Welche Unternehmen sind von NIS2 betroffen?

NIS2 gilt für Unternehmen aus „wesentlichen“ und „wichtigen“ Sektoren, u. a. Energie, Verkehr, Banken, Gesundheit, Trinkwasser, digitale Infrastruktur, öffentliche Verwaltung, Raumfahrt, Post/Kurier, Abfallwirtschaft, Chemie, Lebensmittel, Herstellung, digitale Anbieter und Forschung. In der Regel betroffen: Organisationen ab 50 Mitarbeitenden oder 10 Mio. € Umsatz. Auch IT-Dienstleister und Lieferanten kritischer Einrichtungen können unter NIS2 fallen.

Welche Fristen gelten für die Umsetzung?

Die EU-Umsetzung in nationales Recht war bis 17. Oktober 2024 vorgegeben. In Deutschland wird das NIS2-Umsetzungsgesetz voraussichtlich im Frühjahr 2025 in Kraft treten. Unternehmen sollten sich dennoch jetzt vorbereiten, da nach Inkrafttreten schnelle Kontrollen und kurze Übergangsfristen möglich sind.

Was ist der Unterschied zwischen „wesentlichen“ und „wichtigen“ Einrichtungen?

„Wesentliche Einrichtungen“: große Unternehmen (meist ab 250 Mitarbeitenden oder 50 Mio. € Umsatz) in kritischen Sektoren. „Wichtige Einrichtungen“: mittlere Unternehmen (ab 50 Mitarbeitenden oder 10 Mio. € Umsatz) in denselben Sektoren. Die Einstufung beeinflusst Sanktionshöhe und Aufsichtsintensität.

Wie kann ich feststellen, ob mein Unternehmen betroffen ist?

Prüfen Sie Branche, Unternehmensgröße und Kritikalität Ihrer Leistungen. Viele mittlere und große Unternehmen in den genannten Sektoren sind betroffen. Im Zweifel empfiehlt sich eine Gap-/Readiness-Analyse oder externe Beratung, um Pflichten und Risiken belastbar zu klären.

Welche Sanktionen drohen bei Nichteinhaltung?

Für wesentliche Einrichtungen: bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes (je nachdem, was höher ist). Für wichtige Einrichtungen: bis zu 7 Mio. € oder 1,4 %. Zusätzlich sind persönliche Sanktionen gegen die Geschäftsleitung möglich (z. B. Managementausschluss).

Was sind die wichtigsten neuen Anforderungen?

Verpflichtendes Risikomanagement, erweiterte Meldepflichten (Vorfallmeldung binnen 24 h), umfassende Dokumentations- und Nachweispflichten, regelmäßige Audits, stärkere Einbindung/Haftung der Geschäftsführung, Sicherheit der Lieferkette, Schulungen sowie technische Mindestmaßnahmen (z. B. Verschlüsselung).

Wie verhält sich NIS2 zu anderen Regulierungen wie DSGVO?

NIS2 ergänzt die DSGVO: DSGVO schützt personenbezogene Daten, NIS2 adressiert die Cybersicherheit von Netz- und Informationssystemen. Es gibt Überschneidungen bei Risikomanagement, Sicherheitsmaßnahmen und Meldepflichten. Ein integrierter Ansatz verhindert Doppelarbeit.

Gibt es branchenspezifische Besonderheiten bei der Umsetzung?

Ja. In Sektoren wie Energie, Gesundheit, Transport oder Finanzwesen bestehen zusätzliche Vorgaben bzw. Schnittstellen (z. B. KRITIS, EnWG, DORA). Unternehmen sollten diese branchenspezifischen Anforderungen zusätzlich zur NIS2-Richtlinie prüfen.

Was sind die wichtigsten Anforderungen an das Risikomanagement?

Regelmäßige Risikoanalysen über relevante Systeme, Prozesse und Lieferanten; angemessene technische und organisatorische Maßnahmen; kontinuierliche Wirksamkeitsprüfung; explizite Einbeziehung der Lieferkette.

Welche Nachweis- und Dokumentationspflichten bestehen?

Umsetzung aller Maßnahmen dokumentieren und auf Anfrage der Aufsicht nachweisen. Für Betreiber kritischer Anlagen sind regelmäßige Prüfungen und Nachweise vorgesehen; für andere Einrichtungen Stichproben und umfassende Dokumentationspflichten.

Wie funktionieren die neuen Meldepflichten bei Sicherheitsvorfällen?

Erstmeldung binnen 24 h an das BSI, detaillierte Meldung binnen 72 h, Abschlussbericht binnen eines Monats. Die Meldung umfasst Art, Umfang, Auswirkungen und getroffene Gegenmaßnahmen.

Welche Incident-Response-Prozesse sind erforderlich?

Definierte Pläne mit Rollen, Verantwortlichkeiten und Eskalationswegen; Phasen Erkennung–Bewertung–Eindämmung–Beseitigung–Wiederherstellung; regelmäßige Tests/Übungen; vollständige Dokumentation.

Welche Pflichten und Haftungsrisiken hat die Geschäftsleitung?

Die Geschäftsleitung ist für Umsetzung und Überwachung verantwortlich. Bei grober Pflichtverletzung drohen persönliche Sanktionen (z. B. Bußgelder, Leitungsverbote). Aktive Einbindung und regelmäßige Schulungen sind daher essenziell.

Welche Rolle spielen Compliance-Beauftragte bei der NIS2-Umsetzung?

Sie koordinieren die Implementierung, führen Gap-Analysen durch, planen Maßnahmen, überwachen die Einhaltung, verantworten Dokumentation und agieren als Schnittstelle zu Behörden. Zudem harmonisieren sie bestehende Compliance-Strukturen (z. B. DSGVO) mit NIS2-Anforderungen.

