NIS2 Richtlinie: Der komplette Leitfaden zu Pflichten, Fristen und Umsetzung

Mit der NIS2-Richtlinie erhöht die EU die Anforderungen an Cybersicherheit kritischer Infrastrukturen und Unternehmen. Auf dieser Übersichtsseite erklären wir, was NIS2 bedeutet, wer betroffen ist, welche Pflichten bestehen und wie Sie schrittweise zur Compliance gelangen. Erfahren Sie jetzt alles, was Sie zum Thema NIS2 wissen müssen, um bestens gewappnet zu sein.

Unsicherheit bei NIS2? Hier geht's zum NIS2-Check

1. Was ist die NIS2 Richtlinie?

Die NIS2-Richtlinie (Network and Information Security Directive 2) ist eine EU-weite Verordnung, die den Schutz kritischer Einrichtungen vor Cyberangriffen verbessern soll. Sie löst die 2016 eingeführte NIS1-Richtlinie ab, deren Wirkung in der Praxis deutlich hinter den Erwartungen zurückblieb: Zu wenige Sektoren waren erfasst, die Umsetzung fiel von Mitgliedstaat zu Mitgliedstaat sehr unterschiedlich aus, und Sanktionen wurden kaum durchgesetzt. NIS2 schließt genau diese Lücken.

Die NIS2-Richtlinie wurde am 05.12.2025 im Bundesgesetzblatt veröffentlicht und ist seit dem 06.12.2025 in Deutschland in Kraft. Alle EU-Länder müssen die Vorgaben in nationales Recht umsetzen, wobei sich Details in der jeweiligen nationalen Ausgestaltung unterscheiden können. In Deutschland erfolgt die Umsetzung über das NIS2-Umsetzungsgesetz, das unter anderem Änderungen am BSI-Gesetz vorsieht.

Drei Veränderungen unterscheiden NIS2 grundlegend von der Vorgängerrichtlinie:

NIS2 erweitert damit nicht nur den Kreis der Betroffenen, sondern verändert auch, wie Cybersicherheit organisatorisch verankert werden muss: von einer rein technischen IT-Aufgabe zu einer Frage der Unternehmensführung.

2. Welche Ziele verfolgt die EU mit NIS2?

Die NIS2-Richtlinie verfolgt ein übergeordnetes Ziel: ein einheitlich hohes Cybersicherheitsniveau in der gesamten Europäischen Union zu schaffen. Der Hintergrund dafür ist ernüchternd konkret. Die Zahl schwerwiegender Cyberangriffe auf Unternehmen und öffentliche Einrichtungen in Europa ist in den vergangenen Jahren drastisch gestiegen, während die Reife der Cybersicherheitsmaßnahmen zwischen Branchen und Mitgliedstaaten stark variierte. Ein Angriff auf einen schlecht geschützten Zulieferer in einem Mitgliedstaat kann heute innerhalb von Stunden Auswirkungen auf Unternehmen in ganz Europa haben.

Konkret verfolgt die EU mit NIS2 vier Teilziele:

Erhöhung des Schutzniveaus kritischer Sektoren: Energie, Gesundheit, Transport, Trinkwasser, digitale Infrastruktur und weitere für die Gesellschaft essenzielle Bereiche sollen widerstandsfähiger gegen Cyberangriffe werden, weil ein Ausfall in diesen Sektoren unmittelbare Konsequenzen für die Bevölkerung hat.

Vereinheitlichung der Umsetzung EU-weit: Unter NIS1 setzten Mitgliedstaaten die Anforderungen sehr unterschiedlich um, was zu einem Flickenteppich an Sicherheitsniveaus führte. NIS2 gibt deutlich konkretere Mindestanforderungen vor, um diese Unterschiede zu verringern.

Stärkung der Zusammenarbeit zwischen Mitgliedstaaten: Über nationale CSIRTs (Computer Security Incident Response Teams) und eine europäische Kooperationsgruppe soll der Informationsaustausch über Bedrohungen und Vorfälle grenzüberschreitend verbessert werden.

