Zuletzt geprüft: Oktober 2026. Die NIS2-Richtlinie (EU) 2022/2555 war bis zum 17. Oktober 2024 in nationales Recht umzusetzen; in Deutschland gelten die Pflichten seit dem 6. Dezember 2025 über das neu gefasste BSIG. Am 20. Januar 2026 schlug die Europäische Kommission gezielte Änderungen vor — dieser Leitfaden berücksichtigt sowohl das geltende Recht als auch die vorgeschlagenen Änderungen.
Wenn Sie Compliance-Beauftragter, CISO oder Unternehmensverantwortlicher einer europäischen Organisation sind, haben Sie zweifellos bereits von NIS2 gehört. Doch den juristischen Fachjargon zu durchdringen und zu verstehen, was dies konkret für Ihre Organisation bedeutet — das ist die eigentliche Herausforderung.
Dieser Leitfaden erläutert die NIS2-Richtlinie von Anfang bis Ende: was sie ist, ob sie auf Sie zutrifft, was sie vorschreibt und welche Konsequenzen bei Nichteinhaltung drohen. Ohne juristische Umschreibungen — nur die praktischen Informationen, die Sie benötigen, um von „Ich habe von NIS2 gehört“ zu „Ich weiß genau, was wir tun müssen“ zu gelangen.
Schnelleinstieg: NIS2-Compliance in 6 Schritten
- Prüfen Sie, ob NIS2 auf Sie zutrifft — überprüfen Sie Ihren Sektor (Anhang I oder II) und Ihre Unternehmensgröße (mindestens 50 Beschäftigte oder Jahresumsatz und Jahresbilanzsumme von jeweils über €10 Mio.).
- Klassifizieren Sie Ihre Einrichtung — wesentlich oder wichtig (im BSIG: besonders wichtig oder wichtig) — da dies Bußgeldrahmen und Aufsichtsregime bestimmt.
- Führen Sie eine Lückenanalyse gegenüber den 10 Maßnahmen gemäß Article 21 durch.
- Implementieren Sie Risikomanagementmaßnahmen, die alle 10 Bereiche abdecken, und verwenden Sie die NIS2-Compliance-Vorlagen, um Richtlinien und Verfahren zu dokumentieren.
- Etablieren Sie Verfahren zur Meldung von Sicherheitsvorfällen, um die 24-Stunden-, 72-Stunden- und 1-Monats-Fristen einzuhalten.
- Binden Sie die Geschäftsleitung ein — Article 20 verlangt, dass Leitungsorgane die Maßnahmen billigen, ihre Umsetzung überwachen und an Schulungen teilnehmen; in Deutschland verpflichtet § 38 BSIG die Geschäftsleitung, die Maßnahmen umzusetzen, ihre Umsetzung zu überwachen und regelmäßig an Schulungen teilzunehmen.
Wer was lesen sollte: Wenn Sie CISO oder IT-Sicherheitsmanager sind, konzentrieren Sie sich auf die Abschnitte 3–4 (Anforderungen und Vorfallsmeldung). Wenn Sie Compliance-Beauftragter sind, beginnen Sie mit Abschnitt 2 (Anwendungsbereich) und Abschnitt 5 (Bußgelder). Wenn Sie auf Vorstands- oder C-Suite-Ebene tätig sind, lesen Sie die Abschnitte 1, 5 und 7 für das strategische Gesamtbild und die Pflichten der Geschäftsleitung.
Kostenloses PDFLesen Sie sich gerade in NIS2 ein? Prüfen Sie Ihre Lücken direkt mit.
Die kostenlose NIS2-Selbsteinschätzung — über 90 prüfbare Punkte zu Art. 21 / § 30 BSIG. Sofort als PDF.
1. Was ist die NIS2-Richtlinie?
Die NIS2-Richtlinie — offiziell Richtlinie (EU) 2022/2555 — ist der aktualisierte rechtliche Rahmen der Europäischen Union für Cybersicherheit. Sie wurde am 14. Dezember 2022 verabschiedet, am 27. Dezember 2022 im Amtsblatt veröffentlicht und trat am 16. Januar 2023 in Kraft. Die Mitgliedstaaten mussten sie bis zum 17. Oktober 2024 umsetzen und ihre Vorschriften ab dem 18. Oktober 2024 anwenden; zum selben Datum wurde die ursprüngliche NIS-Richtlinie (EU) 2016/1148 aufgehoben, die seit August 2016 in Kraft war [1]. Als Richtlinie verpflichtet NIS2 Unternehmen nicht unmittelbar, sondern über das nationale Umsetzungsrecht — in Deutschland über das NIS2UmsuCG (BGBl. 2025 I Nr. 301), das am 6. Dezember 2025 in Kraft trat [14].
Der vollständige Name beschreibt ihren Zweck: Sie etabliert „Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der gesamten Union.“ In der Praxis schafft NIS2 einheitliche Mindestvorgaben, nach denen Organisationen in kritischen Sektoren Cybersicherheitsrisiken managen und erhebliche Vorfälle melden müssen; Verstöße können sanktioniert werden.
Warum war NIS2 notwendig?
Die ursprüngliche NIS-Richtlinie war ein wegweisendes Gesetzgebungswerk — das erste EU-weite Cybersicherheitsgesetz. Im Laufe ihrer Umsetzung traten jedoch erhebliche Schwachstellen zutage:
- Inkonsistente Umsetzung. Die Mitgliedstaaten interpretierten NIS1 unterschiedlich, was zu einem Flickenteppich von Cybersicherheitsanforderungen in der EU führte. Eine Organisation, die in mehreren Ländern tätig war, sah sich in jedem Land mit anderen Vorschriften konfrontiert.
