NIS2 (Network and Information Security Directive 2, EU 2022/2555) ist die überarbeitete EU-Richtlinie zur Cybersicherheit kritischer Infrastrukturen. Sie erweitert den Anwendungsbereich der ursprünglichen NIS-Richtlinie erheblich und schafft einheitliche Mindeststandards für Risikomanagement, Incident Reporting und Lieferkettensicherheit in 18 kritischen Sektoren. In Deutschland wird NIS2 durch das NIS2-Umsetzungsgesetz (NIS2UmsuCG) in nationales Recht überführt und betrifft etwa 30.000 Unternehmen.
Inhalt
Was ist NIS2?
Die NIS2-Richtlinie (Network and Information Security Directive 2, EU 2022/2555) ist die Nachfolgerin der ursprünglichen NIS-Richtlinie von 2016. Sie wurde am 14. Dezember 2022 verabschiedet und stellt einen Quantensprung in der europäischen Cybersicherheitsregulierung dar.
Die zentrale Erkenntnis hinter NIS2: Cyberangriffe auf kritische Infrastrukturen können ganze Gesellschaften lahmlegen. Die Angriffe auf Krankenhäuser während der COVID-19-Pandemie, der Colonial-Pipeline-Hack in den USA und zahlreiche Ransomware-Attacken auf Stadtwerke und Versorger haben gezeigt, wie verwundbar unsere digitalisierte Gesellschaft ist.
Die drei Säulen von NIS2
🛡️ Höhere Standards
Einheitliche Mindestanforderungen für Cybersicherheit in der gesamten EU. Risikomanagement, technische Maßnahmen und Governance werden verbindlich vorgeschrieben.
📢 Bessere Meldewege
Strukturierte Meldepflichten für Sicherheitsvorfälle mit klaren Fristen. Harmonisierter Informationsaustausch zwischen Behörden und Unternehmen.
⚡ Stärkere Durchsetzung
Empfindliche Bußgelder, persönliche Haftung der Geschäftsleitung und weitreichende Aufsichtsbefugnisse für Behörden.
NIS2 vs. NIS1: Was hat sich geändert?
| Aspekt | NIS1 (2016) | NIS2 (2022) |
|---|---|---|
| Sektoren | 7 Sektoren | 18 Sektoren |
| Betroffene in DE | ~2.000 Unternehmen | ~30.000 Unternehmen |
| Größenschwellen | Individuell pro Sektor | 50+ MA oder 10+ Mio. € Umsatz |
| Strafen | Nationalem Recht überlassen | Bis 10 Mio. € oder 2% Umsatz |
| Geschäftsleitung | Keine explizite Haftung | Persönliche Verantwortung & Schulungspflicht |
| Lieferkette | Nicht adressiert | Explizite Anforderungen |
Umsetzung in Deutschland: Das NIS2UmsuCG
Die EU-Richtlinie muss in nationales Recht umgesetzt werden. In Deutschland geschieht dies durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG). Das Gesetz überführt die EU-Vorgaben in deutsches Recht und passt bestehende Regelungen wie das BSI-Gesetz entsprechend an.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) wird zur zentralen Aufsichtsbehörde für NIS2 in Deutschland. Es erhält erweiterte Befugnisse zur Prüfung, Anordnung von Maßnahmen und Verhängung von Bußgeldern.
Wer ist von NIS2 betroffen?
NIS2 unterscheidet zwischen wesentlichen Einrichtungen (essential entities) und wichtigen Einrichtungen (important entities). Beide müssen die Sicherheitsanforderungen erfüllen, unterscheiden sich aber im Aufsichtsregime.
