Zuletzt geprüft: März 2026. NIS2 (Richtlinie 2022/2555) ist seit dem 18. Oktober 2024 vollstreckbar. Am 20. Januar 2026 schlug die Europäische Kommission gezielte Änderungen vor — dieser Leitfaden berücksichtigt sowohl das geltende Recht als auch die vorgeschlagenen Änderungen.
Wenn Sie Compliance-Beauftragter, CISO oder Unternehmensverantwortlicher einer europäischen Organisation sind, haben Sie zweifellos bereits von NIS2 gehört. Doch den juristischen Fachjargon zu durchdringen und zu verstehen, was dies konkret für Ihre Organisation bedeutet — das ist die eigentliche Herausforderung.
Dieser Leitfaden erläutert die NIS2-Richtlinie von Anfang bis Ende: was sie ist, ob sie auf Sie zutrifft, was sie vorschreibt und welche Konsequenzen bei Nichteinhaltung drohen. Ohne juristische Umschreibungen — nur die praktischen Informationen, die Sie benötigen, um von „Ich habe von NIS2 gehört“ zu „Ich weiß genau, was wir tun müssen“ zu gelangen.
Schnelleinstieg: NIS2-Compliance in 6 Schritten
- Prüfen Sie, ob NIS2 auf Sie zutrifft — überprüfen Sie Ihren Sektor (Anhang I oder II) und Ihre Unternehmensgröße (50+ Mitarbeiter oder €10 Mio.+ Umsatz).
- Klassifizieren Sie Ihre Einrichtung — wesentlich oder wichtig — da dies Ihre Bußgeldrisiken und Ihr Aufsichtsregime bestimmt.
- Führen Sie eine Lückenanalyse gegenüber den 10 Maßnahmen gemäß Article 21 durch.
- Implementieren Sie Risikomanagementmaßnahmen, die alle 10 Bereiche abdecken, und verwenden Sie die NIS2-Compliance-Vorlagen, um Richtlinien und Verfahren zu dokumentieren.
- Etablieren Sie Verfahren zur Meldung von Sicherheitsvorfällen, um die 24-Stunden-, 72-Stunden- und 1-Monats-Fristen einzuhalten.
- Holen Sie die Genehmigung des Vorstands ein — Article 20 verpflichtet Ihr Leitungsorgan, Cybersicherheitsmaßnahmen formell zu genehmigen und an Schulungen teilzunehmen.
Wer was lesen sollte: Wenn Sie CISO oder IT-Sicherheitsmanager sind, konzentrieren Sie sich auf die Abschnitte 3–4 (Anforderungen und Vorfallsmeldung). Wenn Sie Compliance-Beauftragter sind, beginnen Sie mit Abschnitt 2 (Anwendungsbereich) und Abschnitt 5 (Bußgelder). Wenn Sie auf Vorstands- oder C-Suite-Ebene tätig sind, lesen Sie die Abschnitte 1, 5 und 8 für das strategische Gesamtbild und Ihre persönlichen Haftungsrisiken.
Kostenloses PDFLesen Sie sich gerade in NIS2 ein? Prüfen Sie Ihre Lücken direkt mit.
Die kostenlose NIS2-Selbsteinschätzung — über 90 prüfbare Punkte zu Art. 21 / § 30 BSIG. Sofort als PDF.
1. Was ist die NIS2-Richtlinie?
Die NIS2-Richtlinie — offiziell Richtlinie (EU) 2022/2555 — ist der aktualisierte rechtliche Rahmen der Europäischen Union für Cybersicherheit. Sie wurde am 14. Dezember 2022 verabschiedet, ist seit dem 18. Oktober 2024 vollstreckbar und ersetzt die ursprüngliche NIS-Richtlinie (2016/1148), die seit 2016 in Kraft war [1].
