Die meisten Compliance-Teams arbeiten mit Zusammenfassungen der NIS2-Richtlinie — mit Beraterübersichten, Blog-Artikeln und Verbandsleitfäden. Das ist nachvollziehbar: Der Originaltext auf EUR-Lex wirkt auf den ersten Blick unübersichtlich. Aber wenn eine Aufsichtsbehörde nachfragt, ein Anwalt ein Gutachten erstellt oder ein Gericht eine Vorschrift auslegt, kommt es auf den Wortlaut an: auf die Richtlinie (EU) 2022/2555 im Amtsblatt der EU und — in Deutschland — auf das BSI-Gesetz (BSIG), das sie umsetzt.
Dieser Leitfaden zeigt Ihnen, wie Sie den NIS2-Volltext auf EUR-Lex finden, die Oberfläche verstehen und gezielt zu Artikel 21 sowie den Anhängen I und II navigieren — in unter fünf Minuten. Außerdem erfahren Sie, welche Version Sie wann nutzen sollten und wie der EU-Richtlinientext mit dem deutschen NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) und dem neuen BSIG zusammenhängt.
Warum der Originaltext der NIS2-Richtlinie entscheidend ist
Sekundärquellen vereinfachen — das ist ihr Wert, aber auch ihre Schwäche. Eine typische Zusammenfassung von Artikel 21 lautet: „Unternehmen müssen zehn Cybersicherheitsmaßnahmen umsetzen.“ Was dabei verloren geht: der rechtliche Spielraum.
Artikel 21 Absatz 1 der Richtlinie verlangt „geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen“, die „unter Berücksichtigung des Stands der Technik […] sowie der Kosten der Umsetzung“ ein dem Risiko angemessenes Sicherheitsniveau gewährleisten. Bei der Verhältnismäßigkeit sind zudem die Risikoexposition, die Größe der Einrichtung sowie Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen zu berücksichtigen. Diese Maßstäbe bestimmen, welcher Aufwand für eine Einrichtung angemessen ist. Wer sie kennt, kann die eigene Compliance-Dokumentation gegenüber einem Prüfer besser begründen.
Lesen Sie sich gerade in NIS2 ein? Prüfen Sie Ihre Lücken direkt mit.
Die kostenlose NIS2-Selbsteinschätzung — über 90 prüfbare Punkte zu Art. 21 / § 30 BSIG. Sofort als PDF.
Konkrete Konsequenz: In Deutschland wenden BSI und Gerichte das BSIG an, das richtlinienkonform auszulegen ist — dafür braucht man den Originaltext. Beispiel Bußgelder: Artikel 34 verpflichtet die Mitgliedstaaten, für wesentliche Einrichtungen Höchstbeträge von mindestens 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes vorzusehen (je nachdem, welcher Betrag höher ist), für wichtige Einrichtungen mindestens 7 Mio. Euro oder 1,4 %. In Deutschland gilt dagegen § 65 BSIG: bis zu 10 Mio. Euro (besonders wichtige) bzw. 7 Mio. Euro (wichtige Einrichtungen); die Obergrenzen von 2 % bzw. 1,4 % des weltweiten Gesamtumsatzes greifen nur bei mehr als 500 Mio. Euro Gesamtumsatz. Bußgeldbehörde ist in der Regel das BSI.
Der EUR-Lex-Text ist kostenlos und in allen 24 EU-Amtssprachen verfügbar. Rechtlich verbindlich ist die im Amtsblatt veröffentlichte Fassung; seit 2013 besitzt nur die elektronische Ausgabe des Amtsblatts Echtheit und entfaltet Rechtswirkungen (Verordnung (EU) Nr. 216/2013).
In drei Schritten zum NIS2-Volltext auf EUR-Lex
Schritt 1: Direkt-URL aufrufen
Der schnellste Weg führt direkt zur deutschen HTML-Version des Volltextes:
https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32022L2555
Speichern Sie diesen Link als Lesezeichen. Der Parameter CELEX:32022L2555 ist die eindeutige Kennung der NIS2-Richtlinie in der EU-Rechtsdatenbank; sie ändert sich nicht. Praktisch: In der HTML-Fassung haben Artikel und Anhänge feste Sprungmarken. Mit #art_21 am Ende der Adresse landen Sie direkt bei Artikel 21, mit #anx_I bzw. #anx_II bei den Anhängen I und II.
