Informationssicherheit

Die NIS-2-Richtlinie

Die NIS-2-Richtlinie stärkt die Cybersicherheit in der EU und legt Anforderungen zur Verbesserung der Informationssicherheit fest. Sie fordert verstärkte Sicherheitsmaßnahmen und eine engere Zusammenarbeit zum Schutz kritischer Infrastrukturen.

Cybersecurity-Grafik zur NIS-2 Richtlinie mit zentralem Sicherheitsschild und Netzwerkinfrastruktur-Elementen

Was ist die NIS-2-Richtlinie?

Die NIS-2-Richtlinie (Network and Information Security Directive 2) ist die überarbeitete EU-Cybersicherheitsverordnung, die am 6. Dezember 2025 in Deutschland in Kraft getreten ist. Sie löst die NIS-1-Richtlinie von 2016 ab und erweitert den Geltungsbereich erheblich: Statt bisher rund 4.500 Unternehmen müssen nun etwa 30.000 Organisationen strengere Sicherheitsstandards einhalten.

Die Richtlinie verfolgt drei zentrale Ziele: Harmonisierung der Cybersicherheitsstandards in allen EU-Mitgliedstaaten, verstärkte Risikomanagementpflichten für betroffene Unternehmen und strenge Meldepflichten bei Sicherheitsvorfällen. Anders als bei der DSGVO gibt es keine Übergangsfristen – die Anforderungen gelten sofort.

Besonders bedeutsam: Die Geschäftsführung haftet persönlich für die Umsetzung der Maßnahmen. Ein Vergleich über Schadensersatzansprüche gegen die Geschäftsleitung ist laut Gesetzentwurf nichtig.

Sie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.

Mehr Informationen

NIS-2 Zeitplan: Wichtige Fristen

Das NIS-2-Umsetzungsgesetz trat am 6. Dezember 2025 in Kraft. Betroffene Unternehmen müssen jetzt handeln:

  • Bis 31. Dezember 2025: Unternehmen sollten sich bei Mein Unternehmenskonto (MUK) registrieren. Die Anmeldung erfolgt mit dem ELSTER-Organisationszertifikat.
  • Ab 6. Januar 2026: Registrierung im BSI-Portal wird möglich. Das Portal dient gleichzeitig als zentrale Meldestelle für Sicherheitsvorfälle.
  • Bis Ende März 2026: Späteste Registrierungspflicht für betroffene Einrichtungen beim BSI (drei Monate nach Inkrafttreten des Gesetzes).
  • Ab sofort: Unternehmen müssen Risikomanagementmaßnahmen dokumentieren und umsetzen. Schwere Sicherheitsvorfälle sind innerhalb von 24 Stunden zu melden.

Wer ist von NIS-2 betroffen?

NIS-2 unterscheidet zwischen „besonders wichtigen Einrichtungen“ und „wichtigen Einrichtungen“. Die Einstufung erfolgt nach zwei Kriterien: Unternehmensgröße und Sektor.

Besonders wichtige Einrichtungen: Höchste Kritikalitätsstufe mit strengsten Anforderungen

Als besonders wichtige Einrichtungen gelten Unternehmen mit mindestens 250 Beschäftigten oder einem Jahresumsatz über 50 Mio. EUR und einer Jahresbilanz über 43 Mio. EUR. Diese Organisationen unterliegen den strengsten Sicherheitsanforderungen und höchsten Bußgeldern bei Verstößen.

Zu den elf Sektoren mit hoher Kritikalität zählen der Energiesektor mit Strom-, Gas- und Ölversorgung sowie Fernwärme und Wasserstoff, der Verkehrssektor einschließlich Luft-, Schienen-, Straßen- und Seeverkehr, das Bankwesen mit Kreditinstituten und Zahlungsdienstleistern sowie die Finanzmarktinfrastruktur mit Börsen und zentralen Gegenparteien. Das Gesundheitswesen umfasst Krankenhäuser, Labore und medizinische Einrichtungen, während die Trinkwasserversorgung und Abwasserentsorgung die Grundversorgung der Bevölkerung sicherstellen.