Verantwortlichkeit auf Führungsebene verankern: Indem Geschäftsführer persönlich in die Pflicht genommen werden, will die EU sicherstellen, dass Cybersicherheit nicht länger als reines IT-Thema behandelt, sondern als strategische Managementaufgabe wahrgenommen wird.

Warum das für Sie relevant ist: Wenn Ihr Unternehmen zu einem Sektor gehört, der als besonders schützenswert gilt, oder Teil der Lieferkette eines solchen Sektors ist, profitieren nicht nur Sie von höheren Sicherheitsstandards, sondern auch Ihre Kunden und Geschäftspartner verlangen zunehmend den Nachweis entsprechender Maßnahmen, unabhängig davon, ob Sie formal unter NIS2 fallen.

3. Welche Unternehmen sind von NIS2 betroffen?

Die NIS2-Richtlinie unterscheidet zwischen wichtigen und besonders wichtigen Einrichtungen. Diese Einstufung ist keine reine Formalie, sie bestimmt, wie streng die jeweiligen Pflichten und Kontrollen ausfallen.

Wichtig zu verstehen ist, dass die Einordnung nicht allein von der Unternehmensgröße abhängt. Auch kleinere Unternehmen können erfasst sein, wenn sie in einem der als kritisch definierten Sektoren tätig sind oder eine besonders wichtige Rolle für die Versorgungssicherheit spielen, etwa als einziger regionaler Anbieter einer kritischen Dienstleistung. Umgekehrt fallen viele Unternehmen außerhalb der genannten Sektoren auch bei größerer Belegschaft nicht unter NIS2, solange sie keiner der erfassten Branchen zuzurechnen sind.

Die verlässlichste Methode, Ihre Betroffenheit zu klären, ist eine strukturierte Prüfung anhand der tatsächlichen BSI-Kriterien, nicht eine grobe Selbsteinschätzung nach Bauchgefühl. Genau das leistet unser NIS2-Check in wenigen Minuten.

Hier geht's zum unverbindlichen NIS2-Check

4. Was bedeutet die Beweislastumkehr in NIS2 für Geschäftsführer?

Mit der NIS2-Richtlinie tragen Geschäftsführer im Falle eines erfolgreichen Cyberangriffs die Beweislast. Sie müssen nachweisen, dass sie alle erforderlichen Sicherheitsmaßnahmen ergriffen haben. Gelingt dies nicht, droht eine persönliche finanzielle Haftung.

Das bedeutet konkret: Nicht die Behörde muss beweisen, dass Sie fahrlässig gehandelt haben, sondern Sie müssen belegen, dass Sie es nicht haben. Diese Umkehrung der Beweislast ist einer der einschneidendsten Punkte der gesamten Richtlinie, weil sie die Anforderungen an Dokumentation und Nachweisbarkeit erheblich erhöht.

Kommt es zu einem Cyberangriff und lässt sich nachweisen, dass Sicherheitsmaßnahmen unzureichend waren, Risiken nicht bewertet wurden oder Dokumentation und Schulungen fehlen, kann die Geschäftsführung persönlich haftbar gemacht werden. Schon diese Versäumnisse allein gelten als Pflichtverletzung, unabhängig davon, wie der Angriff im Detail ablief.

Ihr Schutz vor Haftung besteht deshalb nicht darin, einen Angriff vollständig zu verhindern, das kann niemand garantieren, sondern darin, lückenlos nachweisen zu können, dass angemessene, dem Stand der Technik entsprechende Maßnahmen getroffen wurden. Eine saubere Dokumentation ist damit nicht Bürokratie um ihrer selbst willen, sondern die einzige wirksame Verteidigung im Ernstfall.

Betroffene Unternehmen müssen sich zudem bei der zuständigen Behörde (BSI) registrieren. Diese Registrierungspflicht ist ein rein formaler, aber verpflichtender Schritt, der unabhängig von jeder inhaltlichen Umsetzung besteht und für sich genommen bereits Sanktionen auslösen kann, wenn er versäumt wird.

