Im Notfall:
+49 4261 1899-555

Support
Kontakt

NIS-2-Richtlinie: Wer ist betroffen und was müssen Unternehmen jetzt umsetzen?

Seit Oktober 2024 gilt die NIS-2-Richtlinie als verbindliches EU-Recht und viele Unternehmen in Deutschland wissen noch immer nicht, ob sie betroffen sind und wenn, was sie umsetzen müssen. Dabei können die Konsequenzen bei Nichtumsetzung sehr empfindlich sein. Bußgelder bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes drohen bei Nichteinhaltung der Richtlinie. Dieser Artikel erklärt, was NIS-2 bedeutet, wen es konkret betrifft und welche Schritte jetzt zu unternehmen sind.

Was ist die NIS-2-Richtlinie?

NIS-2 steht für „Network and Information Security 2“, die zweite europäische Richtlinie zur Netz- und Informationssicherheit. Sie ist die Nachfolgerin der ursprünglichen NIS-Richtlinie aus dem Jahr 2016 und wurde erheblich ausgeweitet. Nun gibt es mehr betroffene Sektoren, mehr betroffene Unternehmen und strengere Anforderungen.
Ziel der Richtlinie ist es, ein einheitlich hohes Cybersicherheitsniveau in der gesamten Europäischen Union zu gewährleisten. Die Mitgliedsstaaten waren verpflichtet, NIS-2 bis Oktober 2024 in nationales Recht umzusetzen. In Deutschland erfolgt dies über das sogenannte NIS2UmsuCG.

Kurzgefasst

NIS-2 verpflichtet Unternehmen aus kritischen und wichtigen Sektoren zu konkreten Cybersicherheitsmaßnahmen und macht Geschäftsführer persönlich haftbar.

Wer ist von NIS-2 betroffen?

NIS-2 unterscheidet zwischen zwei Kategorien:

Besonders wichtige Einrichtungen

Unternehmen mit mehr als 250 Mitarbeitern oder mehr als 50 Millionen Euro Jahresumsatz in folgenden Sektoren:

  • Energie
  • Verkehr
  • Bankwesen und Finanzmarktinfrastrukturen
  • Gesundheitswesen
  • Trinkwasser und Abwasser
  • Digitale Infrastruktur
  • Öffentliche Verwaltung
  • Raumfahrt

Wichtige Einrichtungen

Unternehmen mit mehr als 50 Mitarbeitern oder mehr als 10 Millionen Euro Jahresumsatz in folgenden Sektoren:

  • Post- und Kurierdienste
  • Abfallbewirtschaftung
  • Chemische Industrie
  • Lebensmittelindustrie
  • Maschinenbau, Fahrzeugbau und Elektronikhersteller
  • Digitale Dienste
  • Forschungseinrichtungen

Schnell-Check für KMU

Wenn Ihr Unternehmen mehr als 50 Mitarbeiter hat oder mehr als 10 Millionen Euro Umsatz macht und in einem der genannten Sektoren tätig ist, sind Sie höchstwahrscheinlich betroffen. Im Zweifel gilt: lieber jetzt prüfen als später Bußgelder riskieren.

Welche Pflichten entstehen durch NIS-2?

NIS-2 ist keine reine Meldepflicht, sondern definiert konkrete Mindestanforderungen an die IT-Sicherheit. Diese lassen sich in vier Bereiche gliedern:

1. Risikomanagement

  • Risikoanalyse und Sicherheitskonzepte
  • Business Continuity Management mit Notfallplänen und Backup-Strategien
  • Sicherheit der Lieferkette
  • Einsatz von Kryptografie und Verschlüsselung
  • Multi-Faktor-Authentifizierung und sichere Kommunikationswege

2. Meldepflichten bei Sicherheitsvorfällen

  • Innerhalb von 24 Stunden: Erstmeldung bei der zuständigen Behörde
  • Innerhalb von 72 Stunden: detailliertere Meldung mit Erstbewertung
  • Innerhalb eines Monats: Abschlussbericht mit Ursachenanalyse

3. Registrierungspflicht

Betroffene Einrichtungen müssen sich beim BSI registrieren und grundlegende Angaben zum Unternehmen übermitteln.

4. Persönliche Haftung der Geschäftsführung

NIS-2 macht Geschäftsführer und Vorstände persönlich verantwortlich für die Umsetzung der Sicherheitsmaßnahmen. Sie können bei Verstößen persönlich haftbar gemacht werden, unabhängig vom Unternehmen.

Was droht bei Nichtumsetzung?

Kategorie Maximales Bußgeld
Besonders wichtige Einrichtungen10 Mio. € oder 2 % des Jahresumsatzes
Wichtige Einrichtungen7 Mio. € oder 1,4 % des Jahresumsatzes
Hinzu kommen mögliche Betriebsverbote, die Aussetzung von Führungskräften aus ihren Funktionen und im Wiederholungsfall verschärfte Sanktionen. Die zuständige Behörde in Deutschland ist das BSI.