Die digitale Infrastruktur schließt Cloud-Anbieter, Rechenzentren, Content Delivery Networks, DNS-Anbieter und TLD-Register ein. Das IKT-Dienstleistungsmanagement (B2B) betrifft Managed Security Service Provider und IT-Dienstleister, die kritische Dienste für andere Unternehmen bereitstellen. Die öffentliche Verwaltung auf zentraler und regionaler Ebene sowie der Weltraumsektor mit Bodeninfrastrukturen für Satelliten runden die Liste ab

Wichtige Einrichtungen: Erweiterte Sektoren mit mittlerer Kritikalität

Diese Kategorie erfasst Unternehmen mit mindestens 50 Beschäftigten oder einem Jahresumsatz und einer Jahresbilanz von jeweils über 10 Mio. EUR. Die Anforderungen sind etwas geringer als bei besonders wichtigen Einrichtungen, aber dennoch umfassend und verpflichtend.

Zu den sieben weiteren kritischen Sektoren gehören Post- und Kurierdienste mit Paket- und Briefdienstleistern, die Abfallwirtschaft mit Entsorgungs- und Recyclingunternehmen sowie die chemische Industrie für Produktion und Vertrieb. Die Lebensmittelindustrie umfasst Produktion, Verarbeitung und Großhandel, während der Fertigungssektor Medizinprodukte, Elektronik, Maschinenbau, Fahrzeugbau und Datenverarbeitungsgeräte einschließt.

Digitale Dienste wie Online-Marktplätze, Suchmaschinen und Social-Media-Plattformen fallen ebenfalls in diese Kategorie. Der Forschungssektor betrifft Forschungseinrichtungen mit kommerzieller Ausrichtung, die ihre Erkenntnisse wirtschaftlich verwerten

Sie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.

Mehr Informationen

Ausnahmen und Sonderfälle

Auch kleinere Unternehmen können betroffen sein, wenn sie kritische Funktionen ausüben oder als Systemrisiko eingestuft werden. Zudem können betroffene Unternehmen strenge Sicherheitsanforderungen an ihre gesamte Lieferkette stellen – selbst kleine Zulieferer müssen dann entsprechende Maßnahmen ergreifen.

Der BSI stellt online eine Betroffenheitsprüfung bereit.

Welche Anforderungen stellt NIS-2?

Die NIS-2-Richtlinie fordert umfassende technische und organisatorische Maßnahmen. Zentrale Anforderungen nach Art. 21 NIS-2 und §§ 30-31 BSIG:

1. Risikomanagement: Strukturiertes ISMS als Compliance-Fundament

Unternehmen müssen ein strukturiertes Informationssicherheitsmanagementsystem (ISMS) einführen, das alle Sicherheitsrisiken systematisch erfasst und bewertet. Die Norm ISO 27001 erfüllt die NIS-2-Anforderungen vollständig und bietet einen international anerkannten Rahmen. Ein wirksames Risikomanagement identifiziert alle schützenswerten Assets im Unternehmen, bewertet systematisch alle Cyberrisiken und entwickelt konkrete Risikobehandlungspläne mit definierten Maßnahmen. Die kontinuierliche Überwachung und regelmäßige Neubewertung der Risiken stellt sicher, dass das Schutzniveau mit den sich ändernden Bedrohungen Schritt hält.

2. Incident Management: Schnelle Reaktion auf Sicherheitsvorfälle binnen 24 Stunden

Schwere Sicherheitsvorfälle müssen innerhalb von 24 Stunden dem BSI gemeldet werden – diese Frist ist absolut und lässt keinen Spielraum. Unternehmen benötigen daher klare, dokumentierte Prozesse für die Erkennung, Analyse und Reaktion auf Sicherheitsvorfälle. Dazu gehören definierte Eskalationswege mit klaren Verantwortlichkeiten, ein Security Operations Center (SOC) oder entsprechende externe Dienstleister sowie regelmäßige Notfallübungen zur Überprüfung der Reaktionsfähigkeit. Die Dokumentation aller Vorfälle und der getroffenen Maßnahmen ist für Audits und Nachweise zwingend erforderlich.

3. Business Continuity: Geschäftskontinuität auch bei Cyberangriffen sicherstellen

Unternehmen müssen ihre Geschäftsfähigkeit auch bei schweren Cyberangriffen aufrechterhalten können – ein kompletter Ausfall ist nicht akzeptabel. Dies erfordert ausgefeilte Backup-Strategien mit regelmäßigen Wiederherstellungstests, detaillierte Disaster-Recovery-Pläne für verschiedene Krisenszenarien sowie ein umfassendes Notfall- und Krisenmanagement. Alternative Kommunikationswege müssen definiert und getestet werden, falls die primären Systeme ausfallen. Die Wiederanlaufplanung muss Prioritäten setzen und sicherstellen, dass kritische Geschäftsprozesse innerhalb definierter Zeitfenster wieder verfügbar sind.

