NIS-2 - Network and Information Security Directive 2

Netz- und Informationssicherheitsrichtlinie der EU

Lesezeit: 9 Min.

Was bedeutet NIS-2?

NIS-2 ist eine EU-Richtlinie, die Cybersicherheitspflichten für Betreiber kritischer und wichtiger Einrichtungen festlegt. In Deutschland ist sie seit dem 6.12.2025 über das NIS2UmsuCG verbindliches Recht, betroffene Unternehmen müssen sich beim BSI registrieren.

NIS-2 (Richtlinie (EU) 2022/2555), im Deutschen als Netz- und Informationssicherheitsrichtlinie bezeichnet, ist die überarbeitete Fassung der ursprünglichen NIS-Richtlinie von 2016. Sie verpflichtet Betreiber kritischer Infrastrukturen und wichtiger Einrichtungen in 18 Sektoren, geeignete technische und organisatorische Maßnahmen zur Cybersicherheit zu treffen, Sicherheitsvorfälle zu melden und die Lieferkette abzusichern. Im Vergleich zur Vorgängerrichtlinie wurde der Anwendungsbereich erheblich erweitert: NIS-2 erfasst jetzt auch mittelgroße Unternehmen ab 50 Mitarbeitern oder Umsatz und Bilanzsumme über 10 Millionen Euro in relevanten Sektoren. In Deutschland trägt die Umsetzung durch das NIS2UmsuCG die deutschen Begriffe „besonders wichtige Einrichtung" und „wichtige Einrichtung" statt der wörtlichen Richtlinienübersetzung „wesentliche/wichtige Einrichtung".

Wer ist von NIS-2 betroffen?

Das deutsche BSI-Gesetz (§ 28 BSIG) unterscheidet zwischen „besonders wichtigen" und „wichtigen" Einrichtungen, nicht zu verwechseln mit der wörtlichen, aber im deutschen Recht nicht verwendeten Übersetzung „wesentliche Einrichtung". Besonders wichtige Einrichtungen sind Organisationen in den elf Sektoren der BSIG-Anlage 1 (u. a. Energie, Trinkwasser, Abwasser, Verkehr, Bankwesen, Finanzmarktinfrastruktur, Gesundheitswesen, digitale Infrastruktur, IKT-Dienstleistungsmanagement, öffentliche Verwaltung, Weltraum) mit mindestens 250 Beschäftigten oder einem Jahresumsatz über 50 Millionen und einer Bilanzsumme über 43 Millionen Euro. Wichtige Einrichtungen sind alle übrigen Organisationen in Anlage-1- oder Anlage-2-Sektoren (Anlage 2: u. a. Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe, Anbieter digitaler Dienste, Forschung) ab 50 Beschäftigten oder Umsatz und Bilanzsumme über jeweils 10 Millionen Euro. Anlage-2-Sektoren können nie „besonders wichtig" werden, unabhängig von der Größe. Für beide Kategorien gelten weitgehend dieselben Sicherheits- und Meldepflichten, die Geschäftsführung haftet in beiden Fällen persönlich; der Unterschied liegt vor allem im Aufsichtsregime.

Meldepflichten und Fristen

NIS-2 schreibt eine dreistufige Meldepflicht vor: Innerhalb von 24 Stunden nach Kenntnis eines erheblichen Vorfalls muss eine Frühwarnung an die zuständige Behörde erfolgen. Binnen 72 Stunden folgt eine detaillierte Meldung mit erster Bewertung. Nach einem Monat ist ein Abschlussbericht einzureichen. In Deutschland ist das BSI die zentrale Anlaufstelle.

Was ist ein „erheblicher Sicherheitsvorfall"?