5. Welche Maßnahmen müssen (besonders) wichtige Einrichtungen treffen?

Gemäß dem neuen EU-Cybersicherheitsgesetz sind Einrichtungen verpflichtet, die Auswirkungen von Cyberangriffen so gering wie möglich zu halten. Dafür sind sowohl technische als auch organisatorische Maßnahmen nötig. Um die Behördenanforderungen der NIS2 zu erfüllen, reichen die Maßnahmen von der Einrichtung effektiver Sicherheitsmechanismen bis hin zur Implementierung klarer Prozesse für den Ernstfall.

Eine gezielte Planung stärkt Ihre IT-Abwehr nachhaltig.

5.1 Technische und organisatorische Maßnahmen

Gemäß NIS2 sind Unternehmen verpflichtet, technische und organisatorische Maßnahmen zu implementieren, um ihre IT-Systeme vor Cyberangriffen zu schützen. Ziel ist es, die Vertraulichkeit, Integrität und Verfügbarkeit sensibler Daten zu gewährleisten.

Diese Maßnahmen dienen dazu, die Auswirkungen von Sicherheitsvorfällen zu minimieren und kritische Abläufe in wichtigen Einrichtungen aufrechtzuerhalten, ein entscheidender Schritt für umfassende Cyberresilienz.

5.2 Orientierung an Standards

NIS2 fordert Unternehmen auf, sich am aktuellen Stand der Technik und internationalen Normen zu orientieren. Maßnahmen müssen auf einem risikobasierten Ansatz beruhen und folgende Bereiche abdecken: Vorfallbewältigung (Analyse, Sicherheitssysteme und Notfallpläne), Lieferkettensicherheit (strenge Anforderungen für Partner und Dienstleister, mehr dazu in unserem Artikel zur NIS2-Lieferkettensicherheit) sowie Cyberhygiene und Schulungen für sichere Entwicklung und Wartung von IT-Systemen.

5.3 Technische Anforderungen durch den EU-Durchführungsakt im Detail

Neben der NIS2-Richtlinie selbst hat die EU-Kommission einen Durchführungsrechtsakt erlassen, der für bestimmte Kategorien von Einrichtungen, insbesondere Anbieter digitaler Infrastruktur wie Cloud-Computing-Dienste, Rechenzentren, Content-Delivery-Netzwerke und Anbieter verwalteter Sicherheitsdienste, präzisere technische und methodische Vorgaben festlegt.

Diese Präzisierung war nötig, weil die Richtlinie selbst bewusst technologieneutral formuliert ist und Begriffe wie „Stand der Technik" oder „angemessene Maßnahmen" allein zu viel Interpretationsspielraum geboten hätten. Der Durchführungsrechtsakt konkretisiert unter anderem Anforderungen an Zugriffskontrolle, Verschlüsselung, Multi-Faktor-Authentifizierung, Protokollierung sicherheitsrelevanter Ereignisse und die Absicherung von Fernzugriffen.

Für betroffene Unternehmen bedeutet das: Es reicht nicht, allgemein „gute IT-Sicherheit" nachzuweisen. Für die im Durchführungsrechtsakt genannten Bereiche müssen Sie belegen können, dass Sie die dort beschriebenen spezifischen technischen Maßnahmen tatsächlich umgesetzt haben.

5.4 Folgen der Missachtung im Detail

Kommen Unternehmen den Vorgaben des Durchführungsrechtsakts nicht nach, kann das Bundesministerium des Innern und für Heimat zusätzliche, konkretisierende Vorgaben erlassen. In der Praxis bedeutet das ein gestuftes Vorgehen: Zunächst erfolgt in der Regel eine Beanstandung durch die Aufsichtsbehörde mit der Aufforderung zur Nachbesserung innerhalb einer gesetzten Frist. Wird dieser Aufforderung nicht nachgekommen, drohen Anordnungen, die von der verpflichtenden Umsetzung konkreter technischer Maßnahmen bis zu Bußgeldern reichen können.

Besonders relevant: Eine wiederholte oder besonders schwerwiegende Missachtung kann auch dazu führen, dass die Behörde die Eignung der Geschäftsführung zur Ausübung ihrer Leitungsfunktion in Frage stellt, in extremen Fällen bis hin zu einem zeitweiligen Tätigkeitsverbot für Verantwortliche in besonders wichtigen Einrichtungen.