Schritt 2: Alternativ über die EUR-Lex-Suche
Wenn Sie über die EUR-Lex-Startseite navigieren: Geben Sie in der Schnellsuche „32022L2555“ ein. Der erste Treffer ist die Richtlinie; er führt zur Dokumentseite mit den Reitern für Text, Dokumentinformationen und nationale Umsetzung. Dieselbe Seite erreichen Sie über die ELI-Adresse (European Legislation Identifier) der Richtlinie, auf Deutsch:
https://eur-lex.europa.eu/eli/dir/2022/2555/oj?locale=de
Schritt 3: Sprache wählen
EUR-Lex stellt die Richtlinie in allen 24 Amtssprachen bereit; alle Sprachfassungen sind gleichermaßen verbindlich. Auf der Dokumentseite wählen Sie die Sprache in der Tabelle „Sprachen, Formate und Link zum Amtsblatt“ (je Sprache HTML, PDF und Amtsblatt). Über „Mehrsprachige Anzeige“ können Sie bis zu drei Sprachfassungen nebeneinander lesen. Für die tägliche Arbeit in deutschen Unternehmen ist die deutschsprachige Fassung in der Regel die Referenz; bei Auslegungsfragen kann der Vergleich mit der englischen oder französischen Fassung hilfreich sein.
Die Richtlinie wurde am 14. Dezember 2022 erlassen und am 27. Dezember 2022 im Amtsblatt der EU veröffentlicht (ABl. L 333, S. 80–152). Sie trat am 16. Januar 2023 in Kraft (Art. 45: zwanzigster Tag nach der Veröffentlichung). Die Mitgliedstaaten mussten sie bis zum 17. Oktober 2024 umsetzen und die Vorschriften ab dem 18. Oktober 2024 anwenden (Art. 41).
Die EUR-Lex-Oberfläche verstehen — Tabs, Formate und die Sprachauswahl
Wer zum ersten Mal auf der Dokumentseite der Richtlinie landet, sieht fünf Reiter. Jeder hat eine spezifische Funktion:
| Tab | Inhalt und Verwendung |
|---|---|
| Text | Volltext mit der Sprach- und Formattabelle (HTML, PDF, Amtsblatt) — Ihr primäres Ziel. Hier finden Sie auch den Hinweis auf die aktuelle konsolidierte Fassung. |
| Informationen zum Dokument | Daten (Datum des Dokuments, Inkrafttreten, Umsetzungsfristen), Verfahrensnummer, Rechtsgrundlage und Beziehungen zu anderen Rechtsakten — etwa aufgehobene bzw. geänderte Rechtsakte, Berichtigungen und Änderungsvorschläge. |
| Verfahren | Stationen des Gesetzgebungsverfahrens (2020/0359/COD): Kommissionsvorschlag, Stellungnahmen, erste Lesung, Unterzeichnung, Veröffentlichung. |
| Nationale Umsetzung | Die von den Mitgliedstaaten gemeldeten Umsetzungsmaßnahmen, je Land mit Fundstelle. Für Deutschland erscheinen hier neben dem NIS2UmsuCG auch Regelungen der Länder. |
| Zusammenfassung der Dokumente | EUR-Lex-eigene Kurzfassung des Inhalts — ein guter Einstieg, ersetzt aber nicht den Volltext. |
Besonders nützlich für Compliance-Teams: Der Tab „Nationale Umsetzung“ zeigt, welche Umsetzungsmaßnahmen Deutschland und die anderen EU-Länder gemeldet haben. Beachten Sie: Für diese Angaben sind laut EUR-Lex allein die Mitgliedstaaten verantwortlich; die Liste wird laufend aktualisiert.
HTML oder PDF?
Beide Formate geben denselben Text wieder. Der Unterschied liegt im Verwendungszweck:
- HTML-Version: Optimal für die Navigation. Ein Inhaltsverzeichnis (Präambel, Kapitel, Artikel) erlaubt das direkte Springen, die Browsersuche (Strg+F / Cmd+F) funktioniert, und über die Sprungmarken (z. B.
#art_21) können Sie auf einzelne Artikel verlinken. - PDF-Version: Ideal für Offline-Archivierung, Ausdrucke und die Weitergabe an Management oder externe Berater.
