20.04.2026

NIS-2: Praxisleitfaden zur Umsetzung und Konformität

Mit der NIS-2-Richtlinie (Network and Information Systems Directive) werden die Anforderungen an die Netzwerk- und Informationssicherheit in der Europäischen Union deutlich verschärft.

Neben den bereits regulierten Kritischen Infrastrukturen (KRITIS) sind künftig erstmals rund 30.000 „besonders wichtige“ und „wichtige“ Einrichtungen betroffen. Viele Unternehmen, die bislang nicht unter entsprechende Vorgaben fielen, müssen ihr IT Sicherheitsniveau nun deutlich anheben.

Dieser Leitfaden fasst die wichtigsten Informationen zur NIS 2 Richtlinie kompakt, verständlich und praxisnah zusammen.

1. Das Wichtigste auf einen Blick

Mit dem Gesetz zur Umsetzung der NIS 2 Richtlinie und zur Regelung des Informationssicherheitsmanagements in der Bundesverwaltung ist am 6. Dezember eine umfassende Reform des Cybersicherheitsrechts in Kraft getreten.
Die NIS 2 Richtlinie gilt für bestimmte Unternehmen ab 50 Mitarbeitenden und 10 Mio. Euro Jahresumsatz in 18 definierten Sektoren.
Ob ein Unternehmen konkret betroffen ist, lässt sich über eine Betroffenheitsprüfung des Bundesamts für Sicherheit in der Informationstechnik (BSI) ermitteln. BSI - NIS-2-Betroffenheitsprüfung - NIS-2-Betroffenheitsprüfung
Die NIS 2 Konformität lässt sich insbesondere durch die Einführung eines Informationssicherheitsmanagementsystems (ISMS) erreichen.
Viele Anforderungen sind bereits aus der DIN EN ISO/IEC 27001 bekannt.

2. Überblick über die NIS 2 Richtlinie

Ziel der NIS 2 Richtlinie ist es, das Sicherheitsniveau von Netz- und Informationssystemen europaweit zu vereinheitlichen und nachhaltig zu verbessern. Unternehmen in bestimmten Sektoren sind verpflichtet, umfassende technische und organisatorische Maßnahmen umzusetzen, um ihre IT Systeme wirksam vor Cyberbedrohungen zu schützen.

Betroffene Sektoren:

  • Energieversorgung: Strom, Gas, Öl
  • Verkehr und Transport: Schienen , Straßen , Luft und Seeverkehr
  • Banken und Finanzmärkte: Banken, Zahlungsdienstleister, Finanzmarktinfrastrukturen
  • Gesundheitswesen: Krankenhäuser und medizinische Einrichtungen
  • Wasserwirtschaft: Trinkwasserversorgung und Abwasserentsorgung
  • Digitale Infrastruktur: Cloud Dienste, Online Marktplätze, Suchmaschinen
Unternehmen in diesen Bereichen müssen geeignete Sicherheitsmaßnahmen implementieren und deren Wirksamkeit regelmäßig überprüfen.

3. Umsetzung der NIS 2 Richtlinie in Deutschland

Ab Anfang 2026 gelten die zentralen Verpflichtungen der NIS 2 Richtlinie in Deutschland verbindlich. Betroffene Unternehmen müssen sich beim BSI registrieren, erhebliche Sicherheitsvorfälle melden sowie geeignete Risikomanagement- und Sicherheitsmaßnahmen implementieren und dokumentieren.

4. Registrierung beim BSI

Für die Umsetzung der NIS 2 Vorgaben sieht das Bundesamt für Sicherheit in der Informationstechnik (BSI) einen zweistufigen Registrierungsprozess vor.
Im ersten Schritt müssen betroffene Unternehmen ein Nutzerkonto im digitalen Dienst „Mein Unternehmenskonto“ (MUK) anlegen. Mein Unternehmenskonto (MUK) Dieses Unternehmenskonto basiert auf der ELSTER Technologie und nutzt Organisationszertifikate, die vielen Unternehmen bereits aus steuerlichen Verfahren bekannt sind.
Im zweiten Schritt erfolgt die Registrierung im BSI Portal, das seit 6. Januar 2026 in Betrieb ist. Das Portal dient unter anderem als zentrale Meldestelle für erhebliche Sicherheitsvorfälle im Sinne der NIS 2 Richtlinie sowie zur Verwaltung der unternehmensbezogenen Angaben gegenüber dem BSI. BSI - Mein Unternehmenskonto (MUK)