5.5 Erlaubte IKT-Produkte, Dienste und Prozesse im Detail

Besonders wichtige Einrichtungen dürfen nur IKT-Produkte, -Dienste und -Prozesse nutzen, die eine gültige Cybersicherheitszertifizierung nach Artikel 49 der Verordnung (EU) 2019/881, dem sogenannten Cybersecurity Act, aufweisen. Diese europäischen Zertifizierungsschemata bewerten Produkte und Dienste nach einheitlichen Sicherheitskriterien und schaffen damit eine verlässliche Vergleichsbasis über Ländergrenzen hinweg.

In der Praxis bedeutet das für die Beschaffung: Bevor Sie neue Software, Hardware oder Cloud-Dienste einführen, sollten Sie prüfen, ob für die jeweilige Produktkategorie bereits ein europäisches Zertifizierungsschema existiert, und wenn ja, ob das gewählte Produkt entsprechend zertifiziert ist. Für viele gängige IT-Produkte existieren solche Schemata aktuell noch nicht vollständig, die EU baut das Zertifizierungssystem sukzessive aus. Solange kein spezifisches Schema verfügbar ist, orientieren Sie sich am besten an etablierten internationalen Standards wie ISO 27001 oder Common Criteria.

5.6 Informationsaustauschpflicht und Strafverfolgung im Detail

NIS2 sieht vor, dass Unternehmen sicherheitsrelevante Informationen, etwa über neu entdeckte Schwachstellen oder beobachtete Angriffsmuster, freiwillig mit Behörden und teilweise auch mit anderen betroffenen Unternehmen austauschen können. Um diesen Austausch nicht durch Angst vor rechtlichen Konsequenzen zu behindern, stellt § 6 klar: Eine freiwillige Meldung darf keine zusätzlichen rechtlichen Verpflichtungen auslösen, die ohne diese Meldung nicht bestanden hätten.

Diese Regelung ist bewusst so gestaltet, dass sie einen Anreiz zur Kooperation schafft, statt Unternehmen durch Meldungen zusätzlich rechtlich angreifbar zu machen. Das unterscheidet die freiwillige Informationsweitergabe klar von den verpflichtenden Meldefristen bei tatsächlichen Sicherheitsvorfällen aus Abschnitt 6, die davon unberührt bleiben.

5.7 Branchenspezifische Sicherheitsstandards im Detail

Da die Anforderungen einzelner Branchen stark variieren, erlaubt NIS2 besonders wichtigen Einrichtungen und ihren Branchenverbänden, eigene, branchenspezifische Sicherheitsstandards zu entwickeln. Voraussetzung ist, dass diese Standards die Mindestanforderungen der NIS2-Richtlinie nicht unterschreiten.

Das Bundesamt für Sicherheit in der Informationstechnik prüft auf Antrag, ob ein vorgeschlagener Branchenstandard geeignet ist, die gesetzlichen NIS2-Anforderungen zu erfüllen. Für Unternehmen bedeutet ein anerkannter Branchenstandard einen erheblichen praktischen Vorteil: Statt jede Anforderung individuell auslegen zu müssen, können sie sich an einem bereits behördlich bestätigten Rahmenwerk orientieren. Aktuell entwickeln unter anderem Verbände aus der Wasserwirtschaft und dem Gesundheitssektor entsprechende branchenspezifische Konkretisierungen.

6. Welche Meldepflichten haben (besonders) wichtige Einrichtungen im Falle eines Cyberangriffs?

Eine der praxisrelevantesten Neuerungen von NIS2 sind die deutlich konkretisierten und verschärften Meldepflichten. Anders als unter NIS1, wo Meldefristen oft vage formuliert waren, gibt NIS2 ein dreistufiges, exakt terminiertes Meldeverfahren vor.

