Alles, was Sie über die NIS2-Richtlinie wissen müssen: für wen sie gilt, Anforderungen, Bußgelder von bis zu 10 Mio. €, Fristen und wie Sie Ihr Unternehmen auf die Compliance vorbereiten.
Die NIS2-Richtlinie (Richtlinie (EU) 2022/2555) stellt die bedeutendste Reform der EU-Cybersicherheitsregulierung seit einem Jahrzehnt dar. Wenn Ihr Unternehmen in Europa tätig ist, wird diese Gesetzgebung Ihren Umgang mit Cybersicherheit grundlegend verändern — und die Strafen bei Nichteinhaltung sind erheblich.
Dieser Leitfaden behandelt alles, was Sie wissen müssen: was NIS2 ist, für wen sie gilt, welche konkreten Anforderungen, Fristen und Strafen bestehen und wie ein klarer Fahrplan zur Compliance aussieht.
Die NIS2-Richtlinie ist der aktualisierte Rahmen der Europäischen Union zur Gewährleistung eines hohen gemeinsamen Cybersicherheitsniveaus in allen Mitgliedstaaten. Sie ersetzt die ursprüngliche NIS-Richtlinie (2016/1148), die wegen ihrer uneinheitlichen Umsetzung und ihres für die heutige Bedrohungslandschaft zu engen Anwendungsbereichs vielfach kritisiert wurde.
NIS2 wurde am 28. November 2022 vom Europäischen Parlament verabschiedet und erweitert die Zahl der Unternehmen, die verpflichtenden Cybersicherheitsanforderungen unterliegen, erheblich. Die Europäische Kommission schätzte, dass die ursprüngliche NIS-Richtlinie etwa 15.000 Einrichtungen in der EU erfasste. Unter NIS2 steigt diese Zahl auf mehr als 160.000 Unternehmen — eine Verzehnfachung.
Die ursprüngliche NIS-Richtlinie wies zu viele Lücken auf:
NIS2 behebt all diese Schwachstellen mit harmonisierten Anforderungen, einem erweiterten Anwendungsbereich und wirksamen Durchsetzungsmechanismen.
NIS2 verwendet eine Größenobergrenzenregel in Verbindung mit einer sektorbezogenen Klassifizierung. Unternehmen werden entweder als wesentliche Einrichtungen oder als wichtige Einrichtungen eingestuft.
Diese Sektoren gelten als unverzichtbar für das Funktionieren von Gesellschaft und Wirtschaft:
NIS2 gilt für Unternehmen in den oben genannten Sektoren, die mindestens einen dieser Schwellenwerte erreichen:
Wichtige Ausnahmen: Bestimmte Einrichtungen werden unabhängig von ihrer Größe erfasst, darunter: - DNS-Diensteanbieter - TLD-Namenregistrierungsstellen - Anbieter öffentlicher elektronischer Kommunikationsnetze - Vertrauensdiensteanbieter - Alleinige Anbieter eines Dienstes in einem Mitgliedstaat, der für gesellschaftliche oder wirtschaftliche Tätigkeiten unverzichtbar ist
Selbst wenn Ihr Unternehmen nicht direkt unter NIS2 fällt, können Sie durch die Anforderungen an die Lieferkette betroffen sein. Wesentliche und wichtige Einrichtungen müssen Maßnahmen zum Management von Cybersicherheitsrisiken in ihren Lieferketten umsetzen. Das bedeutet, dass sie Compliance-Anforderungen an nachgelagerte Lieferanten und Partner weitergeben werden.
Artikel 21 der NIS2 nennt zehn Mindestmaßnahmen für das Cybersicherheitsrisikomanagement, die alle erfassten Einrichtungen umsetzen müssen:
Erstellen Sie umfassende Konzepte für Risikoanalysen und die Sicherheit von Informationssystemen. Dazu gehören regelmäßige Risikobewertungen, dokumentierte Sicherheitsrichtlinien und ein Governance-Rahmen für die Cybersicherheit.
Implementieren Sie Verfahren zur Prävention, Erkennung und Bewältigung von Cybersicherheitsvorfällen. Dazu gehören: - Pläne zur Reaktion auf Sicherheitsvorfälle - Fähigkeiten zur Erkennung von Sicherheitsvorfällen - Kommunikationsverfahren während Sicherheitsvorfällen
Gewährleisten Sie die betriebliche Resilienz durch: - Sicherungsmanagement - Notfallwiederherstellungspläne - Krisenmanagementverfahren - Regelmäßige Tests der Kontinuitätspläne
Berücksichtigen Sie Sicherheitsrisiken in den Beziehungen zu direkten Lieferanten und Dienstleistern. Prüfen Sie die Cybersicherheitspraktiken Ihrer Lieferanten sorgfältig und nehmen Sie Sicherheitsanforderungen in Verträge auf.
