Was ist NIS-2? – Was hinter der neuen EU-Richtlinie steckt und welche Pflichten jetzt gelten

Unter der ersten NIS-Richtlinie (2016) mussten Mitgliedstaaten nur Grundschutzmaßnahmen für Betreiber „wesentlicher Dienste“ umsetzen – darunter Energie, Verkehr, Gesundheit und Digital Infrastructures. In Deutschland erfolgte die Umsetzung über das IT-Sicherheitsgesetz (IT-SiG) und das KRITIS-Dachgesetz zur Umsetzung der CER-Richtlinie (EU 2022/2557), die rund 4.000 Anlagenbetreiber adressierten.

NIS-2 hingegen weitet den Anwendungsbereich massiv aus und ersetzt die fragmentierte KRITIS-Definition durch ein EU-weit einheitliches System: 18 Sektoren werden in „wesentliche“ und „wichtige“ Einrichtungen getrennt, Schwellenwerte (≥ 50 Mitarbeitende oder ≥ 10 Mio. € Umsatz) gelten nun für nahezu 30 000 Unternehmen.

Betroffene Unternehmen in Zahlen:

Mit der zweiten EU-Richtlinie zur Netz- und Informationssicherheit wird der Kreis der verpflichteten Unternehmen drastisch ausgeweitet. Wo NIS-1 nur ausgewählte KRITIS-Betreiber im Blick hatte, gilt NIS-2 künftig für 18 Sektoren und bis zu 30.000 Organisationen in ganz Europa. Ob Ihr Unternehmen zu den „wesentlichen“ oder „wichtigen Einrichtungen“ gehört und damit unmittelbar in die Umsetzung der NIS-2 einsteigen muss, bestimmt sich anhand von Sektor-, Größen- und Fristenkriterien.

Nach oben

Neben Energieversorgern und Gesundheitsdienstleistern sind nun 18 Sektoren als essenziell eingestuft, darunter Transport & Verkehr, Finanzwesen, Wasser- und Abfallwirtschaft sowie Digitale Infrastruktur wie Cloud- und Rechenzentrumsdienste.

Dieses EU-weit einheitliche Geltungsbereichs- und Sektor-Schema beseitigt nationale Lücken und sorgt dafür, dass Betreiber von Netz- und Informationssystemen in allen wichtigen Wirtschaftsbereichen verbindliche Sicherheits- und Meldepflichten erfüllen müssen. Damit wird Cyber-Resilienz nicht mehr nur für ausgewählte KRITIS-Betreiber, sondern für die gesamte kritische Infrastruktur in Deutschland und der EU zum Standard.

Zusätzlich gelten Sonderregelungen für Vertrauensdiensteanbieter, DNS-Registries und Betreiber öffentlicher Telekom-Netze, die unabhängig von ihrer Größe unter NIS-2 fallen. Speziell KRITIS-Betreiber müssen darüber hinaus den Nachweis ihrer Risikomanagement-Maßnahmen erbringen – ein deutlich höherer Standard als bisher.

Die Uhr tickt: Seit dem 16. Januar 2023 ist NIS-2 in Kraft, und alle EU-Mitgliedstaaten hatten bis zum 17. Oktober 2024 Zeit, sie ins nationale Recht zu überführen. In Deutschland soll das das „NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz“ (NIS-2UmsuCG) übernehmen. Wie bereits erwähnt, ist in Deutschland jedoch voraussichtlich erst Ende 2025 mit einem entsprechenden Gesetz zu rechnen.

Ab dem Zeitpunkt des Inkrafttretens des NIS-2UmsuCG gelten die neuen Pflichten unmittelbar – Melde- und Registrierungspflichten müssen binnen drei Monaten nach Inkrafttreten umgesetzt werden. Betroffene wesentliche und wichtige Einrichtungen müssen in dieser Frist beim BSI einen offiziellen NIS-2-Kontakt benennen und ihre Systeme sowie Backup-Management- und Incident-Reporting-Verfahren bereitstellen.

Wer diese Fristen verpasst, riskiert nicht nur Bußgelder bis zu 500.000 €, sondern gerät sofort in die Aufsicht des BSI und muss verbindliche Anweisungen befolgen. Jetzt ist der Moment, interne Prozesse final zu verankern, Verantwortlichkeiten zu klären und Ihre Organisation auf die Registrierung und erste Meldungen vorzubereiten.

