Alles, was Sie über die NIS2-Richtlinie wissen müssen: für wen sie gilt, Anforderungen, Strafen bis 10 Mio. €, Fristen und wie Sie Ihre Organisation auf Compliance vorbereiten.
Die NIS2-Richtlinie (Richtlinie (EU) 2022/2555) ist die bedeutendste Überarbeitung der EU-Cybersicherheitsregulierung seit einem Jahrzehnt. Wenn Ihre Organisation in Europa tätig ist, wird diese Gesetzgebung grundlegend verändern, wie Sie an Cybersicherheit herangehen — und die Strafen bei Nichteinhaltung sind erheblich.
Dieser Leitfaden deckt alles Nötige ab: was NIS2 ist, für wen sie gilt, die konkreten Anforderungen, Fristen, Strafen und einen klaren Fahrplan zur Compliance.
Die NIS2-Richtlinie ist der aktualisierte Rahmen der Europäischen Union, um ein hohes gemeinsames Cybersicherheitsniveau in allen Mitgliedstaaten sicherzustellen. Sie ersetzt die ursprüngliche NIS-Richtlinie (2016/1148), die vielfach für ihre uneinheitliche Umsetzung und einen für die heutige Bedrohungslage zu engen Anwendungsbereich kritisiert wurde.
Vom Europäischen Parlament am 28. November 2022 verabschiedet, erweitert NIS2 die Zahl der Organisationen mit verpflichtenden Cybersicherheitspflichten drastisch. Die Europäische Kommission schätzte, dass die ursprüngliche NIS-Richtlinie rund 15.000 Einrichtungen in der EU erfasste. Unter NIS2 springt diese Zahl auf über 160.000 Organisationen — eine Verzehnfachung.
Die ursprüngliche NIS-Richtlinie ließ zu viele Lücken:
NIS2 begegnet all diesen Mängeln mit harmonisierten Anforderungen, erweitertem Anwendungsbereich und Durchsetzungsmechanismen mit echten Zähnen.
NIS2 nutzt eine Größenschwellen-Regel in Kombination mit einer sektorbasierten Klassifizierung. Organisationen werden entweder als wesentliche Einrichtungen oder als wichtige Einrichtungen eingestuft.
Diese Sektoren gelten als lebenswichtig für das Funktionieren von Gesellschaft und Wirtschaft:
NIS2 gilt für Organisationen in den obigen Sektoren, die mindestens eine dieser Schwellen erfüllen:
Wichtige Ausnahmen: Bestimmte Einrichtungen sind unabhängig von der Größe erfasst, darunter: - DNS-Diensteanbieter - TLD-Namensregistries - Anbieter öffentlicher elektronischer Kommunikationsnetze - Vertrauensdiensteanbieter - alleinige Anbieter eines Dienstes in einem Mitgliedstaat, der für gesellschaftliche/wirtschaftliche Aktivitäten wesentlich ist
Selbst wenn Ihre Organisation nicht direkt unter NIS2 fällt, können Sie über Lieferkettenanforderungen betroffen sein. Wesentliche und wichtige Einrichtungen müssen Cybersicherheits-Risikomanagementmaßnahmen für ihre Lieferketten umsetzen, was bedeutet, dass sie Compliance-Anforderungen an Lieferanten und Partner weitergeben.
NIS2-Artikel 21 legt zehn Mindestmaßnahmen für das Cybersicherheits-Risikomanagement fest, die alle erfassten Einrichtungen umsetzen müssen:
Etablieren Sie umfassende Richtlinien für Risikoanalyse und Informationssystemsicherheit. Dazu gehören regelmäßige Risikobewertungen, dokumentierte Sicherheitsrichtlinien und ein Governance-Rahmen für Cybersicherheit.
Implementieren Sie Verfahren zur Verhinderung, Erkennung und Reaktion auf Cybersicherheitsvorfälle. Dazu gehören: - Incident-Response-Pläne - Fähigkeiten zur Vorfallerkennung - Kommunikationsverfahren während Vorfällen
Sichern Sie operative Resilienz durch: - Backup-Management - Disaster-Recovery-Pläne - Krisenmanagementverfahren - regelmäßiges Testen der Kontinuitätspläne
Adressieren Sie Sicherheitsrisiken in den Beziehungen zu direkten Lieferanten und Dienstleistern. Führen Sie Sorgfaltsprüfungen der Cybersicherheitspraktiken von Lieferanten durch und nehmen Sie Sicherheitsanforderungen in Verträge auf.