Implementieren Sie Sicherheitsmaßnahmen für den Erwerb, die Entwicklung und die Wartung von Netz- und Informationssystemen, einschließlich der Behandlung und Offenlegung von Schwachstellen.
Legen Sie Konzepte und Verfahren fest, um die Wirksamkeit der Maßnahmen zum Cybersicherheitsrisikomanagement zu bewerten. Regelmäßige Audits und Bewertungen sind erforderlich.
Führen Sie Verfahren zur Cyberhygiene ein und bieten Sie allen Beschäftigten einschließlich der Geschäftsleitung regelmäßige Sensibilisierungsschulungen zur Cybersicherheit an.
Legen Sie Konzepte und Verfahren für den Einsatz von Kryptografie und gegebenenfalls Verschlüsselung fest, um Daten während der Übertragung und im Ruhezustand zu schützen.
Implementieren Sie geeignete Zugriffskontrollkonzepte, Verfahren für die Verwaltung von Ressourcen sowie Lösungen für Multi-Faktor-Authentifizierung oder kontinuierliche Authentifizierung.
Nutzen Sie innerhalb des Unternehmens sichere Sprach-, Video- und Textkommunikation sowie sichere Notfallkommunikationssysteme.
NIS2 führt eine mehrstufige Meldepflicht für Sicherheitsvorfälle ein, die deutlich anspruchsvoller ist als die ihres Vorgängers:
| Stufe | Frist | Anforderung |
|---|---|---|
| Frühwarnung | Innerhalb von 24 Stunden | Meldung eines erheblichen Sicherheitsvorfalls an das CSIRT oder die zuständige Behörde |
| Meldung des Sicherheitsvorfalls | Innerhalb von 72 Stunden | Bereitstellung einer ersten Bewertung einschließlich Schweregrad, Auswirkungen und Kompromittierungsindikatoren |
| Zwischenbericht | Auf Anfrage | Statusbericht zum Sicherheitsvorfall und zu den Reaktionsmaßnahmen |
| Abschlussbericht | Innerhalb von 1 Monat | Detaillierte Beschreibung, Ursache, Abhilfemaßnahmen und grenzüberschreitende Auswirkungen |
Ein erheblicher Sicherheitsvorfall ist definiert als ein Vorfall, der: - eine schwerwiegende Betriebsstörung oder finanzielle Verluste verursacht hat oder verursachen kann - andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann
Die Durchsetzungsbestimmungen von NIS2 stellen gegenüber der ursprünglichen Richtlinie einen grundlegenden Wandel dar:
Eine der folgenreichsten Bestimmungen von NIS2 ist Artikel 20. Er verlangt: - dass Leitungsorgane Maßnahmen zum Cybersicherheitsrisikomanagement genehmigen - dass Leitungsorgane die Umsetzung dieser Maßnahmen überwachen - dass Mitglieder der Leitungsorgane an Cybersicherheitsschulungen teilnehmen - dass die Geschäftsleitung bei Verstößen persönlich haftbar gemacht werden kann
Damit ist Cybersicherheit keine Aufgabe mehr, die vollständig an die IT-Abteilung delegiert werden kann. Vorstandsmitglieder und Führungskräfte tragen unmittelbare Verantwortung.
Die Richtlinie trat am 16. Januar 2023 in Kraft, und die Mitgliedstaaten mussten sie bis zum 17. Oktober 2024 in nationales Recht umsetzen.
Deutschland — Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) hat sich verzögert, soll aber voraussichtlich 2025 in Kraft treten. Allein in Deutschland wird es schätzungsweise 29.000 Unternehmen betreffen — gegenüber rund 2.000 unter der ursprünglichen KRITIS-Regulierung. Die deutsche Umsetzung geht in mehreren Bereichen über die Mindestanforderungen der Richtlinie hinaus.
Österreich — Das NISG 2024 (Netz- und Informationssystemsicherheitsgesetz) befindet sich in einem fortgeschrittenen Stadium. In Österreich werden voraussichtlich etwa 4.000 Unternehmen erfasst.