5. Welche Unternehmen sind von NIS 2 betroffen?

In Deutschland werden schätzungsweise rund 30.000 Organisationen von der NIS 2 Richtlinie erfasst. Die Einteilung erfolgt in zwei Kategorien:
Besonders wichtige Einrichtungen sind in der Regel größere Unternehmen mit mindestens 250 Beschäftigten oder einem Jahresumsatz von über 50 Millionen Euro sowie einer Bilanzsumme von mehr als 43 Millionen Euro. Sie stammen vor allem aus Sektoren wie:
  • Energie
  • Verkehr & Transportwesen, Trinkwasser
  • Digitale Infrastruktur
  • IT-Dienste & Telekommunikation
  • Bank- und Finanzwesen, Gesundheit
  • Öffentliche Verwaltung
  • Weltraum
Als wichtige Einrichtungen gelten Unternehmen ab 50 Beschäftigten oder mit einem Jahresumsatz und einer Jahresbilanz von jeweils über 10 Millionen Euro. Dazu zählen unter anderem Betriebe aus der:
  • Abfallwirtschaft
  • Post- und Kurierdienste
  • Produktion:
    Fertigung und Handel mit chemischen Erzeugnissen
  • Lebensmittelproduktion, Verarbeitung und Vertrieb
  • Produktion: Herstellung und Verarbeitung von Medizinprodukten, Maschinen, Fahrzeuge sowie elektrischen digitalen Geräten
  • Online-Dienste (Suchmaschinen, Online-Marktplätze)
  • Forschung

6. Betroffenheit prüfen

Unternehmen müssen selbständig ihre Betroffenheit hinsichtlich der NIS-2-Richtlinie ermitteln. Hierzu stellt das Bundesamt für Sicherheit in der Informationstechnik (BSI) eine Betroffenheitsprüfung zur Verfügung, die folgende Schritte beinhaltet:
  • Eingabe von Unternehmensdaten: Unternehmen müssen ihre eigenen Daten zu Mitarbeiteranzahl, dem Jahresumsatz und der Jahresbilanzsumme eingeben.
  • Überprüfung der Brancheneinstufung: Der ermittelte Sektor sollte gegengeprüft werden.
  • Regelmäßige Wiederholung: Die Prüfung der Betroffenheit sollte regelmäßig, um Veränderungen durch Wachstum oder Änderung der Tätigkeitsbereiche zu berücksichtigen.
Unterstützung bietet dabei auch der FitNIS2-Navigator – ein interaktives Online-Tool, das von der Transferstelle CYBERsicher entwickelt wurde und bei der Einschätzung der Betroffenheit hilft.

7. Welche Pflichten haben betroffene Unternehmen?

Registrierungspflicht

Betroffene Unternehmen müssen sich spätestens drei Monate nach Inkrafttreten der nationalen Umsetzung beim BSI registrieren.

8. Zentrale Anforderungen der NIS 2 Richtlinie

  • Risikomanagement & ISMS: Einführung eines systematischen Informationssicherheitsmanagements
  • Notfall und Krisenmanagement: Backup , Wiederanlauf und Krisenprozesse
  • Sichere Beschaffung & Entwicklung: Sicherheitsanforderungen für IT Systeme und Lieferanten
  • Identitäts und Zugriffsmanagement: z. B. Multi Faktor Authentifizierung und Verschlüsselung
  • Meldepflichten: Meldung erheblicher Sicherheitsvorfälle innerhalb von 24 Stunden
  • Lieferketten Sicherheit: Vertraglich geregelte Sicherheitsanforderungen
  • Personelle Sicherheit: Zugriffskontrollen und Rollenmodelle
  • Schulungen & Awareness: Regelmäßige Sensibilisierung von Mitarbeitenden und Management

9. Kontinuierliche Bewertung und Optimierung der Cybersicherheit

Alle umgesetzten Sicherheitsmaßnahmen müssen durch eine umfassende und nachvollziehbare Dokumentation nachweisbar sein. Der Schwerpunkt liegt dabei auf der fortlaufenden Überprüfung und Optimierung, um das Schutzniveau zu gewährleisten und den Anforderungen der Compliance gerecht zu werden.

