Zahlreiche Unternehmen, die sich nie als kritische Infrastruktur verstanden haben, sind auf einmal reguliert — das ist die Kernwirkung von NIS-2. Die Richtlinie weitet den Kreis der Verpflichteten erheblich aus.
Zugleich verlangt sie konkrete technische und organisatorische Maßnahmen, deren Fehlen für die Geschäftsleitung persönlich teuer werden kann.
Was ist NIS-2?
NIS-2 ist die EU-Richtlinie 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau — die Nachfolgerin der ersten NIS-Richtlinie von 2016. Die Umsetzungsfrist für die Mitgliedstaaten endete im Oktober 2024; in Deutschland erfolgt die Umsetzung über das NIS-2-Umsetzungsgesetz, das den Kreis der betroffenen Unternehmen und die Aufsicht durch das BSI regelt.
Erfasst werden wesentliche und wichtige Einrichtungen aus 18 Sektoren — von Energie, Transport und Gesundheit über digitale Infrastruktur und IT-Dienstleister bis zu verarbeitendem Gewerbe, Lebensmitteln und Post. Als Faustregel gilt: Unternehmen ab 50 Beschäftigten oder 10 Millionen Euro Umsatz in einem der Sektoren fallen in den Anwendungsbereich; für besonders kritische Bereiche gelten Sonderregeln unabhängig von der Größe. In Deutschland betrifft das nach gängigen Schätzungen rund 30.000 Unternehmen.
Die Anforderungen im Einzelnen
Den Kern bilden Risikomanagement-Maßnahmen nach Artikel 21, orientiert am Stand der Technik:
- Risikoanalyse und Sicherheitskonzepte: dokumentiertes Management der Risiken für Netz- und Informationssysteme.
- Vorfallsbewältigung: Prozesse für Erkennung, Reaktion und Wiederherstellung, einschließlich Backup-Management und Krisenplänen.
- Technische Grundmaßnahmen: unter anderem Zugriffskontrolle, Multi-Faktor-Authentifizierung, Verschlüsselung und Netzwerksegmentierung.
- Lieferkettensicherheit: Die Sicherheit der eigenen Dienstleister und Zulieferer gehört ausdrücklich dazu.
- Meldepflichten: Erhebliche Vorfälle sind der zuständigen Behörde gestuft zu melden — Frühwarnung binnen 24 Stunden, ausführlichere Meldung binnen 72 Stunden, danach ein Abschlussbericht.
- Verantwortung der Leitung: Die Geschäftsleitung muss die Maßnahmen billigen und überwachen, sich schulen lassen und haftet bei Verstößen; Bußgelder reichen je nach Einrichtungstyp bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Umsatzes.
Warum NIS-2 wichtig ist
- Der Anwendungsbereich ist so breit, dass auch klassische Mittelständler betroffen sind — oft ohne es zu wissen.
- Cybersicherheit wandelt sich von der IT-Aufgabe zur nachweisbaren Organisationspflicht mit persönlicher Verantwortung der Leitung.
- Die geforderten Maßnahmen sind konkret: Wer Segmentierung, MFA oder Meldeprozesse nicht vorweisen kann, hat eine dokumentierte Lücke.
- Die Lieferketten-Anforderung wirkt kaskadierend: Auch wer selbst nicht betroffen ist, bekommt die Anforderungen über Kundenverträge weitergereicht.
Typische Szenarien
- Ein Maschinenbauer mit 200 Beschäftigten fällt als verarbeitendes Gewerbe unter NIS-2 und baut erstmals ein strukturiertes Risikomanagement auf.
- Ein IT-Dienstleister wird von seinen Kunden vertraglich auf NIS-2-konforme Sicherheitsmaßnahmen verpflichtet, obwohl er selbst unterhalb der Schwellen liegt.
- Ein Energieversorger erweitert seine bestehenden KRITIS-Prozesse um die neuen Melde- und Nachweispflichten.
- Ein Gesundheitsunternehmen segmentiert sein Netz, um die Auswirkungen von Vorfällen zu begrenzen und die Anforderungen an die Vorfallsbewältigung zu erfüllen.
