NIS-2

Die NIS-2-Richtlinie (vollständig: Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union) ist die zweite europäische Richtlinie zur Netzwerk- und Informationssicherheit und bildet den zentralen Rechtsrahmen der EU für Cybersicherheit. Sie wurde am 27. Dezember 2022 im Amtsblatt der Europäischen Union veröffentlicht und ersetzt die bisherige NIS-Richtlinie (EU) 2016/1148.

Ihr Ziel ist es, das Cybersicherheitsniveau in Europa zu erhöhen, die Resilienz wesentlicher und wichtiger Einrichtungen zu stärken und einheitliche Sicherheitsanforderungen in allen Mitgliedstaaten zu schaffen.

Kernpunkte der NIS-2-Richtlinie sind:

• Erweiterter Geltungsbereich: NIS 2 betrifft deutlich mehr Sektoren als ihre Vorgängerrichtlinie, darunter Energie, Verkehr, Gesundheitswesen, Trinkwasserversorgung, Abwasser, digitale Infrastruktur, öffentliche Verwaltung, Abfallwirtschaft, Chemie, Raumfahrt sowie Teile des verarbeitenden Gewerbes, etwa Hersteller von Medizinprodukten, Datenverarbeitungsgeräten, elektronischen Erzeugnissen, Maschinen und Fahrzeugen.
• Pflichten für Unternehmen: Betroffene Organisationen müssen technische, organisatorische und personelle Maßnahmen zur Informationssicherheit umsetzen und dokumentieren. Dazu gehören Risikoanalysen, Business Continuity, Incident Response, Sicherheitsrichtlinien, Schulungen und Lieferkettenmanagement.
• Meldepflichten: Erhebliche Sicherheitsvorfälle sind gestuft zu melden: frühe Erstmeldung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht spätestens einen Monat danach.
• Haftung und Governance: Die Verantwortung der Geschäftsleitung wird ausdrücklich betont. Führungskräfte müssen sicherstellen, dass Cybersicherheitsmaßnahmen umgesetzt werden, und können bei Verstößen haftbar gemacht werden.
• Sanktionen: Bei Verstößen drohen umsatzbezogene Geldbußen: nach der Richtlinie bis 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes für wesentliche und bis 7 Mio. Euro oder 1,4 % für wichtige Einrichtungen, je nachdem, welcher Betrag höher ist. In Deutschland regelt das § 65 BSIG; der umsatzbezogene Rahmen greift dort bei einem Gesamtumsatz von mehr als 500 Mio. Euro.
• Zusammenhang mit ISO/IEC 27001: Die NIS-2-Richtlinie folgt wie ISO/IEC 27001 einem risikobasierten Ansatz mit kontinuierlicher Verbesserung. Ein ISMS nach ISO/IEC 27001:2022 (einschließlich Amd 1:2024) deckt nach unserer Einschätzung einen großen Teil der Risikomanagementmaßnahmen nach § 30 BSIG ab und erleichtert den Nachweis. Ein Zertifikat ersetzt aber nicht die gesetzlichen Pflichten zu Meldung, Registrierung und Geschäftsleitungsschulung; entscheidend ist zudem, dass der Geltungsbereich die regulierten Dienste umfasst.

In Deutschland ist NIS 2 durch das NIS-2-Umsetzungsgesetz (NIS2UmsuCG) umgesetzt, das am 6. Dezember 2025 in Kraft getreten ist (BGBl. 2025 I Nr. 301). Die Pflichten der Unternehmen stehen seitdem im BSIG, insbesondere in §§ 28 (Einstufung), 30 (Risikomanagement), 32 (Meldepflichten), 33 (Registrierung) und 38 (Geschäftsleitung).

Ob Ihr Unternehmen betroffen ist, können Sie mit der Betroffenheitsprüfung des BSI vorab einschätzen: https://betroffenheitspruefung-nis-2.bsi.de/