Der vollständige Name beschreibt ihren Zweck: Sie etabliert „Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der gesamten Union.“ In der Praxis schafft NIS2 einheitliche Vorschriften, die Organisationen in kritischen Sektoren verpflichten, Cybersicherheitsrisiken zu managen, Vorfälle zu melden und bei Nichteinhaltung mit echten Konsequenzen zu rechnen.
Warum war NIS2 notwendig?
Die ursprüngliche NIS-Richtlinie war ein wegweisendes Gesetzgebungswerk — das erste EU-weite Cybersicherheitsgesetz. Im Laufe ihrer Umsetzung traten jedoch erhebliche Schwachstellen zutage:
- Inkonsistente Umsetzung. Die Mitgliedstaaten interpretierten NIS1 unterschiedlich, was zu einem Flickenteppich von Cybersicherheitsanforderungen in der EU führte. Eine Organisation, die in mehreren Ländern tätig war, sah sich in jedem Land mit anderen Vorschriften konfrontiert.
- Zu enger Anwendungsbereich. NIS1 erfasste nur eine Handvoll Sektoren. Große Teile der digitalen Wirtschaft — Cloud-Anbieter, Rechenzentren, Managed-Service-Provider, öffentliche Verwaltung — fielen vollständig aus dem Geltungsbereich heraus.
- Schwache Durchsetzung. Bußgelder unter NIS1 waren vage und variierten stark zwischen den Ländern. Einige Mitgliedstaaten verhängten vernachlässigbare Strafen, was die Abschreckungswirkung der Richtlinie untergrub.
- Wachsende Bedrohungslandschaft. Cyberangriffe nahmen zwischen 2016 und 2022 erheblich an Umfang und Raffinesse zu. Der SolarWinds-Lieferkettenangriff, der Colonial-Pipeline-Ransomware-Vorfall und staatlich geförderte Kampagnen gegen das Gesundheitswesen während COVID-19 verdeutlichten allesamt, dass NIS1 für das aktuelle Bedrohungsumfeld unzureichend war.
NIS2 begegnet all diesen Problemen, indem es den Anwendungsbereich auf erfasste Sektoren etwa verzehnfacht, Anforderungen und Bußgelder in allen Mitgliedstaaten harmonisiert und eine direkte Managementverantwortung für Cybersicherheit einführt — etwas, das NIS1 nie vorgesehen hatte [3].
2. Für wen gilt NIS2?
NIS2 gilt für Organisationen, die zwei Kriterien erfüllen: Sie sind in einem erfassten Sektor tätig und überschreiten einen Mindestschwellenwert hinsichtlich ihrer Größe. Die Richtlinie unterteilt in den Anwendungsbereich fallende Organisationen in zwei Kategorien — wesentliche Einrichtungen und wichtige Einrichtungen — mit jeweils unterschiedlichen Aufsichtsregimen und Bußgeldniveaus [2].
Größenschwellenwerte
Als allgemeine Regel gilt NIS2 für:
- Mittelgroße Organisationen: 50 oder mehr Mitarbeiter oder Jahresumsatz/Bilanzsumme von mehr als €10 Millionen
- Große Organisationen: 250 oder mehr Mitarbeiter oder Jahresumsatz von mehr als €50 Millionen
Organisationen unterhalb dieser Schwellenwerte sind grundsätzlich ausgenommen — es gibt jedoch wichtige Ausnahmen. Bestimmte Einrichtungstypen fallen unabhängig von ihrer Größe unter NIS2, darunter Vertrauensdiensteanbieter, DNS-Diensteanbieter, TLD-Namenregistrierungen und Anbieter öffentlicher elektronischer Kommunikationsnetze [12].
Wenn Ihre Organisation Teil einer größeren Unternehmensgruppe ist, können die konsolidierten Zahlen der Gruppe maßgeblich sein — nicht nur die Mitarbeiterzahl und der Umsatz der lokalen Tochtergesellschaft.