Wie sind externe Dienstleister in die NIS2-Compliance einzubeziehen?

Vertragliche Verpflichtung zu NIS2-konformen Maßnahmen; Due-Diligence-Prüfungen; kontinuierliches Monitoring; Notfallpläne für kritische Lieferanten. Lieferkettensicherheit ist ein zentrales Element.

NIS2-Selfcheck: Betroffenheit & Compliance

Fortschritt Schritt 1 von 6

1. In welcher Branche ist Ihr Unternehmen hauptsächlich tätig?

Wählen Sie die Branche, die am besten zu Ihrem Unternehmen passt. Die NIS2-Richtlinie unterscheidet zwischen 18 kritischen Sektoren in zwei Kategorien.

Ihre NIS2-Bewertung ist abgeschlossen

Basierend auf dem BSI-Entscheidungsbaum ergibt sich folgende Einstufung:

Detaillierte Auswertung

Prioritäre Handlungsempfehlungen

Umsetzungsschritte

NIS2-Compliance Beratung

Über die NIS2-Richtlinie

Die NIS2-Richtlinie (Richtlinie (EU) 2022/2555) stärkt die Cybersicherheit in der Europäischen Union. Sie verpflichtet betroffene Unternehmen und Organisationen zu einem systematischen Management von Cyberrisiken, zur Meldung erheblicher Sicherheitsvorfälle und zu klaren Verantwortlichkeiten auf Leitungsebene.

In Deutschland wurde NIS2 durch das NIS2-Umsetzungsgesetz umgesetzt, das am 6. Dezember 2025 in Kraft trat. Damit unterliegen deutlich mehr Unternehmen als bisher der Aufsicht durch das Bundesamt für Sicherheit in der Informationstechnik (BSI). Betroffene „besonders wichtige“ und „wichtige“ Einrichtungen müssen angemessene technische, organisatorische und operative Sicherheitsmaßnahmen nachweisen, sich gegebenenfalls beim BSI registrieren und Meldeprozesse für erhebliche Sicherheitsvorfälle etablieren.

Ob ein Unternehmen betroffen ist, hängt insbesondere von Branche, Unternehmensgröße und konkreter Tätigkeit ab. NIS2 macht Cybersicherheit damit zur strategischen Managementaufgabe – nicht nur zu einer Aufgabe der IT.

Wichtige Fristen

2025: Inkrafttreten des deutschen NIS2-Umsetzungsgesetzes (geplant)
Innerhalb von 3 Monaten: Registrierungspflicht nach Inkrafttreten
Keine Übergangsfristen: Maßnahmen müssen sofort umgesetzt werden

Kernelemente der Richtlinie

Umfassendes Risikomanagement
Meldepflichten für Sicherheitsvorfälle (24h/72h/30 Tage)
Verantwortung der Geschäftsführung

Mehr über NIS2 erfahren

Technisch notwendig

Diese Cookies sind für die Grundfunktionen der Website erforderlich und können nicht deaktiviert werden.

Rechtliche Grundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse)
Zur Gewährleistung der technischen Funktionalität und Sicherheit der Website

Optionale Features

Diese Features erweitern die Funktionalität der Website und erfordern Ihre ausdrückliche Einwilligung.

Rechtliche Grundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung)
Nur mit Ihrer freiwilligen und widerrufbaren Einwilligung

NIS2-Richtlinie - Ist mein Unternehmen betroffen?

NIS2-Selfcheck: Ist Ihr Unternehmen betroffen?

1. In welcher Branche ist Ihr Unternehmen hauptsächlich tätig?

2. Wie viele Mitarbeiter beschäftigt Ihr Unternehmen?

3. Wie hoch ist Ihr Jahresumsatz?

4. Wie hoch ist Ihre Jahresbilanzsumme?

5. Führt Ihr Unternehmen eine der folgenden speziellen Tätigkeiten aus?

Ihre NIS2-Bewertung ist abgeschlossen

Besonders wichtige Einrichtung (bwE)

KRITIS-Betreiber - Zusätzliche Pflichten

Wichtige Einrichtung (wE)

Nicht betroffen

Detaillierte Auswertung

Prioritäre Handlungsempfehlungen

Umsetzungsschritte

Über die NIS2-Richtlinie

Wichtige Fristen

Kernelemente der Richtlinie

NIS2-Richtlinie - Ist mein Unternehmen betroffen?

NIS2-Selfcheck: Ist Ihr Unternehmen betroffen?

1. In welcher Branche ist Ihr Unternehmen hauptsächlich tätig?

2. Wie viele Mitarbeiter beschäftigt Ihr Unternehmen?

3. Wie hoch ist Ihr Jahresumsatz?

4. Wie hoch ist Ihre Jahresbilanzsumme?

5. Führt Ihr Unternehmen eine der folgenden speziellen Tätigkeiten aus?

Ihre NIS2-Bewertung ist abgeschlossen

Besonders wichtige Einrichtung (bwE)

KRITIS-Betreiber - Zusätzliche Pflichten

Wichtige Einrichtung (wE)

Nicht betroffen

Detaillierte Auswertung

Prioritäre Handlungsempfehlungen

Umsetzungsschritte

Über die NIS2-Richtlinie

Wichtige Fristen

Kernelemente der Richtlinie

Technisch notwendig

Verwendete Cookies (4)

PHP Session Cookie (PHPSESSID)

CSRF-Schutz-Token

SecuraTrust Cookie Consent

Stripe Checkout (Weiterleitung)

Optionale Features

LocalStorage-Features (Browser-lokale Speicherung)

DSGVO-Checklisten Fortschritt (LocalStorage)