Was ist NIS2?

NIS2 einfach erklärt

NIS2 ist die Kurzform für die zweite EU-Richtlinie zur Netz- und Informationssicherheit, offiziell Richtlinie (EU) 2022/2555. Sie löst die erste NIS-Richtlinie aus dem Jahr 2016 ab. Eine EU-Richtlinie gilt nicht unmittelbar, sondern muss von jedem Mitgliedstaat in nationales Recht übertragen werden. In Deutschland geschah das mit dem NIS-2-Umsetzungsgesetz, das am 6. Dezember 2025 in Kraft getreten ist. Es hat das BSI-Gesetz (BSIG) grundlegend erneuert.

Bisher galten strenge Vorgaben vor allem für Betreiber Kritischer Infrastrukturen (KRITIS), etwa große Energieversorger. NIS2 erweitert den Kreis erheblich: Nach Angaben des Bundesamts für Sicherheit in der Informationstechnik (BSI) beaufsichtigt die Behörde nun rund 29.500 Einrichtungen. Darunter sind viele mittelständische Unternehmen, die bislang kaum mit IT-Sicherheitsrecht zu tun hatten.

Ein Vergleich: NIS2 wirkt wie eine Brandschutzordnung für die digitale Welt. Wer eine bestimmte Größe hat und in einer wichtigen Branche tätig ist, muss vorbeugen, Notfallpläne bereithalten und Zwischenfälle melden. Und die Leitung muss dafür sorgen, dass das auch wirklich geschieht.

Das regelt NIS2

Wer betroffen ist: NIS2 erfasst Unternehmen aus 18 Sektoren – von Energie, Transport, Gesundheit und Wasser über digitale Dienste und das verarbeitende Gewerbe bis zu Lebensmitteln, Chemie und Abfallwirtschaft. Als Faustregel gilt: Betroffen sind Unternehmen dieser Sektoren ab 50 Beschäftigten oder mit jeweils mehr als 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme. Je nach Größe und Sektor unterscheidet das Gesetz „wichtige“ und „besonders wichtige Einrichtungen“. Einige Einrichtungen, etwa Betreiber kritischer Anlagen, fallen unabhängig von ihrer Größe darunter.

Welche Pflichten gelten:

1. Registrierung: Betroffene Unternehmen müssen sich spätestens drei Monate, nachdem sie erstmals unter die Regeln fallen, beim BSI registrieren.
2. Risikomanagement: Sie müssen geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen umsetzen und dokumentieren. Das Gesetz nennt zehn Mindestbereiche, darunter Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Backups und Notfallmanagement, Sicherheit der Lieferkette, Umgang mit Schwachstellen, Schulungen, Verschlüsselung, Zugriffskontrolle und Multi-Faktor-Authentifizierung – sowie Verfahren, mit denen die Wirksamkeit der Maßnahmen bewertet wird.
3. Meldepflichten: Erhebliche Sicherheitsvorfälle müssen gestuft an die gemeinsame Meldestelle von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK) gemeldet werden (§ 32 BSIG) – mit einer frühen Erstmeldung spätestens 24 Stunden, nachdem das Unternehmen vom Vorfall erfahren hat, einer ausführlicheren Meldung nach spätestens 72 Stunden und einer Abschlussmeldung spätestens einen Monat nach dieser Meldung.
4. Verantwortung der Leitung: Die Geschäftsleitung muss die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen. Sie muss regelmäßig an Schulungen teilnehmen und haftet dem eigenen Unternehmen für Schäden, die sie durch schuldhafte Pflichtverletzungen verursacht.

Für bestimmte Verstöße – etwa fehlende Risikomanagementmaßnahmen oder versäumte Meldungen – drohen Bußgelder von bis zu zehn Millionen Euro für besonders wichtige und bis zu sieben Millionen Euro für wichtige Einrichtungen. Bei Unternehmen mit mehr als 500 Millionen Euro Gesamtumsatz richtet sich die Obergrenze nach dem Umsatz (bis zu 2 bzw. 1,4 Prozent) und kann entsprechend höher liegen.

Ein Beispiel aus der Praxis

Ein mittelständischer Hersteller von Industriepumpen mit rund 150 Beschäftigten nutzt die Online-Betroffenheitsprüfung des BSI. Das Ergebnis: Als Maschinenbauer dieser Größe fällt er voraussichtlich als „wichtige Einrichtung“ unter NIS2.