- Zu enger Anwendungsbereich. NIS1 erfasste nur eine Handvoll Sektoren. Rechenzentren, Managed-Service-Provider, die öffentliche Verwaltung und große Teile der Industrie fielen aus dem Geltungsbereich heraus; Cloud-Dienste, Online-Marktplätze und Suchmaschinen waren nur als Anbieter digitaler Dienste mit nachgelagerter Aufsicht erfasst.
- Schwache Durchsetzung. NIS1 überließ die Sanktionen vollständig den Mitgliedstaaten und verlangte nur, dass sie „wirksam, verhältnismäßig und abschreckend“ sind. Eine Bußgeldhöhe gab die Richtlinie nicht vor, entsprechend unterschiedlich fielen die nationalen Rahmen aus.
- Wachsende Bedrohungslandschaft. Cyberangriffe nahmen zwischen 2016 und 2022 erheblich an Umfang und Raffinesse zu. Der SolarWinds-Lieferkettenangriff, der Colonial-Pipeline-Ransomware-Vorfall und staatlich geförderte Kampagnen gegen das Gesundheitswesen während COVID-19 verdeutlichten allesamt, dass NIS1 für das aktuelle Bedrohungsumfeld unzureichend war.
NIS2 begegnet diesen Problemen, indem es den Anwendungsbereich von sieben Sektoren (plus drei Arten digitaler Dienste) auf 18 Sektoren ausweitet, Mindestanforderungen und Bußgeldobergrenzen in allen Mitgliedstaaten angleicht und eine direkte Managementverantwortung für Cybersicherheit einführt — etwas, das NIS1 nie vorgesehen hatte [3].
2. Für wen gilt NIS2?
NIS2 gilt für Organisationen, die zwei Kriterien erfüllen: Sie sind in einem erfassten Sektor tätig und überschreiten einen Mindestschwellenwert hinsichtlich ihrer Größe. Die Richtlinie unterteilt in den Anwendungsbereich fallende Organisationen in zwei Kategorien — wesentliche Einrichtungen und wichtige Einrichtungen — mit jeweils unterschiedlichen Aufsichtsregimen und Bußgeldniveaus [2].
Größenschwellenwerte
Als allgemeine Regel gilt NIS2 für:
- Mittelgroße Organisationen: 50 oder mehr Beschäftigte oder Jahresumsatz und Jahresbilanzsumme von jeweils mehr als €10 Millionen
- Große Organisationen: 250 oder mehr Beschäftigte oder Jahresumsatz von mehr als €50 Millionen und Jahresbilanzsumme von mehr als €43 Millionen
Organisationen unterhalb dieser Schwellenwerte sind grundsätzlich ausgenommen — es gibt jedoch wichtige Ausnahmen. Bestimmte Einrichtungstypen fallen unabhängig von ihrer Größe unter NIS2, darunter Vertrauensdiensteanbieter, DNS-Diensteanbieter, TLD-Namenregistrierungen und Anbieter öffentlicher elektronischer Kommunikationsnetze [12].
Gehört eine Organisation zu einer Unternehmensgruppe, werden nach der KMU-Empfehlung 2003/361/EG die Daten von Partner- und verbundenen Unternehmen grundsätzlich mitgezählt — nicht nur die Beschäftigtenzahl und der Umsatz der lokalen Tochtergesellschaft. In Deutschland macht § 28 Absatz 4 BSIG davon eine Ausnahme, wenn die Einrichtung mit Blick auf ihre IT-Systeme, Komponenten und Prozesse von ihren Partner- oder verbundenen Unternehmen unabhängig ist.
Wesentliche vs. wichtige Einrichtungen
| Aspekt | Wesentliche Einrichtungen | Wichtige Einrichtungen |
|---|---|---|
| Sektoren | Große Einrichtungen in den Sektoren des Anhangs I: Energie (Strom, Fernwärme und -kälte, Öl, Gas, Wasserstoff), Verkehr (Luft, Schiene, Wasser, Straße), Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, Trinkwasser, Abwasser, Digitale Infrastruktur, Verwaltung von IKT-Diensten (B2B), Öffentliche Verwaltung, Weltraum — dazu unabhängig von der Größe u. a. qualifizierte Vertrauensdiensteanbieter, TLD-Registries und DNS-Diensteanbieter | Mittlere Einrichtungen in Anhang-I-Sektoren sowie mittlere und große Einrichtungen in den Sektoren des Anhangs II: Post- und Kurierdienste, Abfallbewirtschaftung, Herstellung und Handel mit chemischen Stoffen, Produktion, Verarbeitung und Vertrieb von Lebensmitteln, verarbeitendes Gewerbe (Medizinprodukte und In-vitro-Diagnostika, Datenverarbeitungsgeräte, elektronische und optische Erzeugnisse, elektrische Ausrüstungen, Maschinenbau, Kraftwagen, sonstiger Fahrzeugbau), Anbieter digitaler Dienste (Marktplätze, Suchmaschinen, soziale Netzwerke), Forschung |
| Aufsicht | Proaktiv (ex-ante): Audits, Inspektionen und Prüfungen vor einem Vorfall | Reaktiv (ex-post): Aufsicht wird durch Hinweise auf Nichteinhaltung oder einen Vorfall ausgelöst |
| Höchstbußgelder | Richtlinie: Obergrenze von mindestens €10 Millionen oder 2 % des weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist). BSIG: bis zu €10 Millionen, bei mehr als €500 Millionen Gesamtumsatz bis zu 2 % | Richtlinie: Obergrenze von mindestens €7 Millionen oder 1,4 % des weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist). BSIG: bis zu €7 Millionen, bei mehr als €500 Millionen Gesamtumsatz bis zu 1,4 % |
| Typische Größe | Großunternehmen (250+ Beschäftigte oder mehr als €50 Mio. Umsatz und €43 Mio. Bilanzsumme) in Anhang-I-Sektoren — mittlere Telekommunikationsanbieter und einige größenunabhängige Einrichtungsarten ebenfalls | Mittlere Unternehmen (50–249 Mitarbeiter) in Anhang-I- oder -II-Sektoren sowie große Einrichtungen in Anhang-II-Sektoren |
Im deutschen Recht heißen die Kategorien „besonders wichtige“ und „wichtige Einrichtungen“ (§ 28 BSIG). Die Einrichtungsarten stehen in Anlage 1 (Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, Digitale Infrastruktur, Weltraum) und Anlage 2 BSIG (u. a. Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe, Anbieter digitaler Dienste, Forschung). Einen Sektor „öffentliche Verwaltung“ enthält Anlage 1 nicht; Einrichtungen der Bundesverwaltung regelt § 29 BSIG gesondert. Betreiber kritischer Anlagen gelten unabhängig von ihrer Größe als besonders wichtige Einrichtungen.