Die 18 kritischen Sektoren
Sektoren mit hoher Kritikalität (Anhang I)
Wesentliche Einrichtungen, wenn Größenschwellen erreicht:
- Energie – Strom, Gas, Öl, Fernwärme, Wasserstoff
- Transport – Luft, Schiene, Wasser, Straße
- Bankwesen – Kreditinstitute
- Finanzmarktinfrastrukturen – Börsen, Clearinghäuser
- Gesundheit – Krankenhäuser, Labore, Pharma
- Trinkwasser – Wasserversorgung
- Abwasser – Abwasserentsorgung
- Digitale Infrastruktur – IXPs, DNS, TLD, Cloud, Rechenzentren
- IKT-Dienste B2B – Managed Services, Managed Security
- Öffentliche Verwaltung – Zentrale Regierung
- Raumfahrt – Bodeninfrastruktur
Sonstige kritische Sektoren (Anhang II)
Wichtige Einrichtungen:
- Post- und Kurierdienste
- Abfallwirtschaft
- Chemie – Herstellung und Handel
- Lebensmittel – Produktion, Verarbeitung, Vertrieb
- Produktion – Medizinprodukte, Computer, Elektronik, Maschinen, Kfz
- Digitale Dienste – Marktplätze, Suchmaschinen, soziale Netzwerke
- Forschung – Forschungseinrichtungen
Diese Sektoren unterliegen einem reaktiven Aufsichtsregime – Prüfungen erfolgen anlassbezogen.
Größenschwellen: Bin ich betroffen?
NIS2 gilt grundsätzlich für mittlere und große Unternehmen in den genannten Sektoren:
| Kategorie | Mitarbeiter | Jahresumsatz | Bilanzsumme |
|---|---|---|---|
| Mittleres Unternehmen | 50-249 | 10-50 Mio. € | 10-43 Mio. € |
| Großes Unternehmen | 250+ | 50+ Mio. € | 43+ Mio. € |
Es genügt, wenn entweder die Mitarbeiter-ODER die Umsatz-/Bilanzschwelle erreicht wird.
Ausnahmen und Sonderregeln
Auch kleinere Unternehmen können unter NIS2 fallen, wenn sie:
- DNS-Dienste, TLD-Registries oder Cloud-Dienste anbieten (größenunabhängig)
- Alleiniger Anbieter eines wesentlichen Dienstes in einem Mitgliedstaat sind
- Einen Dienst erbringen, dessen Ausfall systemische Auswirkungen hätte
- Von einem Mitgliedstaat als wesentlich identifiziert werden
Sind Sie von NIS2 betroffen?
Unser kostenloser NIS2 Health-Check prüft in wenigen Minuten, ob Ihr Unternehmen unter die NIS2-Richtlinie fällt und welche Anforderungen Sie erfüllen müssen.
NIS2 Health-Check starten →Die 10 Kernbereiche von NIS2
Artikel 21 der NIS2-Richtlinie definiert zehn Bereiche, in denen betroffene Unternehmen angemessene Maßnahmen ergreifen müssen. Diese bilden das Rückgrat der NIS2-Compliance:
Risikoanalyse & Sicherheitskonzepte
Systematische Identifikation und Bewertung von Risiken für Netz- und Informationssysteme.
- Risikobewertungsmethodik etablieren
- Asset-Inventar führen
- Bedrohungs- und Schwachstellenanalysen
- Dokumentierte Sicherheitsrichtlinien
- Regelmäßige Überprüfung und Aktualisierung
Bewältigung von Sicherheitsvorfällen
Strukturierte Prozesse zur Erkennung, Analyse und Reaktion auf Cybersicherheitsvorfälle.
- Incident-Response-Plan
- 24/7-Erkennungsfähigkeiten
- Eskalationsprozesse
- Forensische Analyse
- Lessons Learned und Verbesserung
Business Continuity & Krisenmanagement
Sicherstellung der Geschäftskontinuität und Wiederherstellungsfähigkeit nach Vorfällen.
- Business-Impact-Analyse
- Backup-Management
- Disaster-Recovery-Pläne
- Regelmäßige Tests und Übungen
- Krisenmanagement-Organisation
Sicherheit der Lieferkette
Management der Risiken aus Beziehungen zu Lieferanten und Dienstleistern.
- Lieferantenbewertung und -auswahl
- Vertragliche Sicherheitsanforderungen
- Überwachung kritischer Lieferanten
- Software-Lieferketten-Risiken (SBOM)
- Exit-Strategien
Sicherheit bei Beschaffung, Entwicklung & Wartung
Integration von Sicherheit in den gesamten Lebenszyklus von Systemen.
