Fällt Ihr Unternehmen unter NIS-2?
Beantworten Sie 4 kurze Fragen und erfahren Sie sofort, ob und wie die NIS-2-Richtlinie für Ihr Unternehmen gilt. Ohne Kontaktdaten, kostenlos.
Fällt Ihr Unternehmen unter NIS-2?
NIS-2 ist die EU-Richtlinie (EU) 2022/2555 zur Cybersicherheit. Sie erweitert die Vorgänger-Richtlinie NIS-1 erheblich: Deutlich mehr Sektoren sind erfasst, die Anforderungen sind konkreter, und die Geschäftsleitung haftet persönlich. Ob Sie betroffen sind, hängt von zwei Dingen ab – Ihrem Sektor und Ihrer Unternehmensgröße. Genau das prüft der Check oben.
Wer ist betroffen?
NIS-2 unterscheidet zwei Kategorien, die sich aus Sektor und Größe ergeben. Beide müssen dieselben Sicherheitsmaßnahmen umsetzen – sie unterscheiden sich vor allem in der Aufsicht: wesentliche Einrichtungen werden proaktiv beaufsichtigt, wichtige Einrichtungen anlassbezogen.
| Kategorie | Typische Schwelle | Aufsicht |
|---|---|---|
| Wesentliche Einrichtung | Sektoren mit hoher Kritikalität, i. d. R. ab 250 Beschäftigten oder > 50 Mio. € Umsatz | proaktiv |
| Wichtige Einrichtung | Erfasste Sektoren, i. d. R. ab 50 Beschäftigten oder > 10 Mio. € Umsatz | anlassbezogen |
Die Sektoren
Die Richtlinie führt Sektoren hoher Kritikalität (u. a. Energie, Verkehr, Bankwesen, Finanzmarktinfrastruktur, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur, IKT-Dienstleistungsmanagement, öffentliche Verwaltung, Weltraum) und sonstige kritische Sektoren (u. a. Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Dienste, Forschung).
Wichtig: Die Größenschwellen sind nicht die einzige Tür. Unabhängig von der Größe können Einrichtungen erfasst sein, wenn sie etwa alleiniger Anbieter einer kritischen Dienstleistung sind oder eine Störung erhebliche Auswirkungen hätte. Und: Auch wenn Sie selbst nicht unter NIS-2 fallen, werden Sie die Anforderungen häufig über Ihre Kunden als Lieferant spüren.
Welche Pflichten kommen auf Sie zu?
1. Risikomanagementmaßnahmen
Die Richtlinie verlangt einen „gefahrenübergreifenden" Ansatz mit einem Mindestkatalog an Maßnahmen – darunter Risikoanalyse und Sicherheitskonzepte, Bewältigung von Sicherheitsvorfällen, Business Continuity und Backup-Management, Sicherheit der Lieferkette, Sicherheit bei Beschaffung und Entwicklung, Bewertung der Wirksamkeit, Cyberhygiene und Schulungen, Kryptografie, Personalsicherheit und Zugriffskontrolle sowie Multi-Faktor-Authentifizierung.
2. Meldepflichten
Für erhebliche Sicherheitsvorfälle gilt ein gestuftes Verfahren:
- 24 Stunden – Frühwarnung
- 72 Stunden – Meldung mit erster Bewertung
- 1 Monat – Abschlussbericht
3. Verantwortung der Geschäftsleitung
Das ist die vielleicht wichtigste Neuerung: Die Geschäftsleitung muss die Risikomanagementmaßnahmen billigen und ihre Umsetzung überwachen, sich regelmäßig schulen lassen – und haftet für Verstöße. Cybersicherheit ist damit endgültig kein reines IT-Thema mehr.
Wie Sie Ihr Check-Ergebnis lesen
Der Check oben ordnet Sie anhand von Sektor, Beschäftigtenzahl und Umsatz einer der drei Situationen zu:
- Wesentliche Einrichtung – Sie sind mit hoher Wahrscheinlichkeit voll erfasst und stehen unter proaktiver Aufsicht. Registrierung und Umsetzung sollten Priorität haben.
- Wichtige Einrichtung – Sie sind erfasst, werden aber anlassbezogen beaufsichtigt. Die inhaltlichen Pflichten sind dieselben.
- Voraussichtlich nicht erfasst – Achten Sie trotzdem auf die Lieferketten-Anforderung: Ihre Kunden werden Nachweise verlangen.
Der Check ersetzt keine Rechtsberatung. Er gibt Ihnen eine belastbare Ersteinschätzung und zeigt, wo Sie ansetzen sollten.
Der pragmatische Weg zur Umsetzung
Der größte Teil der NIS-2-Maßnahmen deckt sich mit dem, was ein ISMS nach ISO 27001 ohnehin verlangt: Risikomanagement, Lieferantensteuerung, Vorfallbehandlung, Zugriffskontrolle, Schulungen. Wer bereits ein ISMS betreibt, hat einen Großteil erledigt und muss vor allem die NIS-2-Spezifika ergänzen – Registrierung, Meldeprozesse und den Nachweis gegenüber der Geschäftsleitung.
Häufige Fragen zu NIS-2
Ab wann gilt NIS-2 für mein Unternehmen?
Die EU-Frist zur nationalen Umsetzung lief am 17. Oktober 2024 ab. Deutschland setzt die Richtlinie mit dem NIS2-Umsetzungsgesetz um, das sich verzögert hat. Die Pflichten entstehen mit Inkrafttreten des nationalen Gesetzes – wer betroffen ist, sollte die Umsetzung aber nicht davon abhängig machen, da der Aufbau typischerweise mehrere Monate dauert.
Muss ich mich aktiv registrieren?
Ja. Betroffene Einrichtungen müssen sich bei der zuständigen nationalen Behörde registrieren – in Deutschland beim BSI. Die Registrierung ist eine eigenständige Pflicht und ersetzt nicht die Umsetzung der Sicherheitsmaßnahmen.
Brauche ich eine ISO-27001-Zertifizierung für NIS-2?
Nein, NIS-2 schreibt keine Zertifizierung vor. Ein ISMS nach ISO 27001 ist aber der etablierteste Weg, die geforderten Maßnahmen strukturiert umzusetzen und nachzuweisen – und deckt den Großteil der Anforderungen ab.
Was passiert bei Verstößen?
Die Richtlinie sieht empfindliche Bußgelder vor – für wesentliche Einrichtungen bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes, für wichtige Einrichtungen bis zu 7 Mio. € oder 1,4 %. Hinzu kommt die persönliche Verantwortung der Geschäftsleitung.
Wir sind Zulieferer und selbst nicht betroffen – müssen wir trotzdem etwas tun?
In der Praxis ja. NIS-2 verpflichtet betroffene Unternehmen, die Sicherheit ihrer Lieferkette zu steuern. Das reichen sie über Fragebögen und Vertragsklauseln an Sie weiter. Nachweisbare Informationssicherheit wird damit zum Wettbewerbsfaktor.
Wie lange dauert die Umsetzung?
Realistisch sind vier bis neun Monate, abhängig von Ausgangslage, Unternehmensgröße und vorhandener Dokumentation. Wer bereits ein ISMS betreibt, ist deutlich schneller.