Gilt dies für mich? Ein schneller Entscheidungsbaum
- Ist Ihre Organisation in einem Anhang-I- oder Anhang-II-Sektor tätig? Falls nein — NIS2 gilt nicht unmittelbar (Sie können jedoch als Lieferkettenpartner betroffen sein).
- Hat Ihre Organisation 50+ Beschäftigte oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über €10 Mio.? Falls nein — Sie sind grundsätzlich ausgenommen, es sei denn, Sie gehören zu einem größenunabhängigen Einrichtungstyp (Vertrauensdienste, DNS, TLD-Register, Telekommunikation).
- Sind Sie in einem Anhang-I-Sektor mit 250+ Beschäftigten (oder mehr als €50 Mio. Umsatz und €43 Mio. Bilanzsumme) tätig? Sie sind wahrscheinlich eine wesentliche Einrichtung.
- Sind Sie eine mittelgroße Einrichtung in einem Anhang-I-Sektor oder eine qualifizierte Einrichtung in einem Anhang-II-Sektor? Sie sind wahrscheinlich eine wichtige Einrichtung.
Hinweis: Einige Mitgliedstaaten können auf der Grundlage nationaler Kriterien zusätzliche Einrichtungen als wesentlich oder wichtig einstufen. Prüfen Sie Ihr nationales Umsetzungsgesetz für Einzelheiten.
Ein Sonderfall steht außerhalb dieser Größenlogik: Wer von seinem Mitgliedstaat nach der CER-Richtlinie (EU) 2022/2557 als kritische Einrichtung ermittelt wird, gilt nach Artikel 2 Absatz 3 und Artikel 3 Absatz 1 Buchstabe f NIS2 unabhängig von der Unternehmensgröße als wesentliche Einrichtung. Die Ermittlungsfrist der Mitgliedstaaten läuft bis zum 17. Juli 2026. Wie sich beide Regime unterscheiden und überschneiden, zeigt der Vergleich NIS2 und die CER-Richtlinie.
3. Was schreibt NIS2 vor? Die 10 Maßnahmen gemäß Article 21
Article 21 der NIS2 legt 10 Maßnahmen zum Cybersicherheitsrisikomanagement fest, die alle wesentlichen und wichtigen Einrichtungen umsetzen müssen. Es handelt sich dabei nicht um optionale Checklisten — sie sind das gesetzliche Mindestmaß. Die Maßnahmen müssen „angemessen und verhältnismäßig“ sein und dabei die Größe Ihrer Organisation, das Risikoexposure und die möglichen gesellschaftlichen Auswirkungen eines Vorfalls berücksichtigen [6].
Für Einrichtungen mit Sitz in Deutschland lohnt an dieser Stelle ein Zwischenschritt: Verbindlich ist nicht Article 21, sondern der inhaltlich entsprechende, aber anders nummerierte Katalog in § 30 Absatz 2 BSIG — und den Verhältnismäßigkeitsmaßstab legt § 30 Absatz 1 Satz 2 mit vier ausdrücklich benannten Faktoren fest. Wie sich die zehn Maßnahmen auf ein bestehendes Programm aus Governance, Risikomanagement und Compliance abbilden lassen, zeigt unser Leitfaden GRC (Governance, Risk & Compliance) unter NIS2.