Wesentliche vs. wichtige Einrichtungen
| Aspekt | Wesentliche Einrichtungen (Anhang I) | Wichtige Einrichtungen (Anhang II) |
|---|---|---|
| Sektoren | Energie (Strom, Öl, Gas, Wasserstoff, Fernwärme), Verkehr (Luft, Schiene, Wasser, Straße), Bank- und Finanzmarktinfrastruktur, Gesundheitswesen, Trinkwasser, Abwasser, Digitale Infrastruktur, IKT-Dienstverwaltung (B2B), Öffentliche Verwaltung, Raumfahrt | Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittelproduktion und -verarbeitung, Fertigung (Medizinprodukte, Elektronik, Maschinenbau, Kraftfahrzeuge), Digitale Anbieter (Marktplätze, Suchmaschinen, soziale Netzwerke), Forschungseinrichtungen |
| Aufsicht | Proaktiv (ex-ante): Audits, Inspektionen und Prüfungen vor einem Vorfall | Reaktiv (ex-post): Aufsicht wird durch Hinweise auf Nichteinhaltung oder einen Vorfall ausgelöst |
| Höchstbußgelder | €10 Millionen oder 2 % des weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist) | €7 Millionen oder 1,4 % des weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist) |
| Typische Größe | Großunternehmen (250+ Mitarbeiter) in Anhang-I-Sektoren — obwohl mittelgroße Einrichtungen in bestimmten Sektoren ebenfalls qualifiziert sein können | Mittlere Unternehmen (50–249 Mitarbeiter) in Anhang-I- oder -II-Sektoren sowie große Einrichtungen in Anhang-II-Sektoren |
Gilt dies für mich? Ein schneller Entscheidungsbaum
- Ist Ihre Organisation in einem Anhang-I- oder Anhang-II-Sektor tätig? Falls nein — NIS2 gilt nicht unmittelbar (Sie können jedoch als Lieferkettenpartner betroffen sein).
- Hat Ihre Organisation 50+ Mitarbeiter oder einen Umsatz von €10 Mio.+? Falls nein — Sie sind grundsätzlich ausgenommen, es sei denn, Sie gehören zu einem größenunabhängigen Einrichtungstyp (Vertrauensdienste, DNS, TLD-Register, Telekommunikation).
- Sind Sie in einem Anhang-I-Sektor mit 250+ Mitarbeitern tätig? Sie sind wahrscheinlich eine wesentliche Einrichtung.
- Sind Sie eine mittelgroße Einrichtung in einem Anhang-I-Sektor oder eine qualifizierte Einrichtung in einem Anhang-II-Sektor? Sie sind wahrscheinlich eine wichtige Einrichtung.
Hinweis: Einige Mitgliedstaaten können auf der Grundlage nationaler Kriterien zusätzliche Einrichtungen als wesentlich oder wichtig einstufen. Prüfen Sie Ihr nationales Umsetzungsgesetz für Einzelheiten.
Ein Sonderfall steht außerhalb dieser Größenlogik: Wer von seinem Mitgliedstaat nach der CER-Richtlinie (EU) 2022/2557 als kritische Einrichtung ermittelt wird, gilt nach Artikel 2 Absatz 3 und Artikel 3 Absatz 1 Buchstabe f NIS2 unabhängig von der Unternehmensgröße als wesentliche Einrichtung. Die Ermittlungsfrist der Mitgliedstaaten läuft bis zum 17. Juli 2026. Wie sich beide Regime unterscheiden und überschneiden, zeigt der Vergleich NIS2 und die CER-Richtlinie.
3. Was schreibt NIS2 vor? Die 10 Maßnahmen gemäß Article 21
Article 21 der NIS2 legt 10 Maßnahmen zum Cybersicherheitsrisikomanagement fest, die alle wesentlichen und wichtigen Einrichtungen umsetzen müssen. Es handelt sich dabei nicht um optionale Checklisten — sie sind das gesetzliche Mindestmaß. Die Maßnahmen müssen „angemessen und verhältnismäßig“ sein und dabei die Größe Ihrer Organisation, das Risikoexposure und die möglichen gesellschaftlichen Auswirkungen eines Vorfalls berücksichtigen [6].
