Die NIS2-Richtlinie (Directive (EU) 2022/2555, offiziell „Richtlinie über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union") ist das zentrale EU-Gesetz zur Cybersicherheit. Sie löst die erste NIS-Richtlinie von 2016 ab, erweitert den Kreis der Betroffenen drastisch und führt erstmals eine persönliche Haftung der Geschäftsleitung ein. Diese Seite erklärt, was NIS2 konkret verlangt – und verlinkt bei jeder Pflicht direkt zur passenden Vorlage.
Was ist die NIS2-Richtlinie?
NIS2 wurde am 27. Dezember 2022 im Amtsblatt der EU veröffentlicht und trat am 16. Januar 2023 in Kraft. Als Richtlinie (im Unterschied zu einer Verordnung wie der DSGVO oder dem Cyber Resilience Act) gilt sie nicht unmittelbar, sondern musste bis zum 17. Oktober 2024 von jedem EU-Mitgliedstaat in nationales Recht umgesetzt werden. In Deutschland geschieht dies über das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), das die Pflichten in einen neu gefassten §30 BSIG (BSI-Gesetz) überführt. Den aktuellen Umsetzungsstand in allen EU-Ländern zeigt unser NIS2-Status-Tracker.
Wer ist von NIS2 betroffen?
NIS2 gilt für Organisationen, die gleichzeitig zwei Bedingungen erfüllen: Sie sind in einem der 18 erfassten Sektoren tätig und überschreiten bestimmte Größenschwellen.
Sektoren hoher Kritikalität (Anhang I): Energie, Verkehr, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, digitale Infrastruktur, IKT-Dienstleistungsmanagement (B2B), öffentliche Verwaltung, Weltraum.
Sonstige kritische Sektoren (Anhang II): Post- und Kurierdienste, Abfallbewirtschaftung, Chemikalien, Lebensmittel, verarbeitendes Gewerbe (u. a. Medizinprodukte, Elektronik, Maschinenbau, Fahrzeugbau), digitale Anbieter (Online-Marktplätze, Suchmaschinen, soziale Netzwerke), Forschung.
Die Größenschwellen folgen der EU-KMU-Definition:
- Wesentliche Einrichtung (Essential Entity): mehr als 250 Beschäftigte oder mehr als 50 Mio. € Jahresumsatz, in einem Sektor hoher Kritikalität – unterliegt proaktiver Aufsicht (Behörden können jederzeit prüfen).
- Wichtige Einrichtung (Important Entity): 50-250 Beschäftigte oder 10-50 Mio. € Jahresumsatz – unterliegt reaktiver Aufsicht (Prüfung meist erst nach Vorfall oder Hinweis).
Wichtig: Einige Organisationen fallen unabhängig von ihrer Größe unter NIS2 (z. B. Vertrauensdiensteanbieter, TLD-Registries, bestimmte öffentliche Verwaltungen). Prüfen Sie Ihre konkrete Betroffenheit mit dem kostenlosen NIS2-Check.
Die 10 Mindestmaßnahmen nach Art. 21 – und die passende Vorlage dazu
Art. 21 NIS2 definiert zehn Kategorien von Risikomanagementmaßnahmen, die „auf Basis eines Alles-Gefahren-Ansatzes" umzusetzen sind. Jede Maßnahme ist unten mit der jeweils passenden Vorlage aus unserem Templates-Katalog verknüpft:
| Art. 21-Maßnahme | Kurzbeschreibung | Vorlage |
|---|---|---|
| 1. Risikoanalyse & Sicherheitskonzept | Strukturierte Bewertung aller Risiken für Netz- und Informationssysteme | Risikomanagement Kit → |
| 2. Bewältigung von Sicherheitsvorfällen | Prozesse zur Erkennung, Reaktion, Meldung von Vorfällen | Incident Reporting Kit → |
| 3. Aufrechterhaltung des Betriebs | Backup-Management, Notfallwiederherstellung, Krisenmanagement | Business Continuity Kit → |
| 4. Sicherheit der Lieferkette | Bewertung und vertragliche Absicherung von Zulieferern | Lieferketten-Sicherheit Kit → |
| 5. Sicherheit bei Erwerb, Entwicklung & Wartung | Security-by-Design, Patch-Management, sichere Entwicklung | IT-Sicherheitsrichtlinien Kit → |
| 6. Bewertung der Wirksamkeit | Regelmäßige Überprüfung, ob Maßnahmen tatsächlich wirken | Risikomanagement Kit → |
| 7. Cyberhygiene & Schulungen | Grundlegende Sicherheitspraktiken, Awareness-Trainings | IT-Sicherheitsrichtlinien Kit → |
| 8. Kryptografie-Konzepte | Richtlinien für Verschlüsselung und kryptografische Verfahren | IT-Sicherheitsrichtlinien Kit → |
| 9. Personalsicherheit & Zugangskontrollen | Berechtigungsmanagement, Need-to-know, Offboarding | IT-Sicherheitsrichtlinien Kit → |
| 10. Multi-Faktor-Authentifizierung | MFA für privilegierte und externe Zugänge | IT-Sicherheitsrichtlinien Kit → |
Ergänzend regelt Art. 20 die persönliche Verantwortung der Geschäftsleitung – dafür gibt es das Geschäftsleitungs-Paket →. Alle sechs Kits im Sparpaket: Komplett-Bundle ansehen →. Die vollständige Zuordnung aller Maßnahmen zu §30 BSIG zeigt die §30-BSIG-Mapping-Tabelle.