Die nachstehende Tabelle ordnet jede Maßnahme gemäß Article 21 dem entsprechenden Kapitel der Durchführungsverordnung (EU) 2024/2690 der Kommission zu, die die detaillierten technischen Anforderungen enthält. Verbindlich ist sie nur für bestimmte digitale Anbieter (DNS-Diensteanbieter, TLD-Registries, Cloud- und Rechenzentrumsdienste, Content Delivery Networks, Managed (Security) Service Provider, Online-Marktplätze, Suchmaschinen, soziale Netzwerke und Vertrauensdiensteanbieter); § 30 Absatz 3 BSIG gibt ihr für diese Einrichtungsarten Vorrang. Allen anderen Einrichtungen dient sie als Orientierung. Der Technische Umsetzungsleitfaden von ENISA (veröffentlicht im Juni 2025) übersetzt diese Anforderungen in praktische Hinweise, Beispiele für Nachweise und Zuordnungen zu gängigen Standards [5].
| Maßnahme gem. Art. 21 | Inhalt | CIR 2024/2690 Anhang |
|---|---|---|
| (a) Risikoanalyse und Informationssicherheitsrichtlinien | Aufstellung und Pflege von Richtlinien zur Risikobewertung und Festlegung von Sicherheitskontrollen | Kap. 1 (NIS-Richtlinie) + Kap. 2 (Risikomanagement) |
| (b) Behandlung von Sicherheitsvorfällen | Verfahren zur Prävention, Erkennung, Analyse, Eindämmung, Reaktion und Wiederherstellung | Kap. 3 (Vorfallsmanagement) |
| (c) Betriebskontinuität und Krisenmanagement | Backup-Management, Notfallwiederherstellungspläne und Krisenreaktionsverfahren | Kap. 4 (Betriebskontinuität & Krisenmanagement) |
| (d) Sicherheit der Lieferkette | Sicherheitsanforderungen für direkte Lieferanten und Dienstleister, einschließlich sicherer Entwicklungspraktiken | Kap. 5 (Lieferkettensicherheit) |
| (e) Sicherheit bei Beschaffung, Entwicklung und Wartung | Schwachstellenbehandlung und -offenlegung über den gesamten Systemlebenszyklus | Kap. 6 (Sicherheit bei Erwerb, Entwicklung und Wartung, u. a. Sicherheitstests, Patch-Management, Schwachstellenbehandlung) |
| (f) Bewertung der Wirksamkeit | Richtlinien und Verfahren zum Testen und Bewerten der Wirksamkeit der Cybersicherheitsmaßnahmen | Kap. 7 (Bewertung der Wirksamkeit) |
| (g) Cyber-Hygiene und Schulungen | Grundlegende Cybersicherheitspraktiken für alle Mitarbeiter und dedizierte Schulungen zur Sicherheitsbewusstsein | Kap. 8 (Cyber-Hygiene & Schulungen) |
| (h) Kryptografie und Verschlüsselung | Richtlinien für den Einsatz kryptografischer Kontrollen und Verschlüsselung | Kap. 9 (Kryptografie) |
| (i) Personalsicherheit, Zugangskontrolle und Asset-Management | Personalüberprüfung, rollenbasierte Zugriffskontrollen und vollständiges Asset-Inventar | Kap. 10 (Personalsicherheit) + Kap. 11 (Zugangskontrolle) + Kap. 12 (Asset-Management) |
| (j) Multi-Faktor-Authentifizierung und sichere Kommunikation | MFA oder kontinuierliche Authentifizierung, gesicherte Sprach-/Video-/Textkommunikation und Notfallkommunikationssysteme | Kap. 11 (Zugangskontrolle, insb. 11.7 Multi-Faktor-Authentifizierung) |
Diese Zuordnung ist eines der praktischsten verfügbaren Werkzeuge für Compliance-Teams. Anstatt den vollständigen CIR (der sich über Dutzende von Seiten erstreckt) zu lesen, verwenden Sie diese Tabelle als Ausgangspunkt: Identifizieren Sie, welche Maßnahmen gemäß Article 21 Sie noch nicht umgesetzt haben, und gehen Sie dann direkt zum entsprechenden CIR-Kapitel für die detaillierten technischen Anforderungen [9].
Praxistipp für CISOs: Wenn Ihre Organisation bereits über eine ISO 27001-Zertifizierung verfügt, haben Sie bereits erhebliche Vorarbeit geleistet. Die OpenKRITIS-Zuordnungstabelle zeigt die Überschneidungen zwischen NIS2, CIR 2024/2690 und ISO 27001-Kontrollen — nutzen Sie sie, um zu ermitteln, was bereits vorhanden ist und welche Lücken noch bestehen.
Was die Umsetzung dieser zehn Maßnahmen kostet, hat der Gesetzgeber selbst geschätzt: Für eine wichtige Einrichtung setzt der Regierungsentwurf (BT-Drs. 21/1501) im Durchschnitt rund 1.100 Arbeitsstunden und 24.300 Euro Sachkosten pro Jahr an — mangels Daten pauschal 60 Prozent unter dem Wert für besonders wichtige Einrichtungen [15]. Wie sich daraus ein belastbares Budget ableiten lässt, zeigt unser Beitrag zu den NIS2-Compliance-Kosten für KMU. Wie sich diese Pflichten in ein bestehendes Compliance-Management-System einhängen lassen, statt daneben ein zweites System aufzubauen, zeigt der Leitfaden zur CMS-Integration.
4. Meldung von Sicherheitsvorfällen: Die 24–72–30-Zeitachse
Article 23 der NIS2 führt eine der operativ anspruchsvollsten Anforderungen der Richtlinie ein: eine strenge, mehrstufige Meldefrist für Sicherheitsvorfälle. Eine versäumte Frist kann Aufsichtsmaßnahmen und Bußgelder nach sich ziehen — selbst wenn der zugrundeliegende Vorfall gut bewältigt wurde [8]. In Deutschland setzt § 32 BSIG diese Stufen um; gemeldet wird an die gemeinsame Meldestelle von BSI und BBK über das BSI-Portal.
Was gilt als „erheblicher Vorfall“?