10. Rechtsfolgen bei Verstößen

Unternehmen, die die Anforderungen der NIS 2 Richtlinie nicht erfüllen, müssen mit erheblichen Sanktionen rechnen. Vorgesehen sind Bußgelder von bis zu 10 Millionen Euro oder bis zu zwei Prozent des weltweiten Jahresumsatzes – maßgeblich ist der jeweils höhere Betrag.

11. Handlungsempfehlungen für Unternehmen

NIS-2 Betroffenheitsprüfung durchführen

Starten Sie mit einer NIS-2-Betroffenheitsprüfung (oder FitNIS2-Navigator), um festzustellen, ob Ihr Unternehmen von den NIS2-Richtlinien betroffen ist. Diese Einschätzung ist entscheidend, um die nächsten Schritte gezielt und effizient zu planen.

Teilnahme an NIS-2-Veranstaltungen

Informieren Sie sich durch die Teilnahme NIS-2-Veranstaltungen. Das BSI informiert über NIS-2 in verschiedenen kostenlosen Webinaren.

Überprüfung Ihrer Cybersicherheit

Für Unternehmen, die bereits über fortgeschrittene Sicherheitsmanagementsysteme verfügen, empfiehlt sich ein entsprechendes NIS2-Compliance-Assessment durch IT-Dienstleister und IT-Unternehmen. Dieses Assessment unterstützt Sie dabei, Ihre bestehenden Prozesse an die Anforderungen von NIS2 anzupassen und weiterzuentwickeln.

Umsetzung der Maßnahmen

Die Anforderungen der NIS 2 Richtlinie bauen in weiten Teilen auf etablierten Standards wie der DIN EN ISO/IEC 27001 auf. Ein darauf basierendes ISMS ermöglicht es Unternehmen, Informationssicherheit systematisch, nachvollziehbar und nachhaltig umzusetzen. Durch die ganzheitliche Betrachtung von Technik, Prozessen und menschlichen Faktoren leistet es einen wesentlichen Beitrag zur Abwehr von Cyberangriffen.
Aus den Ergebnissen des Assessments lassen sich anschließend konkrete Handlungsfelder und Maßnahmen ableiten:
  • Technologische Konzepte: Setzen Sie geeignete technische Sicherheitsmaßnahmen um, beispielsweise durch die Einführung einer Zero Trust Architektur sowie die Definition und Anwendung verbindlicher kryptografischer Standarts.
  • Prävention, Detektion und Reaktion: Implementieren Sie ein leistungsfähiges Security Incident Management System, um die kontinuierliche Überwachung, Analyse und schnelle Reaktion auf IT-Sicherheitsvorfälle sicherzustellen. ISO-zertifizierte Managed Security Services (MSS) bieten eine zuverlässige und kosteneffiziente Möglichkeit, sicherheitsrelevante Prozesse zum Schutz vor Cyber-Bedrohungen teilweise oder vollständig auszulagern.
  • Faktor Mensch und Sicherheitskultur: Stärken Sie die Sicherheitskultur in Ihrem Unternehmen durch regelmäßige Schulungen und Awareness-Programme für Ihre Mitarbeiter.

Kontinuierliche Überprüfung und Anpassung

Überwachen Sie die umgesetzten Maßnahmen regelmäßig und passen Sie diese an neue Bedrohungen und Anforderungen an.
Eine kontinuierliche Verbesserung Ihrer Sicherheitsprozesse gewährleistet nicht nur den Schutz Ihrer Organisation, sondern stärkt auch das Vertrauen von Kunden und Geschäftspartnern in Ihre digitale Zuverlässigkeit.
Ausführliche Informationen finden Sie unter anderem auf den Seiten des Bundesamts für Sicherheit in der Informationstechnik.