NIS-2 und KRITIS: Pflichten, Anforderungen & Umsetzung

Die NIS-2-Richtlinie erweitert die Anforderungen an die Cybersicherheit von Unternehmen und Organisationen in der Europäischen Union. In Deutschland ist die Richtlinie durch das NIS-2-Umsetzungsgesetz in nationales Recht überführt worden. Das Gesetz ist am 6. Dezember 2025 in Kraft getreten. Maßgeblich sind insbesondere das neu gefasste BSI-Gesetz (BSIG) und die darin geregelten Pflichten für besonders wichtige und wichtige Einrichtungen.
Betroffene Unternehmen müssen geeignete Maßnahmen zum Risikomanagement umsetzen, Sicherheitsvorfälle fristgerecht melden, ihre IT-Sicherheitsprozesse dokumentieren und die Verantwortung der Geschäftsleitung berücksichtigen. Betreiber kritischer Anlagen unterliegen zusätzlichen Anforderungen.
Wichtig für Unternehmen: Die NIS-2-Pflichten gelten in Deutschland bereits. Unternehmen sollten deshalb unverzüglich prüfen, ob sie unter das Gesetz fallen, ob ihre Registrierung beim Bundesamt für Sicherheit in der Informationstechnik (BSI) erfolgt ist und ob ihre Sicherheitsmaßnahmen die gesetzlichen Anforderungen erfüllen.

Was ist NIS-2?

NIS-2 steht für die zweite EU-Richtlinie zur Netzwerk- und Informationssicherheit. Die Richtlinie (EU) 2022/2555 verfolgt das Ziel, ein hohes gemeinsames Cybersicherheitsniveau in der Europäischen Union sicherzustellen.
Sie erweitert den Anwendungsbereich der bisherigen NIS-Regelungen, verschärft Anforderungen an das Cybersicherheitsrisikomanagement und führt verbindliche Meldepflichten für erhebliche Sicherheitsvorfälle ein.
In Deutschland erfolgt die Umsetzung insbesondere über das BSI-Gesetz. Dieses legt fest, welche Einrichtungen betroffen sind, welche Sicherheitsmaßnahmen sie umsetzen müssen und welche Registrierungs-, Melde- und Nachweispflichten gelten.
Die NIS-2-Regelungen betreffen nicht ausschließlich klassische Betreiber kritischer Infrastrukturen. Auch zahlreiche Unternehmen aus weiteren Wirtschaftssektoren können verpflichtet sein, ihre Informationssicherheit systematisch zu organisieren und nachweisbar zu verbessern.

Welche Unternehmen sind von NIS-2 betroffen?

Ob ein Unternehmen unter NIS-2 fällt, hängt insbesondere von seiner Tätigkeit, der Zuordnung zu einem gesetzlich definierten Sektor und seiner Unternehmensgröße ab. Zusätzlich bestehen besondere Regelungen für bestimmte Einrichtungen, unabhängig von den üblichen Größenkriterien.
Das deutsche BSI-Gesetz unterscheidet grundsätzlich zwischen besonders wichtigen Einrichtungen (bwE) und wichtigen Einrichtungen (wE). Betreiber kritischer Anlagen werden den besonders wichtigen Einrichtungen zugeordnet. Für sie gelten ergänzende Anforderungen.

Besonders wichtige Einrichtungen: Welche Schwellenwerte gelten?

Zu den besonders wichtigen Einrichtungen gehören unter anderem Betreiber kritischer Anlagen sowie bestimmte Einrichtungen aus den in Anlage 1 des BSIG aufgeführten Sektoren.
Für sonstige Einrichtungen in den erfassten Sektoren gelten grundsätzlich folgende Größenkriterien:
  • mindestens 250 Mitarbeitende oder
  • mehr als 50 Millionen Euro Jahresumsatz und zugleich mehr als 43 Millionen Euro Jahresbilanzsumme.
Daneben gibt es besondere gesetzliche Kategorien, für die abweichende Kriterien gelten. Deshalb reicht es nicht aus, ausschließlich die Mitarbeiterzahl oder den Umsatz zu prüfen.