Die Geschäftsführerin registriert das Unternehmen beim BSI und benennt eine verantwortliche Person. Gemeinsam starten sie ein Projekt: Bestandsaufnahme aller Systeme, Risikoanalyse, Notfallplan und ein Meldeprozess, der auch am Wochenende funktioniert. Die Geschäftsführerin selbst besucht eine Schulung, wie es das Gesetz verlangt.

Um zu prüfen, ob die Maßnahmen wirken, lässt das Unternehmen einen Penetrationstest durchführen, also einen beauftragten, simulierten Angriff. Er deckt einen dauerhaft offenen Fernwartungszugang zur Fertigung auf – eine Lücke, die sonst womöglich erst ein Angreifer gefunden hätte. Den Bericht nutzt das Unternehmen zugleich als Nachweis gegenüber einem großen Kunden, der Sicherheitsanforderungen an seine Lieferkette stellt.

Warum ist das für Unternehmen wichtig?

Für direkt betroffene Unternehmen ist NIS2 keine Empfehlung, sondern Pflicht – mit Aufsicht durch das BSI, Bußgeldern und persönlicher Verantwortung der Geschäftsleitung.

Doch auch Unternehmen, die selbst nicht unter NIS2 fallen, spüren die Regeln oft. Denn betroffene Einrichtungen müssen ihre Lieferkette absichern. Sie geben deshalb Anforderungen an Zulieferer und Dienstleister weiter – über Verträge, Fragebögen oder Audits. Wer hier Nachweise vorlegen kann, ist klar im Vorteil.

Und unabhängig von jeder Pflicht gilt: Die Maßnahmen, die NIS2 fordert, sind ein sinnvoller Mindeststandard. Sie schützen vor typischen Angriffen wie Ransomware – Schadsoftware, die Daten verschlüsselt und Lösegeld fordert – und helfen, im Ernstfall schnell handlungsfähig zu bleiben.

Was Unternehmen jetzt tun sollten

• Betroffenheit prüfen: Klären Sie anhand von Sektor, Beschäftigtenzahl, Umsatz und Bilanzsumme, ob Ihr Unternehmen erfasst ist. Die anonyme Betroffenheitsprüfung des BSI liefert eine erste, rechtlich unverbindliche Einschätzung.
• Registrierung erledigen: Ist Ihr Unternehmen betroffen, registrieren Sie es fristgerecht beim BSI.
• Verantwortung verankern: Die Geschäftsleitung setzt die Maßnahmen um, überwacht sie und nimmt regelmäßig an Schulungen teil.
• Risiken analysieren: Erfassen Sie Ihre wichtigsten Systeme und Daten und leiten Sie Maßnahmen ab. Ein Managementsystem für Informationssicherheit (ISMS) nach ISO/IEC 27001 oder IT-Grundschutz bietet dafür einen bewährten Rahmen.
• Meldeprozess aufsetzen: Legen Sie fest, wer einen Vorfall erkennt, bewertet und fristgerecht an die gemeinsame Meldestelle von BSI und BBK meldet.
• Lieferkette einbeziehen: Prüfen Sie Dienstleister und Zulieferer, die Zugang zu Ihren Systemen haben.
• Wirksamkeit belegen: Prüfen Sie mit Penetrationstests und Schwachstellenanalysen, ob Ihre Maßnahmen tatsächlich greifen.

Dieser Beitrag gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung. Ob und wie Ihr Unternehmen betroffen ist, sollten Sie im Einzelfall prüfen.

Wie Rootsektor unterstützt

NIS2 verlangt von betroffenen Unternehmen Verfahren, mit denen sie die Wirksamkeit ihrer Sicherheitsmaßnahmen bewerten. Mit Penetrationstests und Sicherheitsanalysen liefern wir dafür belastbare Nachweise – vom Internetzugang über das interne Netz bis zur Produktion. Was das für Versorger bedeutet, zeigt unsere Seite Energie & KRITIS. Ein Festpreisangebot nach dem Scoping erhalten Sie über unser Pentest-Angebot; nach Abschluss dokumentiert eine Prüfbescheinigung den Test gegenüber Kunden, Partnern und Auditoren. Kommt es zu einem erheblichen Sicherheitsvorfall, unterstützt Sie unser Bereich Incident Response & Forensik auch bei den Meldepflichten.