Aufbau der Richtlinie (EU) 2022/2555 — 46 Artikel in 9 Kapiteln
Die Richtlinie ist klar strukturiert: 144 Erwägungsgründe, 46 Artikel in 9 Kapiteln und drei Anhänge. Für Compliance-Zwecke ist vor allem Kapitel IV relevant.
| Kapitel | Artikel | Inhalt |
|---|---|---|
| I | 1–6 | Allgemeine Bestimmungen: Gegenstand, Anwendungsbereich, wesentliche und wichtige Einrichtungen, Begriffsbestimmungen |
| II | 7–13 | Koordinierte Rahmen für die Cybersicherheit: nationale Strategien, zuständige Behörden, CSIRTs, Cyberkrisenmanagement, Offenlegung von Schwachstellen |
| III | 14–19 | Zusammenarbeit auf Unions- und internationaler Ebene: Kooperationsgruppe, CSIRTs-Netzwerk, EU-CyCLONe, Peer Reviews |
| IV | 20–25 | Risikomanagementmaßnahmen und Berichtspflichten im Bereich der Cybersicherheit ← Kernkapitel für Compliance |
| V | 26–28 | Zuständigkeit und Registrierung: Territorialität, Register bestimmter digitaler Anbieter, Datenbank der Domänennamen-Registrierungsdaten |
| VI | 29–30 | Informationsaustausch: Vereinbarungen zum Informationsaustausch, freiwillige Meldungen |
| VII | 31–37 | Aufsicht und Durchsetzung: Befugnisse der Behörden, Geldbußen (Art. 34), Sanktionen, Amtshilfe |
| VIII | 38–39 | Delegierte Rechtsakte und Durchführungsrechtsakte |
| IX | 40–46 | Schlussbestimmungen: Überprüfung, Umsetzung, Aufhebung der NIS-1-Richtlinie, Inkrafttreten |
Kapitel IV enthält die für Einrichtungen inhaltlich wichtigsten Artikel:
- Artikel 20: Governance — Leitungsorgane billigen die Risikomanagementmaßnahmen, überwachen ihre Umsetzung, können für Verstöße verantwortlich gemacht werden und müssen an Schulungen teilnehmen
- Artikel 21: Risikomanagementmaßnahmen im Bereich der Cybersicherheit (Mindestkatalog von zehn Bereichen)
- Artikel 22: Koordinierte Risikobewertungen kritischer Lieferketten auf Unionsebene (Aufgabe der Kooperationsgruppe)
- Artikel 23: Berichtspflichten bei erheblichen Sicherheitsvorfällen (Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht spätestens einen Monat nach der Meldung)
- Artikel 24: Nutzung europäischer Schemata für die Cybersicherheitszertifizierung
- Artikel 25: Normung
Zur Präambel: Die Erwägungsgründe sind nicht bindend, erläutern aber den Gesetzgebungszweck und werden von Behörden und Gerichten zur Auslegung herangezogen. Für Artikel 21 sind vor allem die Erwägungsgründe 77 bis 85 aufschlussreich, unter anderem zum gefahrenübergreifenden Ansatz, zur Verhältnismäßigkeit und zur Sicherheit der Lieferkette.
Direktzugang zu Artikel 21 — die 10 Risikomanagementmaßnahmen
In der HTML-Version: Nutzen Sie die Sprungmarke #art_21 oder das Inhaltsverzeichnis. Alternativ drücken Sie Strg+F (Windows) oder Cmd+F (Mac) und suchen nach „Artikel 21“. Da die Richtlinie viele Querverweise enthält, erscheint der Begriff mehrfach — der gesuchte Treffer steht unter „Kapitel IV“ mit der Überschrift „Risikomanagementmaßnahmen im Bereich der Cybersicherheit“.
Artikel 21 Absatz 1 definiert den allgemeinen Maßstab: Die Maßnahmen müssen geeignet und verhältnismäßig sein und unter Berücksichtigung des Stands der Technik, einschlägiger Normen und der Kosten der Umsetzung ein dem Risiko angemessenes Sicherheitsniveau gewährleisten. Dieser Verhältnismäßigkeitsgrundsatz ist der zentrale Spielraum, den die Richtlinie lässt.
