Was NIS-2 für Ihr Unternehmen bedeutet

Aktualisiert am 10. Juli 2026

Als Reaktion auf die zunehmenden Bedrohungen durch Cyberkriminalität hat die Europäische Union die NIS-2-Richtlinie auf den Weg gebracht, um einheitliche Vorschriften zur Stärkung der Cyber-Resilienz zu schaffen. Das Bundesinnenministerium hat dazu ein Umsetzungsgesetz erarbeitet: das „Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung“. Doch welche Unternehmen betrifft das? Und was müssen sie tun?

EU-Hintergrund zur NIS-2-Richtlinie

Die Abkürzung NIS steht für Network and Information Security. Die NIS-1-Richtlinie aus dem Jahr 2016 war der erste EU-weite Rechtsrahmen für die Sicherheit von Netz- und Informationssystemen. Sie richtete sich vor allem an Betreiber kritischer Infrastrukturen und Anbieter digitaler Dienste. Seit der Einführung von NIS-1 hat sich die Bedrohungslage verändert: Es gibt mehr Ransomware- und Phishing-Angriffe, mehr Angriffe auf Lieferketten sowie eine größere Abhängigkeit von IT-Systemen, digitalen Diensten wie der Cloud sowie von Daten und Lieferketten. Als Reaktion auf die zunehmende Gefährdung Europas durch Cyberbedrohungen wurde die NIS-1 überarbeitet und durch die NIS-2-Richtlinie ersetzt. Der zentrale Unterschied zu NIS-1 ist, dass die NIS-2-Richtlinie einen breiteren Rechtsrahmen zur Gewährleistung des Cybersicherheitsniveaus in 18 Sektoren in der gesamten EU schafft. Richtlinien entfalten keine unmittelbare Wirkung. Daher sind die Mitgliedstaaten verpflichtet, die NIS-2-Richtlinie in nationales Recht umzusetzen, damit sie wirksam wird. In Deutschland geschieht dies durch die Änderung des BSI-Gesetzes.

Stand des deutschen NIS-2-Umsetzungsgesetzes

Richtlinien entfalten keine unmittelbare Wirkung. Daher sind die Mitgliedstaaten verpflichtet, die NIS-2-Richtlinie in nationales Recht umzusetzen, damit sie wirksam wird. In Deutschland geschieht dies durch die Änderung des BSI-Gesetzes. Mit Inkrafttreten der BSIG-Novelle am 6. Dezember 2025 wurde die NIS-2-Richtlinie in deutsches Recht umgesetzt.

Die wesentlichen Neuerungen

  • Der Anwendungsbereich wird ausgeweitet, sodass insgesamt 18 Sektoren von NIS-2 betroffen sind.
  • Es gibt eine neue Kategorisierung in „Besonders wichtige Einrichtungen“ und „wichtige Einrichtungen“.
  • Betroffene Unternehmen haben verschiedene Pflichten, darunter Registrierung, Risikomanagementmaßnahmen und ein dreistufiges Meldeverfahren.
  • Die Cybersicherheit wird ausdrücklich zur Aufgabe der Unternehmensleitung.

NIS-2 Anwendungsbereich

Nach dem deutschen NIS-2-Umsetzungsgesetz sind Unternehmen betroffen, wenn bestimmte Voraussetzungen erfüllt sind:
Erstens: Sie gehören zu einem der im Gesetz genannten Sektoren. Diese sind in den Anlagen 1 und 2 aufgeführt:
Sektoren besonders wichtiger Einrichtungen & wichtiger Einrichtungen Sektoren wichtiger Einrichtungen
1. Energie
2. Transport und Verkehr
3. Finanzwesen
4. Gesundheit
5. Wasser
6. Digitale Infrastruktur
7. Weltraum		 1. Transport und Verkehr
2. Abfallbewirtschaftung
3. Produktion, Herstellung und Handel mit chemischen Stoffen
4. Produktion, Verarbeitung und Vertrieb von Lebensmitteln
5. Verarbeitendes Gewerbe/Herstellung von Waren
6. Anbieter digitaler Dienste
7. Forschung
Zweitens: Sie gehören einer der erfassten Einrichtungsart innerhalb der oben aufgeführten Sektoren. Zum Beispiel “Digitale Infrastruktur” Einrichtungsarten sind:
  • Betreiber von Internet Exchange Points
  • DNS-Dienstanbieter
  • Top Level Domain Name Registry
  • Anbieter von Cloud-Computing-Diensten
  • Anbieter von Rechenzentrumsdiensten
  • Betreiber öffentlicher Telekommunikationsnetze
Drittens: Sie überschreiten bestimmte Schwellenwerte:
Beschäftigte

Jahresumsatz

Jahresbilanzsumme
Einstufung
≥ 50
ODER
> 10 Mio. €
UND
> 10 Mio. €
=
Wichtige Einrichtungen
≥ 250
ODER
> 50 Mio. €
UND
> 43 Mio. €
=
Besonders wichtige Einrichtungen
Hinweis: Für die Überprüfung der Betroffenheit im Sinne von NIS-2 sind die Unternehmen selbst verantwortlich. Die oben genannten Sektoren und Größenschwellen dienen als Einordnungshilfen.