4. Sichere Lieferketten: Sicherheitsanforderungen für alle Dienstleister und Zulieferer

NIS-2 verlangt, dass Unternehmen ihre gesamte Lieferkette auf Sicherheitsrisiken prüfen und absichern – die Verantwortung endet nicht an der eigenen Unternehmensgrenze. Lieferanten und Dienstleister müssen Sicherheitsanforderungen vertraglich zusichern und deren Einhaltung nachweisen. Regelmäßige Audits von kritischen Dienstleistern sind verpflichtend, um Schwachstellen frühzeitig zu identifizieren. Kritische Komponenten, insbesondere aus dem Ausland, müssen besonders geprüft und geschützt werden – das BSI kann den Einsatz bestimmter Komponenten bei Sicherheitsbedenken untersagen.

5. Kryptographie und Verschlüsselung: Schutz sensibler Daten nach BSI-Standards

Alle sensiblen Daten müssen nach dem Stand der Technik verschlüsselt werden – sowohl bei der Übertragung über Netzwerke als auch bei der Speicherung auf Servern und in Backups. Multi-Faktor-Authentifizierung (MFA) ist für alle Systemzugriffe zwingend erforderlich, besonders für administrative Konten und Fernzugriffe. Kryptographische Verfahren müssen den Empfehlungen des BSI entsprechen und regelmäßig auf ihre Sicherheit überprüft werden. Veraltete Verschlüsselungsalgorithmen müssen zeitnah durch sichere Verfahren ersetzt werden, bevor bekannte Schwachstellen ausgenutzt werden können.

6. Schulungen und Awareness: Sicherheitsbewusstsein auf allen Unternehmensebenen

Die Geschäftsleitung trägt die Verantwortung für die Informationssicherheit und muss sich regelmäßig zu aktuellen Cyberrisiken und Schutzmaßnahmen schulen lassen. Alle Mitarbeiter benötigen mindestens jährliche Security-Awareness-Schulungen, die auf ihre jeweiligen Tätigkeitsbereiche zugeschnitten sind. Phishing-Simulationen sollten regelmäßig durchgeführt werden, um das Bewusstsein für Social-Engineering-Angriffe zu schärfen. Die kontinuierliche Sensibilisierung aller Mitarbeiter ist entscheidend, da der Mensch oft das schwächste Glied in der Sicherheitskette darstellt.

7. Zugangskontrollen: Strikte Rechtevergabe nach Need-to-know-Prinzip

Nur autorisierte Personen dürfen Zugriff auf sensible Systeme und Anlagen haben – dies muss technisch und organisatorisch durchgesetzt werden. Zugriffsrechte müssen nach dem Need-to-know-Prinzip vergeben werden, sodass Mitarbeiter nur auf die Informationen zugreifen können, die sie für ihre Arbeit benötigen. Physische Zugangskontrollen für kritische Infrastrukturen wie Serverräume und Rechenzentren sind ebenso erforderlich wie logische Zugriffskontrollen in IT-Systemen. Regelmäßige Überprüfungen der vergebenen Rechte stellen sicher, dass keine unnötigen oder veralteten Berechtigungen bestehen bleiben.

8. Lückenlose Dokumentation: Nachweisführung für Audits und Kontrollen

Alle Sicherheitsmaßnahmen müssen lückenlos dokumentiert sein – ohne Dokumentation keine Compliance. Das BSI kann jederzeit Nachweise über die umgesetzten Maßnahmen anfordern und führt stichprobenartig Kontrollen durch. Die Dokumentation muss aktuell gehalten und bei internen sowie externen Audits vollständig vorgelegt werden können. Dazu gehören Sicherheitsrichtlinien, Risikoanalysen, Maßnahmenpläne, Schulungsnachweise, Vorfallsdokumentationen und Audit-Protokolle. Ein strukturiertes Dokumentenmanagement erleichtert die Pflege und den schnellen Zugriff auf alle relevanten Unterlagen.

 

🔍 NIS-2 Betroffenheitsprüfung

Prüfen Sie in wenigen Sekunden, ob und wie Ihr Unternehmen von der NIS-2-Richtlinie betroffen ist

Schritt 1 von 4
Wählen Sie die Mitarbeiteranzahl Ihres Unternehmens
Jahresumsatz Ihres Unternehmens
Bilanzsumme aus Ihrer aktuellen Jahresbilanz
Wählen Sie den passenden Sektor für Ihr Unternehmen

Ihre Eingaben werden analysiert...