Artikel 21 Absatz 2 verlangt, dass die Maßnahmen auf einem gefahrenübergreifenden Ansatz beruhen und zumindest folgende zehn Bereiche umfassen:
| Art. 21(2) | Anforderung | Typische Umsetzung (Beispiele) |
|---|---|---|
| (a) | Konzepte für Risikoanalyse und Sicherheit der Informationssysteme | Dokumentierte Risikoanalyse und Sicherheitskonzept |
| (b) | Bewältigung von Sicherheitsvorfällen | Dokumentierter Incident-Response-Prozess |
| (c) | Aufrechterhaltung des Betriebs, Backup-Management, Wiederherstellung nach einem Notfall, Krisenmanagement | BCM- und Notfallplanung, z. B. mit Wiederanlaufzielen (RTO/RPO) |
| (d) | Sicherheit der Lieferkette einschließlich der Beziehungen zu unmittelbaren Anbietern und Diensteanbietern | Lieferantenbewertung, Sicherheitsklauseln in Verträgen |
| (e) | Sicherheit bei Erwerb, Entwicklung und Wartung von Systemen; Management und Offenlegung von Schwachstellen | Sichere Entwicklung, Patch- und Schwachstellenmanagement |
| (f) | Konzepte und Verfahren zur Bewertung der Wirksamkeit der Maßnahmen | Regelmäßige Überprüfungen, Audits, ggf. Penetrationstests, Kennzahlen |
| (g) | Grundlegende Verfahren der Cyberhygiene und Cybersicherheitsschulungen | Schulungs- und Sensibilisierungsprogramm mit Nachweisen |
| (h) | Konzepte und Verfahren für Kryptografie und gegebenenfalls Verschlüsselung | Kryptografie-/Verschlüsselungsrichtlinie |
| (i) | Sicherheit des Personals, Konzepte für die Zugriffskontrolle, Management von Anlagen | Berechtigungskonzept, On-/Offboarding-Prozess, Asset-Inventar |
| (j) | Multi-Faktor- oder kontinuierliche Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation, ggf. gesicherte Notfallkommunikation | MFA risikobasiert, insbesondere für privilegierte und Fernzugänge |
Wichtig für Deutschland: Artikel 21 ist im deutschen Recht durch § 30 BSIG umgesetzt (das BSIG wurde durch Artikel 1 des NIS2UmsuCG neu gefasst). § 30 Abs. 2 BSIG übernimmt den Katalog der Buchstaben (a) bis (j) als Nummern 1 bis 10 weitgehend, weicht aber im Wortlaut teilweise ab: § 30 Abs. 1 spricht etwa von „geeignete[n], verhältnismäßige[n] und wirksame[n] technische[n] und organisatorische[n] Maßnahmen“ und verlangt ausdrücklich, die Einhaltung zu dokumentieren. Für bestimmte digitale Anbieter gilt nach § 30 Abs. 3 BSIG vorrangig die Durchführungsverordnung (EU) 2024/2690. Das BSI bietet mit dem Informationsangebot #nis2know (Roadmap und Infopakete) sowie dem BSI-Standard 200-3 (Risikomanagement) Orientierung zur Umsetzung.
Mehr zu den konkreten Umsetzungsanforderungen finden Sie in unserem Leitfaden zu den NIS2-Anforderungen.
Anhang I und II auf EUR-Lex finden — welche Sektoren betroffen sind
Die Anhänge befinden sich am Ende des HTML-Dokuments; direkt erreichen Sie sie über die Sprungmarken #anx_I und #anx_II oder das Inhaltsverzeichnis. Bei der Browsersuche hilft die Überschrift: Da „Anhang I“ im Text oft zitiert wird und die Suche Groß- und Kleinschreibung meist nicht unterscheidet, suchen Sie besser nach „SEKTOREN MIT HOHER KRITIKALITÄT“ (Anhang I) bzw. „SONSTIGE KRITISCHE SEKTOREN“ (Anhang II).