NIS-2 Kernanforderungen

Betroffene Unternehmen müssen eine Reihe von Pflichten erfüllen:
  • Risikomanagementmaßnahmen: Grundsätzlich gilt: „Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, [...], zu ergreifen“ (§ 30 Abs. 1 BSIG-E), um Risiken zu beherrschen und Auswirkungen von Sicherheitsvorfällen zu minimieren. Außerdem sind bei der Bewertung der Verhältnismäßigkeit der Maßnahmen folgende Kriterien zu berücksichtigen: Ausmaß der Risikoexposition, Größe der Einrichtung, Umsetzungskosten, Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen und gesellschaftliche und wirtschaftliche Auswirkungen. Die Risikomanagementmaßnahmen sollen den Stand der Technik einhalten und müssen mindestens folgendes umfassen:
    • Konzepte in Bezug auf die Risikoanalyse und Sicherheit für Informationssysteme
    • Bewältigung von Sicherheitsvorfällen
    • Pläne zur Betriebsaufrechterhaltung und zum Krisenmanagement
    • Sicherheit der Lieferkette
    • Sicherheitsmaßnahmen bei Erwerb/Entwicklung/Wartung von IKT
    • Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen
    • Cyberhygiene und Schulungen zur Cybersicherheit
    • Konzepte und Verfahren für den Einsatz von Kryptografie und Verschlüsselung
    • Sicherheit des Personals, Konzepte für die Zugriffskontrolle
    • Multi-Faktor-Authentifizierung
  • Dokumentationspflicht: Die Einhaltung der Maßnahmen ist durch die Einrichtung zu dokumentieren.
  • Meldepflicht: Betroffene Unternehmen sind verpflichtet, Sicherheitsvorfälle bei einer zuständigen Behörde zu melden.
  • Registrierungspflicht: Betroffene Einrichtungen müssen sich binnen 3 Monaten, nachdem sie als besonders wichtige oder wichtige Einrichtungen gelten, registrieren.
  • Unterrichtungspflicht: Die Kunden der betroffenen Unternehmen müssen über den Sicherheitsvorfall informiert werden.
  • Die Leitungsorgane (Geschäftsführer/in bei GmbH, Vorstand und Aufsichtsrat bei Aktiengesellschaften) haben die Umsetzung der Risikomanagementmaßnahmen sicherzustellen und zu überwachen, haften der Einrichtung für einen schuldhaft verursachten Schaden und müssen an für diese spezifisch gestalteten Cybersicherheitsschulungen teilnehmen.
Hinweis: Für Betreiber kritischer Anlagen gelten erweiterte Risikomanagementmaßnahmen und Nachweispflichten.

Sanktionen

Unternehmen, die sich nicht an die NIS-2 Anforderungen halten, müssen mit hohen Geldstrafen rechnen.
Besonders wichtige Einrichtung Wichtige Einrichtung
Bußgeld bis 10 Mio. €
ODER
2% des weltweiten Gesamtumsatzes
Bußgeld bis 7 Mio. €
ODER
1,4% des weltweiten Gesamtumsatzes

Tipps zur Betroffenheit

Veranstaltungshinweise

NIS-2 Schulung für Geschäftsleitung
Datum: 8. Oktober 2026
Uhrzeit: 09:00 Uhr bis 12:15 Uhr
Format: Hybrid
Kosten: 400,00 €
Ort: IHK-Akademie Freiburg, Schnewlinstraße 11-13, 79098 Freiburg

Kostenpflichtige Anmeldung hier!
NIS-2 Schulung für Geschäftsleitung
Datum: 10. Dezember 2026
Uhrzeit: 14:00 Uhr bis 17:15 Uhr
Format: Hybrid
Kosten: 400,00 €
Ort: IHK-Akademie Freiburg, Schnewlinstraße 11-13, 79098 Freiburg

Kostenpflichtige Anmeldung hier!
Dieser Fachartikel wird laufend aktualisiert und enthält immer alle aktuellen Informationen!