📋 Was gilt als "erheblicher Sicherheitsvorfall"?

Ein Sicherheitsvorfall ist erheblich und meldepflichtig, wenn er erhebliche Auswirkungen auf die Bereitstellung der Dienste hat:

  • Betriebsstörungen: Erhebliche Beeinträchtigung oder Ausfall kritischer Dienste
  • Datenverlust oder unbefugter Zugriff: Kompromittierung personenbezogener oder geschäftskritischer Daten
  • Ransomware-Angriffe: Verschlüsselung von Systemen mit Lösegeldforderung
  • Schwerwiegende DDoS-Attacken: Erhebliche Beeinträchtigung der Dienstverfügbarkeit
  • Lieferketten-Kompromittierung: Sicherheitsvorfälle über Drittanbieter oder Zulieferer
  • Beeinträchtigung der Integrität: Manipulation von Daten oder Systemen
⏱️ 24-Stunden-Meldefrist!

Die Erstmeldung muss innerhalb von 24 Stunden nach Kenntniserlangung erfolgen, auch wenn noch nicht alle Details bekannt sind. Weitere Informationen können nachgereicht werden: Zwischenmeldung nach 72 Stunden, Abschlussbericht nach spätestens einem Monat.

🔐 MUK-Registrierung: Der praktische Ablauf

Schritt-für-Schritt zur BSI-Registrierung:

  • 1. ELSTER-Zertifikat beantragen: Falls noch nicht vorhanden, über das ELSTER-Portal beantragen (Bearbeitungszeit einplanen)
  • 2. MUK-Account erstellen: Auf unternehmenskonto.de registrieren mit ELSTER-Organisationszertifikat
  • 3. Unternehmensdaten hinterlegen: Handelsregisternummer, Kontaktdaten, verantwortliche Ansprechpersonen
  • 4. BSI-Portal-Zugang: Ab 6. Januar 2026 mit MUK-Account beim BSI-Portal anmelden
  • 5. NIS-2-Registrierung abschließen: Sektor, Größenklasse, kritische Dienstleistungen und Kontaktstelle angeben

Empfohlene Unterlagen: Handelsregisterauszug, Organigramm, Übersicht der IT-Systeme und Dienste, Kontaktdaten der Geschäftsführung und des Informationssicherheitsbeauftragten

⚠️ Häufige Implementierungsfehler vermeiden

Diese Fehler verzögern die NIS-2-Compliance:

  • Zu späte Risikoanalyse: Beginnen Sie jetzt mit der systematischen Erfassung aller Assets und Bedrohungen
  • Unvollständige Dokumentation: Ohne lückenlose Nachweise keine Compliance – das BSI fordert umfassende Dokumentation
  • Lieferkette vernachlässigen: Auch Ihre Dienstleister und Zulieferer müssen angemessene Sicherheitsmaßnahmen nachweisen
  • Geschäftsleitung nicht eingebunden: Persönliche Haftung erfordert aktive Beteiligung und Schulung der Führungsebene
  • Notfallpläne ungetestet: Business Continuity und Disaster Recovery Pläne müssen regelmäßig getestet werden
  • Fehlende Mitarbeiterschulungen: Security Awareness ist essentiell – der Mensch bleibt oft das schwächste Glied

🔍 Was passiert bei BSI-Kontrollen?

Das BSI führt risikobasierte und stichprobenartige Kontrollen durch. Besonders wichtige Einrichtungen unterliegen proaktiver Aufsicht.

Typische Prüfbereiche:

  • Dokumentenprüfung: ISMS-Dokumentation, Risikoanalysen, Sicherheitsrichtlinien, Schulungsnachweise
  • Technische Prüfungen: Patch-Management, Backup-Systeme, Zugangskontrollen, Logging
  • Organisatorische Maßnahmen: Incident-Response-Prozesse, Notfallpläne, Lieferantenmanagement
  • Interviews: Gespräche mit Geschäftsführung, IT-Verantwortlichen und Sicherheitsbeauftragten

Das BSI kann jederzeit Nachweise anfordern, Auskünfte verlangen und Vor-Ort-Prüfungen durchführen.

💡 Praxis-Tipp:

Führen Sie interne Audits durch, um Schwachstellen frühzeitig zu identifizieren. Eine gute Vorbereitung minimiert das Risiko von Beanstandungen.

