Die NIS2-Richtlinie erweitert den Kreis der Unternehmen, die für ihre Cybersicherheit nachweisbar geradestehen müssen. Dieser Beitrag erklärt, worum es geht, wie Sie Ihre Betroffenheit einschätzen und welche technischen und organisatorischen Schritte am Anfang stehen.
NIS2 ist die zweite Richtlinie der Europäischen Union zur Netz- und Informationssicherheit. Sie löst die erste NIS-Richtlinie von 2016 ab und hebt das geforderte Sicherheitsniveau spürbar an. In Deutschland gilt sie nicht unmittelbar, sondern über das NIS2-Umsetzungsgesetz, das das BSI-Gesetz neu gefasst hat. Maßgeblich für Unternehmen ist deshalb das BSI-Gesetz vom 2. Dezember 2025 und nicht der Text der Richtlinie.
Der Kern ist einfach beschrieben. Betroffene Einrichtungen müssen ihre Risiken kennen, angemessene Maßnahmen ergreifen, erhebliche Sicherheitsvorfälle innerhalb enger Fristen melden und das alles nachvollziehbar dokumentieren. Neu ist vor allem, dass die Geschäftsleitung die Umsetzung selbst verantwortet. Sie muss die Maßnahmen umsetzen, ihre Umsetzung überwachen und sich regelmäßig schulen lassen, und sie haftet ihrer Einrichtung für schuldhaft verursachte Schäden.
NIS2 verlangt im Wesentlichen vier Dinge:
Wie eng die Fristen sind, steht wörtlich im Gesetz. Nach § 32 BSI-Gesetz geht eine frühe Erstmeldung binnen 24 Stunden nach Kenntniserlangung an das Bundesamt, die eigentliche Meldung binnen 72 Stunden und die Abschlussmeldung spätestens einen Monat nach dieser Meldung. Eine Zwischenmeldung kann das Bundesamt jederzeit verlangen. Artikel 23 der Richtlinie sieht dieselbe Kette vor.
NIS2 ist damit kein einmaliges Projekt, sondern ein Dauerzustand. Wer die Anforderungen erfüllt, betreibt seine Systeme so, dass ein Ausfall oder Angriff früh auffällt und der Wiederanlauf geübt ist. Genau diese Betriebssicht ist der Grund, warum wir das Thema von der Analyse bis in den Betrieb begleiten.
NIS2 unterscheidet zwei Gruppen. Die Richtlinie nennt sie wesentliche und wichtige Einrichtungen, das deutsche BSI-Gesetz besonders wichtige und wichtige Einrichtungen. Die erste Gruppe steht unter der schärferen Aufsicht, die zweite unter einer etwas leichteren. Ob Sie in eine der beiden Gruppen fallen, hängt an drei Fragen: In welchem Sektor sind Sie tätig, wie groß ist Ihr Unternehmen und welche Rolle spielen Sie in der Lieferkette anderer.
Erfasst sind unter anderem Energie, Verkehr, Bankwesen, Finanzmarkt, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, Anbieter von IT-Diensten und Teile der öffentlichen Verwaltung. Dazu kommen weitere Bereiche wie Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, das verarbeitende Gewerbe, Anbieter digitaler Dienste sowie Forschung. Verbindlich sind die Anlagen 1 und 2 zum BSI-Gesetz, nicht diese Aufzählung.
Hier hält sich eine Faustformel, die zu kurz greift. Man liest oft, NIS2 gelte ab fünfzig Beschäftigten oder ab einem Jahresumsatz in zweistelliger Millionenhöhe. Das erste stimmt, das zweite nicht. Nach § 28 BSI-Gesetz genügt der Umsatz allein nicht. Eine wichtige Einrichtung liegt vor ab fünfzig Beschäftigten oder wenn Jahresumsatz und Jahresbilanzsumme jeweils über zehn Millionen Euro liegen. Besonders wichtige Einrichtungen beginnen bei zweihundertfünfzig Beschäftigten oder bei einem Jahresumsatz über fünfzig Millionen Euro zusammen mit einer Jahresbilanzsumme über dreiundvierzig Millionen Euro.
Für Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter und einige weitere Einrichtungsarten gelten die Pflichten unabhängig von der Größe. Die Ausnahmen im Einzelfall gehören in die rechtliche Prüfung.
Auch wer selbst nicht direkt erfasst ist, wird häufig mittelbar betroffen. Betroffene Kunden geben ihre Anforderungen an Zulieferer und Dienstleister weiter, denn § 30 BSI-Gesetz zählt die Sicherheit der Lieferkette ausdrücklich zu den Risikomanagementmaßnahmen, einschließlich der sicherheitsbezogenen Aspekte der Beziehungen zu unmittelbaren Anbietern. Ein kurzer, ehrlicher Blick auf die eigene technische Aufstellung hilft, die Ausgangslage einzuschätzen. Ein erster Anhaltspunkt ist unser Systemaudit-Selbsttest.
Für die reine Frage nach der Betroffenheit stellt das Bundesamt selbst eine Betroffenheitsprüfung bereit. Sie arbeitet mit Eigenangaben und ist nach eigenem Hinweis nicht rechtlich bindend, sortiert die Frage aber in wenigen Minuten.
Wichtig zur Einordnung: Die Einschätzung der Betroffenheit hat eine technische und eine rechtliche Seite. Die technische und organisatorische Vorbereitung übernehmen wir. Die rechtsverbindliche Würdigung, ob Sie im Sinne des Gesetzes betroffen sind, bleibt bei Ihren Juristen, mit denen wir dafür zusammenarbeiten.
Man muss nicht auf die letzte rechtliche Klärung warten, um mit der Vorbereitung zu beginnen. Die meisten Maßnahmen sind ohnehin sinnvoll und zahlen auf einen stabilen Betrieb ein. Technisch stehen am Anfang diese Punkte:
Organisatorisch gehören dazu:
Diese Liste ist keine Erfindung. § 30 BSI-Gesetz nennt unter anderem die Sicherheit der Lieferkette, das Backup-Management und die Wiederherstellung nach einem Notfall, Konzepte für Zugriffskontrolle und Personal, den Einsatz von Multi-Faktor-Authentifizierung sowie Verfahren, mit denen die Wirksamkeit der Maßnahmen selbst bewertet wird. Der letzte Punkt wird gern übersehen. Es genügt nicht, Maßnahmen zu haben, ihre Wirkung muss überprüfbar sein.
Genau an dieser Stelle setzen wir an. In der Position NIS2 und Betriebssicherheit schätzen wir die Betroffenheit technisch ein, finden die Lücken, planen die Maßnahmen und führen die Nachweise. Die rechtliche Würdigung bleibt bewusst außen vor und liegt bei Ihren Juristen.
NIS2 trifft mehr Unternehmen als viele annehmen, oft auch mittelbar über die Lieferkette. Der Einstieg ist überschaubar, wenn man Technik und Organisation trennt und mit einem klaren Bild vom eigenen Ist-Zustand beginnt. Wer früh anfängt, verteilt den Aufwand und verbessert nebenbei den täglichen Betrieb. Weitere Antworten zu Preisen, Verträgen und Datenhaltung stehen im Bereich Wissen. Wenn Sie Ihre Lage konkret einordnen möchten, ist ein Erstgespräch der schnellste Weg.
Antwort in zwei Werktagen, mit einem konkreten Vorschlag zum weiteren Vorgehen.