Anhang I — Sektoren mit hoher Kritikalität
| Sektor | Beispiele aus Anhang I |
|---|---|
| Energie | Elektrizität, Fernwärme und -kälte, Erdöl, Erdgas, Wasserstoff |
| Verkehr | Luftverkehr, Schienenverkehr, Schifffahrt, Straßenverkehr |
| Bankwesen | Kreditinstitute |
| Finanzmarktinfrastrukturen | Betreiber von Handelsplätzen, zentrale Gegenparteien |
| Gesundheitswesen | Gesundheitsdienstleister, EU-Referenzlaboratorien, Arzneimittelforschung und -herstellung, Hersteller kritischer Medizinprodukte |
| Trinkwasser | Lieferanten und Versorger von Wasser für den menschlichen Gebrauch |
| Abwasser | Sammlung, Entsorgung und Behandlung von Abwasser |
| Digitale Infrastruktur | Internet-Knoten, DNS-Diensteanbieter, TLD-Namenregister, Cloud, Rechenzentren, Inhaltszustellnetze, Vertrauensdiensteanbieter, öffentliche elektronische Kommunikationsnetze und -dienste |
| Verwaltung von IKT-Diensten (B2B) | Anbieter verwalteter Dienste (MSP), Anbieter verwalteter Sicherheitsdienste (MSSP) |
| Öffentliche Verwaltung | Einrichtungen der Zentralregierung und auf regionaler Ebene |
| Weltraum | Betreiber von Bodeninfrastrukturen für weltraumgestützte Dienste |
Anhang II — Sonstige kritische Sektoren
| Sektor |
|---|
| Post- und Kurierdienste |
| Abfallbewirtschaftung |
| Produktion, Herstellung und Handel mit chemischen Stoffen |
| Produktion, Verarbeitung und Vertrieb von Lebensmitteln |
| Verarbeitendes Gewerbe/Herstellung von Waren (sechs Teilsektoren: Medizinprodukte und In-vitro-Diagnostika, Datenverarbeitungsgeräte sowie elektronische und optische Erzeugnisse, elektrische Ausrüstungen, Maschinenbau, Kraftwagen und Kraftwagenteile, sonstiger Fahrzeugbau) |
| Anbieter digitaler Dienste (Online-Marktplätze, Online-Suchmaschinen, Plattformen für Dienste sozialer Netzwerke) |
| Forschungseinrichtungen |
Die Einordnung als „wesentliche“ oder „wichtige“ Einrichtung hängt nach Artikel 3 nicht allein vom Anhang ab, sondern auch von der Größe: Wesentlich sind vor allem Einrichtungen aus Anhang I oberhalb der Schwellenwerte für mittlere Unternehmen sowie einige Einrichtungsarten unabhängig von der Größe; die übrigen erfassten Einrichtungen gelten als wichtig. In Deutschland regelt § 28 BSIG mit den Anlagen 1 und 2 die Einordnung; statt „wesentlich“ spricht das BSIG von „besonders wichtigen Einrichtungen“. Eine detaillierte Analyse finden Sie in unserem Beitrag über den Anwendungsbereich der NIS2-Richtlinie.
Anhang III enthält die Entsprechungstabelle zwischen der alten NIS-1-Richtlinie (EU) 2016/1148 und der NIS2-Richtlinie. Nach Artikel 44 sind Bezugnahmen auf die aufgehobene NIS-1-Richtlinie nach dieser Tabelle zu lesen — nützlich für Organisationen, die bereits unter NIS1 reguliert waren.
EU-Richtlinie vs. NIS2UmsuCG — was sich für Deutschland ändert
Eine EU-Richtlinie richtet sich an die Mitgliedstaaten, nicht direkt an Unternehmen (Art. 46). Erst durch das nationale Umsetzungsgesetz werden die Pflichten für Einrichtungen verbindlich. In Deutschland ist das das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), verkündet im BGBl. 2025 I Nr. 301 und am 6. Dezember 2025 in Kraft getreten. Die EU-Umsetzungsfrist (17. Oktober 2024) hatte Deutschland damit verpasst; die Pflichten für Einrichtungen gelten hierzulande erst seit dem 6. Dezember 2025. Nach Angaben des BSI gehören künftig rund 29.500 Einrichtungen zum Kreis der vom BSI beaufsichtigten Einrichtungen — bislang waren etwa 4.500 Organisationen durch das BSI-Gesetz reguliert.