🔗 Lieferkettensicherheit konkret

Diese Anforderungen stellen NIS-2-pflichtige Unternehmen an ihre Zulieferer:

  • Nachweis angemessener Sicherheitsmaßnahmen (z.B. ISMS nach ISO 27001)
  • Regelmäßige Sicherheitsüberprüfungen und Updates
  • Verschlüsselte Datenübertragung und sichere Datenspeicherung
  • Definierte Service Level Agreements (SLAs) mit Verfügbarkeitsgarantien
  • Dokumentierter Incident-Response-Plan mit Eskalationswegen
  • Nachweise über Mitarbeiterschulungen zur Informationssicherheit
  • Regelmäßiges Schwachstellenmanagement und zeitnahe Patch-Implementierung

Wichtig: Auch wenn Sie selbst nicht direkt NIS-2-pflichtig sind, können Ihre Kunden diese Anforderungen vertraglich festlegen. Dies betrifft zunehmend auch KMUs in der Zulieferkette.

📊 Compliance-Nachweis: Essenzielle Dokumentation

Diese Unterlagen benötigen Sie für den Compliance-Nachweis:

  • ISMS-Dokumentation: Beschreibung des Informationssicherheitsmanagementsystems mit Geltungsbereich
  • Risikoanalyse: Systematische Identifikation und Bewertung aller Informationssicherheitsrisiken
  • Sicherheitsrichtlinien: Dokumentierte Regelungen zu Passwörtern, Zugriffskontrolle, Verschlüsselung, etc.
  • Notfall- und Krisenmanagement: Business Continuity Plan (BCP) und Disaster Recovery Plan (DRP)
  • Schulungsnachweise: Dokumentation aller Awareness-Trainings und Sensibilisierungsmaßnahmen
  • Prüfnachweise: Berichte interner und externer Audits, Penetrationstests
  • Incident-Dokumentation: Aufzeichnungen aller Sicherheitsvorfälle und ergriffenen Maßnahmen
  • Lieferantenverträge: Vereinbarungen mit Sicherheitsanforderungen und Auditrechten

🎯 Starten Sie jetzt mit Ihrer NIS-2-Compliance

Wir unterstützen Sie bei allen Schritten – von der Gap-Analyse bis zur erfolgreichen BSI-Registrierung.

Kostenlose Erstberatung anfragen

So setzen Sie NIS-2 um: Praktischer 5-Schritte-Plan

Schritt 1: Betroffenheit eindeutig klären und dokumentieren

Die Betroffenheitsprüfung ist der erste und wichtigste Schritt zur NIS-2-Compliance. Nutzen Sie die offizielle BSI-Betroffenheitsprüfung oder den FitNIS2-Navigator der Transferstelle CYBERsicher, um Klarheit zu schaffen. Klären Sie eindeutig, ob und in welcher Kategorie (besonders wichtig oder wichtig) Ihr Unternehmen betroffen ist. Berücksichtigen Sie dabei auch indirekte Betroffenheit durch Kundenanforderungen – viele Zulieferer werden von ihren Kunden zur Erfüllung der NIS-2-Standards verpflichtet, selbst wenn sie die Größenschwellen nicht erreichen.

Schritt 2: Wissen aufbauen und Projektteam etablieren

Ohne fundiertes Verständnis der NIS-2-Anforderungen ist eine erfolgreiche Umsetzung nicht möglich. Das BSI bietet regelmäßig kostenlose Webinare zu NIS-2 an, die einen guten Einstieg bieten. Nehmen Sie an Schulungen teil, um die Anforderungen im Detail zu verstehen und typische Fallstricke zu vermeiden. Bilden Sie parallel ein internes NIS-2-Projektteam mit Vertretern aus IT, Recht, Compliance und Geschäftsführung – die interdisziplinäre Zusammenarbeit ist entscheidend für den Erfolg.

Schritt 3: Ist-Stand analysieren und Lücken identifizieren

Bevor Sie Maßnahmen umsetzen, müssen Sie wissen, wo Sie stehen. Führen Sie eine umfassende Gap-Analyse durch, um Ihren aktuellen Sicherheitsstatus zu erfassen. Der CyberSicherheitsCheck für KMU von IHK und Transferstelle CYBERsicher bietet eine erste Orientierung und ist kostenlos verfügbar. Für fortgeschrittene Unternehmen mit bestehenden Sicherheitsmaßnahmen empfiehlt sich ein professionelles NIS-2-Compliance-Assessment durch externe Berater, das detailliert aufzeigt, welche Lücken geschlossen werden müssen.