Wichtige Einrichtungen: Welche Unternehmen fallen darunter?

Als wichtige Einrichtungen gelten unter anderem bestimmte Unternehmen aus den in Anlage 1 und Anlage 2 des BSIG genannten Sektoren, sofern sie die einschlägigen Größenkriterien erfüllen und nicht als besonders wichtige Einrichtungen eingestuft werden.
Für die allgemeine Einordnung gelten grundsätzlich folgende Schwellenwerte:
  • mindestens 50 Mitarbeitende oder
  • mehr als 10 Millionen Euro Jahresumsatz und zugleich mehr als 10 Millionen Euro Jahresbilanzsumme.
Auch hier bestehen sektorbezogene Sonderregelungen. Bestimmte Einrichtungen können unabhängig von den allgemeinen Größenkriterien erfasst sein.
Bei der Berechnung der Unternehmensgröße sind die gesetzlichen Vorgaben zur Einbeziehung von Partner- und verbundenen Unternehmen zu berücksichtigen. Unter bestimmten Voraussetzungen können Unternehmensdaten unberücksichtigt bleiben, wenn die gesetzlich geforderte wirtschaftliche und tatsächliche Unabhängigkeit vorliegt.

Welche Branchen sind von NIS-2 betroffen?

Das BSIG erfasst zahlreiche Sektoren, die für Wirtschaft, Gesellschaft und öffentliche Versorgung relevant sind.
Dazu gehören insbesondere:
  • Energie
  • Verkehr
  • Bankwesen und Finanzmarktinfrastrukturen
  • Gesundheitswesen
  • Trinkwasser und Abwasser
  • digitale Infrastruktur und bestimmte digitale Dienste
  • öffentliche Verwaltung
  • Weltraum
  • Post- und Kurierdienste
  • Abfallbewirtschaftung
  • Chemie
  • Lebensmittel
  • verarbeitendes Gewerbe, beispielsweise bestimmte Bereiche des Maschinen- und Fahrzeugbaus
  • Anbieter digitaler Dienste und weitere IT-bezogene Einrichtungen
  • Forschung
Ob ein Unternehmen innerhalb eines dieser Bereiche tatsächlich unter NIS-2 fällt, hängt von der konkreten Einrichtungsart und den gesetzlichen Kriterien ab. Die bloße Zugehörigkeit zu einer Branche führt nicht automatisch zur Regulierung jedes einzelnen Unternehmens.
Die verbindlichen Einrichtungsarten sind in den Anlagen des BSI-Gesetzes aufgeführt.

NIS-2 und KRITIS: Was ist der Unterschied?

NIS-2 und KRITIS werden häufig gemeinsam genannt, sind rechtlich jedoch nicht gleichzusetzen.
NIS-2 ist der europäische Rechtsrahmen für ein hohes gemeinsames Cybersicherheitsniveau. Das deutsche Umsetzungsgesetz regelt unter anderem die Pflichten besonders wichtiger und wichtiger Einrichtungen.
KRITIS bezeichnet kritische Infrastrukturen, deren Ausfall oder Beeinträchtigung erhebliche Auswirkungen auf die öffentliche Versorgung oder andere wichtige gesellschaftliche Funktionen haben kann.
Betreiber kritischer Anlagen gehören nach dem BSIG zu den besonders wichtigen Einrichtungen. Allerdings fallen auch Unternehmen unter NIS-2, die keine kritische Anlage im engeren Sinne betreiben.
Beispiel: Ein Unternehmen aus einem regulierten Industriesektor kann aufgrund seiner Tätigkeit und Unternehmensgröße NIS-2-pflichtig sein, ohne Betreiber einer kritischen Anlage zu sein.
Für Betreiber kritischer Anlagen gelten zusätzliche Anforderungen, unter anderem an das Risikomanagement und die Nachweisführung. Bei der Prüfung der eigenen Betroffenheit müssen deshalb sowohl die NIS-2-Kriterien als auch die einschlägigen KRITIS-Regelungen berücksichtigt werden.