Nicht jedes Cybersicherheitsereignis löst die Meldepflicht aus. Ein Vorfall gilt gemäß Article 23 als „erheblich“, wenn er:
- eine schwerwiegende Betriebsstörung Ihrer Dienste verursacht hat oder verursachen könnte, oder zu einem finanziellen Verlust für Ihre Organisation geführt hat oder führen könnte
- andere Personen beeinträchtigt hat oder beeinträchtigen könnte, indem er erhebliche materielle oder immaterielle Schäden verursacht
Die Durchführungsverordnung (EU) 2024/2690 der Kommission enthält weitere technische Kriterien dafür, was für die von ihr erfassten digitalen Infrastruktureinrichtungen als „erheblich“ gilt [4].
Der dreistufige Meldeprozess
| Stufe | Frist | Was anzugeben ist |
|---|---|---|
| 1. Frühwarnung | Innerhalb von 24 Stunden nach Kenntnisnahme | Kurze Meldung: Besteht der Verdacht auf rechtswidrige oder böswillige Handlungen? Könnte der Vorfall grenzüberschreitende Auswirkungen haben? |
| 2. Vorfallsmeldung | Innerhalb von 72 Stunden nach Kenntnisnahme | Aktualisierung und erste Bewertung: Schweregrad, Auswirkungen, soweit verfügbar Kompromittierungsindikatoren (IoCs) |
| 3. Abschlussbericht | Innerhalb von 1 Monat nach der Vorfallsmeldung | Vollständige Beschreibung: Grundursache, Bedrohungstyp, ergriffene Abhilfemaßnahmen, grenzüberschreitende Auswirkungen |
Dauert ein Vorfall beim Ablauf der 1-Monats-Frist noch an, ist zu diesem Zeitpunkt ein Fortschrittsbericht einzureichen und der Abschlussbericht innerhalb eines Monats nach Abschluss der Bearbeitung des Vorfalls vorzulegen. Auf Anforderung des CSIRT bzw. der Behörde kommt ein Zwischenbericht hinzu.
Gegebenenfalls müssen Einrichtungen zudem Empfänger ihrer Dienste, die von einer erheblichen Cyberbedrohung potenziell betroffen sind, über mögliche Abhilfemaßnahmen und über die Bedrohung selbst informieren.
Was dies in der Praxis bedeutet: Die 24-Stunden-Frühwarnung ist bewusst niedrigschwellig — Sie benötigen keine vollständigen Angaben, lediglich einen Hinweis, dass möglicherweise etwas Erhebliches eingetreten ist. Es geht um Schnelligkeit, nicht um Vollständigkeit. Doch „unverzüglich“ bedeutet, dass Ihr Incident-Response-Team in der Lage sein muss, innerhalb von Stunden zu erkennen, zu priorisieren und zu eskalieren — nicht innerhalb von Tagen. Wird die mittlere Erkennungszeit (MTTD) heute in Wochen gemessen, dürfte hier eine der dringlichsten Compliance-Lücken liegen.
5. Bußgelder und Durchsetzung
NIS2 führt ein Bußgeldregime ein, das die Aufmerksamkeit des Vorstands auf sich zieht — und das ist beabsichtigt. Unter NIS1 war die Sanktionshöhe allein den Mitgliedstaaten überlassen und variierte entsprechend stark. NIS2 gibt deshalb EU-weit Mindest-Obergrenzen für Bußgelder vor.
Finanzielle Sanktionen
| Einrichtungstyp | Höchstbußgeld |
|---|---|
| Wesentliche Einrichtungen | Obergrenze von mindestens €10.000.000 oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist |
| Wichtige Einrichtungen | Obergrenze von mindestens €7.000.000 oder 1,4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist |
Dies sind die Mindesthöchstgrenzen — die Mitgliedstaaten können in ihren nationalen Umsetzungsgesetzen höhere Obergrenzen festlegen [1]. Deutschland hat sie in § 65 BSIG übernommen: Für Verstöße gegen die Risikomanagement-, Dokumentations- und Meldepflichten drohen bis zu €10 Millionen (besonders wichtige) bzw. bis zu €7 Millionen (wichtige Einrichtungen); nur bei einem Gesamtumsatz von mehr als €500 Millionen gilt stattdessen eine Obergrenze von 2 % bzw. 1,4 % des Gesamtumsatzes. Eine unterlassene oder verspätete Registrierung kann mit bis zu €500.000 geahndet werden [16].
Managementhaftung gemäß Article 20
Dies ist, was NIS2 für Führungskräfte grundlegend von NIS1 unterscheidet. Article 20 verpflichtet die Mitgliedstaaten sicherzustellen, dass die Leitungsorgane wesentlicher und wichtiger Einrichtungen:
- die gemäß Article 21 ergriffenen Cybersicherheits-Risikomanagementmaßnahmen billigen
- deren Umsetzung überwachen
- an Schulungen teilnehmen, um ausreichende Kenntnisse und Fähigkeiten zur Erkennung von Cybersicherheitsrisiken und zur Bewertung von Risikomanagementpraktiken zu erlangen
Zudem müssen Leitungsorgane für Verstöße ihrer Einrichtung gegen Article 21 haftbar gemacht werden können; die Ausgestaltung überlässt die Richtlinie dem nationalen Haftungsrecht. Deutschland hat dies in § 38 BSIG umgesetzt: Die Geschäftsleitung muss die Risikomanagementmaßnahmen nach § 30 BSIG umsetzen und ihre Umsetzung überwachen — eine ausdrückliche Billigungspflicht enthält die Endfassung nicht — und regelmäßig an Schulungen teilnehmen. Bei schuldhafter Pflichtverletzung haftet sie ihrer Einrichtung nach den Regeln des Gesellschaftsrechts der jeweiligen Rechtsform; einen eigenen Bußgeldtatbestand für Verstöße gegen § 38 enthält § 65 BSIG nicht. Nach einem Vorfall wird daher nicht nur gefragt: „Was ist schiefgelaufen?“, sondern auch: „Hat die Geschäftsleitung die Umsetzung angemessen überwacht?“ [7] [13]
Für wesentliche Einrichtungen sieht bereits die Richtlinie (Article 32 Absatz 5) als letztes Mittel vorübergehende Tätigkeitsverbote für Leitungspersonen vor. In Deutschland kann die zuständige Aufsichtsbehörde nach § 61 Absatz 9 BSIG unzuverlässigen Geschäftsleitungen besonders wichtiger Einrichtungen die Ausübung ihrer Tätigkeit vorübergehend untersagen, wenn Anordnungen des BSI trotz Fristsetzung nicht befolgt werden.
