NIS2 vs. NIS1: Was sich geändert hat und warum es wichtig ist

Die NIS2-Richtlinie trat im Januar 2023 in Kraft und löste die NIS1-Richtlinie von 2016 ab (aufgehoben zum 18. Oktober 2024). Das war keine kosmetische Überarbeitung. Wer NIS2 für eine aktualisierte Version des Altbekannten hält, unterschätzt den Bruch: neue Sektoren, feste Größenschwellen, ein konkreter Katalog an Mindestmaßnahmen und ausdrückliche Pflichten der Geschäftsleitung. Dieser Artikel zeigt, was sich geändert hat – auch in der deutschen Umsetzung – und warum das für Unternehmen entscheidend ist.

NIS1 im Rückblick: Das erste europäische Cybersicherheitsgesetz

Die Richtlinie (EU) 2016/1148 – kurz NIS1 – war die erste EU-weite Regelung zur Sicherheit von Netz- und Informationssystemen. Sie verpflichtete Betreiber wesentlicher Dienste (OES) in sieben Sektoren sowie Anbieter digitaler Dienste (DSP) – Online-Marktplätze, Online-Suchmaschinen und Cloud-Computing-Dienste – zu geeigneten Sicherheitsmaßnahmen und zur Meldung erheblicher Vorfälle. Welche Unternehmen als OES galten, mussten die Mitgliedstaaten bis zum 9. November 2018 selbst ermitteln.

Das Problem: NIS1 ließ den Mitgliedstaaten großen Spielraum. Laut den Erwägungsgründen der NIS2-Richtlinie wurde sie sehr unterschiedlich umgesetzt – beim Anwendungsbereich ebenso wie bei Sicherheits- und Meldepflichten, Aufsicht und Durchsetzung. Das Ergebnis: ein Flickenteppich, den der EU-Gesetzgeber selbst als „Fragmentierung des Binnenmarkts“ bezeichnet.

Sonderfall Deutschland: Das IT-Sicherheitsgesetz von 2015 hatte schon vor NIS1 ein KRITIS-Regime im BSI-Gesetz (BSIG) geschaffen; das Umsetzungsgesetz vom 23. Juni 2017 (BGBl. I S. 1885) ergänzte vor allem Pflichten für Anbieter digitaler Dienste (§ 8c BSIG a. F.). KRITIS-Betreiber ergaben sich aus den Schwellenwerten der BSI-Kritisverordnung. Sie mussten Vorkehrungen nach dem Stand der Technik treffen, dies alle zwei Jahre nachweisen, sich beim BSI mit einer Kontaktstelle registrieren und Störungen unverzüglich melden (§§ 8a, 8b BSIG a. F.). Ende 2023 waren beim BSI 865 KRITIS-Betreiber registriert (ohne Verpflichtete nach EnWG/TKG und ohne digitale Dienste).

Was genau NIS1 in Deutschland geregelt hatte und was die Grundlagen der NIS2-Richtlinie heute vorschreiben, zeigt der nächste Abschnitt im Vergleich.

Fünf zentrale Änderungen durch NIS2

1. Der Anwendungsbereich wächst drastisch

NIS1 erfasste sieben Sektoren und drei Arten digitaler Dienste. Die NIS2-Richtlinie erweitert das auf 18 Sektoren: 11 „Sektoren mit hoher Kritikalität“ (Anhang I) und 7 „sonstige kritische Sektoren“ (Anhang II). Neu sind unter anderem Abwasser, Weltraum, öffentliche Verwaltung, Post- und Kurierdienste, Abfall, Chemie, Lebensmittel, verarbeitendes Gewerbe und Forschung – Lebensmittel (Sektor Ernährung) kannte das deutsche KRITIS-Regime allerdings bereits.

Das Entscheidende: Statt einer Ermittlung durch die Mitgliedstaaten gilt eine Größenschwelle. Nach § 28 BSIG sind Unternehmen der erfassten Einrichtungsarten in der Regel wichtige Einrichtungen ab 50 Mitarbeitenden oder bei Jahresumsatz und Jahresbilanzsumme von jeweils über 10 Mio. €; besonders wichtige (Anlage 1) ab 250 Mitarbeitenden oder bei über 50 Mio. € Umsatz und zugleich über 43 Mio. € Bilanzsumme. Für einige Arten, etwa Betreiber kritischer Anlagen, gelten Sonderregeln. Die Bundesregierung schätzte rund 29.850 betroffene Unternehmen; bis zum 30. September 2026 hatten sich laut BSI 20.141 Einrichtungen registriert.