Welche Pflichten haben Unternehmen nach NIS-2?

Betroffene Einrichtungen müssen ein angemessenes Cybersicherheitsrisikomanagement etablieren. Die Maßnahmen sollen die Risiken für Netz- und Informationssysteme beherrschen und die Auswirkungen von Sicherheitsvorfällen begrenzen.
Die gesetzlichen Anforderungen umfassen insbesondere folgende Bereiche.

1. Cybersicherheitsrisiken systematisch bewerten

Unternehmen müssen Risiken für ihre IT-Systeme, Netzwerke, Anwendungen und relevanten Geschäftsprozesse identifizieren und bewerten.
Dazu gehören unter anderem:
  • die Erfassung kritischer Systeme und Geschäftsprozesse;
  • die Bewertung möglicher Bedrohungen und Schwachstellen;
  • die Priorisierung von Risiken nach Eintrittswahrscheinlichkeit und möglichen Auswirkungen;
  • die Festlegung geeigneter technischer und organisatorischer Schutzmaßnahmen;
  • die regelmäßige Überprüfung und Aktualisierung der Risikobewertung.
Die Maßnahmen müssen zur jeweiligen Einrichtung, ihrem Risikoprofil und den gesetzlichen Anforderungen passen.

2. Technische und organisatorische Sicherheitsmaßnahmen umsetzen

Das BSIG verlangt von besonders wichtigen und wichtigen Einrichtungen geeignete Maßnahmen zum Cybersicherheitsrisikomanagement. Die gesetzlich geregelten Maßnahmenbereiche orientieren sich an den Anforderungen der NIS-2-Richtlinie.
Dazu zählen insbesondere:
  • Konzepte zur Risikoanalyse und Sicherheit von Informationssystemen;
  • die Bewältigung von Sicherheitsvorfällen;
  • Business Continuity, Notfallmanagement und Wiederherstellung nach schwerwiegenden Störungen;
  • Sicherheit der Lieferkette und Beziehungen zu unmittelbaren Dienstleistern;
  • Sicherheit bei Beschaffung, Entwicklung und Wartung von IT-Systemen;
  • Verfahren zur Bewertung der Wirksamkeit von Sicherheitsmaßnahmen;
  • grundlegende Cyberhygiene und Schulungen;
  • Kryptografie und gegebenenfalls Verschlüsselung;
  • Personal-, Zugriffs- und Berechtigungsmanagement;
  • Mehr-Faktor-Authentifizierung und gesicherte Kommunikationsverfahren, soweit angemessen.
Die Umsetzung sollte sich an einer dokumentierten Risikobewertung orientieren. Einzelne technische Maßnahmen sind nicht losgelöst vom konkreten Einsatzbereich zu betrachten.

3. Sicherheitsvorfälle erkennen und behandeln

Unternehmen müssen über Prozesse verfügen, mit denen sie Sicherheitsvorfälle zeitnah erkennen, bewerten, eindämmen und bearbeiten können.
Dazu gehören klare Zuständigkeiten, definierte Eskalationswege und ein Incident-Response-Prozess. Dieser sollte auch die Zusammenarbeit zwischen IT, Informationssicherheit, Geschäftsleitung, Datenschutz und gegebenenfalls externen Dienstleistern regeln.
Ein wirksames Vorfallmanagement hilft, die Auswirkungen eines Cyberangriffs zu begrenzen und die gesetzlichen Meldefristen einzuhalten.