Schritt 4: Maßnahmen systematisch umsetzen und priorisieren

Die meisten NIS-2-Anforderungen deckt ein strukturiertes ISMS nach ISO 27001 ab – wer bereits nach diesem Standard arbeitet, hat einen erheblichen Vorsprung. Setzen Sie bei der Umsetzung klare Prioritäten und gehen Sie systematisch vor.

Technologie: Implementierung von Zero-Trust-Architekturen, Verschlüsselung nach BSI-Standards und MFA für alle kritischen Systeme.

Prozesse: Aufbau eines Security Incident Management Systems (SIMS). ISO-zertifizierte Managed Security Services können Überwachung, Analyse und Reaktion übernehmen.

Menschen: Regelmäßige Schulungen und Awareness-Programme etablieren. Sicherheitskultur im gesamten Unternehmen verankern.

Schritt 5: Registrieren, melden und kontinuierlich verbessern

Die Umsetzung endet nicht mit der Implementierung der Maßnahmen – NIS-2 erfordert kontinuierliches Monitoring und Verbesserung. Registrieren Sie sich bis Ende März 2026 beim BSI über das MUK-Portal. Richten Sie das Meldewesen für Sicherheitsvorfälle ein und definieren Sie klare Prozesse für die 24-Stunden-Meldefrist. Überwachen Sie kontinuierlich Ihre Maßnahmen, führen Sie regelmäßige Audits durch und passen Sie Ihre Sicherheitsstrategie an neue Bedrohungen und Anforderungen an.

Fünfstufige Treppe zur NIS-2-Compliance mit Icons für Betroffenheit, Wissen, Lückenanalyse, Maßnahmen und kontinuierliche Verbesserung

ISMS als Lösung für NIS-2

Ein professionelles Informationssicherheitsmanagementsystem nach ISO 27001 erfüllt alle NIS-2-Anforderungen umfassend. Unternehmen, die bereits ein ISO 27001-zertifiziertes ISMS betreiben, haben einen klaren Vorteil – sie müssen lediglich spezifische NIS-2-Aspekte wie die Meldepflichten und die BSI-Registrierung ergänzen.

Der Aufbau eines ISMS beginnt mit einer systematischen Risikoanalyse, die alle schützenswerten Assets identifiziert und bewertet. Darauf aufbauend werden dokumentierte Sicherheitsrichtlinien entwickelt, die klare Vorgaben für den Umgang mit Informationen und IT-Systemen enthalten. Die technischen Maßnahmen umfassen Firewalls, Verschlüsselung, Zugangskontrollen und Backup-Systeme, die gemeinsam einen mehrschichtigen Schutz gewährleisten.

Organisatorische Maßnahmen regeln Prozesse, Verantwortlichkeiten und Notfallpläne, um auch bei Sicherheitsvorfällen handlungsfähig zu bleiben. Regelmäßige Schulungen sensibilisieren alle Mitarbeiter für Sicherheitsrisiken und vermitteln das richtige Verhalten im Umgang mit sensiblen Informationen. Ein externer Informationssicherheitsbeauftragter (ISB) kann den gesamten Aufbau professionell begleiten und sicherstellen, dass alle NIS-2-Anforderungen fachgerecht erfüllt werden.

Drastische Bußgelder und persönliche Haftung bei Verstößen

NIS-2 sieht drastische Bußgelder vor – deutlich höher als bei der DSGVO und mit erheblichen Konsequenzen für die Geschäftsführung. Besonders wichtige Einrichtungen müssen mit Bußgeldern bis zu 10 Millionen EUR oder 2% des weltweiten Jahresumsatzes rechnen, je nachdem welcher Betrag höher ist. Wichtige Einrichtungen können mit bis zu 7 Millionen EUR oder 1,4% des weltweiten Jahresumsatzes belegt werden.

Zusätzlich zu den Unternehmensbußgeldern haftet die Geschäftsführung persönlich für Verstöße gegen die NIS-2-Anforderungen. Bei Nichtbeachtung der Vorgaben können Geschäftsführer mit ihrem Privatvermögen haften – ein Verzicht des Unternehmens auf Schadensersatzansprüche ist laut Gesetz ausdrücklich ausgeschlossen. Diese persönliche Haftung macht NIS-2 zu einer echten Chefsache.