Ob ein Unternehmen betroffen ist, hängt von Sektor, Größe und Dienstleistungsart ab. Eine detaillierte Analyse bietet die Seite zum NIS2-Anwendungsbereich.

2. Neue Einteilung: wesentliche und wichtige Einrichtungen

Statt OES und DSP kennt NIS2 wesentliche und wichtige Einrichtungen (im BSIG: besonders wichtige und wichtige Einrichtungen). Beide unterliegen denselben Risikomanagementpflichten nach Artikel 21 (§ 30 BSIG). Der Unterschied liegt in Aufsicht und Bußgeldrahmen:

• Besonders wichtige Einrichtungen: proaktive Aufsicht – das BSI kann u. a. Audits anordnen und vor Ort prüfen (§ 61 BSIG); Bußgelder bis zu 10 Mio. €, bei über 500 Mio. € weltweitem Gesamtumsatz bis zu 2 % (§ 65 BSIG)
• Wichtige Einrichtungen: nachträgliche Aufsicht – Prüfungen in der Regel nur bei Anhaltspunkten für Verstöße (§ 62 BSIG); Bußgelder bis zu 7 Mio. €, bei über 500 Mio. € Gesamtumsatz bis zu 1,4 %

Das DSP-Regime entfällt als eigene Kategorie: Online-Marktplätze, Suchmaschinen und soziale Netzwerke sind nun „Anbieter digitaler Dienste“ (Anhang II), Cloud-Anbieter gehören zur digitalen Infrastruktur (Anhang I). DNS-Diensteanbieter – unter NIS1 OES – gelten unabhängig von ihrer Größe als besonders wichtige Einrichtungen.

3. Konkrete Sicherheitspflichten statt vager Anforderungen

NIS1 verlangte „geeignete und verhältnismäßige technische und organisatorische Maßnahmen“ unter Berücksichtigung des Stands der Technik – ohne verbindlichen Maßnahmenkatalog. NIS2 nennt in Artikel 21 Absatz 2 zehn Mindestmaßnahmen (in Deutschland § 30 Abs. 2 BSIG):

1. Konzepte für Risikoanalyse und Sicherheit der Informationssysteme
2. Bewältigung von Sicherheitsvorfällen
3. Aufrechterhaltung des Betriebs (Backup-Management, Wiederherstellung nach einem Notfall) und Krisenmanagement
4. Sicherheit der Lieferkette
5. Sicherheit bei Erwerb, Entwicklung und Wartung von IT-Systemen, einschließlich Schwachstellenmanagement
6. Konzepte und Verfahren zur Bewertung der Wirksamkeit der Maßnahmen
7. Grundlegende Cyberhygiene und Schulungen zur Cybersicherheit
8. Kryptografie und gegebenenfalls Verschlüsselung
9. Personalsicherheit, Zugriffskontrolle und Management von Anlagen
10. Multi-Faktor-Authentifizierung, gesicherte Kommunikation und gegebenenfalls gesicherte Notfallkommunikation

Für bestimmte digitale Anbieter (u. a. DNS-, Cloud-, Rechenzentrums- und Managed-Service-Anbieter) konkretisiert die Durchführungsverordnung (EU) 2024/2690 diese Anforderungen. Die vollständige Übersicht über alle NIS2-Anforderungen zeigt, was das in der Praxis bedeutet.

4. Dreistufige Meldepflichten mit harten Fristen

NIS1 – und in Deutschland § 8b BSIG a. F. – verlangte Meldungen „unverzüglich“, ohne feste Stundenfrist. NIS2 und § 32 BSIG setzen klare Höchstfristen:

Stufe	Frist	Inhalt
Frühe Erstmeldung (Frühwarnung)	24 Stunden	Verdacht auf rechtswidrige oder böswillige Handlungen, mögliche grenzüberschreitende Auswirkungen
Meldung	72 Stunden	Erste Bewertung inkl. Schweregrad und Auswirkungen, ggf. Kompromittierungsindikatoren (IoC)
Abschlussmeldung	1 Monat nach der Meldung	Ausführliche Beschreibung, Art der Bedrohung bzw. Ursache, Abhilfemaßnahmen, ggf. grenzüberschreitende Auswirkungen

Gemeldet wird an die gemeinsame Meldestelle von BSI und BBK, in der Regel über das BSI-Portal. Die 24- und 72-Stunden-Fristen laufen ab Kenntniserlangung – nicht erst ab Abschluss der internen Analyse.