Für Vorstands- und C-Suite-Mitglieder: NIS2 macht Cybersicherheit zu einer Leitungsaufgabe, nicht zu einem reinen Thema der IT-Abteilung. Budgetzuweisung, Risikoakzeptanzentscheidungen und die Teilnahme an Schulungen gehören zur Umsetzungs- und Überwachungspflicht der Geschäftsleitung und können im Schadensfall für die Haftung gegenüber der eigenen Gesellschaft relevant werden. Die operative Umsetzung lässt sich an den CISO delegieren — die Pflicht, sie zu überwachen, bleibt bei der Geschäftsleitung.
6. Wichtige Zeitachse
| Datum | Ereignis |
|---|---|
| 16. Januar 2023 | NIS2-Richtlinie tritt in Kraft (20 Tage nach Veröffentlichung im Amtsblatt) |
| 17. Oktober 2024 | Umsetzungsfrist — Mitgliedstaaten müssen NIS2 in nationales Recht überführen |
| 18. Oktober 2024 | NIS1 wird aufgehoben; die Mitgliedstaaten müssen ihre Umsetzungsvorschriften anwenden; CIR 2024/2690 wird im Amtsblatt veröffentlicht |
| 28. November 2024 | Kommission leitet Vertragsverletzungsverfahren gegen 23 Mitgliedstaaten ein, darunter Deutschland (Aufforderungsschreiben) |
| 17. April 2025 | Mitgliedstaaten müssen eine Liste der wesentlichen und wichtigen Einrichtungen erstellen |
| 7. Mai 2025 | Begründete Stellungnahmen an 19 Mitgliedstaaten, darunter Deutschland |
| Juni 2025 | ENISA veröffentlicht den Technischen Umsetzungsleitfaden für CIR 2024/2690 |
| 6. Dezember 2025 | Deutschland: Das NIS2UmsuCG (BGBl. 2025 I Nr. 301 vom 5. Dezember 2025) tritt in Kraft, das BSIG wird neu gefasst; die Pflichten gelten ohne Übergangsfrist |
| 20. Januar 2026 | Europäische Kommission schlägt gezielte Änderungen an NIS2 vor (Anpassung des Anwendungsbereichs, neue Einrichtungskategorien) |
| 6. März 2026 | Deutschland: Ende der Registrierungsfrist beim BSI (§ 33 BSIG, drei Monate nach Inkrafttreten) |
| 8. Juli 2026 | Kommission verklagt Irland, Spanien, Frankreich und die Niederlande wegen fehlender Umsetzung vor dem EuGH |
| 17. Oktober 2027 | Erste planmäßige Überprüfung der Funktionsweise der Richtlinie durch die Kommission |
Wie ist der aktuelle Stand? Deutschland hat NIS2 mehr als ein Jahr nach Fristablauf umgesetzt. Die Kommission hatte deshalb auch gegen Deutschland ein Vertragsverletzungsverfahren eingeleitet (Aufforderungsschreiben am 28. November 2024, begründete Stellungnahme am 7. Mai 2025); zu den vier Mitgliedstaaten, die sie am 8. Juli 2026 vor dem EuGH verklagte, gehört Deutschland nicht [10]. Seit dem 6. Dezember 2025 gilt das neu gefasste BSIG. Die Bundesregierung ging im Gesetzentwurf von rund 8.250 besonders wichtigen und rund 21.600 wichtigen Einrichtungen aus [15]; im BSI-Portal hatten sich bis zum 30. September 2026 insgesamt 20.141 Einrichtungen nach NIS-2 registriert, davon 13.252 wichtige und 6.837 besonders wichtige [17]. Die Registrierungsfrist nach § 33 BSIG endete am 6. März 2026; Einrichtungen, die sich noch nicht registriert haben, sollten dies unverzüglich nachholen.
Am 20. Januar 2026 hat die Kommission im Rahmen eines neuen Cybersicherheitspakets gezielte Änderungen an NIS2 vorgeschlagen, die die Rechtsklarheit erhöhen und die Einhaltung vereinfachen sollen; nach Angaben der Kommission würden dadurch 28.700 Unternehmen entlastet [3]. Vorgesehen sind unter anderem eine Kategorie „kleiner Midcaps“, die in der Regel als wichtige Einrichtungen gelten sollen, sowie neue Einrichtungsarten wie Anbieter europäischer Brieftaschen für die digitale Identität und Betreiber von Unterseekabeln [11]. Bis Europäisches Parlament und Rat den Vorschlag annehmen, gelten Richtlinie und BSIG unverändert.