Setzen Sie Sicherheitsmaßnahmen um, die Beschaffung, Entwicklung und Wartung von Netz- und Informationssystemen abdecken, einschließlich Schwachstellenbehandlung und -offenlegung.
Etablieren Sie Richtlinien und Verfahren zur Bewertung der Wirksamkeit der Cybersicherheits-Risikomanagementmaßnahmen. Regelmäßige Audits und Bewertungen sind erforderlich.
Implementieren Sie Cyberhygiene-Praktiken und bieten Sie regelmäßige Cybersicherheits-Awareness-Schulungen für alle Mitarbeitenden, einschließlich der Leitung.
Etablieren Sie Richtlinien und Verfahren zum Einsatz von Kryptografie und, wo angebracht, Verschlüsselung, um Daten bei der Übertragung und im Ruhezustand zu schützen.
Implementieren Sie angemessene Zugriffskontrollrichtlinien, Asset-Management-Verfahren und Multi-Faktor-Authentifizierung oder kontinuierliche Authentifizierungslösungen.
Nutzen Sie gesicherte Sprach-, Video- und Textkommunikation sowie gesicherte Notfall-Kommunikationssysteme innerhalb der Organisation.
NIS2 führt eine mehrstufige Vorfallmeldepflicht ein, die deutlich anspruchsvoller ist als die ihrer Vorgängerin:
| Stufe | Frist | Anforderung |
|---|---|---|
| Frühwarnung | Innerhalb von 24 Stunden | Melden Sie dem CSIRT oder der zuständigen Behörde einen erheblichen Vorfall |
| Vorfallmeldung | Innerhalb von 72 Stunden | Liefern Sie eine Erstbewertung inklusive Schweregrad, Auswirkung und Kompromittierungsindikatoren |
| Zwischenbericht | Auf Anfrage | Statusaktualisierung zum Vorfall und zu den Reaktionsmaßnahmen |
| Abschlussbericht | Innerhalb von 1 Monat | Detaillierte Beschreibung, Ursache, Minderungsmaßnahmen und grenzüberschreitende Auswirkung |
Ein erheblicher Vorfall ist definiert als einer, der: - eine schwere Betriebsstörung oder finanziellen Verlust verursacht hat oder verursachen kann - andere natürliche oder juristische Personen durch erheblichen materiellen oder immateriellen Schaden beeinträchtigt hat oder beeinträchtigen kann
Die Durchsetzungsbestimmungen von NIS2 sind ein Quantensprung gegenüber der ursprünglichen Richtlinie:
Eine der folgenreichsten Bestimmungen von NIS2 ist Artikel 20, der verlangt: - Leitungsorgane müssen Cybersicherheits-Risikomanagementmaßnahmen genehmigen - Leitungsorgane müssen die Umsetzung dieser Maßnahmen überwachen - Mitglieder der Leitungsorgane müssen an Cybersicherheits-Schulungen teilnehmen - die Leitung kann für Verstöße persönlich haftbar gemacht werden
Das bedeutet, Cybersicherheit lässt sich nicht mehr vollständig an die IT-Abteilung delegieren. Vorstandsmitglieder und Führungskräfte tragen direkte Verantwortung.
Die Richtlinie trat am 16. Januar 2023 in Kraft, und die Mitgliedstaaten mussten sie bis zum 17. Oktober 2024 in nationales Recht umsetzen.
Deutschland — Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) verzögerte sich, soll aber 2025 in Kraft treten. Es wird schätzungsweise 29.000 Organisationen allein in Deutschland betreffen — gegenüber rund 2.000 unter der ursprünglichen KRITIS-Verordnung. Die deutsche Umsetzung geht in mehreren Bereichen über die Mindestanforderungen der Richtlinie hinaus.