Die Konsequenzen gehen über finanzielle Strafen hinaus: Das BSI kann Verstöße öffentlich bekannt machen, was erhebliche Reputationsschäden nach sich zieht und das Vertrauen von Kunden und Partnern nachhaltig beschädigt. Bei schwerwiegenden Sicherheitsmängeln kann das BSI den Einsatz kritischer Komponenten untersagen, was zu Betriebsunterbrechungen führen kann. Unternehmen riskieren zudem den Verlust von Geschäftsbeziehungen mit anderen NIS-2-pflichtigen Unternehmen, die sichere Lieferketten nachweisen müssen. Auch der Ausschluss von öffentlichen Ausschreibungen droht, wenn die erforderliche Compliance nicht gewährleistet ist

NIS-2 vs. andere Standards:

Standard
Fokus
Zertifizierung
NIS-2-Compliance
ISO 27001
Umfassendes ISMS
Ja, durch akkreditierte Stellen
Erfüllt nahezu alle Anforderungen
VdS 10000
ISMS für KMU (deutsch)
Ja, durch VdS Schadenverhütung
Erfüllt nahezu alle Anforderungen
TISAX
Automobilindustrie
Ja, durch ENX-Auditoren
Teilweise, branchenspezifisch
BSI IT-Grundschutz
Deutsche Behörden/KRITIS
Ja, durch BSI
Gute Grundlage, Ergänzungen nötig

BSI als zentrale Aufsichtsbehörde: Aufgaben und Befugnisse

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ist die zentrale Aufsichtsbehörde für NIS-2 in Deutschland und verfügt über weitreichende Befugnisse zur Durchsetzung der Anforderungen.

Das BSI betreibt das zentrale Meldewesen und die Registrierungsdatenbank für alle betroffenen Einrichtungen und koordiniert die gesamte Umsetzung in Deutschland. Es führt regelmäßige Audits und Kontrollen bei betroffenen Unternehmen durch, um die Einhaltung der Sicherheitsanforderungen zu überprüfen. Zur Unterstützung der Unternehmen stellt das BSI umfangreiche Beratungsleistungen bereit, darunter Leitfäden, Webinare und Informationsmaterialien zu allen Aspekten der NIS-2-Umsetzung.

Bei festgestellten Verstößen kann das BSI empfindliche Bußgelder verhängen und bei schwerwiegenden Sicherheitsmängeln weitreichende Maßnahmen ergreifen. Das Amt gibt außerdem Cyber-Warnmeldungen und Sicherheitshinweise heraus, um Unternehmen vor aktuellen Bedrohungen zu warnen. In seiner Rolle arbeitet das BSI eng mit den zuständigen Fachministerien zusammen und koordiniert sich auf EU-Ebene mit anderen nationalen Cybersicherheitsbehörden, um einen einheitlichen europäischen Sicherheitsstandard zu gewährleisten.

Häufig gestellte Fragen zu NIS-2

Was ist der Unterschied zwischen NIS-1 und NIS-2?

NIS-2 erweitert den Anwendungsbereich erheblich: Statt 4.500 sind nun 30.000 Unternehmen betroffen. Die Richtlinie umfasst 18 statt 7 Sektoren und führt strengere Meldepflichten ein. Neu ist auch die persönliche Haftung der Geschäftsführung.

Müssen sich alle betroffenen Unternehmen beim BSI registrieren?

Ja, alle betroffenen Einrichtungen müssen sich bis Ende März 2026 beim BSI registrieren. Die Registrierung erfolgt über das BSI-Portal und setzt ein MUK-Konto voraus.

Wie schnell müssen Sicherheitsvorfälle gemeldet werden?

Schwere Sicherheitsvorfälle müssen innerhalb von 24 Stunden dem BSI gemeldet werden. Eine Erstmeldung genügt zunächst, detaillierte Informationen können nachgereicht werden.

Gilt NIS-2 auch für kleine Unternehmen unter 50 Mitarbeitern?

Grundsätzlich nein. Aber: Kleinere Unternehmen können indirekt betroffen sein, wenn sie wichtige Aktivitäten ausführen oder als Zulieferer für NIS-2-pflichtige Unternehmen tätig sind.

Kann ein ISMS nach ISO 27001 die NIS-2-Anforderungen erfüllen?

Ja, ein ISO 27001-zertifiziertes ISMS erfüllt nahezu alle NIS-2-Anforderungen. Ergänzend müssen lediglich die spezifischen Meldepflichten und die Registrierung beim BSI umgesetzt werden.

