Die NIS2-Richtlinie der EU bedeutet einen Paradigmenwechsel in der Regulierung der Cybersicherheit und betrifft erstmals zahlreiche kleine und mittlere Unternehmen (KMU) direkt. Während Cybersicherheit früher vorwiegend als Thema für Großunternehmen oder kritische Infrastrukturen galt, sind nun auch viele KMU dazu verpflichtet, ihre IT-Sicherheitsmaßnahmen deutlich zu professionalisieren. Die Gründe sind klar: Cyberangriffe nehmen zu, werden immer komplexer und können für KMU existenzbedrohend sein. Laut einer EU-Umfrage aus dem Jahr 2022 waren bereits 28 Prozent der KMU von Cyberkriminalität betroffen. NIS2 bietet jedoch auch die Chance, durch höhere Sicherheitsstandards Ausfallzeiten zu vermeiden und das Vertrauen von Kunden und Partnern zu stärken.

Vor diesem Hintergrund hat die Europäische Union im Jahr 2023 die NIS2-Richtlinie eingeführt, um den Schutz wichtiger Infrastrukturen vor IT-Störungen und Cyberangriffen zu stärken. Ihr Kernziel ist es, bestehende Sicherheitslücken zu schließen und eine einheitliche, höhere Sicherheitsgrundlage für alle Mitgliedstaaten zu schaffen, wodurch die allgemeine Cyberresilienz im öffentlichen und privaten Sektor verbessert wird.

Es wird geschätzt, dass die NIS2-Richtlinie in Deutschland etwa 30.000 Unternehmen betreffen wird. Diese Unternehmen sind verpflichtet, geeignete IT-Sicherheitsmaßnahmen umzusetzen und erhebliche Sicherheitsvorfälle unverzüglich zu melden. Die EU-Richtlinie ist am 16. Januar 2023 in Kraft getreten und ersetzt die bisherige NIS1-Richtlinie mit Wirkung zum 18. Oktober 2024. Die nationale Umsetzung in Deutschland erfolgte durch das „Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung", das am 6. Dezember 2025 in Kraft getreten ist.

Mit dem Inkrafttreten des NIS2-Umsetzungsgesetzes am 6. Dezember 2025 gelten die Anforderungen nun unmittelbar. Betroffene Unternehmen müssen zeitnah handeln: Die Registrierung beim BSI über das neue BSI-Portal ist ab dem 6. Januar 2026 möglich. Für KMU ist es von entscheidender Bedeutung, nicht nur Bußgelder zu vermeiden, sondern auch die Geschäftskontinuität und Wettbewerbsvorteile zu gewährleisten. Eine zügige Umsetzung signalisiert den Partnern und Kunden gegenüber Zuverlässigkeit und kann potenziell neue Geschäfte anziehen, insbesondere da die Lieferkettensicherheit eine NIS2-Anforderung ist.

Die NIS2-Richtlinie, deren Abkürzung für "Network and Information Security" (Netz- und Informationssicherheit) steht, stellt die überarbeitete und erweiterte Version der ursprünglichen NIS-Richtlinie (NIS1) dar. Letztere ist offiziell als "Richtlinie (EU) 2022/2555" bezeichnet.

Das Ziel der NIS2-Richtlinie besteht darin, ein einheitlich hohes Schutzniveau für Netz- und Informationssysteme in 18 kritischen Sektoren zu etablieren. Die Richtlinie verpflichtet die Mitgliedstaaten, nationale Cybersicherheitsstrategien zu etablieren und die Zusammenarbeit bei der Reaktion auf Cybervorfälle zu intensivieren. Im Fokus stehen dabei der Schutz vor Cyberbedrohungen, die Sicherstellung der Geschäftskontinuität und die Minimierung von Risiken entlang der gesamten Lieferkette durch verpflichtende Sicherheitsanforderungen, verbindliche Risikomanagementmaßnahmen und eine schnelle Reaktion auf Sicherheitsvorfälle.

NIS2 stellt einen zentralen Bestandteil der umfassenden Cybersicherheitsstrategie der EU dar. Sie legt einen Mindeststandard fest, der es den einzelnen Mitgliedstaaten ermöglicht, strengere Vorschriften zu erlassen. Die Richtlinie verpflichtet die Mitgliedstaaten, nationale Cybersicherheitsstrategien zu verabschieden, zuständige nationale Behörden (wie das BSI in Deutschland) zu benennen, Behörden für das Cyberkrisenmanagement (CyCLONe) und Computer-Notfallteams (CSIRTs) einzurichten.

Die NIS2-Richtlinie bringt deutlich verschärfte Sanktionen für Unternehmen und Einrichtungen, die die Anforderungen an die Cybersicherheit nicht erfüllen. Die Höhe der Bußgelder richtet sich dabei nach der Einstufung der betroffenen Organisation als „wesentliche Einrichtung" oder „wichtige Einrichtung".

Die Sanktionen werden gemäß § 65 BSIG (Entwurf) verhängt und orientieren sich an der Schwere des Verstoßes sowie der Größe und Bedeutung der Einrichtung.

Anwendungsbeispiele für Verstöße

• Nichtumsetzung oder unvollständige Umsetzung von Cybersicherheitsmaßnahmen
• Nicht- oder verspätete Meldung von Sicherheitsvorfällen
• Verletzung von Melde- und Dokumentationspflichten
• Missachtung von Anweisungen der Aufsichtsbehörden

Weitere Sanktionsmöglichkeiten

Bemessung und Durchsetzung

Die NIS2-Richtlinie legt eine Reihe konkreter Pflichten fest, die betroffene KMU umsetzen müssen, um ihre Cybersicherheit zu stärken und die Resilienz gegenüber Cyberbedrohungen zu erhöhen.

Die Umsetzung der NIS2-Richtlinie stellt KMU vor spezifische Herausforderungen, bietet aber gleichzeitig erhebliche Chancen.

Für eine Vielzahl von KMU kann es von Vorteil sein, auf externe Expertise, wie SecuraTrust, zurückzugreifen. Die Umsetzung wird von uns in strukturierter Form begleitet, es werden Schulungen durchgeführt und bei der Einführung eines ISMS wird Hilfestellung geleistet. Diese Option trägt zur Reduzierung der internen Komplexität bei und ermöglicht eine wirtschaftlich skalierbare Compliance.