Österreich — Das NISG 2024 (Netz- und Informationssystemsicherheitsgesetz) ist in fortgeschrittenen Stadien. Österreich wird voraussichtlich rund 4.000 Organisationen erfassen.
Schweiz — Obwohl kein EU-Mitglied, richtet die Schweiz ihren Cybersicherheitsrahmen an NIS2-Prinzipien aus. Das überarbeitete Informationssicherheitsgesetz (ISG) enthält ähnliche Anforderungen, und Schweizer Unternehmen mit Geschäft in der EU müssen NIS2 direkt einhalten.
Frankreich — Frankreich setzte die Richtlinie weitgehend fristgerecht um und baute auf seinem bereits robusten ANSSI-Rahmen auf.
Niederlande — Das Wet beveiliging netwerk- en informatiesystemen 2 (Wbni 2) wird finalisiert und weitet die Abdeckung auf rund 10.000 niederländische Organisationen aus.
Nutzen Sie die obigen Sektorlisten und Größenschwellen, um zu beurteilen, ob Ihre Organisation als wesentliche oder wichtige Einrichtung gilt. Vergessen Sie die Lieferkettenpflichten nicht — selbst wenn Sie nicht direkt erfasst sind, könnten Ihre Kunden NIS2-konforme Sicherheitspraktiken verlangen.
Vergleichen Sie Ihre aktuelle Cybersicherheitslage mit den zehn Mindestmaßnahmen in Artikel 21. Erkennen Sie Lücken bei: - Risikomanagementprozessen - Fähigkeiten zur Vorfallerkennung und -reaktion - Geschäftskontinuitätsplanung - Lieferkettensicherheitspraktiken - Mitarbeiterschulung und -sensibilisierung
Man kann nicht schützen, wovon man nichts weiß. Führen Sie eine gründliche Bewertung Ihrer externen Angriffsfläche durch, einschließlich: - Webanwendungen und APIs - Cloud-Dienste und -Infrastruktur - Drittanbieter-Integrationen - Alt-Systeme mit Internet-Exposition
KENSAI bietet automatisiertes, KI-gestütztes Angriffsflächen-Scanning, das Ihren gesamten externen Fußabdruck kartiert und Schwachstellen erkennt, bevor Angreifer es tun. Anders als traditionelle punktuelle Bewertungen liefert KENSAI kontinuierliches Scanning, das der NIS2-Anforderung an laufendes Risikomanagement entspricht.
Setzen Sie auf Basis Ihrer Gap-Analyse die nötigen technischen Kontrollen ein: - Netzwerksegmentierung und -überwachung - Endpoint Detection and Response (EDR) - Multi-Faktor-Authentifizierung - Verschlüsselung für Daten bei der Übertragung und im Ruhezustand - Schwachstellenmanagement mit regelmäßigem Scanning - Web Application Firewalls und API-Sicherheit
NIS2 verlangt dokumentierte Richtlinien und Verfahren. Mindestens benötigen Sie: - Informationssicherheitsrichtlinie - Risikobewertungsmethodik und -berichte - Incident-Response-Plan - Geschäftskontinuitäts- und Disaster-Recovery-Pläne - Lieferkettensicherheitsrichtlinie - Schulungsnachweise
Die 24-Stunden-Frühwarnpflicht bedeutet, dass Sie benötigen: - 24/7-Überwachungsfähigkeiten (oder ausgelagerte SOC-Dienste) - vordefinierte Kriterien zur Vorfallklassifizierung - Kommunikationsvorlagen für die CSIRT-Meldung - ein benanntes Incident-Response-Team mit klaren Rollen
NIS2 schreibt Cybersicherheitsschulungen für Leitungsorgane und Mitarbeitende vor. Implementieren Sie: - regelmäßige Security-Awareness-Schulungen für alle Mitarbeitenden - spezifische Schulungen für die Leitung zu ihren Aufsichtspflichten - technische Schulungen für IT- und Sicherheitspersonal - Phishing-Simulationen und Sicherheitsübungen
Überprüfen Sie Ihre Lieferantenbeziehungen und: - bewerten Sie die Cybersicherheitslage kritischer Lieferanten - nehmen Sie Sicherheitsanforderungen in Beschaffungskriterien und Verträge auf - etablieren Sie Mechanismen zum Informationsaustausch mit Schlüssellieferanten - überwachen Sie die Zuliefersicherheit fortlaufend
Einer der wirksamsten Wege, die Anforderungen von NIS2 an kontinuierliches Risikomanagement zu erfüllen, sind automatisierte Sicherheitstests. Die Richtlinie verlangt ausdrücklich Schwachstellenbehandlung und regelmäßige Bewertung der Cybersicherheitsmaßnahmen — manuelle, jährliche Penetrationstests reichen nicht mehr aus.