Die Frühwarnung innerhalb von 24 Stunden muss lediglich mitteilen, dass ein Sicherheitsvorfall vorliegt, ob ein Verdacht auf rechtswidrige oder böswillige Handlung besteht und ob grenzüberschreitende Auswirkungen möglich sind. Eine vollständige Ursachenanalyse wird an dieser Stelle ausdrücklich noch nicht erwartet.

Die Meldung innerhalb von 72 Stunden konkretisiert die Erstmeldung: eine erste Bewertung des Vorfalls einschließlich Schweregrad und Auswirkungen sowie, sofern verfügbar, erste Kompromittierungsindikatoren.

Der Abschlussbericht binnen eines Monats muss eine ausführliche Beschreibung des Vorfalls enthalten, einschließlich Schweregrad, Auswirkungen, Ursache, ergriffener und laufender Abhilfemaßnahmen sowie, sofern bekannt, Angaben zu den Auswirkungen auf andere Mitgliedstaaten.

Meldepflichtig sind dabei nicht alle Vorfälle, sondern nur solche mit erheblichen Auswirkungen auf die Erbringung der Dienste, etwa wenn eine große Zahl von Nutzern betroffen ist oder ein erheblicher wirtschaftlicher Schaden entstanden ist beziehungsweise droht. Zuständige Meldestelle in Deutschland ist das BSI.

Für eine proaktive IT-Sicherheitsstrategie und nachhaltige NIS2-Sicherheitsmaßnahmen empfehlen wir, bereits jetzt mit uns zusammenzuarbeiten, um Ihre IT vor Angriffen zu schützen und im Ernstfall handlungsfähig zu sein.

7. Welche Pflichten haben Geschäftsführer in der NIS2?

NIS2 verpflichtet Geschäftsführer wichtiger und besonders wichtiger Einrichtungen persönlich zu einer aktiven Rolle in der Informationssicherheit. Diese Pflichten lassen sich in vier konkrete Bereiche gliedern.

Billigung der Risikomanagementmaßnahmen: Die Geschäftsführung muss die getroffenen Cybersicherheitsmaßnahmen nicht nur zur Kenntnis nehmen, sondern aktiv billigen und ihre Umsetzung überwachen. Ein Delegieren an die IT-Abteilung ohne eigene Beteiligung genügt den Anforderungen nicht.

Regelmäßige Schulung: Geschäftsführer müssen an Schulungen teilnehmen, die ausreichende Kenntnisse und Fähigkeiten vermitteln, um Cyberrisiken zu erkennen und zu bewerten sowie deren Management zu beurteilen. Diese Pflicht gilt explizit für die Führungsebene selbst, nicht nur für IT-Mitarbeitende.

Verankerung von Cybersicherheit als Unternehmensaufgabe: Dazu zählt unter anderem die Verantwortung für den Stand der Technik in der eigenen IT, das Bewältigen von Sicherheitsvorfällen, das Aufrechterhalten der Sicherheit in der gesamten Lieferkette sowie der Einsatz angemessener Zugriffskontrollen, einschließlich Multi-Faktor-Authentifizierung, wo dies dem Risiko entspricht.

Persönliche Haftung bei Pflichtverletzung: Wird dies nicht oder nur unzureichend umgesetzt, drohen sowohl Unternehmensbußgelder als auch die persönliche finanzielle Haftung der Geschäftsführung, wie in Abschnitt 4 ausführlich beschrieben.

Wichtig ist: Diese Pflichten lassen sich rechtlich nicht vollständig auf Dritte übertragen. Auch wenn Sie einen externen Informationssicherheitsbeauftragten oder einen IT-Dienstleister beauftragen, bleibt die Letztverantwortung bei der Geschäftsführung. Die operative Umsetzung kann und sollte delegiert werden, die Überwachungs- und Billigungspflicht bleibt bestehen.

8. Neue Zertifizierungen und Kennzeichnungspflichten für (besonders) wichtige Einrichtungen

Im Umfeld von NIS2 gewinnen mehrere Zertifizierungen und regulatorische Rahmenwerke an Bedeutung, die Unternehmen kennen sollten, auch wenn sie formal eigenständige Regelwerke sind.