Schweiz — Obwohl die Schweiz kein EU-Mitglied ist, richtet sie ihren Cybersicherheitsrahmen an den Grundsätzen von NIS2 aus. Das überarbeitete Informationssicherheitsgesetz (ISG) enthält ähnliche Anforderungen, und Schweizer Unternehmen, die in der EU tätig sind, müssen NIS2 direkt einhalten.
Frankreich — Frankreich setzte die Richtlinie weitgehend fristgerecht um und baute dabei auf seinem bereits robusten ANSSI-Rahmen auf.
Niederlande — Das Wet beveiliging netwerk- en informatiesystemen 2 (Wbni 2) wird derzeit fertiggestellt und erweitert den Anwendungsbereich auf etwa 10.000 niederländische Unternehmen.
Bewerten Sie anhand der oben aufgeführten Sektoren und Größenschwellenwerte, ob Ihr Unternehmen als wesentliche oder wichtige Einrichtung gilt. Vergessen Sie dabei nicht die Verpflichtungen in der Lieferkette — selbst wenn Sie nicht direkt in den Anwendungsbereich fallen, können Ihre Kunden NIS2-konforme Sicherheitspraktiken verlangen.
Vergleichen Sie Ihren aktuellen Cybersicherheitsstand mit den zehn Mindestmaßnahmen aus Artikel 21. Ermitteln Sie Lücken bei: - Risikomanagementprozessen - Fähigkeiten zur Erkennung und Bewältigung von Sicherheitsvorfällen - Planung der Geschäftskontinuität - Sicherheitspraktiken in der Lieferkette - Schulung und Sensibilisierung der Beschäftigten
Sie können nicht schützen, was Sie nicht kennen. Führen Sie eine gründliche Bewertung Ihrer externen Angriffsfläche durch, einschließlich: - Webanwendungen und APIs - Cloud-Dienste und -Infrastruktur - Integrationen von Drittanbietern - Altsysteme mit Internetzugang
KENSAI bietet automatisierte, AI-gestützte Scans der Angriffsfläche, die Ihren gesamten externen digitalen Fußabdruck erfassen und Schwachstellen identifizieren, bevor Angreifer sie entdecken. Im Gegensatz zu herkömmlichen punktuellen Bewertungen liefert KENSAI kontinuierliche Scans, die der NIS2-Anforderung eines fortlaufenden Risikomanagements entsprechen.
Implementieren Sie auf Grundlage Ihrer Lückenanalyse die erforderlichen technischen Kontrollen: - Netzwerksegmentierung und -überwachung - Endpunkterkennung und -reaktion (EDR) - Multi-Faktor-Authentifizierung - Verschlüsselung von Daten während der Übertragung und im Ruhezustand - Schwachstellenmanagement mit regelmäßigen Scans - Web Application Firewalls und API-Sicherheit
NIS2 verlangt dokumentierte Konzepte und Verfahren. Sie benötigen mindestens: - Informationssicherheitsrichtlinie - Methodik und Berichte zur Risikobewertung - Plan zur Reaktion auf Sicherheitsvorfälle - Pläne für Geschäftskontinuität und Notfallwiederherstellung - Sicherheitsrichtlinie für die Lieferkette - Schulungsnachweise
Die 24-Stunden-Frist für Frühwarnungen bedeutet, dass Sie Folgendes benötigen: - Rund-um-die-Uhr-Überwachung (oder ausgelagerte SOC-Dienste) - Vorab festgelegte Kriterien zur Klassifizierung von Sicherheitsvorfällen - Kommunikationsvorlagen für Meldungen an das CSIRT - Ein benanntes Reaktionsteam mit klar definierten Rollen
NIS2 schreibt Cybersicherheitsschulungen für Leitungsorgane und Beschäftigte vor. Implementieren Sie: - Regelmäßige Schulungen zur Sensibilisierung für Sicherheit für alle Beschäftigten - Spezifische Schulungen für die Geschäftsleitung zu ihren Überwachungspflichten - Technische Schulungen für IT- und Sicherheitspersonal - Phishing-Simulationen und Sicherheitsübungen
Überprüfen Sie Ihre Lieferantenbeziehungen und: - Bewerten Sie den Cybersicherheitsstand kritischer Lieferanten - Nehmen Sie Sicherheitsanforderungen in Beschaffungskriterien und Verträge auf - Richten Sie Mechanismen zum Informationsaustausch mit wichtigen Lieferanten ein - Überwachen Sie die Sicherheit Ihrer Lieferanten kontinuierlich
Eine der effektivsten Möglichkeiten, die Anforderungen von NIS2 an ein kontinuierliches Risikomanagement zu erfüllen, sind automatisierte Sicherheitstests. Die Richtlinie verlangt ausdrücklich die Behandlung von Schwachstellen und eine regelmäßige Bewertung der Cybersicherheitsmaßnahmen — manuelle, jährliche Penetrationstests reichen nicht mehr aus.