Die automatisierte Schwachstellen-Scanning-Plattform von KENSAI ermöglicht es Organisationen:
Für Organisationen, die sich auf NIS2 vorbereiten, ist automatisiertes Scanning nicht optional — es ist unerlässlich, um die „geeigneten und verhältnismäßigen" technischen Maßnahmen nachzuweisen, die die Richtlinie verlangt.
Ja. Wenn Ihre Organisation Dienste innerhalb der EU oder für EU-ansässige Einrichtungen in erfassten Sektoren erbringt, gilt NIS2. Nicht-EU-Unternehmen müssen einen Vertreter in der EU benennen.
NIS2 und DSGVO ergänzen sich. Die DSGVO konzentriert sich auf den Schutz personenbezogener Daten; NIS2 auf die Cybersicherheit von Netz- und Informationssystemen. Ein Datenleck kann Pflichten unter beiden Regelwerken auslösen. NIS2 legt sogar fest, dass DSGVO-Bußgelder bei der Bemessung von NIS2-Strafen berücksichtigt werden sollten.
ISO 27001 bietet ein starkes Fundament, bedeutet aber nicht automatisch NIS2-Compliance. NIS2 hat spezifische Anforderungen (wie die 24-Stunden-Vorfallmeldung), die über ISO 27001 hinausgehen. Organisationen mit ISO-27001-Zertifizierung werden den Übergang jedoch deutlich leichter finden.
Selbst bei verzögerter nationaler Umsetzung sind die Anforderungen der Richtlinie klar. Organisationen sollten jetzt mit der Vorbereitung beginnen. Sobald nationales Recht in Kraft tritt, kann die Durchsetzung sofort beginnen — eine Übergangsfrist gibt es womöglich nicht.
NIS2 enthält eine lex-specialis-Bestimmung: Wo sektorspezifische EU-Gesetzgebung Cybersicherheitsanforderungen vorschreibt, die mindestens NIS2 gleichwertig sind, haben die sektorspezifischen Regeln Vorrang. Beispiele sind DORA für den Finanzsektor.
NIS2 ist keine ferne regulatorische Bedrohung — sie ist da, und die Durchsetzung nimmt in ganz Europa Fahrt auf. Organisationen, die die Vorbereitung hinauszögern, riskieren nicht nur Bußgelder, sondern auch den Reputations- und Betriebsschaden unzureichender Cybersicherheit.
Die Anforderungen der Richtlinie sind umfassend, aber erreichbar — besonders mit den richtigen Werkzeugen und dem richtigen Ansatz. Beginnen Sie damit, Ihren Anwendungsbereich zu verstehen, bewerten Sie Ihre Lücken und setzen Sie systematische, kontinuierliche Sicherheitsmaßnahmen um.
Warten Sie nicht auf den Beginn von Durchsetzungsmaßnahmen. Die KI-gestützte Sicherheitsplattform von KENSAI hilft Ihnen, Schwachstellen zu erkennen, Ihre Angriffsfläche zu bewerten und die kontinuierliche Sicherheitsüberwachung nachzuweisen, die NIS2 verlangt.
👉 Holen Sie sich Ihren kostenlosen Security-Scan auf kensai.app/free-scan — sehen Sie Ihre Exposition in Minuten, nicht Monaten.
Scannen Sie Ihre Infrastruktur in Minuten auf Schwachstellen — keine Kreditkarte erforderlich.
Kostenlosen Scan starten →Veröffentlicht von KENSAI Security Research — KI-gestützte Cybersecurity-Plattform