Auf EUR-Lex sehen Sie unter dem Tab „Nationale Umsetzung“, welche deutschen Rechtsakte als Umsetzung gemeldet wurden. Die Pflichten selbst stehen im neu gefassten BSIG, das eigene Begriffe und Nummern verwendet:
| NIS2-Richtlinie | Deutsches Recht (BSIG) |
|---|---|
| Wesentliche / wichtige Einrichtungen (Art. 3) | Besonders wichtige / wichtige Einrichtungen (§ 28) |
| Anhänge I und II | Anlagen 1 und 2 |
| Governance (Art. 20) | Pflichten der Geschäftsleitung (§ 38) |
| Risikomanagementmaßnahmen (Art. 21) | § 30 |
| Berichtspflichten (Art. 23) | Meldepflichten (§ 32) |
| Geldbußen (Art. 34) | Bußgeldvorschriften (§ 65) |
Drei zentrale Pflichten für betroffene Einrichtungen nach dem BSIG:
- Registrierung beim BSI (§ 33 BSIG, über „Mein Unternehmenskonto“ und das BSI-Portal)
- Meldepflicht erheblicher Sicherheitsvorfälle an die gemeinsame Meldestelle von BSI und BBK (§ 32 BSIG: frühe Erstmeldung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden, Abschlussmeldung spätestens einen Monat nach der Meldung)
- Risikomanagementmaßnahmen gemäß § 30 BSIG umsetzen und dokumentieren
Das BSI bringt es auf den Punkt: „Die NIS-2-Richtlinie macht Cybersicherheit zur Chefinnen- und Chefsache.“ Artikel 20 der Richtlinie verlangt, dass die Leitungsorgane die Maßnahmen billigen, ihre Umsetzung überwachen und für Verstöße verantwortlich gemacht werden können. Das deutsche Recht setzt dies in § 38 BSIG um: Die Geschäftsleitung muss die Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen; bei schuldhafter Pflichtverletzung haftet sie der Einrichtung nach den gesellschaftsrechtlichen Regeln ihrer Rechtsform. Eine praktische Schritt-für-Schritt-Anleitung zur deutschen Umsetzung finden Sie in unserem NIS2-Umsetzungsleitfaden.
Wann welche Version? HTML, PDF und der konsolidierte Text
EUR-Lex stellt die Richtlinie in mehreren Versionen bereit. Welche Sie wählen, hängt vom Zweck ab:
| Version | Beste Verwendung |
|---|---|
| HTML-Original | Navigation, Verlinkung einzelner Artikel, Strg+F-Suche |
| PDF-Original | Offline-Archivierung, Ausdrucke, Management-Berichte |
| Konsolidierter Text | Lesefassung für die tägliche Arbeit — mit eingearbeiteten Berichtigungen, aber ohne Rechtswirkung |
Was ist der konsolidierte Text? Neben dem Originaltext veröffentlicht EUR-Lex eine konsolidierte Fassung (CELEX 02022L2555-20221227), in die Berichtigungen eingearbeitet sind. EUR-Lex verzeichnet neun Berichtigungen für einzelne Sprachfassungen; die deutsche Fassung betrifft bislang eine (22. Dezember 2023): In Artikel 33 Absatz 4 muss es „wichtige“ statt „wesentliche“ Einrichtungen heißen. Den konsolidierten Text erreichen Sie auf der Dokumentseite über den Hinweis „Aktuelle konsolidierte Fassung“ oder direkt über:
https://eur-lex.europa.eu/eli/dir/2022/2555/2022-12-27/deu
Hinweis: Der konsolidierte Text dient laut EUR-Lex lediglich zu Informationszwecken und hat keine Rechtswirkung — verbindlich ist der im Amtsblatt veröffentlichte Text. Zitieren Sie in Schriftsätzen und Gutachten die Amtsblattfundstelle (ABl. L 333 vom 27.12.2022, S. 80) und weisen Sie gegebenenfalls auf die Berichtigung hin.
Zwei weitere Texte gehören neben die Richtlinie: die Durchführungsverordnung (EU) 2024/2690, die die Maßnahmen nach Artikel 21 für bestimmte Anbieter digitaler Dienste technisch ausbuchstabiert (siehe unseren Leitfaden zur Durchführungsverordnung), und die Umsetzungshinweise der ENISA als Auslegungshilfe (siehe ENISA-Leitfaden).
Häufige Fragen zum NIS2-Volltext auf EUR-Lex
Ist der EUR-Lex-Text kostenlos?
Ja. EUR-Lex ist kostenlos und ohne Registrierung zugänglich. Die Richtlinie (EU) 2022/2555 steht in allen 24 EU-Amtssprachen als HTML und PDF zum kostenlosen Download bereit.
Welche Sprachversion ist rechtlich maßgeblich?