5. Persönliche Haftung der Geschäftsführung

Für viele Unternehmen die spürbarste Neuerung: Nach Artikel 20 NIS2 müssen Leitungsorgane die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und an Schulungen teilnehmen. Nach § 38 BSIG haften Geschäftsleitungen, die diese Pflichten verletzen, ihrer Einrichtung für schuldhaft verursachte Schäden nach Gesellschaftsrecht. NIS1 enthielt keine vergleichbaren Vorgaben für die Leitungsebene.

Die Konsequenz: Cybersicherheit ist keine reine IT-Angelegenheit mehr, sondern Chefsache.

NIS1 vs. NIS2 im direkten Vergleich

Kriterium	NIS1 (2016)	NIS2 (2022)
Betroffene Unternehmen (DE)	865 registrierte KRITIS-Betreiber (Ende 2023)	Schätzung rund 29.850; 20.141 Registrierungen (30.09.2026)
Sektoren	7 + 3 Arten digitaler Dienste	18 (11 mit hoher Kritikalität + 7 sonstige kritische)
Betroffenheit	Mitgliedstaaten ermitteln OES; DE: Schwellenwerte der BSI-Kritisverordnung	Selbstprüfung nach Sektor und Größe (§ 28 BSIG)
Sicherheitspflichten	„Geeignete“ Maßnahmen; DE: Stand der Technik, Nachweis alle 2 Jahre	10 Mindestmaßnahmen (Art. 21 Abs. 2, § 30 BSIG)
Meldepflicht	„Unverzüglich“	24 h / 72 h / 1 Monat
Managerhaftung	Keine EU-Vorgabe	Billigung, Überwachung, Schulung (Art. 20); Haftung nach § 38 BSIG
Bußgelder (Höchstrahmen)	National; DE 2017 bis 100.000 €, ab 2021 bis 2 Mio. € (Unternehmen über § 30 OWiG bis 20 Mio. €)	Bis zu 10 Mio. € bzw. 7 Mio. €; bei über 500 Mio. € Umsatz bis zu 2 % bzw. 1,4 %
Lieferkettensicherheit	Keine explizite Pflicht	Pflicht gemäß Art. 21 Abs. 2 Buchst. d
Registrierungspflicht	EU: keine; DE: KRITIS-Betreiber beim BSI (§ 8b Abs. 3 BSIG a. F.)	Ja – BSI-Portal (§ 33 BSIG)

Warum dieser Wandel unausweichlich war

NIS1 scheiterte nicht an der Idee, sondern an der uneinheitlichen Umsetzung. Zugleich verschärfte sich die Bedrohungslage: WannaCry traf im Mai 2017 unter anderem über 60 Krankenhäuser in Großbritannien, NotPetya im Juni 2017 Unternehmensnetze weltweit. Der Ende 2020 bekannt gewordene SolarWinds-Angriff zeigte, wie verwundbar Lieferketten sind.

NIS2 antwortet darauf mit einem einheitlicheren Rahmen: gemeinsame Begriffe, harmonisierte Mindestmaßnahmen, feste Meldefristen und vergleichbare Aufsichtsbefugnisse.

Fazit

Der Unterschied zwischen NIS1 und NIS2 ist nicht graduell – er ist strukturell. NIS1 ließ den Mitgliedstaaten viel Spielraum. NIS2 schließt diese Lücken: deutlich mehr erfasste Unternehmen, ein fester Katalog an Mindestmaßnahmen, verbindliche Meldefristen, Bußgeldrahmen bis zu 10 Mio. € oder umsatzbezogen – und auf EU-Ebene erstmals ausdrückliche Pflichten der Unternehmensleitung. Wer noch auf dem Niveau von NIS1 denkt, ist nicht auf NIS2-Niveau.

