NIS-2: Was Unternehmen wissen müssen

Durch die NIS-2-Richtlinie (Network and Information Systems Directive) ergeben sich zukünftig (zusätzlich zu den bestehenden Kritischen Infrastrukturen - KRITIS) für rund 30.000 "besonders wichtige" und "wichtige" Einrichtungen erstmals erhöhte Anforderungen hinsichtlich ihrer Netzwerk- und Informationssicherheit. Bisher nicht betroffene Unternehmen müssen ihr IT-Sicherheitsniveau nach diesen Vorgaben erhöhen. Im Folgenden haben wir die wichtigsten Informationen zur NIS-2-Richtlinie kompakt und praxisnah für Sie zusammengefasst.

Das Wichtigste in Kürze

  • Mit der Verkündung des Gesetzes zur Umsetzung der NIS-2-Richtlinie und zur Regelung des Informationssicherheitsmanagements in der Bundesverwaltung trat am 6. Dezember eine umfassende Modernisierung des Cybersicherheitsrechts in Kraft.
  • Die NIS-2 Richtlinie gilt für bestimmte Unternehmen mit mindestens 50 Mitarbeitenden und 10 Mio. Euro Umsatz in 18 festgelegten Sektoren.
  • Die Betroffenheit lässt sich über die NIS-2 Betroffenheitsprüfung des BSI feststellen.
  • NIS-2 Konformität kann mit einem Informationssicherheitsmanagementsystems (ISMS) erreicht werden. Viele NIS-2-Anforderungen sind aus der DIN EN ISO/IEC 27001 bekannt.
  • Hier finden Sie eine kurze Videozusammenfassung (2 Minuten)

Wann wird die NIS-2-Richtlinie in Deutschland umgesetzt?

Ab Beginn 2026 müssen die betroffenen Unternehmen sich beim BSI registrieren, eigene Sicherheitsvorfälle melden und Risikomanagementmaßnahmen implementieren und dokumentieren.

Welche Unternehmen sind von NIS-2 betroffen?

1. Die Sektoren im Überblick

Die NIS2-Richtlinie betrifft in Deutschland schätzungsweise rund 30.000 Organisationen und Einrichtungen. Diese werden in folgende Sektoren unterteilt:
Betroffenheitsgrad Unternehmensgröße Sektoren
Besonders wichtige Einrichtungen
  • Mindestens 250 Beschäftigte oder
  • Jahresumsatz > 50 Mio. EUR und Jahresbilanz > 43 Mio. EUR
  • Energie
  • Verkehr & Transportwesen, Trinkwasser
  • Digitale Infrastruktur
  • IT-Dienste & Telekommunikation
  • Bank- und Finanzwesen, Gesundheit
  • Öffentliche Verwaltung
  • Weltraum
Wichtige Einrichtungen
  • Mindestens 50 Beschäftigte oder
  • Jahresumsatz und Jahresbilanz jeweils > 10 Mio. EUR

  • Abfallwirtschaft
  • Post- und Kurierdienste
  • Fertigung und Handel mit chemischen Erzeugnissen
  • Lebensmittelproduktion, Verarbeitung und Vertrieb
  • Produktion: Herstellung und Verarbeitung von Medizinprodukten, Maschinen, Fahrzeuge sowie elektrischen digitalen Geräten
  • Online-Dienste (Suchmaschinen, Online-Marktplätze)
  • Forschung

2. Die Betroffenheit konkret prüfen

Unternehmen müssen selbständig ihre Betroffenheit hinsichtlich der NIS-2-Richtlinie ermitteln. Hierzu stellt das Bundesamt für Sicherheit in der Informationstechnik (BSI) eine Betroffenheitsprüfung zur Verfügung, die folgende Schritte beinhaltet:
  1. Eingabe von Unternehmensdaten: Unternehmen müssen ihre eigenen Daten zu Mitarbeiteranzahl, dem Jahresumsatz und der Jahresbilanzsumme eingeben.
  2. Überprüfung der Brancheneinstufung: Der ermittelte Sektor sollte gegengeprüft werden.
  3. Regelmäßige Wiederholung: Die Prüfung der Betroffenheit sollte regelmäßig, um Veränderungen durch Wachstum oder Änderung der Tätigkeitsbereiche zu berücksichtigen.
Unterstützung bietet dabei auch der FitNIS2-Navigator – ein interaktives Online-Tool, das von der Transferstelle CYBERsicher entwickelt wurde und bei der Einschätzung der Betroffenheit hilft.

Welche Pflichten haben betroffene Unternehmen?

1. Registrierungspflicht

Unternehmen, die von der NIS-2-Richtlinie betroffen sind, müssen sich spätestens drei Monate nach Veröffentlichung der nationalen Umsetzung beim Bundesamt für Sicherheit in der Informationstechnik (BSI) als betroffene Organisation registrieren lassen.
Anmeldung beim BSI:
Das BSI sieht einen zweistufigen Registrierungsprozess vor:
Zunächst muss eine Anmeldung beim digitalen Dienst „Mein Unternehmenskonto“ (MUK) erfolgen. Dabei handelt es sich um ein Nutzerkonto für Unternehmen im Sinne des Onlinezugangsgesetzes (OZG). MUK basiert auf der ELSTER-Technologie und nutzt ELSTER-Organisationszertifikate, die üblicherweise bereits in Steuerverfahren genutzt werden. Weitere Informationen zur Registrierung bei MUK stellt das BSI bereit.
Das BSI empfiehlt, den Account bei "Mein Unternehmenskonto" bis spätestens zum Jahresende 2025 anzulegen, um sich im zweiten Schritt ab Anfang 2026 mit dem MUK-Nutzerkonto beim u.a. für NIS-2 neu entwickelten BSI-Portal zu registrieren.
Das BSI-Portal wird am 6. Januar 2026 freigeschaltet und dient u.a. als Meldestelle für erhebliche Sicherheitsvorfälle.