- Security by Design
- Sichere Entwicklungspraktiken
- Schwachstellenmanagement
- Patch-Management
- Sichere Konfiguration
Bewertung der Wirksamkeit
Kontinuierliche Überprüfung, ob Sicherheitsmaßnahmen effektiv sind.
- Sicherheitsaudits
- Penetrationstests
- Schwachstellenscans
- KPI-basiertes Monitoring
- Unabhängige Überprüfungen
Cyberhygiene & Schulungen
Grundlegende Cybersicherheitspraktiken und Bewusstseinsbildung.
- Security-Awareness-Programme
- Schulungen für alle Mitarbeiter
- Spezialschulungen für IT/Security
- Phishing-Simulationen
- Geschäftsleitungsschulungen (verpflichtend!)
Kryptographie
Angemessener Einsatz von Verschlüsselung zum Schutz von Daten.
- Verschlüsselung ruhender Daten
- Transportverschlüsselung
- Schlüsselmanagement
- Krypto-Richtlinien
- Post-Quantum-Readiness planen
Personalsicherheit
Sicherheitsmaßnahmen in Bezug auf Mitarbeiter und Partner.
- Sicherheitsüberprüfungen
- Onboarding-/Offboarding-Prozesse
- Vertraulichkeitsvereinbarungen
- Insider-Threat-Programme
- Klare Verantwortlichkeiten
Zugriffskontrolle & Asset Management
Kontrolle über Zugriffsrechte und Verwaltung von Assets.
- Identitäts- und Zugriffsmanagement
- Multi-Faktor-Authentifizierung
- Privileged Access Management
- Regelmäßige Rezertifizierung
- Asset-Inventar und Klassifizierung
Meldepflichten bei Sicherheitsvorfällen
NIS2 führt ein dreistufiges Meldesystem für erhebliche Sicherheitsvorfälle ein. Die Meldung erfolgt an das BSI (in Deutschland) bzw. an das zuständige CSIRT.
Frühwarnung
Unverzüglich, spätestens 24h nach Kenntnis. Erste Meldung mit grundlegenden Informationen: Verdacht auf böswillige Handlung? Grenzüberschreitende Auswirkungen?
Ausführliche Meldung
Innerhalb von 72 Stunden. Aktualisierung mit Bewertung des Vorfalls, Schweregrad, Auswirkungen und Indikatoren für Kompromittierung (IoCs).
Abschlussbericht
Spätestens einen Monat nach Meldung. Detaillierte Beschreibung: Ursachenanalyse, ergriffene Maßnahmen, grenzüberschreitende Auswirkungen.
Was ist ein "erheblicher Sicherheitsvorfall"?
Ein Vorfall gilt als erheblich, wenn er:
- Eine schwerwiegende Betriebsstörung der Dienste verursacht hat oder verursachen kann
- Finanzielle Verluste für das betroffene Unternehmen verursacht hat oder kann
- Andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden betroffen sind oder sein können
Öffentlichkeitsinformation
In bestimmten Fällen müssen betroffene Unternehmen auch die Öffentlichkeit informieren:
- Wenn die Sensibilisierung der Öffentlichkeit zur Verhinderung oder Eindämmung des Vorfalls notwendig ist
- Wenn die Offenlegung im öffentlichen Interesse liegt
- Auf Anweisung des BSI oder der zuständigen Aufsichtsbehörde
NIS2 Umsetzung: Schritt für Schritt
Die Umsetzung von NIS2 ist ein umfangreiches Projekt, das strukturiert angegangen werden sollte. Hier unser bewährter Ansatz:
Betroffenheitsanalyse
Klären Sie zunächst, ob und in welchem Umfang Ihr Unternehmen von NIS2 betroffen ist. Prüfen Sie Sektor, Größe und Kritikalität Ihrer Dienste. Nutzen Sie unseren kostenlosen NIS2 Health-Check für eine erste Einschätzung.
