NIS2 ist eine EU-Richtlinie zur Cybersicherheit, die einheitliche Mindeststandards für die Sicherheit von Netz- und Informationssystemen festlegt. Sie erweitert den Kreis der betroffenen Unternehmen erheblich und verpflichtet sie zu Risikomanagement, Sicherheitsmaßnahmen und Meldepflichten bei Sicherheitsvorfällen.
NIS2 ist eine Richtlinie der Europäischen Union zur Cybersicherheit. Der Name steht für die zweite "Network and Information Security"-Richtlinie, die die erste NIS-Richtlinie ablöst und deutlich verschärft. Ziel der NIS-2-Richtlinie ist es, die Cyber- und Informationssicherheit von Unternehmen und öffentlichen Einrichtungen in der EU auf ein einheitliches, höheres Niveau zu heben – als Reaktion auf die stark gestiegene Bedrohung durch Cyberangriffe.
Warum NIS2 eingeführt wurde
Die ursprüngliche NIS-Richtlinie stammt aus dem Jahr 2016 und deckte nur einen begrenzten Kreis von Betreibern kritischer Infrastrukturen ab. Angesichts wachsender Angriffe auf Wirtschaft und Verwaltung hat die EU mit NIS2 nachgeschärft: Die neue Richtlinie trat Anfang 2023 auf EU-Ebene in Kraft und erweitert sowohl den Kreis der betroffenen Unternehmen als auch die Anforderungen an die Informationssicherheit erheblich.
Wer ist von NIS2 betroffen?
NIS2 unterscheidet zwischen "wesentlichen" und "wichtigen" Einrichtungen und erfasst zahlreiche kritische Sektoren – von Energie, Wasser und Gesundheit über digitale Infrastruktur bis zu Teilen der öffentlichen Verwaltung. Entscheidend sind Sektor und Unternehmensgröße: Während bisher nur Betreiber kritischer Infrastrukturen im Fokus standen, erweitert NIS2 den Anwendungsbereich auf viele weitere mittlere und große Unternehmen in Deutschland. Viele Unternehmen, die sich bislang nicht betroffen fühlten, fallen dadurch neu unter die Regelung.
Welche Pflichten bringt NIS2?
Betroffene Unternehmen müssen mehrere Anforderungen der Richtlinie erfüllen:
- Risikomanagement: Einführung angemessener Risikomanagementmaßnahmen für die IT-Sicherheit.
- Technische und organisatorische Sicherheitsmaßnahmen: Absicherung der Netz- und Informationssysteme nach dem Stand der Technik.
- Meldepflichten: Erhebliche Sicherheitsvorfälle müssen der zuständigen nationalen Behörde gemeldet werden – erste Meldungen oft innerhalb sehr kurzer Fristen.
- Registrierung: Betroffene Unternehmen müssen sich beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren.
Ergänzend rückt NIS2 die Verantwortung der Geschäftsführung in den Fokus: Das Management haftet für die Einhaltung der Anforderungen.
Wesentliche und wichtige Einrichtungen
NIS2 teilt die betroffenen Unternehmen in zwei Klassen ein: "besonders wichtige Einrichtungen" (essential) und "wichtige Einrichtungen" (important). Beide müssen die gleichen grundlegenden Risikomanagementmaßnahmen umsetzen, unterscheiden sich aber in der Intensität der Aufsicht. Betreiber kritischer Infrastrukturen und Teile der öffentlichen Verwaltung fallen ebenso darunter wie viele Anbieter digitaler Dienste. Kommt es zu einem erheblichen Sicherheitsvorfall (Incident), greift eine mehrstufige Meldepflicht: Eine erste Meldung an die zuständige Behörde ist in der Regel innerhalb von 24 Stunden fällig, gefolgt von detaillierteren Berichten. Eine funktionierende Incident-Response ist damit Pflicht, nicht Kür.
Zeitplan im Überblick
Die NIS-2-Richtlinie trat auf EU-Ebene Anfang 2023 in Kraft; die Umsetzung in nationales Recht war bis Oktober 2024 vorgesehen. In Deutschland erfolgt die Umsetzung der NIS-2-Richtlinie über das NIS2-Umsetzungsgesetz (NIS2UmsuCG), dessen Inkrafttreten sich mehrfach verzögert hat und für das weiterhin ein Gesetzentwurf im parlamentarischen Verfahren war. Unabhängig vom genauen Datum gilt: Die Anforderungen der NIS2-Richtlinie kommen, und betroffene Unternehmen in Deutschland sollten die Zeit zur Vorbereitung nutzen, statt auf das formale Inkrafttreten zu warten.
Die Umsetzung in Deutschland
Die EU-Richtlinie war bis Oktober 2024 in nationales Recht umzusetzen. In Deutschland geschieht das über das NIS2-Umsetzungsgesetz, das die Vorgaben in nationales Recht überführt und unter anderem das BSI-Gesetz anpasst. Das Inkrafttreten hat sich verzögert; für Praxis und Wirtschaft bleibt aber klar, dass die Anforderungen kommen. Als Orientierung für die konkrete Umsetzung dient unter anderem der BSI IT-Grundschutz.
Was Unternehmen jetzt tun sollten
Auch wenn der genaue Zeitpunkt des Inkrafttretens noch offen ist, sollten Unternehmen die Vorbereitung nicht aufschieben. Der erste Schritt ist zu prüfen, ob man überhaupt in den Anwendungsbereich fällt. Ist das der Fall, geht es darum, den Stand der eigenen IT-Sicherheit zu bewerten, Lücken zu schließen und die geforderten Prozesse für Risikomanagement und Meldung von Sicherheitsvorfällen aufzubauen. Wer früh beginnt, vermeidet Hektik – und profitiert unabhängig von der Frist von einer besseren Absicherung gegen Cyberangriffe.
Wie wir Unternehmen bei der Umsetzung unterstützen, lesen Sie auf unserer Seite NIS2 & IT-Sicherheit für Unternehmen. Konkrete Pflichten fasst unser Beitrag NIS2 für den Mittelstand zusammen.
Häufige Fragen
NIS2 betrifft Unternehmen ab einer bestimmten Größe in kritischen und wichtigen Sektoren – deutlich mehr als bisher. Als grobe Orientierung gelten oft mittlere Unternehmen ab rund 50 Beschäftigten in den betroffenen Sektoren. Eine genaue Prüfung des Anwendungsbereichs ist im Einzelfall nötig.
Die EU-Richtlinie war bis Oktober 2024 in nationales Recht umzusetzen. In Deutschland erfolgt die Umsetzung über das NIS2-Umsetzungsgesetz, dessen Inkrafttreten sich verzögert hat. Betroffene Unternehmen sollten sich dennoch frühzeitig vorbereiten.
Vor allem ein angemessenes Risikomanagement, technische und organisatorische Sicherheitsmaßnahmen, die Meldung erheblicher Sicherheitsvorfälle an die zuständige Behörde (in der Regel binnen kurzer Fristen) sowie eine Registrierung beim BSI.