In 5 Schritten zur NIS-2-Konformität

  1. Betroffenheit prüfen: Sektor, Mitarbeiterzahl und Umsatz bestimmen die Einstufung.
  2. Ist-Analyse durchführen: Ein technisches Audit deckt Lücken auf.
  3. Maßnahmen priorisieren: Kritische Schwachstellen zuerst, dann systematisch weiter.
  4. Prozesse und Dokumentation aufsetzen: Notfallpläne, Meldeprozesse und Sicherheitsrichtlinien schriftlich festhalten.
  5. Registrierung beim BSI: Die Registrierungspflicht ist gesetzlich vorgeschrieben.

Wichtiger Hinweis

NIS-2-Konformität ist kein einmaliges Projekt, sondern ein kontinuierlicher Prozess. Regelmäßige Überprüfungen, Mitarbeiterschulungen und die Einbeziehung von IT-Dienstleistern in der Lieferkette sind dauerhaft notwendig.

So unterstützt CompiPower bei der NIS-2-Umsetzung

Als IT-Systemhaus mit Schwerpunkt IT-Security begleitet CompiPower Unternehmen in Niedersachsen und darüber hinaus seit über 25 Jahren bei der vollständigen Umsetzung der NIS-2-Anforderungen – von der ersten Bestandsaufnahme bis zur laufenden Überwachung.
  • NIS-2-Betroffenheitscheck: Klärung, ob und in welchem Umfang Ihr Unternehmen betroffen ist
  • Technisches IT-Security Audit: Schwachstellenanalyse Ihrer Systeme und Infrastruktur
  • Maßnahmenplan und Umsetzungsbegleitung: Priorisierte Roadmap passend zu Budget und Betrieb
  • Penetrationstests: Gezielte Angriffssimulationen
  • Awareness-Schulungen: Phishing und Social Engineering erkennen
  • Laufendes Monitoring: Dauerhafte Überwachung Ihrer IT-Systeme
Möchten Sie wissen, ob Ihr Unternehmen unter NIS-2 fällt und welche konkreten Schritte als Nächstes notwendig sind? Erfahren Sie mehr über unsere NIS-2-Beratung oder nehmen Sie direkt Kontakt mit uns auf.

Jetzt handeln, nicht abwarten

Die NIS-2-Richtlinie ist keine bürokratische Pflichtübung, sondern eine Reaktion auf die reale und wachsende Bedrohungslage durch Cyberangriffe. Unternehmen, die jetzt investieren, schützen nicht nur sich selbst, sondern auch ihre Kunden, Partner und Mitarbeiter.
Die gute Nachricht: Wer seine IT-Sicherheit systematisch angeht, erfüllt NIS-2 nicht als lästige Pflicht, sondern als logischen nächsten Schritt einer soliden Unternehmensstrategie.

Häufig gestellte Fragen (FAQ)

Möglicherweise ja. NIS-2 gilt nicht nur für Großkonzerne. Wenn Ihr Unternehmen mehr als 50 Mitarbeiter beschäftigt oder mehr als 10 Millionen Euro Jahresumsatz erzielt und in einem der betroffenen Sektoren tätig ist, fallen Sie unter die Richtlinie. Auch kleinere Unternehmen können betroffen sein, wenn sie als kritische Zulieferer oder Dienstleister für eine betroffene Einrichtung tätig sind.

Bei Verstößen drohen empfindliche Bußgelder: bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes für besonders wichtige Einrichtungen und bis zu 7 Millionen Euro oder 1,4 % für wichtige Einrichtungen. Darüber hinaus können Behörden den Betrieb einschränken oder Führungskräfte vorübergehend aus ihren Funktionen aussetzen. Geschäftsführer können persönlich haften.

Die EU-Frist zur nationalen Umsetzung war Oktober 2024. In Deutschland läuft laut Ausgangstext das Gesetzgebungsverfahren zum NIS2UmsuCG noch. Unternehmen sollten dennoch jetzt mit der Umsetzung beginnen, um bei Inkrafttreten des deutschen Gesetzes nicht sofort in Verzug zu sein.

Ja. Betroffene Einrichtungen sind verpflichtet, sich beim Bundesamt für Sicherheit in der Informationstechnik zu registrieren und grundlegende Unternehmensdaten zu übermitteln. Die Registrierung ist unabhängig davon, ob bereits ein Sicherheitsvorfall aufgetreten ist.

Das hängt stark vom aktuellen Stand Ihrer IT-Sicherheit ab. Unternehmen mit einer soliden IT-Infrastruktur und bestehenden Sicherheitsprozessen können in wenigen Monaten konform sein. Wer von Grund auf neu aufsetzen muss, sollte sechs bis zwölf Monate einplanen. Eine professionelle Ist-Analyse am Anfang spart Zeit und Budget.

Kontakt
Support