Nach oben

Ein robustes Incident Management geht weit über die reine Störungsbehebung hinaus: Es verankert klare Abläufe, Zuständigkeiten und Eskalationspfade, damit im Ernstfall jede Sekunde zählt und Meldefristen sicher eingehalten werden.
Unter der NIS-2-Richtlinie müssen Sie klare Verantwortlichkeiten definieren, ein zentrales Ticketing-System für Vorfälle einrichten und einen Incident-Response-Plan implementieren, der technische, organisatorische und kommunikative Schritte verzahnt. Nur so gelingt es, Schäden zu begrenzen, regulatorische Meldefristen einzuhalten und Vertrauen bei Kunden und Behörden zu stärken.

Meldefristen (24 Stunden – 72 Stunden)

Sobald ein erheblicher Sicherheitsvorfall erkannt ist, beginnt die Uhr: Innerhalb von 24 Stunden muss eine Erstmeldung an das Bundesamt für Sicherheit in der Informationstechnik (BSI) erfolgen, in der Sie Verdacht auf Angriffsmuster, betroffene Systeme und potenzielle grenzüberschreitende Auswirkungen skizzieren.

Bis 72 Stunden nach Kenntniserlangung ist eine detaillierte Bewertung nachzureichen, inklusive erster Einschätzung der Schadenshöhe und der eingeleiteten Sofortmaßnahmen. Diese strikten Meldefristen zielen darauf ab, die gesamte Network and Information Security in der EU synchron hochzuhalten und erlaubt den Behörden, unmittelbar gegenzusteuern.

Business Continuity

Parallel zum Incident Management ist ein robustes Business Continuity Management (BCM) Pflicht: Es umfasst Notfallpläne, Backup-Strategien und Wiederanlauf-Szenarien, die im Ernstfall den Betrieb kritischer Prozesse sichern.

Die Planung beginnt mit einer Business Impact Analyse, in der Sie priorisieren, welche Anwendungen, Systeme und Daten zuerst wiederhergestellt werden müssen. Anschließend definieren Sie Recovery Time Objectives (RTO) und Recovery Point Objectives (RPO), um technische und organisatorische Maßnahmen (z. B. redundante Datenzentren, Offline-Backups, georedundante Speicherung) zu kalibrieren. Regelmäßige Notfallübungen und Audits stellen sicher, dass Pläne nicht nur auf dem Papier existieren, sondern im Krisenfall reibungslos greifen.

Die Frist zur Überführung der NIS-2-Richtlinie in deutsches Recht ist bereits abgelaufen und der erste Regierungsentwurf für das entsprechende Umsetzungsgesetz liegt bereits vor. Es wird erwartet, dass das Gesetz zur Mitte bis Ende dieses Jahres verabschiedet wird – und ab da an gelten die Fristen zur Umsetzung in den betroffenen Unternehmen. Gleichzeitig verzeichnen Unternehmen in kritischen Infrastrukturen und wichtigen Sektoren einen Anstieg von Cyberangriffen im zweistelligen Prozentbereich.

Wer frühzeitig beginnt, Cyberrisiken systematisch zu managen und Governance-Strukturen aufzubauen, profitiert doppelt: Sie vermeiden Bußgelder und Haftungsrisiken, und Sie schaffen Vertrauen bei Kunden, Partnern und Investoren, indem Sie zeigen, dass Sie IT-Sicherheit nicht als lästige Pflicht, sondern als strategischen Erfolgsfaktor begreifen.

Ein erfolgreicher Projektstart lebt von klaren Rollen, pragmatischen Zwischenzielen und einer stringenten Dokumentation. Gerade wenn es gilt, die NIS-2-Richtlinie zügig in die betriebliche Praxis zu überführen, helfen strukturierte Abläufe, Ressourcen effizient einzusetzen und zugleich die Vorgaben des NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes sicher abzudecken.

Die folgenden fünf Phasen bieten Ihnen einen bewährten Fahrplan für Ihre NIS-2-Umsetzung:

1. Governance & Verantwortung definieren
   Bevor technische Maßnahmen greifen, braucht es einen „Steuermotor“: Richten Sie ein bereichsübergreifendes Lenkungsgremium ein und benennen Sie eine NIS-2-Compliance-Verantwortung auf Geschäftsleitungsebene. So stellen Sie sicher, dass Entscheidungen zu Sicherheitsstrategien und Risikomanagement direkt eskaliert und freigegeben werden.
2. Gap- und Risikoanalyse durchführen
   Eine Gap-Analyse Ihrer aktuellen IT-Sicherheit zeigt Lücken zwischen Ihrem Status quo und den Vorgaben der NIS-2-Richtlinie auf. Ermitteln Sie systematisch, welche Netz- und Informationssysteme besonders schützenswert sind, und erfassen Sie Risiken von Phishing über Systemausfälle bis hin zu Lieferkettenschwächen. Ein schriftliches Risikoregister schafft Transparenz und bildet die Basis für alle folgenden Schritte.
3. Maßnahmen-Roadmap entwickeln
   Priorisieren Sie die offenbarten Lücken nach dem Risikopotential und der Dringlichkeit der Maßnahmen. Legen Sie konkrete Arbeitspakete fest – etwa die Einführung von Multi-Faktor-Authentifizierung, ein Backup-Management nach BSI-IT-Grundschutz oder die Anpassung Ihrer Incident-Response-Prozesse – und ordnen Sie jedem Paket Verantwortliche, Budget und Meilensteine zu. Ein typischer Zeitplan spannt sich idealerweise über Quartale, damit sich Änderungen in Prozessen und Systemen etabliert getestet werden können.
4. Implementierung & Training
   Starten Sie mit den Maßnahmen hoher Priorität und integrieren Sie parallel Sensibilisierungsmaßnahmen für Ihre Mitarbeitenden. Nur wenn alle Beteiligten verstehen, warum sie neue Passwortregeln einhalten oder Notfallübungen durchführen müssen, entsteht echte Resilienz. Dokumentieren Sie jeden Umsetzungsschritt – von technischen Konfigurationsänderungen bis hin zu Schulungszertifikaten –, um später Nachweispflichten gegenüber Behörden oder Auditor*innen zu erfüllen.
5. Monitoring & Audit
   Etablieren Sie ein fortlaufendes Reporting Ihrer Cybersicherheitsindikatoren: Wie viele Vorfälle wurden gemeldet? Wie schnell reagierten die Teams? Planen Sie regelmäßige interne Audits und lassen Sie Ihre Prozesse von Dritten prüfen. Nur so gewährleisten Sie, dass Ihr Cybersicherheitsniveau nachhaltig den Anforderungen der NIS-2 entspricht und Sie flexibel auf neue Bedrohungen reagieren können.

Mit diesem pragmatischen 5-Phasen-Ansatz strukturieren Sie Ihre NIS-2-Readiness und schaffen gleichzeitig einen kontinuierlichen Verbesserungsprozess – ein entscheidender Faktor, um Cybersicherheit nicht als einmaliges Projekt, sondern als festen Bestandteil Ihrer Unternehmens-IT zu etablieren.

Nach den ersten Schritten zur Governance-Verankerung, Gap-Analyse und Maßnahmenumsetzung stellt sich jetzt die zentrale Frage: Erfüllt Ihre Organisation bereits alle Anforderungen der neuen EU-Richtlinie und des geplanten NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes?

Ein klarer Statusbericht hilft, potenzielle Lücken im Risikomanagement, in der Netzwerk- und Informationssicherheit oder bei Meldeprozessen zu erkennen, bevor Bußgelder oder Nachforderungen der Aufsichtsbehörden greifen.

Mit unserem NIS-2-Readiness-Check erhalten Sie exakt das Feedback, das Sie brauchen: Sie sehen auf einen Blick, wie es um Ihre Cybersicherheit steht, welche Vorgaben schon erfüllt sind und wo noch Handlungsbedarf besteht.

Die NIS-2-Richtlinie ist mehr als ein bloßes Regelwerk: Sie ist eine Aufforderung, Cybersicherheit in Ihrer Organisation auf das nächsthöhere Level zu heben. Ja, die erweiterten Pflichten und Meldefristen erfordern eine straffe Projektorganisation und klare Verantwortlichkeiten – doch genau darin liegt Ihr Hebel für spürbare Verbesserungen im Sicherheitsniveau und im Digital Trust.

Indem Sie systematisch in Risikomanagement, Incident Response und Lieferkettensicherheit investieren, minimieren Sie nicht nur finanzielle und imagebezogene Risiken, sondern stärken Ihr gesamtes Sicherheits- und Informationssystem. Das Ergebnis: Eine resiliente IT-Landschaft, die flexibel auf neue Bedrohungen reagiert, und ein Geschäftsmodell, das auf solide rechtliche sowie technische Grundlagen baut. NIS-2 ist damit gleichzeitig Verpflichtung und Chance – nutzen Sie beides, um Ihr Unternehmen zukunftssicher aufzustellen.