NIS-2 einfach erklärt

Rechtsgrundlage: Richtlinie und deutsches Gesetz

Die NIS-2-Richtlinie ist die Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union. Sie wurde am 27. Dezember 2022 im Amtsblatt veröffentlicht und löste die erste NIS-Richtlinie aus dem Jahr 2016 ab. Als Richtlinie gilt sie nicht unmittelbar, sondern muss in nationales Recht umgesetzt werden.

Deutschland hat das mit dem NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz getan. Bundestag und Bundesrat haben es im November 2025 beschlossen, verkündet wurde es am 5. Dezember 2025, in Kraft ist es seit dem 6. Dezember 2025. Kern ist eine Neufassung des BSI-Gesetzes (BSIG). Die Pflichten gelten nach Angaben des BSI unmittelbar, eine allgemeine Übergangsfrist gibt es nicht.

Wer unter NIS-2 fällt

Das BSIG unterscheidet zwei Kategorien:

• Besonders wichtige Einrichtungen (in der Richtlinie «wesentliche Einrichtungen»): unter anderem Betreiber kritischer Anlagen, bestimmte Anbieter digitaler Infrastruktur sowie große Unternehmen aus den Sektoren der Anlage 1 BSIG (ab 250 Beschäftigten oder mit mehr als 50 Mio. Euro Umsatz und mehr als 43 Mio. Euro Bilanzsumme).
• Wichtige Einrichtungen: mittlere Unternehmen aus den Sektoren der Anlagen 1 und 2 (ab 50 Beschäftigten oder mit jeweils mehr als 10 Mio. Euro Umsatz und Bilanzsumme) sowie einige größenunabhängige Fälle.

Anlage 1 umfasst Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, digitale Infrastruktur (dazu zählen auch Managed Service Provider) und Weltraum. Anlage 2 nennt Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe (zum Beispiel Maschinenbau, Elektro, Medizinprodukte, Fahrzeugbau), Anbieter digitaler Dienste und Forschung. Die Details der Zuordnung behandelt der Artikel zur Betroffenheit.

Die vier zentralen NIS-2-Pflichten

Registrierung

Betroffene Einrichtungen müssen sich nach § 33 BSIG spätestens drei Monate nach Eintritt der Betroffenheit beim BSI registrieren. Das läuft zweistufig über «Mein Unternehmenskonto» (ELSTER-Organisationszertifikat) und das BSI-Portal.

Risikomanagementmaßnahmen

§ 30 BSIG verlangt geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen. Absatz 2 nennt zehn Mindestbereiche, von Risikoanalyse und Vorfallbewältigung über Backup und Krisenmanagement bis zu Lieferkette, Kryptografie und Multi-Faktor-Authentifizierung. Die Umsetzung ist zu dokumentieren.

Meldepflichten

Erhebliche Sicherheitsvorfälle sind nach § 32 BSIG in Stufen zu melden: frühe Erstmeldung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussmeldung spätestens einen Monat danach.

Verantwortung der Geschäftsleitung

Nach § 38 BSIG muss die Geschäftsleitung die Maßnahmen umsetzen und überwachen, haftet bei schuldhaften Pflichtverletzungen nach dem jeweiligen Gesellschaftsrecht und muss regelmäßig an Schulungen teilnehmen.

Aufsicht und Bußgelder

Zuständige Behörde ist das BSI. Es kann Informationen anfordern, Prüfungen anordnen und Anordnungen erlassen. Nachweise müssen besonders wichtige und wichtige Einrichtungen grundsätzlich nur auf Anforderung vorlegen; Betreiber kritischer Anlagen weisen regelmäßig nach (§ 39 BSIG). Für schwere Verstöße sieht § 65 BSIG Bußgelder von bis zu 10 Mio. Euro (besonders wichtige Einrichtungen) bzw. 7 Mio. Euro (wichtige Einrichtungen) vor; bei sehr großen Unternehmen kann sich der Rahmen am weltweiten Umsatz orientieren (2 % bzw. 1,4 %).

NIS-2 und bestehende Standards

NIS-2 schreibt keinen bestimmten Standard vor. Wer bereits ein ISMS nach ISO 27001 oder nach IT-Grundschutz betreibt, deckt nach Einschätzung des BSI einen großen Teil der Maßnahmen ab, erfüllt aber nicht automatisch alle Pflichten. Registrierung, Meldefristen, Geschäftsleitungspflichten und der Geltungsbereich für die gesamte Einrichtung müssen gesondert geprüft werden.

Einordnung für kleinere Unternehmen

Kleinstunternehmen und kleine Unternehmen sind in den meisten Sektoren nicht direkt erfasst, es sei denn, sie fallen unter eine größenunabhängige Regel (zum Beispiel bestimmte Anbieter digitaler Infrastruktur). Indirekt wirkt NIS-2 über die Lieferkette: Betroffene Kunden müssen nach § 30 Abs. 2 Nr. 4 BSIG die Sicherheit ihrer Dienstleister und Zulieferer berücksichtigen und verlangen deshalb häufig Nachweise, Vertragsklauseln oder Fragebögen. Eine solide Basis-Absicherung nach IT-Grundschutz oder WiBA ist daher auch für nicht betroffene Betriebe eine gute Vorbereitung.

Typische Missverständnisse

• «Wir sind zu klein.» Maßgeblich ist nicht die gefühlte Größe, sondern die Zählung nach EU-Empfehlung 2003/361/EG über zwei Geschäftsjahre. Ein Betrieb mit 60 Vollzeitstellen in einem erfassten Sektor ist in der Regel betroffen.
• «Wir sind keine kritische Infrastruktur.» KRITIS ist nur ein kleiner Teil des Anwendungsbereichs. Die meisten betroffenen Unternehmen sind wichtige Einrichtungen ohne kritische Anlagen.
• «Das BSI meldet sich schon.» Das BSI stellt keine Betroffenheit fest und verschickt keine Aufforderungen; die Prüfung und die Registrierung liegen beim Unternehmen.
• «Eine ISO-Zertifizierung reicht.» Sie ist eine gute Grundlage, ersetzt aber weder Registrierung noch Meldeprozesse oder die Schulung der Geschäftsleitung.

Ein realistischer Fahrplan

1. Betroffenheit prüfen und dokumentieren.
2. Registrierung im BSI-Portal vornehmen und eine erreichbare Kontaktstelle festlegen.
3. Verantwortliche benennen; das BSI empfiehlt in seiner Checkliste mindestens zwei Personen mit koordinierender Rolle.
4. Meldeprozess für erhebliche Sicherheitsvorfälle einrichten, damit die 24-Stunden-Frist erreichbar ist.
5. Ist-Stand gegen die zehn Bereiche des § 30 BSIG abgleichen und einen priorisierten Maßnahmenplan beschließen.
6. Geschäftsleitung schulen und die Schulung dokumentieren.
7. Umsetzung regelmäßig überprüfen und Nachweise aktuell halten.