Der Weg zur Umsetzung
Ein praktikabler Einstieg folgt drei Schritten. Erstens die Betroffenheit klären: Sektor, Größe und Sonderregeln prüfen und das Ergebnis dokumentieren — auch eine begründete Nichtbetroffenheit will belegt sein. Zweitens eine Gap-Analyse gegen den Maßnahmenkatalog aus Artikel 21: Was existiert bereits, was fehlt, was ist nur undokumentiert vorhanden? Erfahrungsgemäß klaffen die größten Lücken bei der Netzwerksegmentierung, beim Notfall- und Meldeprozess und bei der Lieferkettensicht. Drittens priorisiert umsetzen: zuerst die Maßnahmen mit dem größten Risikohebel sowie die Registrierungs- und Meldefähigkeit, danach der Rest im geordneten Programm.
Für die Planung wichtig: Die Aufsicht erwartet keinen perfekten Endzustand am ersten Tag, wohl aber einen belegbaren, ernsthaften Umsetzungsstand und funktionierende Meldewege. Wer auf die erste behördliche Nachfrage wartet, verliert genau die Zeit, die eine geordnete Umsetzung gebraucht hätte. Bei den technischen Maßnahmen greifen viele Unternehmen auf spezialisierte Managed-Service-Provider zurück — etwa für gemanagte Zero-Trust-Mikrosegmentierung, die die Segmentierungs-Erwartung mit nachweisbaren Richtlinien erfüllt.
NIS-2 und ISO 27001: der Unterschied
Beide hängen zusammen, sind aber verschieden: NIS-2 ist Gesetzgebung mit Pflichtcharakter für betroffene Einrichtungen, ISO 27001 ein freiwilliger Zertifizierungsstandard für Managementsysteme. Ein zertifiziertes ISMS deckt viele NIS-2-Anforderungen strukturell ab und ist ein starkes Nachweisinstrument — die gesetzlichen Pflichten wie Registrierung und Meldewege ersetzt es nicht. Einen Überblick über das Zusammenspiel der Regelwerke gibt der Eintrag zu Cybersecurity-Compliance.
Häufige Fragen
Wen betrifft NIS-2?
Wesentliche und wichtige Einrichtungen aus 18 Sektoren, darunter Energie, Gesundheit, Transport, digitale Infrastruktur, IT-Dienste und verarbeitendes Gewerbe. Faustregel: ab 50 Beschäftigten oder 10 Millionen Euro Umsatz im Sektor; besonders kritische Bereiche unabhängig von der Größe. In Deutschland sind schätzungsweise 30.000 Unternehmen erfasst.
Welche Maßnahmen schreibt NIS-2 vor?
Ein dokumentiertes Risikomanagement mit konkreten Bausteinen: Vorfallsbewältigung, Backup und Krisenmanagement, Zugriffskontrolle, Multi-Faktor-Authentifizierung, Verschlüsselung, Netzwerksegmentierung und Lieferkettensicherheit. Hinzu kommen gestufte Meldepflichten mit Frühwarnung binnen 24 Stunden sowie die Pflicht der Geschäftsleitung, Maßnahmen zu billigen und zu überwachen.
Welche Sanktionen drohen bei Verstößen?
Bußgelder bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes für wesentliche Einrichtungen; für wichtige Einrichtungen gelten etwas niedrigere Rahmen. Hinzu kommen behördliche Anordnungen und die persönliche Verantwortung der Geschäftsleitung, die sich nicht auf die IT-Abteilung delegieren lässt.
Deckt eine ISO-27001-Zertifizierung NIS-2 ab?
Sie hilft erheblich, genügt allein aber nicht. Ein zertifiziertes ISMS deckt viele Anforderungen strukturell ab und dient als Nachweis. Gesetzliche Pflichten wie die Registrierung bei der Behörde, die konkreten Meldewege und sektorspezifische Vorgaben bestehen daneben fort und müssen eigenständig erfüllt werden.
Was hat NIS-2 mit der Netzwerkarchitektur zu tun?
Mehrere Pflichtmaßnahmen sind Netzwerkthemen: Segmentierung begrenzt Vorfälle, Zugriffskontrolle und MFA sichern den Zugang, Monitoring liefert die Erkennungs- und Nachweisfähigkeit. Wer Mikrosegmentierung und identitätsbasierten Zugriff umsetzt, erledigt damit einen messbaren Teil des Maßnahmenkatalogs.