Gap-Analyse durchführen
Vergleichen Sie Ihren aktuellen Sicherheitsstatus mit den NIS2-Anforderungen. Identifizieren Sie Lücken in allen zehn Kernbereichen. Bewerten Sie Ihren Reifegrad und priorisieren Sie Handlungsfelder.
Governance etablieren
NIS2 verlangt explizit die Verantwortung der Geschäftsleitung. Definieren Sie klare Zuständigkeiten, etablieren Sie ein Security-Governance-Framework und planen Sie die verpflichtenden Managementschulungen.
Risikomanagement aufbauen
Implementieren Sie ein systematisches Risikomanagement für Ihre Netz- und Informationssysteme. Führen Sie ein Asset-Inventar, identifizieren Sie kritische Systeme und bewerten Sie Risiken kontinuierlich.
Technische Maßnahmen umsetzen
Implementieren Sie die erforderlichen technischen Sicherheitsmaßnahmen: Zugriffskontrollen, Verschlüsselung, Netzwerksegmentierung, Monitoring, Backup und Patch-Management.
Incident Response aufbauen
Entwickeln Sie einen Incident-Response-Plan, etablieren Sie Erkennungsfähigkeiten und üben Sie die Prozesse regelmäßig. Stellen Sie sicher, dass Sie die 24-Stunden-Meldefrist einhalten können.
Lieferkette absichern
Bewerten Sie Ihre kritischen Lieferanten, integrieren Sie Sicherheitsanforderungen in Verträge und etablieren Sie ein kontinuierliches Lieferanten-Monitoring.
Kontinuierlich verbessern
NIS2-Compliance ist keine einmalige Aufgabe. Etablieren Sie regelmäßige Audits, Penetrationstests und Verbesserungsprozesse. Passen Sie Maßnahmen an neue Bedrohungen an.
Strafen und Haftung unter NIS2
NIS2 bringt einen deutlich verschärften Sanktionsrahmen mit sich – sowohl für Unternehmen als auch für die Geschäftsleitung persönlich.
Bußgelder für Unternehmen
| Unternehmenstyp | Maximales Bußgeld | Alternativ |
|---|---|---|
| Wesentliche Einrichtungen | 10 Millionen Euro | 2% des weltweiten Jahresumsatzes |
| Wichtige Einrichtungen | 7 Millionen Euro | 1,4% des weltweiten Jahresumsatzes |
Es gilt jeweils der höhere Betrag. Bei Konzernen wird der Gesamtumsatz herangezogen.
Persönliche Haftung der Geschäftsleitung
Eine der bedeutendsten Neuerungen: NIS2 macht die Leitungsorgane persönlich verantwortlich für die Cybersicherheit. Dies umfasst:
Pflichten der Geschäftsleitung
- Genehmigung der Risikomanagement-Maßnahmen
- Überwachung der Umsetzung
- Persönliche Teilnahme an Cybersicherheits-Schulungen
- Regelmäßige Befassung mit Sicherheitsberichten
Mögliche Konsequenzen
- Persönliche Geldstrafen
- Haftung für Schäden
- Temporäres Verbot von Leitungsfunktionen
- Öffentliche Bekanntmachung von Verstößen
Weitere Aufsichtsmaßnahmen
Neben Bußgeldern haben Aufsichtsbehörden weitreichende Befugnisse:
- Vor-Ort-Inspektionen und Sicherheitsaudits
- Verbindliche Anweisungen zur Behebung von Mängeln
- Öffentliche Warnungen bei Nichteinhaltung
- Temporäre Aussetzung von Zertifizierungen oder Genehmigungen
- Bei wesentlichen Einrichtungen: Proaktive Überwachung durch regelmäßige Audits
NIS2 vs. KRITIS vs. DORA: Der Überblick
In der deutschen Regulierungslandschaft gibt es mehrere sich überschneidende Regelwerke zur Cybersicherheit. Hier die wichtigsten Unterschiede:
| Aspekt | NIS2 | KRITIS (BSI-Gesetz) | DORA |
|---|---|---|---|
| Rechtsform | EU-Richtlinie (NIS2UmsuCG) | Nationales Recht | EU-Verordnung (direkt) |
| Zielgruppe | 18 kritische Sektoren | 10 KRITIS-Sektoren | Nur Finanzsektor |
| Betroffene (DE) | ~30.000 Unternehmen | ~2.000 Unternehmen | ~3.500 Finanzunternehmen |
| Schwellenwerte | 50+ MA / 10+ Mio. € | Hoch (z.B. 500.000 Versorgte) | Alle Finanzunternehmen |
| Meldefrist | 24h / 72h / 1 Monat | Unverzüglich | 4h / 72h / 1 Monat |
| Strafen max. | 10 Mio. € / 2% Umsatz | 2 Mio. € | 10 Mio. € / 5% Umsatz |
| Pers. Haftung GL | Ja | Begrenzt | Ja |
Was gilt für Finanzunternehmen?