Die nachstehende Tabelle ordnet jede Maßnahme gemäß Article 21 dem entsprechenden Kapitel der Durchführungsverordnung (EU) 2024/2690 der Kommission zu, die die detaillierten technischen Anforderungen enthält. Der Technische Umsetzungsleitfaden von ENISA (veröffentlicht im Juni 2025) übersetzt diese Anforderungen dann in praktische Kontrollen, Belegnachweise und Zuordnungen zu ISO 27001 [5].
| Maßnahme gem. Art. 21 | Inhalt | CIR 2024/2690 Anhang |
|---|---|---|
| (a) Risikoanalyse und Informationssicherheitsrichtlinien | Aufstellung und Pflege von Richtlinien zur Risikobewertung und Festlegung von Sicherheitskontrollen | Kap. 1 (NIS-Richtlinie) + Kap. 2 (Risikomanagement) |
| (b) Behandlung von Sicherheitsvorfällen | Verfahren zur Prävention, Erkennung, Analyse, Eindämmung, Reaktion und Wiederherstellung | Kap. 3 (Vorfallsmanagement) |
| (c) Betriebskontinuität und Krisenmanagement | Backup-Management, Notfallwiederherstellungspläne und Krisenreaktionsverfahren | Kap. 4 (Betriebskontinuität & Krisenmanagement) |
| (d) Sicherheit der Lieferkette | Sicherheitsanforderungen für direkte Lieferanten und Dienstleister, einschließlich sicherer Entwicklungspraktiken | Kap. 5 (Lieferkettensicherheit) |
| (e) Sicherheit bei Beschaffung, Entwicklung und Wartung | Schwachstellenbehandlung und -offenlegung über den gesamten Systemlebenszyklus | Kap. 6 (Sicherheitstests) + Kap. 7 (Patch-Management) |
| (f) Bewertung der Wirksamkeit | Richtlinien und Verfahren zum Testen und Bewerten der Wirksamkeit Ihrer Cybersicherheitsmaßnahmen | Kap. 6 (Sicherheitstests) |
| (g) Cyber-Hygiene und Schulungen | Grundlegende Cybersicherheitspraktiken für alle Mitarbeiter und dedizierte Schulungen zur Sicherheitsbewusstsein | Kap. 11 (Cyber-Hygiene & Schulungen) |
| (h) Kryptografie und Verschlüsselung | Richtlinien für den Einsatz kryptografischer Kontrollen und Verschlüsselung | Kap. 9 (Kryptografie) |
| (i) Personalsicherheit, Zugangskontrolle und Asset-Management | Personalüberprüfung, rollenbasierte Zugriffskontrollen und vollständiges Asset-Inventar | Kap. 12 (Zugangskontrolle) + Kap. 13 (Personalsicherheit) + Kap. 14 (Asset-Management) |
| (j) Multi-Faktor-Authentifizierung und sichere Kommunikation | MFA oder kontinuierliche Authentifizierung, gesicherte Sprach-/Video-/Textkommunikation und Notfallkommunikationssysteme | Kap. 9 (Netzwerksicherheit) + Kap. 12 (Zugangskontrolle) |
Diese Zuordnung ist eines der praktischsten verfügbaren Werkzeuge für Compliance-Teams. Anstatt den vollständigen CIR (der sich über Dutzende von Seiten erstreckt) zu lesen, verwenden Sie diese Tabelle als Ausgangspunkt: Identifizieren Sie, welche Maßnahmen gemäß Article 21 Sie noch nicht umgesetzt haben, und gehen Sie dann direkt zum entsprechenden CIR-Kapitel für die detaillierten technischen Anforderungen [9].
