Der Hintergrund ist nüchtern: Ransomware-Angriffe, Lieferketten-Kompromittierungen und Ausfälle digitaler Dienste haben in den letzten Jahren gezeigt, dass die Sicherheit einzelner Unternehmen längst eine Frage der gesamtgesellschaftlichen Resilienz ist. Wenn ein Logistiker, ein Krankenhaus-Dienstleister oder ein Rechenzentrumsbetreiber ausfällt, hängen daran ganze Versorgungsketten. NIS2 zieht daraus die Konsequenz: Wer eine wichtige Rolle in diesen Ketten spielt, muss ein Mindestmaß an Cybersicherheit nachweisbar betreiben – und im Ernstfall schnell melden.
Drei Grundgedanken prägen die Richtlinie und ziehen sich durch alle folgenden Kapitel:
Die ursprüngliche NIS-Richtlinie von 2016 war ein erster Schritt, blieb aber lückenhaft. Sie überließ den Mitgliedstaaten großen Spielraum bei der Frage, welche Betreiber als „wesentlich” gelten – mit dem Ergebnis, dass vergleichbare Unternehmen in verschiedenen EU-Ländern höchst unterschiedlich reguliert wurden. NIS2 reagiert darauf mit einem im Kern objektiveren Mechanismus: Sektoren und Größenschwellen entscheiden weitgehend automatisch über die Betroffenheit, statt einer behördlichen Einzelbenennung. Das schafft mehr Rechtsklarheit – und erfasst zugleich deutlich mehr Organisationen.
Hinzu kommen schärfere Vorgaben zur Aufsicht, harmonisierte Meldefristen, ausdrückliche Anforderungen an die Lieferkette und – politisch besonders bedeutsam – die ausdrückliche Verantwortung der Leitungsorgane. NIS2 ist damit kein bloßes Update, sondern ein qualitativer Sprung in der Regulierungstiefe.
NIS2 ist eine Richtlinie, kein unmittelbar geltendes Gesetz. Eine EU-Richtlinie muss von jedem Mitgliedstaat in nationales Recht überführt werden – in Deutschland, Österreich und der Schweiz mit jeweils eigenen Gesetzen und teils eigenen Begriffen, Fristen und Behörden. Für die konkrete Betroffenheit Ihres Unternehmens ist daher immer das jeweilige nationale Umsetzungsrecht maßgeblich, nicht die Richtlinie allein.
NIS2 listet im Anhang Sektoren auf, die als „Sektoren mit hoher Kritikalität” und „sonstige kritische Sektoren” gruppiert sind. Zu den hochkritischen zählen unter anderem Energie, Verkehr, Bankwesen und Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, IKT-Diensteverwaltung im B2B sowie öffentliche Verwaltung und Raumfahrt. Die sonstigen kritischen Sektoren umfassen etwa Post- und Kurierdienste, Abfallwirtschaft, die Herstellung und den Handel mit chemischen Stoffen, die Lebensmittelproduktion, das verarbeitende Gewerbe in bestimmten Bereichen, digitale Dienste wie Online-Marktplätze und Suchmaschinen sowie Forschung.
Für die Betroffenheit gilt – stark vereinfacht – eine Schwellenwert-Logik, die sich an der EU-Definition für mittlere Unternehmen orientiert: Organisationen ab etwa 50 Beschäftigten oder ab rund 10 Mio. EUR Jahresumsatz und Bilanzsumme in einem der genannten Sektoren fallen regelmäßig in den Anwendungsbereich. Größere Einrichtungen werden tendenziell als „wesentlich”, mittlere als „wichtig” eingestuft. Diese Schwellen sind jedoch keine starre Universalregel.
Unabhängig von der Größe gelten bestimmte Einrichtungen stets als erfasst – etwa bestimmte Anbieter öffentlicher elektronischer Kommunikationsnetze, Vertrauensdiensteanbieter, Top-Level-Domain-Registries oder Teile der öffentlichen Verwaltung. Auch wenn eine Organisation der einzige Anbieter eines kritischen Dienstes in einem Mitgliedstaat ist, kann sie unabhängig von Schwellenwerten betroffen sein. Hier zeigt sich, warum die pauschale Größenbetrachtung allein nicht ausreicht.