Für den Finanzsektor gilt eine besondere Regelung: DORA (Digital Operational Resilience Act) ist als EU-Verordnung direkt anwendbar und gilt als lex specialis gegenüber NIS2. Das bedeutet:
- Banken, Versicherungen und andere Finanzunternehmen müssen primär DORA einhalten
- NIS2-Anforderungen werden durch DORA erfüllt (keine doppelte Compliance notwendig)
- DORA geht in vielen Bereichen über NIS2 hinaus (z.B. TLPT, Drittparteienregister)
Für Nicht-Finanzunternehmen in kritischen Sektoren gilt NIS2 als neuer Standard, der die bisherigen KRITIS-Anforderungen erweitert und harmonisiert.
Niagons Expertise
Wir kommen aus dem Finanzsektor und kennen DORA, BAIT und MaRisk. Diese Erfahrung bringen wir nun in KRITIS-Sektoren wie Energie, Gesundheit und Transport ein – als Brücke zwischen Banking-Compliance und kritischer Infrastruktur.
Warum Niagon für Ihre NIS2-Umsetzung?
Regulatorik-Expertise
Wir verstehen das Zusammenspiel von NIS2, DORA, ISO 27001 und branchenspezifischen Anforderungen. Ein integrierter Ansatz spart Aufwand und vermeidet Redundanzen.
Von Banking zu KRITIS
Unsere Kernkompetenz liegt in der Finanzbranche – einer der am stärksten regulierten Branchen. Diese Erfahrung übertragen wir auf andere kritische Sektoren.
Pragmatische Umsetzung
Keine theoretischen Konzepte, sondern umsetzbare Maßnahmen. Wir kennen die Balance zwischen Compliance-Anforderungen und betrieblicher Realität.
Unsere NIS2-Leistungen
- NIS2 Health-Check: Kostenlose Betroffenheitsprüfung und Ersteinschätzung
- Gap-Analyse: Systematische Analyse gegen alle 10 NIS2-Kernbereiche
- Risikomanagement: Aufbau eines NIS2-konformen Risikomanagements
- Incident Response: Entwicklung von IR-Plänen und Übungen
- Lieferkettensicherheit: Assessment und Absicherung kritischer Lieferanten
- Governance: Schulungen für Geschäftsleitung und Dokumentation
- Umsetzungsbegleitung: Hands-on Unterstützung bei der Implementierung
- Prüfungsvorbereitung: Fit für BSI-Audits und externe Prüfungen
Häufige Fragen zu NIS2 (FAQ)
Was ist NIS2?
NIS2 (Network and Information Security Directive 2) ist eine EU-Richtlinie zur Cybersicherheit kritischer Infrastrukturen. Sie ersetzt die ursprüngliche NIS-Richtlinie von 2016 und erweitert den Anwendungsbereich erheblich. In Deutschland wird NIS2 durch das NIS2-Umsetzungsgesetz (NIS2UmsuCG) in nationales Recht überführt.
Für wen gilt NIS2?
NIS2 gilt für Unternehmen in 18 kritischen Sektoren: Energie, Transport, Bankwesen, Finanzmarktinfrastrukturen, Gesundheit, Trinkwasser, Abwasser, Digitale Infrastruktur, IKT-Dienste, öffentliche Verwaltung, Raumfahrt, Post, Abfallwirtschaft, Chemie, Lebensmittel, Produktion, Forschung und digitale Dienste. Die Größenschwellen sind 50+ Mitarbeiter oder 10+ Mio. Euro Umsatz.