Alle 24 Sprachfassungen sind gleich verbindlich. Bei Auslegungsfragen kann der Vergleich zwischen der deutschen, englischen und französischen Fassung hilfreich sein. Im Streitfall legt der Europäische Gerichtshof das Unionsrecht unter Berücksichtigung der verschiedenen Sprachfassungen aus.
Was ist der Unterschied zwischen CELEX 32022L2555 und dem konsolidierten Text?
CELEX 32022L2555 ist der Originaltext vom 27. Dezember 2022, genau so, wie er im Amtsblatt veröffentlicht wurde. Der konsolidierte Text (CELEX 02022L2555-20221227) enthält denselben Inhalt mit eingearbeiteten Berichtigungen; in der deutschen Fassung ist das die Berichtigung zu Artikel 33 Absatz 4. Für die tägliche Arbeit eignet sich der konsolidierte Text; für verbindliche Zitate nutzen Sie die Amtsblattfundstelle.
Wo finde ich das deutsche NIS2-Umsetzungsgesetz?
Das NIS2UmsuCG ist auf dem Portal des Bundesgesetzblatts unter Bundesgesetzblatt 2025 I Nr. 301 verfügbar. Es ist seit dem 6. Dezember 2025 in Kraft. Die für Unternehmen maßgeblichen Pflichten stehen im neu gefassten BSI-Gesetz, das Sie konsolidiert unter gesetze-im-internet.de/bsig_2025 finden. Die gemeldeten deutschen Umsetzungsmaßnahmen sehen Sie auch im Tab „Nationale Umsetzung“ der EUR-Lex-Seite.
Gibt es eine offizielle Kurzfassung der Richtlinie?
Ja — EUR-Lex bietet unter dem Tab „Zusammenfassung der Dokumente“ eine strukturierte Übersicht der wichtigsten Inhalte. Diese Zusammenfassung ist nicht rechtlich bindend, aber ein guter Einstieg vor der Lektüre des Volltextes.
Hat sich der Richtlinientext nach der Veröffentlichung inhaltlich geändert?
Bislang nicht durch einen Änderungsrechtsakt. Inhaltliche Änderungen setzen ein Gesetzgebungsverfahren auf EU-Ebene voraus. Die Kommission hat Änderungen vorgeschlagen (COM(2025) 837, „digitaler Omnibus“, und COM(2026) 13); EUR-Lex führt diese als Änderungsvorschläge, nicht als in Kraft getretene Änderungen (Stand: 14. Oktober 2026). Die veröffentlichten Berichtigungen korrigieren Fehler einzelner Sprachfassungen — in der deutschen Fassung etwa die Verwechslung von „wesentlichen“ und „wichtigen“ Einrichtungen in Artikel 33 Absatz 4.
Dieser Artikel stellt allgemeine Informationen bereit und ist keine Rechts- oder Compliance-Beratung. Die Anforderungen können je nach Rechtsordnung und Unternehmenstyp variieren. Konsultieren Sie für Ihren konkreten Fall einen qualifizierten Rechtsanwalt oder Compliance-Spezialisten.
Quellen
- Richtlinie (EU) 2022/2555 — Volltext HTML (Deutsch) — EUR-Lex
- Richtlinie (EU) 2022/2555 — Dokumentseite (ELI) — EUR-Lex
- Richtlinie (EU) 2022/2555 — PDF (Deutsch) — EUR-Lex
- Richtlinie (EU) 2022/2555 — Informationen zum Dokument (Daten, Berichtigungen, Änderungsvorschläge) — EUR-Lex
- Cybersicherheit von Netz- und Informationssystemen — Zusammenfassung — EUR-Lex
- Richtlinie (EU) 2022/2555 — Konsolidierter Text (Deutsch) — EUR-Lex
- NIS2UmsuCG — BGBl. 2025 I Nr. 301 — recht.bund.de
- Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSIG) — gesetze-im-internet.de
- NIS-2-Umsetzungsgesetz ab 06.12.2025 in Kraft — BSI
- NIS-2-regulierte Unternehmen — BSI
- Artikel 21 NIS2 — Risikomanagementmaßnahmen im Bereich der Cybersicherheit — buzer.de
Sie kennen jetzt die Anforderungen. Wissen Sie, welche Nachweise Ihnen noch fehlen?
Die kostenlose NIS2-Selbsteinschätzung — über 90 prüfbare Punkte zu Art. 21 / § 30 BSIG. Sofort als PDF.