7. NIS2 vs. NIS1: Was hat sich geändert?
NIS2 ist keine kleine Aktualisierung, sondern ersetzt die erste NIS-Richtlinie vollständig. Die wichtigsten Unterschiede im Überblick:
| Aspekt | NIS1 (Richtlinie (EU) 2016/1148) | NIS2 (Richtlinie (EU) 2022/2555) |
|---|---|---|
| Anwendungsbereich | 7 Sektoren (Anhang II) plus drei Arten digitaler Dienste (Online-Marktplätze, Suchmaschinen, Cloud-Computing); Betreiber wesentlicher Dienste wurden von den Mitgliedstaaten einzeln ermittelt | 18 Sektoren (11 in Anhang I, 7 in Anhang II); Erfassung grundsätzlich über Sektor und Unternehmensgröße |
| Anforderungen | Allgemeine Pflicht zu „geeigneten und verhältnismäßigen“ technischen und organisatorischen Maßnahmen | Zehn Mindestmaßnahmen in Article 21 Absatz 2; für bestimmte digitale Anbieter konkretisiert durch die CIR 2024/2690 |
| Vorfallsmeldung | „Unverzüglich“, ohne feste Stundenfrist in der Richtlinie | Dreistufig: 24 Stunden, 72 Stunden, ein Monat, mit festgelegten Inhalten |
| Sanktionen | Von jedem Mitgliedstaat festgelegt („wirksam, verhältnismäßig und abschreckend“), ohne Höhenvorgabe | Mindest-Obergrenzen: €10 Mio./2 % für wesentliche, €7 Mio./1,4 % für wichtige Einrichtungen |
| Lieferkette | Nicht ausdrücklich geregelt | Article 21 Absatz 2 Buchstabe d macht die Sicherheit der Lieferkette zur Pflichtmaßnahme |
| Leitungsorgane | Keine ausdrückliche Regelung | Article 20: Billigung und Überwachung der Maßnahmen, Schulungspflicht, Haftung nach nationalem Recht (in Deutschland § 38 BSIG) |
| Aufsicht | Prüfbefugnisse gegenüber Betreibern wesentlicher Dienste; bei Anbietern digitaler Dienste nur nachträgliche Aufsicht | Wesentliche Einrichtungen: proaktive Ex-ante-Aufsicht; wichtige Einrichtungen: reaktive Ex-post-Aufsicht |
Vor allem die ausdrückliche Verantwortung der Leitungsorgane macht den Unterschied: Unter NIS1 war Cybersicherheit vor allem eine operative Aufgabe, unter NIS2 ist sie eine Pflicht der Unternehmensleitung [3].
Dieser Beitrag dient der allgemeinen Information und stellt keine Rechtsberatung dar. Maßgeblich sind die NIS2-Richtlinie und das jeweils geltende nationale Recht, in Deutschland das BSIG.
Quellen
- Richtlinie (EU) 2022/2555 (NIS2) — EUR-Lex, Volltext
- Zusammenfassung der NIS2-Richtlinie — EUR-Lex, Zusammenfassung
- NIS2 Directive: securing network and information systems — Europäische Kommission, Themenseite
- Durchführungsverordnung (EU) 2024/2690 — EUR-Lex, Volltext
- NIS2 Technical Implementation Guidance — ENISA, Publikation
- NIS 2 Directive, Article 21 — nis-2-directive.com, Artikeltext
- NIS 2 Directive, Article 20 — nis-2-directive.com, Artikeltext
- NIS 2 Directive, Article 23 — nis-2-directive.com, Artikeltext
- Implementing Acts IT / NIS2-Mapping — OpenKRITIS, Zuordnungstabelle
- NIS2 Directive transposition in EU countries — Europäische Kommission, Umsetzungsstand; Pressemitteilung vom 8. Juli 2026, EuGH-Klagen
- The EU Cybersecurity Package 2026 — Stibbe, Analyse
- NIS2 & SME guidelines — Arthur Cox LLP, Beitrag
- § 38 BSIG (Umsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen) — gesetze-im-internet.de, Normtext
- Gesetz zur Umsetzung der NIS-2-Richtlinie, BGBl. 2025 I Nr. 301 — recht.bund.de, Verkündung; BSIG — gesetze-im-internet.de
- Gesetzentwurf der Bundesregierung, BT-Drs. 21/1501 — Deutscher Bundestag, PDF (Erfüllungsaufwand, S. 110 f.)
- § 65 BSIG (Bußgeldvorschriften) — gesetze-im-internet.de, Normtext
- NIS-2 in Zahlen — BSI, Statistik
Weiterlesen: NIS2 vs. KRITIS – Unterschiede, Kategorien und doppelte Pflichten 2026
Neben den IT-Anforderungen der NIS2-Richtlinie regelt das KRITIS-Dachgesetz 2026 (in Kraft seit 17. März 2026) den physischen Schutz kritischer Anlagen. Eine feste Registrierungsfrist beim BBK gibt es seit der Änderung vom Juli 2026 nicht mehr: Registriert wird spätestens drei Monate, nachdem eine Anlage nach der noch ausstehenden KRITIS-Verordnung als kritische Anlage gilt.
Länderspezifische NIS2-Umsetzungen im Überblick: NIS2 in Italien – D.Lgs. 138/2024, ACN und CSIRT Italia erläutert die nationale Umsetzung für den wichtigsten südeuropäischen EU-Handelspartner Deutschlands.
