Was ist die NIS2-Richtlinie?

NIS2: Definition und Hintergrund

NIS2 (Network and Information Security Directive 2) ist die zweite EU-Richtlinie zur Netz- und Informationssicherheit und löst die NIS-Richtlinie von 2016 ab. Sie soll ein einheitlich hohes Sicherheitsniveau in der EU schaffen und erfasst deutlich mehr Unternehmen als bisher. Als Richtlinie musste sie von den Mitgliedstaaten in nationales Recht überführt werden.

In Deutschland erfolgt die Umsetzung durch das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz, das vor allem das BSI-Gesetz erweitert. Zuständige Behörde ist das Bundesamt für Sicherheit in der Informationstechnik (BSI). Maßgeblich für Ihre konkreten Pflichten ist stets der aktuelle Gesetzestext.

Wer ist betroffen?

Erfasst sind „besonders wichtige“ und „wichtige“ Einrichtungen aus bestimmten Sektoren, darunter Energie, Verkehr, Gesundheit, Wasser, digitale Infrastruktur und IT-Dienstleistungen, aber auch Post, Abfallwirtschaft, Chemie, Lebensmittel, digitale Dienste und das verarbeitende Gewerbe, etwa Maschinenbau oder Elektronikfertigung. Als Faustregel kommen Unternehmen ab mittlerer Größe in Betracht, also ab etwa 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme.

Entscheidend sind Sektor, Tätigkeit und Größe, nicht die Rechtsform. Auch nicht direkt erfasste Unternehmen spüren die Regeln häufig mittelbar, weil betroffene Kunden Sicherheitsanforderungen an ihre Zulieferer und Dienstleister weitergeben. Orientierung zur eigenen Betroffenheit geben das BSI und Branchenverbände; im Zweifel lohnt sich eine frühe Prüfung, weil Umsetzung Zeit braucht.

Pflichten im Überblick

Betroffene Einrichtungen müssen geeignete technische und organisatorische Maßnahmen umsetzen. Die Geschäftsleitung muss sie billigen, überwachen und sich schulen lassen und haftet bei Pflichtverletzungen. Erhebliche Sicherheitsvorfälle sind dem BSI in Stufen zu melden: Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden, Abschlussbericht nach spätestens einem Monat. Hinzu kommt eine Registrierung beim BSI.

Bei Verstößen drohen Bußgelder. Die Richtlinie verlangt für besonders wichtige Einrichtungen Höchstbeträge von mindestens 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes, für wichtige Einrichtungen niedrigere Grenzen. Neben Geldbußen sind weitere Aufsichtsmaßnahmen vorgesehen, etwa Prüfungen, Nachweisanforderungen und Anordnungen der Behörde, die den Betrieb spürbar belasten können.

• Risikoanalyse und Sicherheitskonzepte für Informationssysteme
• Umgang mit Sicherheitsvorfällen und Notfallmanagement, einschließlich Backups
• Sicherheit der Lieferkette und von Dienstleistern
• Schwachstellenmanagement und Sicherheit bei Beschaffung und Entwicklung
• Kryptografie, Zugriffskontrolle und Mehrfaktor-Authentifizierung
• Schulungen und grundlegende Cyberhygiene

Praxis­bei­spiel: Maschi­nen­bauer mit 120 Beschäf­tigten

Ein Maschinenbauer mit 120 Beschäftigten und rund 25 Millionen Euro Umsatz prüft seine Betroffenheit und stellt fest, dass er als Hersteller von Maschinen zu den erfassten Sektoren gehören kann. Bisher gibt es Virenschutz, ein Backup und eine Firewall, aber keinen Notfallplan, kein Lieferantenmanagement und keine klare Zuständigkeit für Informationssicherheit.

Das Unternehmen benennt Verantwortliche, führt eine Risikoanalyse durch, ergänzt Mehrfaktor-Anmeldung und getestete Backups, legt Meldewege für Vorfälle fest und bindet die Geschäftsführung ein. Wichtige Dienstleister werden vertraglich auf Sicherheitsanforderungen verpflichtet, etwa Rechenzentrum, Wartungspartner und IT-Dienstleister. Die Dokumentation aller Schritte dient später als Nachweis gegenüber Behörden und Kunden.

Vorbereitung und Umsetzung

Der Einstieg ist eine Betroffenheitsprüfung, danach folgt eine Lückenanalyse gegen die geforderten Maßnahmen. Typische Fehler sind Abwarten, die Delegation allein an die IT und fehlende Dokumentation. Technisch sind Mehrfaktor-Anmeldung, Patch-Management, Backups und Notfallplanung die ersten Hebel; Normen wie ISO 27001 geben Struktur. Nano Concepts unterstützt bei Härtung, Updates, Backup, Zugriffsschutz und Monitoring.

Die rechtliche Prüfung von Betroffenheit und Pflichten gehört in die Hände von Fachanwälten oder spezialisierten Beratern, die den aktuellen Gesetzestext und Ihre Branche kennen. Sie klären auch verbindlich, welche Pflichten im Einzelfall tatsächlich für Ihr Unternehmen gelten. Dieser Beitrag ersetzt keine Rechtsberatung.