Die automatisierte Plattform von KENSAI zum Scannen von Schwachstellen ermöglicht Unternehmen:
Für Unternehmen, die sich auf NIS2 vorbereiten, sind automatisierte Scans keine Option, sondern unverzichtbar, um die von der Richtlinie geforderten „geeigneten und verhältnismäßigen“ technischen Maßnahmen nachzuweisen.
Ja. Wenn Ihr Unternehmen innerhalb der EU oder für in der EU ansässige Einrichtungen in erfassten Sektoren Dienstleistungen erbringt, gilt NIS2. Unternehmen außerhalb der EU müssen einen Vertreter in der EU benennen.
NIS2 und GDPR ergänzen sich. GDPR konzentriert sich auf den Schutz personenbezogener Daten, NIS2 auf die Cybersicherheit von Netz- und Informationssystemen. Eine Datenschutzverletzung kann Verpflichtungen nach beiden Regelwerken auslösen. NIS2 legt sogar fest, dass GDPR-Bußgelder bei der Bemessung von NIS2-Sanktionen berücksichtigt werden sollten.
ISO 27001 bietet eine solide Grundlage, bedeutet jedoch nicht automatisch, dass NIS2 eingehalten wird. NIS2 enthält spezifische Anforderungen, etwa die Meldung von Sicherheitsvorfällen innerhalb von 24 Stunden, die über ISO 27001 hinausgehen. Für Unternehmen mit einer ISO-27001-Zertifizierung wird der Übergang jedoch deutlich einfacher sein.
Selbst wenn sich die nationale Umsetzung verzögert, sind die Anforderungen der Richtlinie eindeutig. Unternehmen sollten jetzt mit den Vorbereitungen beginnen. Sobald das nationale Gesetz in Kraft tritt, kann die Durchsetzung unmittelbar beginnen — möglicherweise gibt es keine Übergangsfrist.
NIS2 enthält eine Lex-specialis-Bestimmung: Wenn sektorspezifische EU-Rechtsvorschriften Cybersicherheitsanforderungen vorsehen, die NIS2 mindestens gleichwertig sind, haben die sektorspezifischen Vorschriften Vorrang. Ein Beispiel ist DORA für den Finanzsektor.
NIS2 ist keine ferne regulatorische Bedrohung — die Richtlinie ist bereits Realität, und ihre Durchsetzung wird in ganz Europa verstärkt. Unternehmen, die ihre Vorbereitung verzögern, riskieren nicht nur regulatorische Bußgelder, sondern auch den Reputations- und Betriebsschaden, der durch unzureichende Cybersicherheit entsteht.
Die Anforderungen der Richtlinie sind umfassend, aber erfüllbar — insbesondere mit den richtigen Werkzeugen und dem richtigen Ansatz. Beginnen Sie damit, Ihren Anwendungsbereich zu bestimmen, Ihre Lücken zu bewerten und systematische, kontinuierliche Sicherheitsmaßnahmen umzusetzen.
Warten Sie nicht, bis Durchsetzungsmaßnahmen beginnen. Die AI-gestützte Sicherheitsplattform von KENSAI hilft Ihnen, Schwachstellen zu identifizieren, Ihre Angriffsfläche zu bewerten und die von NIS2 geforderte kontinuierliche Sicherheitsüberwachung nachzuweisen.
👉 Holen Sie sich Ihren kostenlosen Sicherheitsscan unter kensai.app/free-scan — erkennen Sie Ihre Risiken in Minuten statt Monaten.
Scannen Sie Ihre Infrastruktur innerhalb weniger Minuten auf Schwachstellen — keine Kreditkarte erforderlich.
Kostenlosen Scan starten →Veröffentlicht von KENSAI Security Research — AI-gestützte Cybersicherheitsplattform
🛡️ Ist Ihre Website sicher?
Entdecken Sie Schwachstellen, bevor Angreifer es tun.
Website kostenlos scannen →