Cyber Resilience Act (CRA): Der CRA verpflichtet Hersteller von Produkten mit digitalen Elementen, also praktisch jede vernetzte Hard- und Software, bereits bei der Entwicklung Sicherheitsanforderungen einzuhalten (Security by Design) und über den gesamten Produktlebenszyklus Sicherheitsupdates bereitzustellen. Für NIS2-betroffene Unternehmen ist das relevant, weil sie bei der Beschaffung zunehmend nur noch CRA-konforme Produkte einsetzen sollten, um ihre eigene Lieferkettensicherheit zu gewährleisten.

ISO 27001: Auch wenn NIS2 keine bestimmte Zertifizierung explizit vorschreibt, gilt eine ISO-27001-Zertifizierung in der Praxis als starkes Indiz dafür, dass ein Unternehmen ein funktionierendes Informationssicherheits-Managementsystem betreibt, und erleichtert damit den geforderten Nachweis angemessener Maßnahmen erheblich.

Europäische Cybersicherheitszertifizierung nach Cybersecurity Act: Wie in Abschnitt 5.5 beschrieben, dürfen besonders wichtige Einrichtungen nur entsprechend zertifizierte IKT-Produkte einsetzen, sofern für die Produktkategorie ein Zertifizierungsschema existiert.

Ein IT-Sicherheitscheck hilft Ihnen dabei, systematisch zu identifizieren, welche dieser Zertifizierungen und Nachweise für Ihr Unternehmen tatsächlich relevant sind, statt vorsorglich in jedes verfügbare Siegel zu investieren.

9. Mit welchen Sanktionen müssen Sie als (besonders) wichtige Einrichtung rechnen?

Verstöße gegen die NIS2-Richtlinie können hohe Geldbußen nach sich ziehen:

• Wichtige Einrichtungen: Bis zu 7 Millionen Euro oder 1,4% des globalen Vorjahresumsatzes
• Besonders wichtige Einrichtungen: Bis zu 10 Millionen Euro oder 2% des globalen Vorjahresumsatzes

Die Umsetzung der Richtlinie wird regelmäßig überprüft. Verstöße sind kein Kavaliersdelikt, sondern können das Unternehmen ernsthaft gefährden. Nutzen Sie eine unverbindliche Beratung, um Ihr Unternehmen vor Sanktionen zu schützen und die NIS2 ordnungsgemäß umzusetzen.

10. Wie setzen Sie NIS2 jetzt konkret um?

Die bisherigen Abschnitte erklären, was NIS2 verlangt und wer betroffen ist. Die eigentliche Herausforderung für die meisten Unternehmen liegt aber in der praktischen Umsetzung: Wie wird aus der abstrakten Richtlinie ein funktionierendes Sicherheitsmanagement im eigenen Betrieb?

In unserem ausführlichen Praxisleitfaden zur NIS2-Umsetzung erklären wir die vier Phasen, die dabei zum Erfolg führen: Betroffenheitsanalyse, Gap-Analyse, Maßnahmenplan und laufender Betrieb. Dort erfahren Sie auch, warum viele Unternehmen diesen Prozess nicht allein stemmen können und welche Rolle ein externer Informationssicherheitsbeauftragter dabei übernimmt.

11. Wie kann BRANDMAUER IT bei der Umsetzung von NIS2 helfen?

BRANDMAUER IT unterstützt Sie in jedem Schritt der NIS2-Umsetzung, von der Sicherheitsanalyse bis zur Implementierung der erforderlichen Maßnahmen. Wir helfen Ihnen, Ihre IT-Infrastruktur zu stärken, um sie vor Cyberangriffen zu schützen und die neuen Vorschriften einzuhalten. Unser Ziel ist es, Ihre IT zu einem sicheren Bollwerk gegen Hacker zu machen, damit Sie sich keine Sorgen über Datenverlust oder Rufschädigung machen müssen.

Buchen Sie noch heute eine kostenlose und unverbindliche Beratung für Ihr Unternehmen.

Quelle: Bundesgesetzblatt Jahrgang 2025 Teil 1 Nr. 301

Besuchen Sie unseren NIS2-Check