Praxistipp für CISOs: Wenn Ihre Organisation bereits über eine ISO 27001-Zertifizierung verfügt, haben Sie bereits erhebliche Vorarbeit geleistet. Die OpenKRITIS-Zuordnungstabelle zeigt die Überschneidungen zwischen NIS2, CIR 2024/2690 und ISO 27001-Kontrollen — nutzen Sie sie, um zu ermitteln, was bereits vorhanden ist und welche Lücken noch bestehen.
4. Meldung von Sicherheitsvorfällen: Die 24–72–30-Zeitachse
Article 23 der NIS2 führt eine der operativ anspruchsvollsten Anforderungen der Richtlinie ein: eine strenge, mehrstufige Meldefrist für Sicherheitsvorfälle. Eine versäumte Frist zieht Durchsetzungsmaßnahmen nach sich — selbst wenn der zugrundeliegende Vorfall gut bewältigt wurde [8].
Was gilt als „erheblicher Vorfall“?
Nicht jedes Cybersicherheitsereignis löst die Meldepflicht aus. Ein Vorfall gilt gemäß Article 23 als „erheblich“, wenn er:
- eine schwerwiegende Betriebsstörung Ihrer Dienste verursacht hat oder verursachen könnte, oder zu einem finanziellen Verlust für Ihre Organisation geführt hat oder führen könnte
- andere Personen beeinträchtigt hat oder beeinträchtigen könnte, indem er erhebliche materielle oder immaterielle Schäden verursacht
Die Durchführungsverordnung (EU) 2024/2690 der Kommission enthält weitere technische Kriterien dafür, was für die von ihr erfassten digitalen Infrastruktureinrichtungen als „erheblich“ gilt [4].
Der dreistufige Meldeprozess
| Stufe | Frist | Was anzugeben ist |
|---|---|---|
| 1. Frühwarnung | Innerhalb von 24 Stunden nach Kenntnisnahme | Kurze Meldung: Handelt es sich um einen mutmaßlich vorsätzlichen Angriff? Könnte er grenzüberschreitende Auswirkungen haben? |
| 2. Vorfallsmeldung | Innerhalb von 72 Stunden nach Kenntnisnahme | Aktualisierte Bewertung: Schweregrad, Auswirkungen, Kompromittierungsindikatoren (IoCs) |
| 3. Abschlussbericht | Innerhalb von 1 Monat nach der Vorfallsmeldung | Vollständige Beschreibung: Grundursache, Bedrohungstyp, ergriffene Abhilfemaßnahmen, grenzüberschreitende Auswirkungen |
Wenn ein Vorfall beim Eintreten der 1-Monats-Frist noch andauert, müssen Sie stattdessen einen Zwischenbericht einreichen und den Abschlussbericht innerhalb eines Monats nach Behebung des Vorfalls vorlegen.
Einrichtungen müssen betroffene Dienstnutzer auch über erhebliche Bedrohungen informieren und ihnen mögliche Schutzmaßnahmen empfehlen.
Was dies in der Praxis bedeutet: Die 24-Stunden-Frühwarnung ist bewusst niedrigschwellig — Sie benötigen keine vollständigen Angaben, lediglich einen Hinweis, dass möglicherweise etwas Erhebliches eingetreten ist. Es geht um Schnelligkeit, nicht um Vollständigkeit. Doch „unverzüglich“ bedeutet, dass Ihr Incident-Response-Team in der Lage sein muss, innerhalb von Stunden zu erkennen, zu priorisieren und zu eskalieren — nicht innerhalb von Tagen. Wenn Ihre aktuelle mittlere Erkennungszeit (MTTD) in Wochen gemessen wird, ist dies Ihre dringlichste Compliance-Lücke.
5. Bußgelder und Durchsetzung
NIS2 führt ein Bußgeldregime ein, das die Aufmerksamkeit des Vorstands auf sich zieht — und das ist beabsichtigt. Eines der größten Versäumnisse von NIS1 war, dass die Strafen zwischen den Mitgliedstaaten so stark variierten, dass Nichteinhaltung häufig günstiger war als Compliance. NIS2 behebt dies durch harmonisierte Mindestbußgeldniveaus in der gesamten EU.