Was kostet die Umsetzung von NIS-2?

Die Kosten variieren stark je nach Unternehmensgröße und Ausgangssituation. Das Bundesamt schätzt für die deutsche Wirtschaft einmalige Kosten von 2,2 Mrd. EUR und jährliche Kosten von 2,3 Mrd. EUR. Für einzelne KMUs bedeutet dies: Ein externes ISMS mit Beratung, Software und ISB kostet ab 125 EUR monatlich.

Wer haftet bei Verstößen gegen NIS-2?

Die Geschäftsführung haftet persönlich für die Umsetzung der Maßnahmen. Bei Verstößen können sowohl das Unternehmen als auch die Geschäftsleitung mit Bußgeldern belegt werden. Ein Verzicht auf Schadensersatzansprüche ist ausgeschlossen.

Gibt es Übergangsfristen für die Umsetzung?

Nein. Anders als bei der DSGVO gibt es keine Übergangsfristen. Die Pflichten gelten seit Inkrafttreten des Gesetzes am 6. Dezember 2025. Die Registrierung muss bis Ende März 2026 erfolgen.

Fazit: NIS-2 als Chance nutzen

Die NIS-2-Richtlinie fordert Unternehmen heraus – bietet aber gleichzeitig die Chance, die eigene Cyberresilienz systematisch zu stärken. Wer jetzt handelt, vermeidet nicht nur Bußgelder und persönliche Haftung, sondern positioniert sich als vertrauenswürdiger Partner in einer zunehmend digitalisierten Wirtschaft.

Ein professionelles ISMS nach ISO 27001 erfüllt alle NIS-2-Anforderungen und schützt nachhaltig vor Cyberangriffen, Datenverlusten und Compliance-Risiken. Die Investition in Informationssicherheit zahlt sich aus – durch Risikominimierung, Wettbewerbsvorteile und langfristiges Vertrauen bei Kunden und Partnern.

Beitrag aktualisiert am 17. Dezember 2025 – Geprüft durch Datenschutzbeauftragter Jörg ter Beek
Externer Informations-sicherheitsbeauftragter

Regeltermine, ISMS-Software, E-Learning (LMS), persönlicher Ansprechpartner – und weitere Extras – inklusive.

ab 125€ / pro Monat
Inhalt dieser Seite
Ihre Vorteile mit Cortina Consult in der Informationssicherheit

Wir helfen Unternehmen dabei, ein wirksames Managementsystem für Informationssicherheit aufzubauen und die Anforderungen nach ISO 27001, NIS-2 oder TISAX umzusetzen – digital, effizient und zu fixen Konditionen. Als erfahrener Beratungsdienstleister und externer ISB sorgen wir dafür, dass sensible Informationen geschützt bleiben und Sicherheitsrisiken minimiert werden.

Informationssicherheit
Minimalistische Vektor-Illustration eines männlichen Avatars mit schwarzem Haar, rotem Shirt und schwarzer Jacke
Autor dieses Artikels:
Joshua Tiedtke
Experte für Informationssicherheit bei Cortina Consult
Bleiben Sie up-to-date

Registrieren Sie sich für unseren kostenlosen Newsletter mit lesenswerten Neuigkeiten zur Informationssicherheit und Best-Practices zur Umsetzung.

* Pflichtfeld. Mit der Registrierung erklären Sie Ihr Einverständnis zum Erhalt des Cortina Legal-Updates mit Mailchimp sowie zur Interessen-Analyse durch Auswertung individueller Öffnungs- und Klickraten. Zu Ihrer und unserer Sicherheit senden wir Ihnen vorab noch eine E-Mail mit einem Bestätigungs-Link (sog. Double-Opt-In); die Anmeldung wird erst mit Klick auf diesen Link aktiv. Dadurch stellen wir sicher, dass kein Unbefugter Sie in unser Newsletter-System eintragen kann. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft und ohne Angabe von Gründen widerrufen; z. B. durch Klick auf den Abmeldelink am Ende jedes Newsletters. Nähere Informationen zur Verarbeitung Ihrer Daten finden Sie in unserer Date​​​​nschutzerklärung.

Sie haben Fragen?
– Wir beraten Sie gerne

Jörg ter Beek
Jörg ter Beek
Datenschutzexperte & CEO

Unsere Lösungen

Abstrakte Darstellung von zwei symmetrischen, halbkreisförmigen Formen, die miteinander verbunden sind und Cortina Consult Logo rot mit Schrift