Was ist NIS2 und wie erreichen betroffene Unternehmen NIS2-Compliance?

Was ist NIS2? Definition und Bedeutung der neuen Security-Richtlinie

2016 legte die NIS1-Richtlinie den Grundstein für den gemeinsamen Kampf der EU gegen Cyberangriffe. Mit zunehmender Digitalisierung und wachsenden Cyberbedrohungen wurde jedoch eine Aktualisierung notwendig.

2023 trat deshalb die NIS2-Directive EU-weit in Kraft. Die offizielle Bezeichnung lautet „Richtlinie über Maßnahmen zur Gewährleistung eines hohen gemeinsamen Sicherheitsniveaus von Netz- und Informationssystemen in der Union“.

Was bedeutet NIS? NIS steht für Network and Information Security.

Gilt NIS2 auch in Deutschland?

Neben dem KRITIS-Dachgesetz zielt NIS2 darauf ab, die Cyberresilienz und Reaktionsfähigkeit von Betrieben und Organisationen zu verbessern – auch in Deutschland. Am 13. November 2025 hat der Deutsche Bundestag das NIS2UmSuCG (NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz) verabschiedet, das die Vorgaben der EU-Richtlinie in deutsches Recht überführt. Am 21. November 2025 bestätigte der Bundesrat das Gesetz, am 5. Dezember 2025 erfolgte die Verkündung im Bundesgesetzblatt. Das Gesetz trat am 6. Dezember 2025 in Kraft – ohne Übergangsfrist.

Für die Überwachung der Einhaltung des Gesetzes und die Unterstützung und Beratung für betroffene Einrichtungen ist das Bundesamt für Sicherheit in der Informationstechnik (BSI) zuständig. Es hat zudem die Aufgabe, den Informationsaustausch zwischen den Organisationen und den zuständigen Behörden zu koordinieren, damit alle relevanten Akteure über aktuelle Bedrohungen und Sicherheitsvorfälle informiert sind und entsprechend reagieren können.

NIS2-Maßnahmen richtig umsetzen?

Die NIS2-Richtlinie bringt umfassende Cybersicherheitsanforderungen für Unternehmen mit sich. Prüfen Sie kostenlos, welche konkreten Maßnahmen Sie jetzt ergreifen müssen, um compliant zu werden.

Kostenlosen NIS2-Check starten

Was bedeutet NIS2 für verschiedene Branchen und Bereiche?

Je nach Gewerbe und Geschäftszweig variieren die Anforderungen der NIS2-Richtlinie.  

• Kritische Infrastrukturen, wie Energieversorger und Finanzdienstleister, stehen unter besonderer Beobachtung, da ein Ausfall in diesen Bereichen erhebliche Auswirkungen auf die Gesellschaft haben könnte. Sie müssen deshalb erhebliche Ressourcen in ihre Informationssicherheitsmaßnahmen investieren. Diese Einrichtungen werden als "besonders wichtige Einrichtungen" klassifiziert und unterliegen strengeren Aufsichtsanforderungen.

• Auch Organisationen, die bisher nicht unter die NIS-Richtlinie fielen, müssen sich nun auf die Einhaltung der EU-weiten NIS2-Directive einstellen. Dies betrifft insbesondere die Industrie und das verarbeitende Gewerbe sowie digitale Dienstleistungen. Sie sind verpflichtet, umfangreiche Sicherheitsvorkehrungen zu treffen. Der Kreis der betroffenen Unternehmen hat sich von ca. 4.500 auf rund 29.500 erweitert.

• Darüber hinaus rückt NIS2 Supply Chain Security stärker in den Fokus. Hacker greifen NIS2-verpflichtete Unternehmen oft nicht direkt an, sondern gehen den Umweg über deren Lieferanten. Dadurch geraten Drittanbieter zunehmend in den Fokus von Informationssicherheitsanforderungen. Bereits jetzt fordern Kunden von ihren Geschäftspartnern belastbare Nachweise für ein funktionierendes Sicherheitsmanagement ein  – etwa durch eine ISO 27001-Zertifizierung.

Welche Anforderungen kommen mit NIS2 auf Organisationen zu?

NIS2 hat weitreichende Auswirkungen auf Firmen, insbesondere in Bezug auf die Anforderungen an Informationssicherheit und die Notwendigkeit, diese in ihre bestehenden Strukturen zu integrieren.

Die Anforderungen lassen sich in fünf zentrale Kategorien unterteilen:

1. Risikomanagement und Sicherheitsmaßnahmen: 
   Einrichtungen müssen ein umfassendes Risikomanagement und Sicherheitsmaßnahmen implementieren. Dazu gehört die Einführung eines Informationssicherheitsmanagementsystems (ISMS) sowie Business Continuity Management (BCM).
2. Verschärfte Meldepflichten:
   Das NIS2-Gesetz verschärft die Meldepflichten für Sicherheitsvorfälle – Unternehmen müssen nicht nur den Vorfall selbst, sondern auch die ergriffenen Gegenmaßnahmen und deren Wirksamkeit dokumentieren und den zuständigen Behörden melden. Konkret gelten folgende Fristen: Frühwarnung innerhalb von 24 Stunden, vollständige Meldung innerhalb von 72 Stunden, Abschlussbericht spätestens einen Monat nach der Meldung.
3. Zusammenarbeit und Informationsaustausch:
   Die NIS2-Directive fordert eine engere Zusammenarbeit zwischen den Mitgliedstaaten sowie den betroffenen Organisationen und Behörden.
4. Lieferkettensicherheit: 
   Die IT-Infrastruktur sollte durch Technische und organisatorische Sicherheitsmaßnahmen (TOM) gegen unbefugte Zugriffe geschützt sein. NIS2 verpflichtet Organisationen dazu, die Cybersicherheitsrisiken innerhalb der Lieferkette regelmäßig zu analysieren und zu minimieren.
5. Schulungen und Sensibilisierung:
   Betroffene Unternehmen müssen ihre Teams mit Hilfe von Schulungsmaßnahmen für Cyberrisiken sensibilisieren. Besonders wichtig: Die verpflichtende Geschäftsführerschulung muss mindestens alle 3 Jahre erfolgen.

In unserem Magazin beleuchten wir für Sie alle NIS2-Anforderungen im Detail.

Implementierung von NIS2: Maßnahmen, Schritte und Nachweis von NIS2-Compliance

Die folgenden Schritte können bei der erfolgreichen Umsetzung der NIS2-Richtlinie unterstützen: 

• Betroffenheit prüfen und registrieren: Prüfen Sie zunächst, ob Ihr Unternehmen als "wichtige Einrichtung"oder "besonders wichtige Einrichtung" qualifiziert ist. Registrieren Sie sich anschließend beim BSI - besonders wichtige Einrichtungen haben bis 6. März 2026 Zeit, wichtige Einrichtungen müssen unverzüglich reagieren.
• Risikobewertung durchführen: Betroffene Organisationen müssen ihre Netz- und Informationssysteme auf potenzielle Schwachstellen und Bedrohungen hin analysieren und die entsprechenden Risiken bewerten.
• ‍Sicherheitsplan implementieren: Basierend auf den Ergebnissen der Risikobewertung sollte ein Sicherheitsplan entwickelt werden, der spezifische NIS2-Maßnahmen zur Risikominimierung enthält. Dies umfasst TOM sowie die Implementierung von Sicherheitsprotokollen, die regelmäßige Überprüfung und Aktualisierung der Systeme sowie die Schulung der Mitarbeiter. ‍
• Meldeverfahren etablieren: Organisationen müssen sicherstellen, dass sie über klare und effiziente Meldeverfahren für Sicherheitsvorfälle verfügen. Diese Verfahren sollten es ermöglichen, Vorfälle schnell zu erkennen, zu melden und entsprechende Gegenmaßnahmen einzuleiten. Die Meldefristen (24h/72h/1 Monat) müssen eingehalten werden.
• Mit Behörden und anderen Betrieben zusammenarbeiten: Das NIS2-Gesetz betont die Bedeutung der Zusammenarbeit. Firmen sollten daher enge Beziehungen zu den zuständigen Behörden sowie anderen Einrichtungen in ihrer Branche pflegen. Der Austausch von Informationen und bewährten Verfahren kann dazu beitragen, die allgemeine Sicherheitslage zu verbessern.‍
• NIS2-Maßnahmen regelmäßig prüfen und anpassen: Cybersicherheit ist ein fortlaufender Prozess. Organisationen sollten ihre Sicherheitsmaßnahmen regelmäßig überprüfen und an neue Bedrohungen und technologische Entwicklungen anpassen. Dies erfordert eine kontinuierliche Überwachung der Systeme sowie die Bereitschaft, flexibel auf neue Herausforderungen zu reagieren.

ISMS als Vorteil für NIS2-Compliance nutzen

Ihr Unternehmen hat bereits ein ISMS? Dann sparen Sie Zeit und Geld bei der NIS2-Umsetzung. Denn viele Maßnahmen, die für die Implementierung eines ISMS und die Erlangung einer ISO-27001-Zertifizierung notwendig sind, decken bereits den Großteil der NIS2-Anforderungen ab. Dazu gehören Risikoanalysen, Sicherheitsmaßnahmen und ihre Dokumentation.

Ein Maßnahmen-Mapping zeigt, welche Anforderungen Sie bereits erfüllen und was noch zu tun ist.  

Beispiele für konkrete NIS2 Maßnahmen in der Unternehmenspraxis

Viele Organisationen haben bereits begonnen, ihre internen Sicherheitsrichtlinien und -prozesse an die Anforderungen der NIS2-Richtlinie anzupassen. Beispiele dafür sind unter anderem:

• IInformationssicherheitsmanagementsystem (ISMS): Einführung eines ISMS nach anerkannten Standards wie ISO 27001 oder BSI IT-Grundschutz zur systematischen Verwaltung von Sicherheitsrisiken und kontinuierlichen Verbesserung der Sicherheitsmaßnahmen.
• ‍Penetrationstests: Durchführung regelmäßiger Tests zur Identifizierung und Behebung potenzieller Schwachstellen in der IT-Infrastruktur. ‍
• Incident-Response-Plan: Implementierung eines klar definierten Notfallplans zur Identifikation, Meldung und Behebung von Sicherheitsvorfällen, ergänzt durch regelmäßige Notfallübungen. ‍
• Zugangskontrollen: Mehrstufige Authentifizierungsverfahren und rollenbasierte Zugriffskontrolle zur Minimierung des unbefugten Zugriffs auf sensible Daten und Systeme (Stichwort Need-to-Know-Prinzip). ‍
• Datenverschlüsselung: Nutzung von Ende-zu-Ende-Verschlüsselung zum Schutz sensibler Unternehmensdaten. ‍
• Überwachung der IT-Infrastruktur: Einsatz von Intrusion-Detection- und Intrusion-Prevention-Systemen zur frühzeitigen Erkennung von Bedrohungen und Angriffen.‍
• Backup- und Wiederherstellungslösungen: Implementierung robuster Datensicherung und Wiederherstellungssysteme zur Vermeidung von Datenverlusten und schnellen Reaktion auf Sicherheitsvorfälle.
• ‍Cybersicherheits-Teams: Einführung von speziellen Sicherheitsteams für die Überwachung, Analyse und Reaktion auf Sicherheitsvorfälle.  ‍
• Externe Cybersicherheitsdienstleister: Zusammenarbeit mit spezialisierten ISO 27001 Dienstleistern zur Identifizierung und Schließung von Sicherheitslücken. ‍
• Schulungsmaßnahmen für Mitarbeiter: Regelmäßige Schulungen und Sensibilisierungsmaßnahmen können das Risiko menschlicher Fehler reduzieren, die oft eine Schwachstelle in der Cybersicherheitskette darstellen. Die Geschäftsführung muss verpflichtend mindestens alle 3 Jahre geschult werden.

NIS2-Umsetzung
Betroffen, aber keine Zeit?

Damit Ihre IT-Sicherheit auf die bevorstehenden Änderungen vorbereitet ist und um konkrete Anforderungen für Ihr Unternehmen zu identifizieren, beraten wir Sie gern.

Zur NIS2-Beratung

Welche Konsequenzen drohen bei Nichteinhaltung der NIS2-Richtlinie?

Bei Verstößen gegen die NIS2-Directive drohen empfindliche Strafen, die weit über die Sanktionen der ursprünglichen NIS-Richtlinie hinausgehen. Dies umfasst hohe Geldbußen, die je nach Schwere des Verstoßes und der Einrichtungsart variieren können. Zudem müssen Wiederholungstäter weitere rechtliche Maßnahmen fürchten, einschließlich der möglichen Suspendierung ihrer Geschäftstätigkeit.

Erfahren Sie in unserem Magazin, welche Strafen bei NIS2 konkret drohen.

Vorteile bei Einhaltung von NIS2

Trotz der strengen Anforderungen und potenziellen Bestrafungen bietet die Einhaltung der EU-weiten NIS2-Richtlinie erhebliche Vorteile.

• Verbesserung der Cybersicherheit und des Risikomanagements: Durch die Implementierung der NIS2-Directive können Einrichtungen das Risiko von Sicherheitsvorfällen und deren potenziellen Auswirkungen auf das Geschäft reduzieren und bleiben auch in Krisensituationen handlungsfähig.

• Wettbewerbsvorteile und Kundenvertrauen: Die Einhaltung der NIS2-Anforderungen kann das Vertrauen in die Marke stärken. Zudem können Unternehmen, die sich aktiv um die Einhaltung bemühen, in der Lage sein, schneller auf neue regulatorische Anforderungen zu reagieren und sich somit einen Vorteil gegenüber Wettbewerbern zu verschaffen.

Wie zeige ich Kunden und Behörden, dass mein Unternehmen NIS2-compliant ist?

Ein offizielles Zertifikat als Nachweis der NIS2-Compliance gibt es nicht – stattdessen können Unternehmen die Einhaltung der Richtlinie durch umfassende Dokumentation und Selbstaudits nachweisen. Übrigens lohnt es sich auch für Unternehmen, die nicht direkt von NIS2 betroffen sind, ihre Cybersecurity auf dem aktuellen Stand zu halten. Denn NIS2-pflichtige Kunden fordern mittlerweile von ihren Lieferanten Nachweise zur Cybersicherheit in der gesamten Lieferkette, um eigene Risiken zu minimieren.​

Als Nachweis für NIS2-Compliance dienen zum Beispiel dokumentierte Prozesse wie Informationssicherheitsrichtlinien, Incident-Response-Pläne, Risikomanagementpläne und Lieferantenbewertungen. Externe oder interne Audits, etwa im Zusammenhang mit einer ISO-Zertifizierung oder der Implementierung eines ISMS zeigen ebenfalls, wie Unternehmen mit Cyberrisiken umgehen und dass sie für den Fall der Fälle gerüstet sind.

Wenn Sie Fragen zur NIS2-Richtlinie haben oder sich beraten lassen möchten, wie Sie die NIS2-Anforderungen in Ihrer Organisation implementieren und ihre Einhaltung nachweisen können, stehen Ihnen unsere ExpertInnen gern zur Seite.