Nicht jeder IT-Vorfall löst die Meldepflicht aus, nur ein „erheblicher Sicherheitsvorfall" im Sinne des § 32 BSIG. Das ist ein Vorfall, der entweder schwerwiegende Betriebsstörungen der Dienste oder finanzielle Verluste für die betroffene Einrichtung verursacht hat oder verursachen kann, oder der andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann. In der Praxis empfiehlt sich ein dokumentiertes Kriterium im Incident-Response-Plan, etwa anhand von Ausfalldauer, Anzahl betroffener Nutzer oder Datenkategorien, damit die Bewertung im Ernstfall nicht improvisiert werden muss. Die 24-Stunden-Frist beginnt mit Kenntniserlangung. Fehlendes Monitoring schützt nicht vor einem Verstoß, weil die Pflicht zur Erkennung selbst Teil der Sicherheitsanforderungen ist.

NIS-2 und Lieferkette

NIS-2 verpflichtet betroffene Einrichtungen, auch die Cybersicherheit ihrer Zulieferer und Dienstleister zu berücksichtigen.

Das bedeutet: Wer Produkte oder Dienstleistungen an NIS-2-pflichtige Organisationen liefert, wird indirekt über Vertragsanforderungen in die Pflicht genommen, auch wenn das eigene Unternehmen nicht direkt unter NIS-2 fällt. In der Praxis zeigt sich das an Lieferantenfragebögen, vertraglichen Sicherheitsanforderungen und Nachweispflichten, die betroffene Kunden an ihre Zulieferer weiterreichen. Für viele mittelständische Betriebe ist dieser indirekte Weg der eigentliche Anlass, ein strukturiertes Sicherheitsmanagement aufzubauen: Ein Lieferantenfragebogen lässt sich meist nur beantworten, wenn Risikoregister, Vorfallprozess und Ansprechpartner bereits dokumentiert sind, genau die Bausteine, die auch eine direkte NIS-2-Pflicht verlangen würde.

Die zehn Mindestmaßnahmen nach Art. 21 Abs. 2

Der Kern der Richtlinie steht in Artikel 21 Absatz 2 und listet zehn Bereiche auf, die betroffene Einrichtungen abdecken müssen. Konzepte für die Risikoanalyse und die Sicherheit von Informationssystemen: Hier ist ein gepflegtes Risikoregister der übliche Nachweis. Bewältigung von Sicherheitsvorfällen, also ein definierter Incident-Response-Prozess. Aufrechterhaltung des Betriebs mit Backup-Management, Wiederherstellung und Krisenmanagement. Sicherheit der Lieferkette einschließlich der Beziehungen zu direkten Anbietern. Sicherheit bei Erwerb, Entwicklung und Wartung von Systemen samt Schwachstellenmanagement und Offenlegung. Bewertung der Wirksamkeit der eigenen Maßnahmen. Grundlegende Cyberhygiene und Schulungen. Konzepte für Kryptografie und Verschlüsselung. Personalsicherheit, Zugriffskontrolle und Verwaltung von Werten. Und schließlich Mehr-Faktor-Authentifizierung sowie gesicherte Kommunikation. Diese zehn Punkte lassen sich weitgehend eins zu eins auf die Controls aus Anhang A der ISO/IEC 27001 abbilden. Ein bestehendes ISMS deckt den größten Teil der NIS-2-Anforderungen bereits ab.

Haftung der Geschäftsleitung

NIS-2 verlagert die Verantwortung ausdrücklich auf die Leitungsebene. Artikel 20 verpflichtet Leitungsorgane, die Risikomanagementmaßnahmen zu billigen, ihre Umsetzung zu überwachen und an entsprechenden Schulungen teilzunehmen. Bei Verstößen können Mitglieder der Geschäftsleitung persönlich zur Verantwortung gezogen werden; die Richtlinie sieht bis hin zu einem vorübergehenden Tätigkeitsverbot für Leitungspersonen besonders wichtiger Einrichtungen vor.

Die Bußgeldrahmen sind ebenfalls erheblich: bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes für besonders wichtige und bis zu 7 Millionen Euro oder 1,4 Prozent für wichtige Einrichtungen, jeweils der höhere Wert. Die Delegation der Aufgabe an die IT-Abteilung entbindet die Leitung nicht von der Aufsichtspflicht.