4. Lieferkettensicherheit gewährleisten

NIS-2 berücksichtigt ausdrücklich die Risiken, die von Lieferanten, IT-Dienstleistern und anderen unmittelbaren Geschäftspartnern ausgehen können.
Betroffene Einrichtungen müssen die Sicherheit ihrer Lieferkette in ihr Risikomanagement einbeziehen. Dazu gehören je nach Risiko beispielsweise:
  • die Bewertung von IT-Dienstleistern und relevanten Lieferanten;
  • vertragliche Sicherheitsanforderungen;
  • Regelungen zur Meldung und Behandlung von Sicherheitsvorfällen;
  • Anforderungen an Zugriffsschutz und Datenverarbeitung;
  • die Überprüfung von Sicherheitsnachweisen und vereinbarten Maßnahmen.
Auch Unternehmen, die selbst nicht unmittelbar unter NIS-2 fallen, können dadurch mittelbar betroffen sein. Regulierte Kunden können von ihnen Sicherheitskonzepte, Nachweise, Auditberichte oder Informationen über ihre Sicherheitsprozesse verlangen.
Eine solche vertragliche Anforderung bedeutet allerdings nicht automatisch, dass der betreffende Zulieferer selbst eine regulierte NIS-2-Einrichtung ist.

5. Dokumentation und Nachweisführung sicherstellen

Unternehmen sollten nachvollziehbar dokumentieren, wie sie ihre Cybersicherheitsmaßnahmen planen, umsetzen und kontrollieren.
Je nach Sachverhalt können hierzu gehören:
  • Richtlinien und Sicherheitskonzepte;
  • dokumentierte Risikoanalysen;
  • Rollen- und Berechtigungskonzepte;
  • Schulungsnachweise;
  • Protokolle von Sicherheitsprüfungen;
  • Notfall- und Wiederherstellungspläne;
  • Lieferantenbewertungen;
  • Incident-Response-Berichte;
  • Nachweise über durchgeführte Maßnahmen und deren Wirksamkeit.
Die Dokumentation unterstützt die interne Steuerung und erleichtert es, die Erfüllung der gesetzlichen Anforderungen gegenüber zuständigen Stellen nachzuweisen.

Welche Meldepflichten gelten nach NIS-2?

Besonders wichtige und wichtige Einrichtungen müssen erhebliche Sicherheitsvorfälle innerhalb der gesetzlichen Fristen an die zuständige gemeinsame Meldestelle melden. In Deutschland sind die maßgeblichen Vorgaben in § 32 BSIG geregelt.
Die Fristen beginnen grundsätzlich mit der Kenntniserlangung von einem erheblichen Sicherheitsvorfall.
Frist Erforderliche Meldung
Innerhalb von 24 Stunden Frühe Erstmeldung mit Angaben zum Vorfall und gegebenenfalls zum Verdacht auf rechtswidrige oder böswillige Handlungen sowie möglichen grenzüberschreitenden Auswirkungen
Innerhalb von 72 Stunden Vorfallsmeldung mit aktualisierten Angaben und einer ersten Bewertung von Schweregrad und Auswirkungen
Auf Anforderung Zwischenmeldung zu relevanten Statusänderungen
Grundsätzlich innerhalb eines Monats nach der 72-Stunden-Meldung Abschlussmeldung mit Beschreibung, Ursachen, Auswirkungen und Abhilfemaßnahmen
Dauert der Sicherheitsvorfall zum Zeitpunkt der vorgesehenen Abschlussmeldung noch an, ist zunächst eine Fortschrittsmeldung vorzulegen. Die Abschlussmeldung folgt nach der abschließenden Bearbeitung.
Die Meldepflicht nach § 32 BSIG gilt frühestens ab Einrichtung des gesetzlich vorgesehenen Meldewegs. Unternehmen sollten deshalb die jeweils aktuellen Hinweise des BSI zur praktischen Meldung beachten.
Nicht jeder IT-Sicherheitsvorfall ist automatisch meldepflichtig. Entscheidend ist, ob der Vorfall die gesetzlichen Kriterien eines erheblichen Sicherheitsvorfalls erfüllt. Unternehmen sollten dafür klare interne Bewertungs- und Eskalationsprozesse einrichten, damit meldepflichtige Ereignisse rechtzeitig erkannt werden.

Registrierung beim BSI: Was müssen betroffene Unternehmen beachten?