Meldepflichten nach Art. 23: Das 24-72-1-Monats-Modell
Bei einem „erheblichen Sicherheitsvorfall" gilt ein dreistufiges Fristenmodell:
- Frühwarnung binnen 24 Stunden: erste Meldung an die nationale CSIRT/Behörde, inkl. Verdacht auf rechtswidrige Handlung oder grenzüberschreitende Auswirkung.
- Meldung binnen 72 Stunden: aktualisierte Einschätzung mit erster Bewertung von Schweregrad und Auswirkungen.
- Abschlussbericht binnen 1 Monat: detaillierte Beschreibung des Vorfalls, Ursachenanalyse, ergriffene und geplante Gegenmaßnahmen.
Ein Delegierter Rechtsakt der Kommission ((EU) 2026/1421) konkretisiert seit Juli 2026 EU-weit einheitliche Schwellenwerte, ab wann ein Vorfall als „erheblich" gilt. Details dazu im Artikel Delegierter Rechtsakt: Schwellenwerte für erhebliche Vorfälle.
Geschäftsleitungshaftung nach Art. 20
NIS2 ist die erste EU-Cybersicherheitsregulierung, die explizit die persönliche Verantwortung von Geschäftsführung und Vorstand regelt. Die Leitungsorgane müssen die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und sich selbst regelmäßig schulen lassen. Diese Pflicht ist nicht delegierbar – „das macht die IT-Abteilung" reicht als Nachweis nicht aus. Bei gravierenden Verstößen sehen einige nationale Umsetzungen (in Deutschland §38 BSIG) vorübergehende Tätigkeitsverbote für Führungskräfte vor.
Sanktionen bei Verstößen
Art. 34 NIS2 legt EU-weit einheitliche Bußgeldrahmen fest:
- Wesentliche Einrichtungen: bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist.
- Wichtige Einrichtungen: bis zu 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes.
Zusätzlich zu Geldbußen können Aufsichtsbehörden Anordnungen, Audits und in gravierenden Fällen die vorübergehende Aussetzung von Zertifizierungen oder Genehmigungen verhängen.
Nationale Umsetzung: Wo steht Ihr Land?
Da NIS2 eine Richtlinie ist, unterscheiden sich Umsetzungsstand, genaue Fristen und teils auch Detailregelungen von Mitgliedstaat zu Mitgliedstaat. Viele Länder – darunter Deutschland – haben die Umsetzungsfrist vom 17. Oktober 2024 überschritten. Den tagesaktuellen Stand aller 27 EU-Mitgliedstaaten inkl. Gesetzestitel, Inkrafttreten und Registrierungsfristen zeigt unser NIS2-Status-Tracker.
Verhältnis zu anderen EU-Regulierungen
NIS2 ist der organisatorische Kern der EU-Cybersicherheitsarchitektur, wird aber durch mehrere Spezialregelungen ergänzt: Der Cyber Resilience Act adressiert die Produktsicherheit vernetzter Hard- und Software, DORA ersetzt NIS2 im Finanzsektor als lex specialis, die CER-Richtlinie regelt die physische Resilienz derselben Sektoren, und die DSGVO greift zusätzlich, sobald personenbezogene Daten betroffen sind. Einen vollständigen Überblick bietet unser EU Cyber-Regulierung Wiki.
Praktische nächste Schritte
- Betroffenheit klären: kostenloser NIS2-Check (2 Minuten).
- Gap-Analyse gegen die 10 Art.-21-Maßnahmen durchführen – Anleitung: NIS2-Audit-Vorbereitung Schritt für Schritt.
- Dokumentation aufbauen mit fertigen NIS2-Vorlagen statt bei null zu starten.
- Geschäftsleitung einbinden und schulen (Art. 20-Pflicht).
- Registrierung bei der zuständigen nationalen Behörde nicht versäumen – Fristen im Status-Tracker.
Häufig gestellte Fragen zur NIS2-Richtlinie
NIS2 ist eine Richtlinie (Directive (EU) 2022/2555) und muss daher von jedem Mitgliedstaat erst in nationales Recht umgesetzt werden – anders als eine Verordnung, die unmittelbar gilt.
EU-Kommission und ENISA gehen von rund 350.000 Organisationen EU-weit aus.
Wesentliche Einrichtungen sind größer (i. d. R. >250 Beschäftigte/>50 Mio. € Umsatz) und unterliegen proaktiver Aufsicht; wichtige Einrichtungen sind kleiner (50-250 Beschäftigte/10-50 Mio. € Umsatz) und werden meist reaktiv geprüft.
Bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes für wesentliche, bis zu 7 Mio. € oder 1,4 % für wichtige Einrichtungen.
Nein – ISO 27001 ist ein guter Ausgangspunkt, deckt aber Meldefristen, Geschäftsleitungsschulung und Registrierungspflichten nicht ab. Details: NIS2 vs. ISO 27001.