Umsetzung in Deutschland und Österreich

Die Richtlinie musste ursprünglich bis zum 17. Oktober 2024 in nationales Recht überführt werden; Deutschland hat diese Frist deutlich überschritten. Das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) ist erst am 6. Dezember 2025 in Kraft getreten, ohne Übergangsfrist, und verankert die Pflichten im BSI-Gesetz (BSIG); das BSI ist zentrale Melde-, Registrierungs- und Aufsichtsstelle. In Österreich erfolgt die Umsetzung über das Netz- und Informationssystemsicherheitsgesetz, zuständig ist das Bundesministerium für Inneres mit der Cybersicherheitsbehörde. Die inhaltlichen Anforderungen sind in beiden Ländern durch die Richtlinie vorgegeben und weitgehend deckungsgleich; Unterschiede bestehen vor allem bei Registrierungswegen, Fristen im Verwaltungsverfahren, Terminologie und Bußgeldregelungen. Wer in beiden Märkten tätig ist, kann das Sicherheitsmanagement gemeinsam aufbauen und lediglich die Melde- und Registrierungswege getrennt abbilden.

Registrierung beim BSI

Betroffene Einrichtungen müssen sich in Deutschland über das BSI-Melde- und Informationsportal (MIP) registrieren, das seit dem 6. Januar 2026 online ist. Ursprünglich lief die Registrierungsfrist bis zum 6. März 2026, drei Monate nach Inkrafttreten des NIS2UmsuCG; weil bis dahin nur ein Bruchteil der geschätzt rund 29.000 betroffenen Unternehmen registriert war, hat das BSI die Frist auf den 31. Juli 2026 verlängert. Diese Frist ist inzwischen abgelaufen. Wer sich noch nicht registriert hat, sollte das kurzfristig nachholen: Das BSI kündigt Aufsichtsmaßnahmen bis hin zu Bußgeldern gegen nicht registrierte, aber betroffene Einrichtungen an, und eine verspätete Registrierung ist in aller Regel besser als keine. Für die Registrierung werden unter anderem Kontaktdaten, eine Selbsteinschätzung als besonders wichtige oder wichtige Einrichtung, betroffene Sektoren sowie IP-Bereiche sowie Domains der eigenen Netz- und Informationssysteme benötigt.

Konzernstrukturen: Wann zählen Mutter- und Schwestergesellschaften mit?

Für die Größenschwellen zählt nicht isoliert die einzelne GmbH oder AG. Das BSIG verweist für die Berechnung von Beschäftigtenzahl, Umsatz und Bilanzsumme auf die KMU-Definition der EU-Empfehlung 2003/361/EG: Bei „verbundenen Unternehmen" (etwa wenn eine Muttergesellschaft die Mehrheit der Stimmrechte an einer Tochter hält) werden die Kennzahlen vollständig konsolidiert, bei „Partnerunternehmen" mit einer Beteiligung zwischen 25 und 50 Prozent anteilig.

In der Praxis bedeutet das: Eine für sich genommen kleine Konzerntochter mit 20 Beschäftigten kann NIS-2-pflichtig werden, wenn die Unternehmensgruppe insgesamt die Schwellen überschreitet. Wer Teil eines Konzerns ist, sollte die Betroffenheitsprüfung deshalb nicht allein auf Ebene der eigenen Rechtseinheit vornehmen.

NIS-2 und der Cyber Resilience Act

Beide Rechtsakte betreffen Cybersicherheit, adressieren aber unterschiedliche Rollen. NIS-2 richtet sich an Betreiber und Organisationen und regelt, wie sie ihre eigenen Netz- und Informationssysteme absichern und Vorfälle melden. Der Cyber Resilience Act richtet sich an Hersteller und regelt, wie Produkte mit digitalen Elementen entwickelt, abgesichert und über ihren Lebenszyklus gepflegt werden. Ein Maschinenbauer kann beides zugleich sein: als Betreiber der eigenen IT unter NIS-2 und als Hersteller vernetzter Maschinen unter dem CRA. Die Anforderungen überschneiden sich beim Schwachstellenmanagement und bei den Meldepflichten, laufen aber über getrennte Verfahren und Fristen.