Besonders wichtige und wichtige Einrichtungen müssen ihre gesetzlich erforderlichen Angaben grundsätzlich innerhalb von drei Monaten nach erstmaliger oder erneuter Einstufung an das BSI übermitteln.
Zu den Registrierungsangaben gehören unter anderem:
  • Name und Rechtsform der Einrichtung;
  • Anschrift und aktuelle Kontaktdaten;
  • E-Mail-Adresse und Telefonnummer;
  • öffentliche IP-Adressbereiche;
  • betroffener Sektor beziehungsweise die einschlägige Branche;
  • Mitgliedstaaten, in denen relevante Dienste erbracht werden;
  • zuständige Aufsichtsbehörden.
Die Registrierung erfolgt über das dafür vorgesehene BSI-Portal. Das BSI stellt dort auch die Möglichkeit bereit, meldepflichtige Sicherheitsvorfälle zu übermitteln.
Betreiber kritischer Anlagen und bestimmte weitere Einrichtungen können besonderen Regelungen unterliegen. Für Betreiber kritischer Anlagen sind deshalb die einschlägigen KRITIS-Vorschriften zusätzlich zu prüfen.
Unternehmen, die bereits bei Inkrafttreten des Gesetzes betroffen waren, sollten ihre Registrierung unverzüglich prüfen. Die allgemeine Drei-Monats-Frist darf nicht mit einer pauschalen, für alle Unternehmen identischen Frist für sämtliche denkbaren Fallkonstellationen verwechselt werden.

Welche Verantwortung trägt die Geschäftsleitung?

Das BSIG enthält besondere Pflichten für die Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen.
Die Geschäftsleitung muss die Umsetzung der vorgeschriebenen Risikomanagementmaßnahmen überwachen und sich mit den erforderlichen Sicherheitsmaßnahmen auseinandersetzen. Dazu gehören auch Schulungspflichten für Mitglieder der Geschäftsleitung.
Cybersicherheit ist damit nicht ausschließlich eine technische Aufgabe der IT-Abteilung. Sie muss als Teil der Unternehmenssteuerung behandelt werden.
Unternehmen sollten Zuständigkeiten, Entscheidungswege und die regelmäßige Berichterstattung zur Informationssicherheit verbindlich regeln. So kann die Geschäftsleitung nachvollziehen, welche Risiken bestehen, welche Maßnahmen umgesetzt wurden und wo weiterer Handlungsbedarf besteht.
Das Gesetz sieht bei Pflichtverletzungen auch persönliche Verantwortlichkeiten und mögliche Sanktionen vor. Die konkrete Haftung ist anhand der jeweils geltenden gesetzlichen Bestimmungen und des Einzelfalls zu beurteilen.

Welche Sanktionen drohen bei Verstößen gegen NIS-2?

Das deutsche Umsetzungsgesetz sieht Aufsichts- und Durchsetzungsbefugnisse sowie Bußgeldregelungen vor. Die Höhe möglicher Sanktionen hängt unter anderem von der Einstufung der Einrichtung, der verletzten Vorschrift und den konkreten Umständen ab.
Besonders wichtige Einrichtungen und wichtige Einrichtungen unterliegen unterschiedlichen gesetzlichen Sanktionsrahmen. Bei Verstößen können neben Geldbußen auch behördliche Anordnungen und weitere Maßnahmen zur Herstellung der Compliance relevant werden.
Unternehmen sollten daher nicht nur einzelne technische Sicherheitsmaßnahmen implementieren, sondern ein nachvollziehbares und wirksames Managementsystem für Cybersicherheit aufbauen.

Wie können Unternehmen NIS-2 effizient umsetzen?

Die Umsetzung von NIS-2 lässt sich häufig auf bestehenden Sicherheitsprozessen aufbauen. Entscheidend ist, zunächst die Betroffenheit zu klären und den tatsächlichen Umsetzungsstand zu erfassen.