NIS2 nennt in Artikel 21 einen Katalog technischer, operativer und organisatorischer Maßnahmen. Wer ihn überfliegt, erkennt schnell: Es handelt sich nicht um exotische Spezialanforderungen, sondern um die Grundpfeiler eines soliden Informationssicherheits-Managements. Die folgende Übersicht fasst die Kernfelder zusammen:
Die Lieferkette verdient besondere Aufmerksamkeit, weil viele schwerwiegende Vorfälle der letzten Jahre nicht das betroffene Unternehmen selbst, sondern einen seiner Dienstleister oder Software-Lieferanten zum Ausgangspunkt hatten. NIS2 verlangt deshalb, dass Betroffene die Sicherheit ihrer Lieferanten in ihre eigene Risikobewertung einbeziehen. Praktisch bedeutet das: Sie müssen wissen, welche externen Dienstleister kritische Funktionen für Sie übernehmen, deren Sicherheitsniveau bewerten und entsprechende Anforderungen vertraglich verankern – etwa Mindeststandards, Auditrechte und Meldepflichten bei Vorfällen.
Für viele Mittelständler ist das ein Kulturwandel: Cybersicherheit wird zur Frage, die in jeder Lieferanten- und Cloud-Vertragsverhandlung mitgedacht werden muss. Gleichzeitig erzeugt NIS2 einen Kaskaden-Effekt – auch Unternehmen, die selbst nicht direkt betroffen sind, werden von betroffenen Auftraggebern zunehmend gefragt, ob sie die nötigen Sicherheitsmaßnahmen erfüllen. Cybersicherheit wird so faktisch zur Marktanforderung weit über den engen Kreis der Verpflichteten hinaus.
Die Richtlinie verlangt ausdrücklich Verhältnismäßigkeit. Ein mittelgroßer Lebensmittelproduzent muss nicht dieselbe Tiefe an Maßnahmen umsetzen wie ein systemkritischer Energieversorger. Maßgeblich sind das tatsächliche Risiko, der Stand der Technik und die Kosten der Umsetzung im Verhältnis zum Schutzbedarf. Das eröffnet Spielraum für pragmatische Lösungen – entbindet aber niemanden davon, die Mindestfelder des Katalogs grundsätzlich abzudecken und die getroffenen Entscheidungen nachvollziehbar zu dokumentieren.
Meldepflichtig sind nicht alle Sicherheitsereignisse, sondern „erhebliche” Vorfälle. Erheblich ist ein Vorfall vereinfacht dann, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste verursachen kann oder andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigen kann. Die genaue Abgrenzung wird durch nationale Regelungen und ergänzende EU-Durchführungsrechtsakte für bestimmte Sektoren konkretisiert. Für die Praxis heißt das: Unternehmen brauchen vorab definierte Schwellen und Kriterien, ab wann ein Vorfall als meldepflichtig eingestuft wird – sonst verstreichen die kurzen Fristen in der hektischen Frühphase eines Angriffs ungenutzt.
Die 24-Stunden-Frühwarnung klingt harmlos, ist aber organisatorisch anspruchsvoll. In den ersten Stunden eines Angriffs herrscht oft Unklarheit: Was genau ist betroffen, wie weit reicht der Schaden, ist es überhaupt ein Sicherheitsvorfall? Genau in dieser Phase verlangt NIS2 eine erste Meldung. Das gelingt nur, wenn klar definiert ist, wer den Vorfall bewertet, wer die Meldung verfasst und freigibt und über welchen Kanal sie an die Behörde geht. Unternehmen, die diese Rollen und Wege erst im Ernstfall klären, scheitern an der Frist. Ein eingeübter, dokumentierter Meldeprozess ist deshalb ebenso wichtig wie die technische Sicherheit selbst.
Die Leitungsorgane – also Geschäftsführung und Vorstand – müssen die Risikomanagement-Maßnahmen billigen, ihre Umsetzung überwachen und können für Verstöße verantwortlich gemacht werden. Zudem sind sie verpflichtet, an Schulungen teilzunehmen, um Cybersicherheitsrisiken bewerten zu können. Das ist ein bewusster Bruch mit der verbreiteten Praxis, Cybersicherheit vollständig zu delegieren. Die Verantwortung lässt sich nach NIS2 nicht mehr „nach unten wegdrücken”: Wer ein Unternehmen leitet, muss verstehen, welchen Cyberrisiken es ausgesetzt ist, und nachweisbar dafür sorgen, dass angemessene Maßnahmen getroffen werden.
In der nationalen Umsetzung können daraus persönliche Haftungs- und Pflichtenregelungen für die Leitung folgen. Wie weit diese im Einzelnen reichen – etwa hinsichtlich persönlicher Haftung – ist eine Frage des jeweiligen nationalen Rechts und sollte fachjuristisch geklärt werden. Klar ist die Stoßrichtung: Die Leitungsebene kann sich nicht mehr auf Unkenntnis berufen.