2. Zentrale Anforderungen der NIS-2-Richtlinie

Neben der Registrierungspflicht ergeben sich aus NIS2 (Art. 21) und der Neufassung des BSI-Gesetzes (§§ 30 und 31 BSIG) folgende Anforderungen an Ihr Unternehmen:
  • Risikomanagement und Informationssicherheit: Risiken müssen ganzheitlich betrachtet und systematisch angegangen werden. Dazu gehört die Einführung eines Managementsystems für Informationssicherheit (ISMS),
  • Notfall-Management: Notfallmaßnahmen, einschließlich eines systematischen Backup- und Krisenmanagements, müssen implementiert sein, um die Geschäftsfähigkeit zu gewährleisten.
  • Sicherheit bei Beschaffung und Entwicklung: Sicherheitsmaßnahmen für die Beschaffung, Entwicklung und Wartung von IT-Systemen, -Komponenten und -Prozessen. Gemäß der Richtlinie NIS2 müssen dazu klare Sicherheitsanforderungen definiert und systematisch umgesetzt werden.
  • Identitätsmanagement: Identitätsmanagementsysteme müssen im Unternehmen verankert werden. Als technische Maßnahmen können Kryptographie, Verschlüsselung und Multi-Faktor-Authentifizierung eingesetzt werden.
  • Management von Sicherheitsvorfällen: Konzepte zur Bewältigung von Sicherheitsvorfällen sind erforderlich. Für schwere Störungen gelten zeitkritische Meldepflichten innerhalb von 24 Stunden.
  • Kryptografie und Verschlüsselung: Einsatz von Kryptografie und Verschlüsselungen nach dem Stand der Technik in allen Kommunikationsverbindungen.
  • Sichere Lieferketten und Dienstleister: Vertragliche Festlegung höherer Sicherheitsanforderungen für Lieferanten und Dienstleister.
  • Personelle Sicherheit: Sicherstellung von Zugriffskontrollen und zentralem Management des Zugangsschutzes zu Anlagen und IT-Systemen.
  • Schulungen und Awareness: Regelmäßige Schulungen für Geschäftsleitung und Mitarbeiter zur Vermittlung sicherheitsorientierter Denk- und Verhaltensweisen.

3. Kontinuierliche Bewertung und Optimierung der Cybersicherheit

Alle umgesetzten Sicherheitsmaßnahmen müssen durch eine umfassende und nachvollziehbare Dokumentation nachweisbar sein. Der Schwerpunkt liegt dabei auf der fortlaufenden Überprüfung und Optimierung, um das Schutzniveau zu gewährleisten und den Anforderungen der Compliance gerecht zu werden.

Rechtsfolgen und Bußgelder

Erfüllt ein Unternehmen die neuen Anforderungen nicht, drohen nicht nur dem Unternehmen selbst, sondern auch den Geschäftsverantwortlichen empfindliche Strafen. Die NIS 2-Richtlinie sieht Bußgelder von bis zu 10 Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes vor - je nachdem, welcher Betrag höher ist.
Sind Sie unsicher?
In Abhängigkeit von Ihrem derzeitigen Sicherheitsniveau möchten wir Ihnen insbesondere bei Unsicherheiten folgende Tipps geben:

1: NIS-2 Betroffenheitsprüfung durchführen

Starten Sie mit einer NIS-2-Betroffenheitsprüfung (oder FitNIS2-Navigator), um festzustellen, ob Ihr Unternehmen von den NIS2-Richtlinien betroffen ist.

2: Bei eventuellen Unsicherheiten hilft der BSI Guide bei der Implementierung im Unternehmen

Das BSI hat mit der Roadmap: NIS-2-Umsetzung in 6 Schritten: hilfreiche Informationen und To-dos für "besonders wichtige" und "wichtige" Einrichtungen zusammengestellt.

3: Kontinuierliche Überprüfung und Anpassung

Überwachen Sie die umgesetzten Maßnahmen regelmäßig und passen Sie diese an neue Bedrohungen und Anforderungen an. Eine kontinuierliche Verbesserung Ihrer Sicherheitsprozesse gewährleistet nicht nur den Schutz Ihrer Organisation, sondern stärkt auch das Vertrauen von Kunden und Geschäftspartnern in Ihre digitale Zuverlässigkeit.

Fazit

Die NIS-2-Richtlinie stellt eine erhebliche Herausforderung für Unternehmen dar, bietet aber gleichzeitig die Möglichkeit, die eigene Cyberresilienz zu stärken und sich besser gegen die zunehmenden Bedrohungen im digitalen Raum zu wappnen. Unternehmen sollten die neuen Anforderungen ernst nehmen und umgehend damit beginnen, ihre internen Strukturen anzupassen, um Strafen zu vermeiden und die Sicherheit ihrer Netzwerke und Informationssysteme zu gewährleisten. Durch die Umsetzung der NIS-2-Richtlinie können Unternehmen nicht nur die Einhaltung gesetzlicher Vorschriften sicherstellen, sondern auch ihr Vertrauen bei Kunden und Partnern stärken.
Ausführliche Informationen finden Sie unter anderem auf den Seiten des Bundesamts für Sicherheit in der Informationstechnik.
Für weiterführende Fragen stehen Ihnen die IHK-Berater gerne zur Verfügung.