Erste Schritte für betroffene Unternehmen

Betroffenheit prüfen: Sektor nach Anhang I oder II der Richtlinie bestimmen und mit den Schwellenwerten abgleichen, in der Regel ab 50 Beschäftigten oder 10 Millionen Euro Jahresumsatz.

Registrierung: Betroffene Einrichtungen melden sich bei der zuständigen nationalen Stelle an.

Bestandsaufnahme: Die zehn Bereiche aus Art. 21 Abs. 2 gegen den Ist-Zustand halten und Lücken dokumentieren.

Risikoregister aufbauen: Es ist der praktische Nachweis für den ersten und wichtigsten Punkt der Liste.

Meldeprozess festlegen: Wer erkennt einen erheblichen Vorfall, wer entscheidet über die Meldung, wer meldet innerhalb von 24 Stunden.

Leitung einbinden: Billigung der Maßnahmen und Schulungsnachweis dokumentieren.

Lieferkette einbeziehen: Kritische Dienstleister identifizieren und vertraglich sowie über eine Lieferantenbewertung steuern.

Praxis-Tool

Prüfe in 4 Fragen, ob dein Unternehmen als besonders wichtige oder wichtige Einrichtung unter NIS2 fällt

Zum Compliance-Kompass →

NIS2-Betroffenheit nach Branche

Die Einstufung als besonders wichtige oder wichtige Einrichtung hängt vom konkreten Sektor ab. Der Compliance-Kompass prüft die Betroffenheit branchenspezifisch:

Auch bekannt als

NIS2 · NIS 2 · NIS2-Richtlinie · Richtlinie (EU) 2022/2555 · Netz- und Informationssicherheitsrichtlinie · NIS2UmsuCG · NIS-2-Umsetzungsgesetz · BSIG · besonders wichtige Einrichtung · wichtige Einrichtung · Melde- und Informationsportal · MIP

Teil des Themenbereichs: Compliance & Regulierung

Quellen

Zuletzt aktualisiert: 2026-08-13

Häufige Fragen zu NIS-2

Was ist die Netz- und Informationssicherheitsrichtlinie (NIS-2)?

NIS-2 ist die Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau, im Deutschen Netz- und Informationssicherheitsrichtlinie genannt. Sie verpflichtet Betreiber kritischer und wichtiger Einrichtungen in 18 Sektoren zu Risikomanagement, Meldung von Sicherheitsvorfällen und Absicherung der Lieferkette und löst die NIS-Richtlinie von 2016 ab. In Deutschland ist sie seit dem 6. Dezember 2025 über das NIS2UmsuCG geltendes Recht, verankert im BSI-Gesetz.

Für wen gilt NIS-2?

Für Einrichtungen in den 18 Sektoren aus Anlage 1 und 2 BSIG. „Besonders wichtige Einrichtungen" (Anlage-1-Sektoren wie Energie, Wasser, Abwasser, Verkehr, Banken, Gesundheit, digitale Infrastruktur, öffentliche Verwaltung) sind es ab 250 Beschäftigten oder Umsatz über 50 Mio. und Bilanzsumme über 43 Mio. Euro. „Wichtige Einrichtungen" sind alle übrigen Organisationen in Anlage-1- oder Anlage-2-Sektoren (etwa Post, Abfallwirtschaft, Lebensmittel, Chemie, verarbeitendes Gewerbe, digitale Anbieter, Forschung) ab 50 Beschäftigten oder Umsatz und Bilanzsumme über jeweils 10 Mio. Euro. Bei Konzernstrukturen werden verbundene Unternehmen für diese Schwellen mitgezählt. Unabhängig von der Größe können auch einzelne kritische Anbieter erfasst sein.

