NIS2: Definition, Erklärung & Beispiele

Die NIS2-Richtlinie (EU 2022/2555) ist eine europäische Gesetzgebung, die darauf abzielt, die Sicherheitsanforderungen für Netz- und Informationssysteme in der EU zu erhöhen. Sie wurde entwickelt, um die Resilienz kritischer Infrastrukturen zu stärken und Sicherheitsvorfälle besser zu managen. Die Richtlinie ersetzt die vorherige NIS1-Richtlinie und legt neue Anforderungen an Unternehmen fest, die in 18 kritischen Sektoren tätig sind.

In Deutschland tritt die NIS2-Richtlinie im Dezember 2025 in Kraft, nachdem sie durch das NIS2-Umsetzungsgesetz (NIS2UmsuCG) in nationales Recht umgesetzt wurde. Ab diesem Zeitpunkt gelten die neuen Regelungen unmittelbar, ohne Übergangsfristen, was bedeutet, dass betroffene Unternehmen sofort mit der Umsetzung der Anforderungen beginnen müssen.

Rund 29.500 Unternehmen in Deutschland sind direkt von der NIS2-Richtlinie betroffen. Diese Zahl wird voraussichtlich steigen, da die Richtlinie Anforderungen an Unternehmen in 18 kritischen Sektoren stellt, darunter Energie, Transport, Gesundheit und digitale Infrastruktur, die einen hohen Einfluss auf die Gesellschaft haben.

Die NIS2-Richtlinie senkt die Größenschwellen für betroffene Unternehmen erheblich. Unternehmen mit mindestens 250 Mitarbeitern oder einem Jahresumsatz von 50 Millionen Euro müssen ein umfassendes Risikomanagement etablieren. Kleinere Unternehmen mit mindestens 50 Mitarbeitern oder 10 Millionen Euro Umsatz unterliegen ebenfalls bestimmten Anforderungen, jedoch in reduziertem Umfang.

Unternehmen, die von der NIS2-Richtlinie betroffen sind, müssen zehn definierte Maßnahmenbereiche für Informationssicherheit und Risikomanagement implementieren. Diese Maßnahmen umfassen unter anderem Governance-Strukturen, technische Sicherheitsmaßnahmen und die Verpflichtung zur Meldung von Sicherheitsvorfällen, um die Sicherheit ihrer Netz- und Informationssysteme zu gewährleisten.

Nach der NIS2-Richtlinie müssen Unternehmen große Sicherheitsvorfälle innerhalb von 24 Stunden als Erstmeldung beim Bundesamt für Sicherheit in der Informationstechnik (BSI) und den zuständigen Behörden melden. Innerhalb von 72 Stunden ist eine Bestätigung mit ersten Informationen erforderlich, um eine schnelle Reaktion auf Sicherheitsvorfälle zu ermöglichen.

Die Geschäftsleitung von betroffenen Unternehmen trägt eine persönliche, nicht delegierbare Haftung für die Einhaltung der NIS2-Anforderungen. Dies bedeutet, dass die Verantwortung für die Umsetzung und Überwachung der Sicherheitsmaßnahmen bei der Leitung selbst liegt und nicht auf externe Dienstleister übertragen werden kann.

Unternehmen müssen innerhalb von zwei Jahren nach Inkrafttreten der NIS2-Richtlinie den Nachweis erbringen, dass sie die erforderlichen Sicherheitsmaßnahmen umgesetzt haben. Betreiber kritischer Anlagen sind verpflichtet, alle drei Jahre Prüfungen durchzuführen, während andere Einrichtungen stichprobenartige Kontrollen durch die zuständigen Behörden unterliegen.

Betroffene Unternehmen müssen sich in zwei Schritten beim BSI registrieren. Zunächst erfolgt die Registrierung über das digitale Dienstleistungsangebot "Mein Unternehmenskonto (MUK)". Anschließend müssen sie sich im BSI-Portal anmelden. Eine Registrierung ist zwingend erforderlich, da ohne diese keine Erfüllung der NIS2-Anforderungen möglich ist.

Unternehmen sind verpflichtet, angemessene finanzielle Ressourcen für die Gewährleistung der Informationssicherheit bereitzustellen. Ein Richtwert besagt, dass etwa 20 % der IT-Ausgaben für Sicherheitsmaßnahmen eingeplant werden sollten, um die Anforderungen der NIS2-Richtlinie erfolgreich umzusetzen und die Sicherheit ihrer Systeme zu gewährleisten.

NIS2 ersetzt die vorherige NIS1-Richtlinie (EU 2016/1148) vollständig und bringt wesentliche Änderungen mit sich. Während NIS1 bereits grundlegende Anforderungen an die Cybersicherheit stellte, erweitert NIS2 den Anwendungsbereich erheblich, senkt die Größenschwellen für betroffene Unternehmen und definiert spezifischere Maßnahmen zur Risikomanagement und Vorfallsmeldung.

Unternehmen können die Anforderungen der NIS2-Richtlinie durch Schulungen, Workshops und Beratungen von Experten im Bereich Informationssicherheit erlernen. Zudem stehen zahlreiche Ressourcen und Leitfäden zur Verfügung, die eine schrittweise Implementierung der geforderten Sicherheitsmaßnahmen unterstützen und den Wissensaustausch innerhalb der Branche fördern.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) spielt eine zentrale Rolle bei der Umsetzung der NIS2-Richtlinie in Deutschland. Es ist verantwortlich für die Registrierung betroffener Unternehmen, die Annahme von Sicherheitsvorfallmeldungen und die Durchführung von Prüfungen zur Einhaltung der Richtlinie, um die Sicherheit kritischer Infrastrukturen zu gewährleisten.

Unternehmen haben bis zum Dezember 2025 Zeit, um die Anforderungen der NIS2-Richtlinie umzusetzen. Nach Inkrafttreten des NIS2UmsuCG müssen sie innerhalb von zwei Jahren nachweisen, dass sie die notwendigen Sicherheitsmaßnahmen implementiert haben, um den neuen gesetzlichen Vorgaben gerecht zu werden.

Unternehmen, die die Anforderungen der NIS2-Richtlinie nicht erfüllen, müssen mit rechtlichen Konsequenzen rechnen. Dies kann von Bußgeldern bis hin zu weiteren rechtlichen Maßnahmen reichen. Zudem besteht das Risiko von Sicherheitsvorfällen, die durch unzureichende Sicherheitsvorkehrungen verursacht werden können, was zu einem Vertrauensverlust bei Kunden und Partnern führen kann.

Die Umsetzung der NIS2-Richtlinie wird durch Prüfungen des BSI und anderer zuständiger Behörden überwacht. Betreiber kritischer Anlagen sind verpflichtet, alle drei Jahre umfassende Prüfungen durchzuführen, während andere Unternehmen stichprobenartig überprüft werden können, um die Einhaltung der Sicherheitsmaßnahmen und Risikomanagementpraktiken sicherzustellen.