Finanzielle Sanktionen
| Einrichtungstyp | Höchstbußgeld |
|---|---|
| Wesentliche Einrichtungen | €10.000.000 oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist |
| Wichtige Einrichtungen | €7.000.000 oder 1,4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist |
Dies sind die Mindesthöchstgrenzen — die Mitgliedstaaten können in ihren nationalen Umsetzungsgesetzen höhere Obergrenzen festlegen [1].
Managementhaftung gemäß Article 20
Dies ist, was NIS2 für Führungskräfte grundlegend von NIS1 unterscheidet. Article 20 verpflichtet Leitungsorgane — Aufsichtsräte, Geschäftsführungen und gleichwertige Leitungsgremien — dazu:
- die gemäß Article 21 ergriffenen Cybersicherheits-Risikomanagementmaßnahmen zu genehmigen
- deren Umsetzung fortlaufend zu überwachen
- an Schulungen teilzunehmen, um ausreichende Kenntnisse und Fähigkeiten zur Erkennung von Cybersicherheitsrisiken und zur Bewertung von Risikomanagementpraktiken zu erlangen
Entscheidend ist, dass Mitglieder des Leitungsorgans für Verstöße gegen Article 21 persönlich haftbar gemacht werden können. Dies ist keine theoretische Möglichkeit — es bedeutet, dass bei einem Sicherheitsvorfall aufgrund unzureichender Cybersicherheitsmaßnahmen nicht nur die Frage gestellt wird: „Was ist schiefgelaufen?“, sondern auch: „Wer hat das Sicherheitsprogramm genehmigt (oder versäumt zu genehmigen)?“ [7] [13]
Einige Mitgliedstaaten sind bei ihrer Umsetzung noch weiter gegangen. Die deutsche Umsetzung beispielsweise sieht die Möglichkeit vorübergehender Tätigkeitsverbote für Führungspositionen bei Nichteinhaltung vor.
Für Vorstands- und C-Suite-Mitglieder: NIS2 macht Cybersicherheit zu einer treuhänderischen Pflicht, nicht zu einem Problem der IT-Abteilung. Budgetzuweisung, Risikoakzeptanzentscheidungen und die Teilnahme an Schulungen sind nun Fragen der persönlichen rechtlichen Haftung. Die Ära, in der Cybersicherheit vollständig an den CISO delegiert werden konnte, ohne Einbindung des Vorstands, ist vorbei.
6. Wichtige Zeitachse
| Datum | Ereignis |
|---|---|
| 16. Januar 2023 | NIS2-Richtlinie tritt in Kraft (20 Tage nach Veröffentlichung im Amtsblatt) |
| 17. Oktober 2024 | Umsetzungsfrist — Mitgliedstaaten müssen NIS2 in nationales Recht überführen |
| 18. Oktober 2024 | NIS1 wird formell aufgehoben; NIS2-Regeln werden vollstreckbar; CIR 2024/2690 wird veröffentlicht |
| 17. April 2025 | Mitgliedstaaten müssen wesentliche und wichtige Einrichtungen identifizieren (erste Liste) |
| Juni 2025 | ENISA veröffentlicht den Technischen Umsetzungsleitfaden für CIR 2024/2690 |
| 20. Januar 2026 | Europäische Kommission schlägt gezielte Änderungen an NIS2 vor (Anpassung des Anwendungsbereichs, neue Einrichtungskategorien) |
| Im Verlauf 2026 | Nationale Umsetzung läuft weiter — mehrere Mitgliedstaaten setzen die Richtlinie noch um oder schließen Registrierungsportale ab |
| 17. Oktober 2027 | Erste planmäßige Überprüfung der Funktionsweise der Richtlinie durch die Kommission |
Wie ist der aktuelle Stand? Anfang
Weiterlesen: NIS2 vs. KRITIS – Unterschiede, Kategorien und doppelte Pflichten 2026
Neben den IT-Anforderungen der NIS2-Richtlinie regelt das KRITIS-Dachgesetz 2026 den physischen Schutz kritischer Anlagen – mit einer Registrierungspflicht beim BBK bis zum 17. Juli 2026 und einer Nachweispflicht alle drei Jahre.