Schritt 1: Betroffenheit prüfen

Ermitteln Sie, ob Ihr Unternehmen einer der in den Anlagen des BSIG aufgeführten Einrichtungsarten zugeordnet werden kann. Prüfen Sie anschließend die Größenkriterien, mögliche Sonderregelungen und die Einstufung als wichtige oder besonders wichtige Einrichtung.

Schritt 2: Ist-Analyse durchführen

Erfassen Sie vorhandene Sicherheitsmaßnahmen, Prozesse und Dokumentationen. Prüfen Sie insbesondere Risikomanagement, Incident Response, Business Continuity, Lieferkettensicherheit und Meldeprozesse.

Schritt 3: Lücken identifizieren und priorisieren

Vergleichen Sie den vorhandenen Sicherheitsstand mit den gesetzlichen Anforderungen. Priorisieren Sie Maßnahmen nach Risiko, möglicher Auswirkung und Umsetzungsaufwand.

Schritt 4: Verantwortlichkeiten festlegen

Definieren Sie Zuständigkeiten für Informationssicherheit, Risikomanagement, Vorfallbehandlung, Lieferantenmanagement und regulatorische Meldungen. Stellen Sie sicher, dass die Geschäftsleitung ihre gesetzlichen Aufgaben wahrnehmen kann.

Schritt 5: Maßnahmen umsetzen und dokumentieren

Erstellen Sie einen verbindlichen Maßnahmenplan mit Verantwortlichen, Terminen und überprüfbaren Ergebnissen. Dokumentieren Sie die Umsetzung und überprüfen Sie regelmäßig die Wirksamkeit der Maßnahmen.

Schritt 6: Melde- und Notfallprozesse testen

Prüfen Sie, ob erhebliche Sicherheitsvorfälle innerhalb der gesetzlichen Fristen erkannt, bewertet und gemeldet werden können. Übungen und Simulationen helfen dabei, Schwachstellen in den Abläufen zu identifizieren.

Welche Rolle spielen ISO 27001 und andere Sicherheitsstandards?

Die ISO/IEC 27001 ist ein etablierter Standard für Informationssicherheits-Managementsysteme. Sie kann eine wichtige Grundlage für die Umsetzung von NIS-2 sein, weil sie strukturierte Verfahren für Risikobewertung, Sicherheitsmaßnahmen, Verantwortlichkeiten und kontinuierliche Verbesserung bietet.
Eine ISO-27001-Zertifizierung bedeutet jedoch nicht automatisch, dass sämtliche Anforderungen des BSIG erfüllt sind.
Unternehmen müssen weiterhin prüfen, ob ihr Informationssicherheits-Managementsystem die für sie geltenden gesetzlichen Anforderungen vollständig abdeckt. Dazu gehören beispielsweise die besonderen Melde- und Registrierungspflichten, die Vorgaben für die Geschäftsleitung sowie spezifische Anforderungen für Betreiber kritischer Anlagen.
Eine strukturierte Gap-Analyse zeigt, welche vorhandenen Maßnahmen genutzt werden können und wo zusätzliche Prozesse, Nachweise oder technische Kontrollen erforderlich sind.

Welche Unterstützung bieten BSI und FitNIS2?

Das Bundesamt für Sicherheit in der Informationstechnik stellt Informationen, gesetzliche Grundlagen und praktische Hinweise zur NIS-2-Umsetzung bereit. Über das BSI-Portal können betroffene Einrichtungen ihre Registrierung und die gesetzlich vorgesehenen Meldungen abwickeln.
Unternehmen sollten für ihre Bewertung insbesondere das aktuelle BSIG, die Anlagen zu den betroffenen Sektoren und Einrichtungsarten sowie die Informationen des BSI heranziehen.
Ergänzend kann der FitNIS2-Navigator Unternehmen dabei unterstützen, ihre Betroffenheit zu prüfen, den vorhandenen Sicherheitsstand zu erfassen und daraus konkrete Handlungsbedarfe abzuleiten. Ein solches Unterstützungsinstrument ersetzt jedoch nicht die eigenständige Prüfung der gesetzlichen Voraussetzungen und die Verantwortung des Unternehmens für die ordnungsgemäße Umsetzung.