Die Richtlinie sieht abschreckende Bußgelder vor, gestaffelt nach Kategorie der Einrichtung. Die folgende Übersicht zeigt die Obergrenzen, wie sie die Richtlinie als Rahmen vorgibt; die konkrete Ausgestaltung und Höhe regelt das nationale Recht:
Die finanziellen Sanktionen sind nur ein Teil des Bildes. Aufsichtsbehörden können bei wesentlichen Einrichtungen weitergehende Maßnahmen anordnen – von verbindlichen Anweisungen über die Durchführung von Audits bis hin, in schweren Fällen, zur vorübergehenden Aussetzung von Zertifizierungen oder Genehmigungen und sogar zu Tätigkeitsverboten für verantwortliche Personen in Leitungsfunktion. Diese Eingriffstiefe macht deutlich, dass NIS2-Verstöße nicht als Kavaliersdelikt behandelt werden. Hinzu kommen die häufig unterschätzten indirekten Folgen: Reputationsschäden, Vertrauensverlust bei Kunden und Geschäftspartnern sowie der Wegfall von Aufträgen, wenn Auftraggeber NIS2-Konformität voraussetzen.
In Deutschland erfolgt die Umsetzung über ein eigenes Umsetzungsgesetz, das verbreitet als „NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz” bezeichnet wird und das bestehende BSI-Gesetz erheblich erweitert. Zentrale Aufsichts- und Meldebehörde ist das Bundesamt für Sicherheit in der Informationstechnik (BSI). Das Gesetz übernimmt die Logik der Richtlinie – wesentliche und wichtige Einrichtungen, Risikomanagement-Pflichten, gestufte Meldepflichten, Leitungsverantwortung und Bußgelder – und konkretisiert sie für den deutschen Kontext. Der Gesetzgebungsprozess hat sich gegenüber der ursprünglichen EU-Frist verzögert; Unternehmen sollten den jeweils aktuellen Stand des Gesetzgebungs- und Inkrafttretensverfahrens prüfen und sich nicht auf einen bestimmten Stichtag verlassen, ohne ihn fachkundig verifizieren zu lassen.
Für die Praxis bedeutsam ist, dass viele zuvor nicht regulierte Unternehmen erstmals unter staatliche Cybersicherheits-Aufsicht fallen und sich – je nach nationaler Ausgestaltung – bei der Behörde registrieren müssen. Ob eine Registrierungspflicht im konkreten Fall greift und welche Übergangsfristen gelten, ist anhand des geltenden Gesetzes und idealerweise mit fachjuristischer Begleitung zu klären.
Österreich setzt NIS2 als EU-Mitgliedstaat ebenfalls in nationales Recht um, knüpfend an die Strukturen des bisherigen Netz- und Informationssystemsicherheitsrechts. Auch hier gilt: Maßgeblich sind die konkreten nationalen Bestimmungen, zuständigen Behörden und Fristen, die sich von der deutschen Umsetzung unterscheiden können. Unternehmen mit österreichischen Standorten oder Tätigkeiten sollten die österreichische Rechtslage gesondert prüfen.
Die Schweiz ist als Nicht-EU-Mitglied nicht unmittelbar an NIS2 gebunden. Sie verfolgt jedoch eine eigene Linie zur Stärkung der Cybersicherheit, unter anderem mit einer Meldepflicht für Cybervorfälle bei Betreibern kritischer Infrastrukturen und der Rolle des Bundesamts für Cybersicherheit (BACS). Für Schweizer Unternehmen ist NIS2 daher vor allem mittelbar relevant: Wer als Lieferant oder Dienstleister für EU-Auftraggeber tätig ist, wird über die Lieferketten-Anforderungen faktisch mit NIS2-Erwartungen konfrontiert, auch ohne direkt unter die Richtlinie zu fallen.
Unternehmen, die in mehreren EU-Mitgliedstaaten tätig sind, sehen sich der Frage gegenüber, welcher nationalen Aufsicht sie unterliegen. NIS2 enthält dazu Zuständigkeitsregeln, etwa eine Anknüpfung an die Hauptniederlassung für bestimmte Diensteanbieter. Für DACH-Konzerne mit Gesellschaften in mehreren Ländern ist das eine nicht triviale Frage, die mit Blick auf die jeweiligen nationalen Gesetze und – erneut – mit fachjuristischer Unterstützung beantwortet werden sollte.
ISO/IEC 27001 ist der international maßgebliche Standard für Informationssicherheits-Managementsysteme. Sein risikobasierter Ansatz, die Maßnahmenziele im Anhang A und der Plan-Do-Check-Act-Zyklus passen ausgesprochen gut zu den NIS2-Anforderungen. Risikoanalyse, Incident-Management, Business Continuity, Lieferantensicherheit, Zugriffskontrolle und Schulung – all das sind klassische ISO-27001-Themen. Für viele Organisationen ist ein an ISO 27001 orientiertes ISMS daher der naheliegende Weg, die NIS2-Pflichten strukturiert und nachweisbar umzusetzen. Die Zertifizierung schafft zusätzlich einen belastbaren Nachweis gegenüber Auftraggebern und potenziell gegenüber Aufsichtsbehörden – ersetzt aber, wie betont, keine rechtliche Konformitätsprüfung.