Den Ländervergleich ergänzt NIS2 in Frankreich – Nationale Umsetzung, ANSSI und Pflichten: Frankreich hat NIS2 noch nicht vollständig umgesetzt (EuGH-Klage der Kommission seit 8. Juli 2026); der Leitfaden erläutert die Rolle von ANSSI und CERT-FR und was deutsche Unternehmen mit französischen Töchtern oder Lieferketten vorbereiten können.
Die niederländische Umsetzung durch das Cyberbeveiligingswet sowie die Rolle von RDI und NCSC-NL und die Pflichten für deutsche Unternehmen mit niederländischem Bezug beschreibt der Leitfaden zu NIS2 in den Niederlanden.
Die polnische KSC-Umsetzung, CSIRT-Struktur und Pflichten für deutsche Unternehmen mit Polen-Bezug beschreibt der Leitfaden zu NIS2 in Polen.
Den belgischen Implementierungsstandard CyFun, die Aufsicht durch das CCB und die Pflichten für deutsche Unternehmen mit Belgien-Bezug beschreibt der Leitfaden zu NIS2 in Belgien.
Warum Spanien NIS2 bisher nicht umgesetzt hat (EuGH-Klage seit 8. Juli 2026), welche Rolle INCIBE und CCN-CERT spielen und was deutsche Unternehmen mit Spanien-Bezug vorbereiten können, beschreibt der Leitfaden zu NIS2 in Spanien.
Portugal hat die Richtlinie mit dem Decreto-Lei n.º 125/2025 umgesetzt, das seit dem 3. April 2026 gilt. Warum die meisten Sicherheitsmaßnahmen dort erst ab Juni 2028 greifen, während die Selbstidentifizierung auf der CNCS-Plattform MyCiber bereits fällig war, beschreibt der Leitfaden zu NIS2 in Portugal.
Die nationale Umsetzung durch Traficom und NCSC-FI sowie die Pflichten für deutsche Unternehmen mit Finnland-Bezug beschreibt der Leitfaden zu NIS2 in Finnland.
Die schwedische Umsetzung durch die Cybersäkerhetslag (SFS 2025:1506, in Kraft seit 15. Januar 2026) sowie die Rolle der FRA mit NCSC und CERT-SE und die Pflichten für deutsche Unternehmen mit Schweden-Bezug beschreibt der Leitfaden zu NIS2 in Schweden.
Warum Irland NIS2 noch nicht umgesetzt hat (EuGH-Klage seit 8. Juli 2026; S.I. 559/2024 setzt nur die CER-Richtlinie um), welche Aufgaben das NCSC-IE hat und was deutsche Unternehmen mit irischen Tech- oder Rechenzentrum-Standorten beachten sollten, beschreibt der Leitfaden zu NIS2 in Irland.
Den dänischen NIS2-Umsetzungsrahmen, die Rolle von SAMSIK und FE und die Pflichten für deutsche Unternehmen mit Dänemark-Bezug beschreibt der Leitfaden zu NIS2 in Dänemark.
Die tschechische Umsetzung durch das Gesetz Nr. 264/2025 Sb., die beiden Pflichtregime und die Aufsicht durch NÚKIB sowie die Pflichten für deutsche Unternehmen mit Tschechien-Bezug beschreibt der Leitfaden zu NIS2 in Tschechien.
Sie kennen bereits das IT-Sicherheitsgesetz 2.0? Lesen Sie den direkten Vergleich: NIS2 vs. IT-Sicherheitsgesetz 2.0 – Was sich für Unternehmen ändert
Zehn der häufigsten Missverständnisse zu NIS2 — von „NIS2 ersetzt KRITIS“ bis „nur ein IT-Thema“ — prüfen wir Satz für Satz gegen BSIG und NIS2-Richtlinie im Beitrag NIS2-Mythen 2026: Die 10 häufigsten Irrtümer.
Hersteller vernetzter Produkte unterliegen häufig zugleich dem Cyber Resilience Act. Welche Meldepflichten ab dem 11. September 2026 gelten und wie sich beide Regime voneinander abgrenzen, erläutert unser Leitfaden NIS2 und der Cyber Resilience Act (CRA) für Hersteller.
Wie ein spät umsetzender Mitgliedstaat vorgeht, zeigt NIS2 in Luxemburg – Gesetz vom 5. Mai 2026, ILR-Frist und zwei Bußgeld-Stufen: das Gesetz gilt seit dem 10. Mai 2026, die Aufsicht liegt überwiegend beim ILR und für den Finanzsektor bei der CSSF; der Leitfaden erläutert außerdem die Fristen und Sanktionsstufen.
Ob die Arbeit an der Umsetzung eingekauft werden kann, entscheidet sich nicht an der Rolle, sondern an der einzelnen Pflicht. Welche Aufgaben ein Dienstleister übernehmen kann und welche Pflichten § 38 BSIG bei der Geschäftsleitung belässt, zeigt unser Leitfaden Externer CISO für NIS2: Was Sie auslagern können — und was § 38 BSIG bei Ihnen lässt.
Eine vollständige Schritt-für-Schritt-Anleitung finden Sie unter welche Aufgaben der Informationssicherheitsbeauftragte übernimmt und wie Sie ihn bestellen.
Sie kennen jetzt die Anforderungen. Wissen Sie, welche Nachweise Ihnen noch fehlen?
Die kostenlose NIS2-Selbsteinschätzung — über 90 prüfbare Punkte zu Art. 21 / § 30 BSIG. Sofort als PDF.