Länderspezifische NIS2-Umsetzungen im Überblick: NIS2 in Italien – D.Lgs. 138/2024, ACN und CSIRT Italia erläutert die nationale Umsetzung für den wichtigsten südeuropäischen EU-Handelspartner Deutschlands.
Den Ländervergleich ergänzt NIS2 in Frankreich – Nationale Umsetzung, ANSSI und Pflichten: ANSSI als zuständige Cybersicherheitsbehörde, CERT-FR als Meldestelle und die konkreten Pflichten für deutsche Unternehmen mit französischen Töchtern oder Lieferketten.
Die niederländische Umsetzung durch das Cyberbeveiligingswet sowie die Rolle von RDI und NCSC-NL und die Pflichten für deutsche Unternehmen mit niederländischem Bezug beschreibt der Leitfaden zu NIS2 in den Niederlanden.
Die polnische KSC-Umsetzung, CSIRT-Struktur und Pflichten für deutsche Unternehmen mit Polen-Bezug beschreibt der Leitfaden zu NIS2 in Polen.
Den belgischen Implementierungsstandard CyFun, die Aufsicht durch das CCB und die Pflichten für deutsche Unternehmen mit Belgien-Bezug beschreibt der Leitfaden zu NIS2 in Belgien.
Die nationale Umsetzung durch INCIBE und CCN-CERT sowie die Pflichten für deutsche Unternehmen mit Spanien-Bezug beschreibt der Leitfaden zu NIS2 in Spanien.
Die nationale Umsetzung durch Traficom und NCSC-FI sowie die Pflichten für deutsche Unternehmen mit Finnland-Bezug beschreibt der Leitfaden zu NIS2 in Finnland.
Die schwedische Umsetzung durch das Cybersäkerhetslagen sowie die Rolle von MSB und CERT-SE und die Pflichten für deutsche Unternehmen mit Schweden-Bezug beschreibt der Leitfaden zu NIS2 in Schweden.
Die irische Umsetzung der NIS2-Richtlinie durch S.I. 559/2024, die Aufgaben des NCSC-IE und die Pflichten für deutsche Unternehmen mit irischen Tech- oder Rechenzentrum-Standorten beschreibt der Leitfaden zu NIS2 in Irland.
Den dänischen NIS2-Umsetzungsrahmen, die Rolle des CFCS und die Pflichten für deutsche Unternehmen mit Dänemark-Bezug beschreibt der Leitfaden zu NIS2 in Dänemark.
Sie kennen bereits das IT-Sicherheitsgesetz 2.0? Lesen Sie den direkten Vergleich: NIS2 vs. IT-Sicherheitsgesetz 2.0 – Was sich für Unternehmen ändert
Zehn der häufigsten Missverständnisse zu NIS2 — von „NIS2 ersetzt KRITIS“ bis „nur ein IT-Thema“ — prüfen wir Satz für Satz gegen BSIG und NIS2-Richtlinie im Beitrag NIS2-Mythen 2026: Die 10 häufigsten Irrtümer.
Hersteller vernetzter Produkte unterliegen häufig zugleich dem Cyber Resilience Act. Welche Meldepflichten ab dem 11. September 2026 gelten und wie sich beide Regime voneinander abgrenzen, erläutert unser Leitfaden NIS2 und der Cyber Resilience Act (CRA) für Hersteller.
Sie kennen jetzt die Anforderungen. Wissen Sie, welche Nachweise Ihnen noch fehlen?
Die kostenlose NIS2-Selbsteinschätzung — über 90 prüfbare Punkte zu Art. 21 / § 30 BSIG. Sofort als PDF.