Der BSI IT-Grundschutz ist eine bewährte, im deutschsprachigen Raum verbreitete Methodik, die mit ihren Bausteinen und Standards (etwa der BSI-Standard-200-Reihe) ebenfalls zu einem ISMS führen kann – kompatibel zu ISO 27001, aber detaillierter und stärker auf konkrete Maßnahmen heruntergebrochen. Für Organisationen, die ohnehin im Wirkungskreis des BSI agieren oder eine besonders konkrete Maßnahmen-Orientierung schätzen, ist IT-Grundschutz eine sinnvolle Grundlage für die NIS2-Umsetzung. Da das BSI in Deutschland zugleich Aufsichts- und Meldebehörde ist, besteht hier zusätzlich eine inhaltliche Nähe zwischen Methodik und Aufsicht.
Trotz der großen Überschneidung gibt es NIS2-spezifische Punkte, die eine reine Zertifizierung nicht automatisch abdeckt. Dazu zählen vor allem die gesetzlichen Meldepflichten mit ihren konkreten Fristen, die formale Registrierung bei der zuständigen Behörde, die ausdrückliche Leitungsverantwortung samt Schulungspflicht sowie die nationalen Konkretisierungen. Ein ISMS liefert das technische und organisatorische Fundament; die rechtlichen Pflichten obendrauf müssen separat sichergestellt werden. Die richtige Lesart lautet daher: ISO 27001 oder IT-Grundschutz sind exzellente Beschleuniger für NIS2 – aber sie sind Mittel zum Zweck, nicht der Nachweis der Compliance selbst.
Der mit Abstand häufigste und folgenreichste Fehler ist die pauschale Annahme, nicht betroffen zu sein. NIS2 hat den Kreis der Verpflichteten so deutlich ausgeweitet, dass viele klassische Mittelständler – Maschinenbauer, Lebensmittelhersteller, Logistiker, IT-Dienstleister, Chemiebetriebe – nun in den Anwendungsbereich fallen können. Wer die Prüfung scheut, riskiert nicht nur Bußgelder, sondern verliert auch wertvolle Vorlaufzeit für die Umsetzung. Eine seriöse Betroffenheits-Analyse kostet wenig und schafft Klarheit – im positiven wie im negativen Fall.
Selbst wer nach eigener Prüfung nicht direkt unter NIS2 fällt, ist häufig mittelbar betroffen. Betroffene Auftraggeber müssen die Sicherheit ihrer Lieferanten bewerten und werden entsprechende Nachweise einfordern – von Sicherheitsfragebögen über vertragliche Zusicherungen bis zu Audit-Rechten. Für viele Mittelständler wird die NIS2-Konformität der Kunden damit zur faktischen Geschäftsvoraussetzung. Diesen Hebel sollte man nicht als Belastung, sondern als Chance begreifen: Wer früh ein belastbares Sicherheitsniveau nachweisen kann, verschafft sich einen Wettbewerbsvorteil bei der Auftragsvergabe.
Wie lange eine NIS2-Umsetzung dauert, hängt stark vom Reifegrad ab. Organisationen mit etabliertem ISMS können das Delta oft in wenigen Monaten schließen. Unternehmen, die bei null starten, sollten realistisch mit einem mehrmonatigen bis über ein Jahr reichenden Aufbau rechnen – wobei sich die größten Risiken meist früh und mit begrenztem Aufwand reduzieren lassen. Entscheidend ist der frühe Start: Wer auf den „endgültigen” nationalen Gesetzestext wartet, verschenkt Vorlaufzeit, denn die inhaltliche Stoßrichtung der Maßnahmen steht bereits fest.
Ein in der Praxis unterschätzter Punkt ist die Nachweisbarkeit. NIS2 verlangt nicht nur, dass Maßnahmen existieren, sondern dass sie nachvollziehbar betrieben werden. Risikobewertungen, Entscheidungen über die Verhältnismäßigkeit, Meldeprozesse, Schulungsnachweise der Leitung und Lieferanten-Bewertungen sollten dokumentiert und versioniert vorliegen. Im Aufsichts- oder Vorfallsfall ist diese Dokumentation der Beleg, dass die Organisation ihre Pflichten ernst genommen hat – mündliche Beteuerungen helfen nicht.