Welche Meldefristen gelten nach NIS-2?

Die Meldung erfolgt dreistufig: eine Frühwarnung innerhalb von 24 Stunden nach Kenntnis eines erheblichen Sicherheitsvorfalls, eine detaillierte Meldung mit erster Bewertung innerhalb von 72 Stunden und ein Abschlussbericht nach spätestens einem Monat. In Deutschland ist das BSI die zuständige Stelle.

Bis wann muss ich mich beim BSI registrieren?

Über das seit 6. Januar 2026 laufende Melde- und Informationsportal (MIP). Die ursprüngliche Frist von drei Monaten nach Inkrafttreten des NIS2UmsuCG (6. März 2026) hat das BSI wegen geringer Registrierungsquote auf den 31. Juli 2026 verlängert; diese Frist ist inzwischen abgelaufen. Wer noch nicht registriert ist, sollte das umgehend nachholen.

Was passiert, wenn ich die NIS-2-Registrierungsfrist verpasst habe?

Das BSI kann Aufsichtsmaßnahmen anordnen und Bußgelder verhängen, wenn eine betroffene Einrichtung sich nicht registriert. Eine verspätete Registrierung beseitigt den Verstoß nicht rückwirkend, verringert aber das Risiko einer Beanstandung erheblich gegenüber dauerhafter Nichtregistrierung. Je länger gewartet wird, desto eher fällt das bei einer Prüfung oder nach einem Sicherheitsvorfall auf.

Was ist ein „erheblicher Sicherheitsvorfall" nach NIS-2?

Ein Vorfall, der nach § 32 BSIG entweder schwerwiegende Betriebsstörungen oder finanzielle Verluste für die Einrichtung selbst verursacht (oder verursachen kann) oder andere Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt. Nicht jede kleinere Störung ist meldepflichtig; ein dokumentiertes Bewertungskriterium im Incident-Response-Plan hilft, das im Ernstfall schnell zu entscheiden.

Haftet die Geschäftsführung persönlich für NIS-2?

Ja. Artikel 20 verpflichtet Leitungsorgane, die Risikomanagementmaßnahmen zu billigen, ihre Umsetzung zu überwachen und an Schulungen teilzunehmen. Bei Verstößen ist eine persönliche Verantwortlichkeit vorgesehen, bis hin zu einem vorübergehenden Tätigkeitsverbot für Leitungspersonen besonders wichtiger Einrichtungen. Die Delegation an die IT-Abteilung hebt die Aufsichtspflicht nicht auf.

Wie hoch sind die Bußgelder bei NIS-2-Verstößen?

Für besonders wichtige Einrichtungen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, für wichtige Einrichtungen bis zu 7 Millionen Euro oder 1,4 Prozent, jeweils der höhere Betrag. Hinzu kommen aufsichtsrechtliche Maßnahmen wie Anordnungen, Prüfungen und die Veröffentlichung von Verstößen.

Was ist der Unterschied zwischen NIS-2 und dem Cyber Resilience Act?

NIS-2 richtet sich an Betreiber und regelt die Absicherung der eigenen Netz- und Informationssysteme sowie die Meldung von Vorfällen. Der Cyber Resilience Act richtet sich an Hersteller und regelt die Sicherheit von Produkten mit digitalen Elementen über deren Lebenszyklus. Ein Unternehmen kann von beidem betroffen sein, muss die Anforderungen dann aber getrennt erfüllen.

Reicht eine ISO-27001-Zertifizierung für NIS-2 aus?

Sie deckt einen großen Teil ab, ersetzt die Prüfung aber nicht. Die zehn Mindestmaßnahmen aus Art. 21 Abs. 2 lassen sich weitgehend auf die Controls aus Anhang A der ISO/IEC 27001 abbilden. Nicht automatisch abgedeckt sind die spezifischen Melde- und Registrierungspflichten sowie die ausdrücklichen Pflichten der Leitungsorgane. Diese Punkte müssen zusätzlich umgesetzt und nachgewiesen werden.