Häufige Fragen

Galt NIS1 auch für mein Unternehmen?
Nur wenn das Unternehmen einen wesentlichen Dienst in einem der sieben NIS1-Sektoren erbrachte – in Deutschland: als KRITIS-Betreiber oberhalb der Schwellenwerte der BSI-Kritisverordnung – oder einen Online-Marktplatz, eine Suchmaschine oder einen Cloud-Dienst anbot; Kleinst- und Kleinunternehmen waren von den DSP-Pflichten ausgenommen. Die meisten mittelständischen Unternehmen waren nicht erfasst.

Wann wurde NIS2 in Deutschland umgesetzt?
Das Gesetz zur Umsetzung der NIS-2-Richtlinie (häufig NIS2UmsuCG genannt) vom 2. Dezember 2025 (BGBl. 2025 I Nr. 301) trat am 6. Dezember 2025 in Kraft und hat das BSIG neu gefasst – über ein Jahr nach der EU-Umsetzungsfrist (17. Oktober 2024). Eine Übergangsfrist für die Pflichten gibt es nicht; die Registrierungsfrist endete am 6. März 2026.

Muss ich mich beim BSI registrieren, auch wenn ich schon unter NIS1 gemeldet war?
Die Registrierung nach § 33 BSIG ist eine eigenständige Pflicht besonders wichtiger und wichtiger Einrichtungen; eine Ausnahme für bereits registrierte KRITIS-Betreiber sieht der Wortlaut nicht vor (Betreiber kritischer Anlagen gelten nach § 28 Abs. 1 BSIG als besonders wichtige Einrichtungen). Sie erfolgt über das BSI-Portal; Änderungen sind spätestens binnen zwei Wochen nachzumelden (§ 33 Abs. 5 BSIG).

Was passiert, wenn ein Unternehmen die NIS2-Anforderungen ignoriert?
Je nach Verstoß drohen Bußgelder bis zu 10 Mio. € (besonders wichtige) bzw. 7 Mio. € (wichtige Einrichtungen), bei über 500 Mio. € weltweitem Gesamtumsatz bis zu 2 % bzw. 1,4 % (§ 65 BSIG). Daneben kann das BSI Anordnungen treffen; bei besonders wichtigen Einrichtungen, die diese trotz Fristsetzung missachten, kann die Aufsichtsbehörde als letztes Mittel Genehmigungen vorübergehend aussetzen und unzuverlässigen Geschäftsleitungen die Tätigkeit vorübergehend untersagen (§ 61 Abs. 9 BSIG). Geschäftsleitungen haften ihrer Einrichtung bei schuldhafter Pflichtverletzung nach § 38 BSIG.

Quellen

1. Europäisches Parlament und Rat. Richtlinie (EU) 2022/2555 (NIS2). EUR-Lex, Dezember 2022.
2. Europäisches Parlament und Rat. Richtlinie (EU) 2016/1148 (NIS1). EUR-Lex, Juli 2016.
3. Bundesministerium der Justiz. Gesetz über das BSI und über die Sicherheit in der Informationstechnik von Einrichtungen (BSIG). Gesetze im Internet, 2025.
4. BSI-Gesetz in der Fassung nach dem NIS-1-Umsetzungsgesetz vom 23. Juni 2017 (BGBl. I S. 1885), §§ 8a–8d, 14 BSIG a. F. Juris-Ausdruck, 2017.
5. BSI-Gesetz a. F. in der Fassung des IT-Sicherheitsgesetzes 2.0 (2021), § 14 Bußgeldvorschriften (außer Kraft). LexMea, 2024.
6. Bundesamt für Sicherheit in der Informationstechnik (BSI). KRITIS in Zahlen. BSI.bund.de, 2026.
7. Bundesamt für Sicherheit in der Informationstechnik (BSI). IFG-Bescheid zu KRITIS-Kennzahlen 2023 (24.05.2024). FragDenStaat, 2024.
8. Bundesamt für Sicherheit in der Informationstechnik (BSI). NIS-2 in Zahlen. BSI.bund.de, 2026.
9. Deutscher Bundestag. Gesetzentwurf der Bundesregierung zur Umsetzung der NIS-2-Richtlinie, Drucksache 21/1501. Bundestag.de, 2025.
10. Europäische Kommission. NIS2-Richtlinie: Sicherung von Netz- und Informationssystemen. Digital-strategy.ec.europa.eu.