wirtschaft bei rund 289 Milliarden Euro, rund 70 Prozent davon durch Cyberangriffe.
Praxisbeispiel: Was NIS2 für einen Maschinenbauer bedeutet
Ein Maschinenbauer mit 180 Beschäftigten und 35 Mio. € Jahresumsatz hat sich lange nicht als kritisches Unternehmen gesehen. Ein Blick in Anlage 2 des BSI-Gesetzes zeigt aber: Der Maschinenbau gehört zum verarbeitenden Gewerbe, und mit mehr als 50 Beschäftigten liegt das Unternehmen über der Schwelle. Es ist damit eine wichtige Einrichtung.
Was folgt daraus konkret?
- Registrierung beim BSI mit Kontaktstelle, die auch im Ernstfall erreichbar ist.
- Risikoanalyse, die nicht nur Büro-IT umfasst, sondern auch die Produktion. Gerade vernetzte Maschinen, Fernwartungszugänge von Herstellern und alte Steuerungsrechner sind typische Schwachstellen. Wie sich Produktionsnetze absichern lassen, beschreiben wir im Beitrag Cyber Security in der Produktion.
- Lieferkette: Das Unternehmen muss die Sicherheit seiner IT-Dienstleister und wichtiger Lieferanten berücksichtigen und wird gleichzeitig selbst von großen Kunden nach Nachweisen gefragt.
- Meldeprozess: Wer entscheidet am Wochenende, ob ein Vorfall erheblich ist, und wer meldet an das BSI?
- Geschäftsführung: Sie muss sich schulen lassen, die Maßnahmen umsetzen und deren Umsetzung überwachen.
Als wichtige Einrichtung unterliegt der Maschinenbauer vor allem der anlassbezogenen Aufsicht. Das heißt nicht, dass die Pflichten weniger gelten. Spätestens nach einem gemeldeten Vorfall oder einem Hinweis wird das BSI fragen, welche Maßnahmen umgesetzt und dokumentiert waren.
Auch nicht betroffene Unternehmen spüren NIS2
Selbst wer nicht unter NIS2 fällt, kommt an der Richtlinie kaum vorbei. Denn betroffene Unternehmen müssen nach § 30 BSIG die Sicherheit ihrer Lieferkette berücksichtigen. In der Praxis bedeutet das: Kunden fragen bei ihren Zulieferern und Dienstleistern nach Sicherheitsmaßnahmen, verlangen Nachweise und nehmen Sicherheitsanforderungen in Verträge auf.
Für kleinere IT-Dienstleister, Softwarehäuser, Logistiker oder Zulieferer kann das schnell zur Voraussetzung werden, um Aufträge zu behalten. Wer früh ein nachvollziehbares Sicherheitsniveau aufbaut, hat in solchen Gesprächen einen klaren Vorteil.
NIS2 im Vergleich zu DORA, Cyber Resilience Act, KRITIS und ISO 27001
Rund um NIS2 gibt es weitere Regelwerke, die oft verwechselt werden:
| Regelwerk | Worum es geht | Für wen | Verhältnis zu NIS2 |
|---|---|---|---|
| DORA, Verordnung (EU) 2022/2554 | digitale Betriebsstabilität im Finanzsektor | Banken, Versicherungen, Wertpapierfirmen und andere Finanzunternehmen | gilt seit 17. Januar 2025 und geht für den Finanzsektor als Spezialregelung vor |
| Cyber Resilience Act, Verordnung (EU) 2024/2847 | Cybersicherheit von Produkten mit digitalen Elementen | Hersteller, Importeure und Händler solcher Produkte | regelt Produkte, nicht den Betrieb von Unternehmen; Meldepflichten ab September 2026, vollständig ab Dezember 2027 |
| CER-Richtlinie, Richtlinie (EU) 2022/2557 | physische Widerstandsfähigkeit kritischer Einrichtungen | Betreiber kritischer Infrastrukturen | ergänzt NIS2 um Schutz vor physischen Gefahren |
| ISO/IEC 27001 | internationale Norm für Informationssicherheits-Managementsysteme | freiwillig für alle Organisationen | deckt viele NIS2-Anforderungen ab, ersetzt aber nicht Registrierung, Meldepflichten und Geschäftsleiterpflichten |
Einen ausführlichen Blick auf den Finanzsektor bietet unser Beitrag Was ist DORA Compliance?.
Was Unternehmen jetzt tun sollten
- Betroffenheit prüfen. Mit der BSI-Betroffenheitsprüfung und, bei Unsicherheit, mit fachlicher Unterstützung. Das Ergebnis dokumentieren.
- Registrierung nachholen. Wer betroffen ist und sich noch nicht registriert hat, sollte das umgehend tun.
- Standort bestimmen. Eine Gap-Analyse zeigt, wo das Unternehmen im Vergleich zu den Anforderungen aus § 30 BSIG steht. Unser NIS2-Check liefert dafür einen Reifegrad je Bereich und einen priorisierten Maßnahmenplan.
- Meldefähigkeit herstellen. Zuständigkeiten, Vertretungen und Zugang zum BSI-Portal klären, damit ein Vorfall innerhalb von 24 Stunden gemeldet werden kann. Ein Alarmierungssystem hilft, das Krisenteam schnell zusammenzubringen.
- Geschäftsleitung einbinden. Schulung der Geschäftsleitung, regelmäßige Berichte zum Umsetzungsstand und klare Verantwortlichkeiten.
- Schritt für Schritt umsetzen. Zuerst Maßnahmen mit großer Wirkung, etwa Multi-Faktor-Authentifizierung, getestete Backups und Awareness-Schulungen, danach die strukturellen Themen wie Risikomanagement und Lieferkette.
Fazit: NIS2 ist Pflicht und Chance zugleich
Die NIS2-Richtlinie hat den Kreis der Unternehmen mit gesetzlichen Cybersicherheitspflichten in Deutschland vervielfacht. Seit Dezember 2025 gelten Registrierung, Risikomanagement, Meldepflichten und Geschäftsleiterpflichten ohne Übergangsfrist. Wer betroffen ist, sollte keine Zeit mehr verlieren. Wer nicht betroffen ist, wird die Anforderungen häufig über Kunden und Lieferketten zu spüren bekommen.
Gleichzeitig zwingt NIS2 Unternehmen zu etwas, das ohnehin sinnvoll ist: einen klaren Überblick über Risiken, geübte Abläufe für den Ernstfall und eine Geschäftsleitung, die Cybersicherheit als ihre Aufgabe versteht.
Sie möchten wissen, was NIS2 für Ihr Unternehmen bedeutet? Wir unterstützen Sie mit NIS2-Beratung und Umsetzung von der Betroffenheitsprüfung bis zum laufenden Betrieb. Jetzt kostenlose Erstberatung buchen.
Quellen
- EUR-Lex: Richtlinie (EU) 2022/2555 (NIS2)
- BSI: NIS-2-Umsetzungsgesetz ab morgen in Kraft (Pressemitteilung vom 5.12.2025)
- BSI: NIS-2-regulierte Unternehmen
- BSI: Infopaket NIS-2-Meldepflicht
- BSI: NIS-2-Betroffenheitsprüfung
- Gesetze im Internet: BSI-Gesetz (BSIG)
- EUR-Lex: Verordnung (EU) 2022/2554 (DORA)
- EUR-Lex: Verordnung (EU) 2024/2847 (Cyber Resilience Act)
- EUR-Lex: Richtlinie (EU) 2022/2557 (CER)
- Bitkom: Wirtschaftsschutz 2025
