Oktober 2, 2025

EU-Richt­li­nie NIS2: Neue An­for­de­run­gen an Cy­ber­se­cu­ri­ty für Un­ter­neh­men

Die NIS2-Richt­li­nie wurde von der EU eingeführt, um die Cy­ber­se­cu­ri­ty in kri­ti­schen Branchen wie Energie, Ge­sund­heit, Trans­port, Banken und Di­gi­tal­dienst­leis­tun­gen zu stärken. Sie betrifft auch zahl­rei­che mittelgroße Un­ter­neh­men mit sys­te­mi­scher Be­deu­tung. Auch wenn sich die Um­set­zung der EU-Vorgaben in na­tio­na­les Recht verzögert, ist es für be­trof­fe­ne Unternehmen ratsam, sich frühzeitig auf das neue NIS2-Um­set­zungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) vor­zu­be­rei­ten. Sie verlangt von Un­ter­neh­men, ihre Widerstandsfähigkeit und Reaktionsfähigkeit gegenüber Cy­ber­an­grif­fen und Sicherheitsvorfällen zu erhöhen.

Be­deu­tung für Un­ter­neh­men in Deutsch­land:

  • Er­wei­ter­ter Gel­tungs­be­reich: Mehr Branchen und Un­ter­neh­men fallen unter die NIS2-Richt­li­nie, ins­be­son­de­re in kri­ti­schen Sektoren wie Energie, Ge­sund­heit und Trans­port. Und zwar ab einer Unternehmensgröße von 50 Mit­ar­bei­tern oder über 10 Mio. Euro Umsatz und über 10 Mio. Euro Jahresbilanzsumme.
  • Sicherheitsmaßnahmen: Un­ter­neh­men müssen um­fas­sen­de tech­ni­sche und or­ga­ni­sa­to­ri­sche Sicherheitsmaßnahmen um­set­zen.
  • Mel­de­pflich­ten: Un­ter­neh­men sind ver­pflich­tet, schwere Sicherheitsvorfälle den Behörden zu melden.
  • Bußgelder: Verstöße gegen die Richt­li­nie können er­heb­li­che Geld­stra­fen nach sich zie­hen.

Un­ter­neh­men, die bereits ein ISMS eingeführt haben, erfüllen viele der NIS2-An­for­de­run­gen und können so die Ein­hal­tung der ge­setz­li­chen Vorgaben mit einer ISO 27001 Zer­ti­fi­zie­rung ent­spre­chend nachweisen. 

Fachfrau erläutert Termine, Fristen und Pflichten an einem Zeitstrahl
Regulierung · NIS-2

Was für Sie gilt — und ab wann

Wen die Richtlinie trifft, was sie verlangt und woran die Umsetzung meist hängt.

Betroffenheit entsteht aus Sektor und Größe.
Anhang I und II der Richtlinie nennen die Sektoren, dazu kommen Schwellen bei Beschäftigten und Umsatz. Beides muss zutreffen – oder eine Sonderregel greifen.
Die Pflichten gelten unabhängig von der Registrierung.
Wer betroffen ist, ist es kraft Gesetz. Auf eine Aufforderung durch die Behörde zu warten, ist keine Strategie.
Die Geschäftsleitung haftet persönlich.
NIS-2 nimmt die Leitungsebene ausdrücklich in die Pflicht – einschließlich Schulungspflicht. Das ist der schärfste Unterschied zu früheren Regelungen.
Auch Lieferanten sind mittelbar betroffen.
Betroffene Unternehmen müssen ihre Lieferkette absichern. Diese Anforderungen werden vertraglich weitergereicht – auch an nicht direkt betroffene Zulieferer.
Ihr nächster Schritt

Zuerst klären, ob Sie betroffen sind

Sektor, Größe und Sonderregeln entscheiden über Ihre Betroffenheit. Der Check gibt in wenigen Minuten eine belastbare Antwort – erst danach lohnt die Planung.

Mehr zum Thema: NIS-2