Häufig gestellte Fragen zu NIS-2 und KRITIS

Seit wann gilt NIS-2 in Deutschland?

Das deutsche NIS-2-Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten. Betroffene Einrichtungen müssen die jeweils anwendbaren gesetzlichen Pflichten beachten. Die ursprüngliche Umsetzungsfrist der EU-Richtlinie war bereits am 17. Oktober 2024 abgelaufen.

Welche Unternehmen müssen NIS-2 umsetzen?

Betroffen sind Einrichtungen aus den gesetzlich erfassten Sektoren, die die jeweiligen Größenkriterien oder besondere gesetzliche Voraussetzungen erfüllen. Die Einstufung erfolgt insbesondere als wichtige oder besonders wichtige Einrichtung. Für einzelne Sektoren gelten Sonderregelungen.

Welche Schwellenwerte gelten für NIS-2?

Für viele Einrichtungen gelten grundsätzlich 50 Mitarbeitende oder mehr als 10 Millionen Euro Jahresumsatz und zugleich mehr als 10 Millionen Euro Jahresbilanzsumme. Für besonders wichtige Einrichtungen gelten in den entsprechenden allgemeinen Fallgruppen mindestens 250 Mitarbeitende oder mehr als 50 Millionen Euro Jahresumsatz und zugleich mehr als 43 Millionen Euro Jahresbilanzsumme. Die gesetzlichen Ausnahmen und Sonderregelungen sind zusätzlich zu prüfen.

Sind NIS-2 und KRITIS dasselbe?

Nein. NIS-2 regelt die Cybersicherheit bestimmter Einrichtungen und Unternehmen. KRITIS bezieht sich auf kritische Infrastrukturen. Betreiber kritischer Anlagen sind besonders wichtige Einrichtungen, aber nicht alle NIS-2-pflichtigen Unternehmen betreiben eine kritische Anlage.

Welche Meldefristen gelten bei Sicherheitsvorfällen?

Bei erheblichen Sicherheitsvorfällen müssen betroffene Einrichtungen grundsätzlich innerhalb von 24 Stunden eine frühe Erstmeldung und innerhalb von 72 Stunden eine Vorfallsmeldung übermitteln. Die Abschlussmeldung ist grundsätzlich innerhalb eines Monats nach der 72-Stunden-Meldung erforderlich. Dauert der Vorfall an, gelten besondere Vorgaben für Fortschritts- und Abschlussmeldungen.

Müssen sich NIS-2-pflichtige Unternehmen beim BSI registrieren?

Ja. Besonders wichtige und wichtige Einrichtungen müssen sich grundsätzlich innerhalb von drei Monaten nach erstmaliger oder erneuter Betroffenheit registrieren. Die Registrierung erfolgt über das dafür vorgesehene BSI-Portal. Für bestimmte Einrichtungen gelten besondere Regelungen.

Reicht eine ISO-27001-Zertifizierung für NIS-2 aus?

Nein, nicht automatisch. ISO 27001 kann die Umsetzung unterstützen, deckt aber nicht zwangsläufig alle gesetzlichen Anforderungen ab. Eine Gap-Analyse ist erforderlich, um zusätzliche Pflichten und fehlende Nachweise zu identifizieren.

Was müssen mittelständische Unternehmen beachten?

Mittelständische Unternehmen sollten insbesondere ihre Betroffenheit, ihre Lieferkettenrisiken, ihre Meldeprozesse und ihre vorhandenen Sicherheitsmaßnahmen prüfen. Auch Unternehmen außerhalb des unmittelbaren gesetzlichen Anwendungsbereichs können durch Sicherheitsanforderungen ihrer Kunden mittelbar betroffen sein.
Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung. Die konkrete Betroffenheit und die jeweils geltenden Pflichten sind anhand des aktuellen Gesetzestextes und der individuellen Situation der Einrichtung zu prüfen.