Was kostet eine NIS2 Gap-Analyse?
Eine NIS2 Gap-Analyse kostet typischerweise zwischen 15.000€ und 60.000€, abhängig von der Unternehmensgröße, Komplexität der IT-Infrastruktur und dem Sektor. Kritische Infrastrukturen mit komplexen OT-Umgebungen liegen am oberen Ende dieser Spanne.
Welche Strafen drohen bei NIS2-Verstößen?
Bei NIS2-Verstößen drohen empfindliche Bußgelder: Für wesentliche Einrichtungen bis zu 10 Millionen Euro oder 2% des weltweiten Jahresumsatzes. Für wichtige Einrichtungen bis zu 7 Millionen Euro oder 1,4% des Umsatzes. Zusätzlich können Leitungsorgane persönlich haftbar gemacht werden.
Was ist der Unterschied zwischen NIS2 und KRITIS?
KRITIS (nach BSI-Gesetz) galt bisher für kritische Infrastrukturen mit hohen Schwellenwerten (z.B. 500.000 versorgte Personen). NIS2 erweitert dies erheblich: Mehr Sektoren, niedrigere Schwellenwerte (50+ Mitarbeiter), und unterscheidet zwischen "wesentlichen" und "wichtigen" Einrichtungen. NIS2 erfasst etwa 30.000 Unternehmen in Deutschland – zehnmal mehr als KRITIS.
Ab wann gilt NIS2 in Deutschland?
Die EU-Richtlinie NIS2 musste bis Oktober 2024 in nationales Recht umgesetzt werden. Deutschland hat das NIS2-Umsetzungsgesetz (NIS2UmsuCG) verabschiedet. Betroffene Unternehmen sollten umgehend mit der Umsetzung beginnen, da die Anforderungen komplex sind und Übergangsfristen kurz.
Was sind die wichtigsten NIS2-Anforderungen?
Die zehn Kernbereiche von NIS2 umfassen: Risikoanalyse und Sicherheitskonzepte, Incident Management, Business Continuity, Lieferkettensicherheit, Sicherheit bei Entwicklung und Wartung, Bewertung der Wirksamkeit, Cyberhygiene und Schulungen, Kryptographie, Personalsicherheit sowie Zugriffskontrolle und Asset Management.
Wie schnell müssen Sicherheitsvorfälle gemeldet werden?
NIS2 verlangt ein dreistufiges Meldesystem: Frühwarnung innerhalb von 24 Stunden, detaillierte Meldung innerhalb von 72 Stunden, und ein Abschlussbericht innerhalb eines Monats. Bei erheblichen Vorfällen muss auch die Öffentlichkeit informiert werden, wenn dies zur Eindämmung notwendig ist.
Haftet die Geschäftsleitung persönlich für NIS2?
Ja, NIS2 führt eine persönliche Verantwortung der Geschäftsleitung ein. Leitungsorgane müssen Risikomanagement-Maßnahmen genehmigen und deren Umsetzung überwachen. Sie müssen an Cybersicherheits-Schulungen teilnehmen. Bei Pflichtverletzungen drohen persönliche Haftung und temporäres Verbot von Leitungsfunktionen.
Wie unterstützt Niagon bei der NIS2-Umsetzung?
Niagon bietet einen ganzheitlichen NIS2-Beratungsansatz: Kostenloser Health-Check zur Betroffenheitsprüfung, detaillierte Gap-Analyse gegen alle NIS2-Anforderungen, Erstellung eines priorisierten Maßnahmenplans, Begleitung der Umsetzung, Aufbau von Incident-Response-Fähigkeiten und Vorbereitung auf BSI-Prüfungen.
Bereit für NIS2?
Prüfen Sie jetzt mit unserem kostenlosen NIS2 Health-Check, ob Ihr Unternehmen betroffen ist und welche Maßnahmen Sie ergreifen müssen.