NIS2-Richtlinie: Anforderungen, Fristen und Umsetzung in Deutschland

NIS2 (Richtlinie EU 2022/2555) ist die überarbeitete EU-Richtlinie zur Netz- und Informationssicherheit. Sie erfasst in Deutschland rund 29.500 Unternehmen in 18 Sektoren, verpflichtet sie zu Risikomanagement nach Art. 21, einer dreistufigen Meldekaskade (24/72/720 Stunden) und zur Registrierung beim BSI. Das nationale Umsetzungsgesetz NIS2UmsuCG ist seit dem 18. Oktober 2024 in Kraft.

---

Von NIS zu NIS2: Was sich geändert hat

Die erste NIS-Richtlinie (EU 2016/1148) war ein erster Schritt, kam aber mit erheblichen Schwächen: fragmentierte nationale Umsetzung, enge Sektordefinitionen, kaum harmonisierte Anforderungen. Die Anzahl der erfassten deutschen Unternehmen lag bei rund 2.000.

NIS2 dreht an allen Stellschrauben gleichzeitig.

NIS1 zu NIS2: Die wichtigsten Unterschiede

Die Reichweite wurde radikal ausgeweitet. In Deutschland unterliegen nun schätzungsweise 29.500 Einrichtungen der Pflicht — gegenüber rund 2.000 unter NIS1. Möglich wurde das durch zwei Mechanismen: Die Sektoren wurden von 7 auf 18 erweitert, und eine einheitliche Größenschwelle (ab 50 Mitarbeiter oder 10 Mio. € Umsatz) ersetzt die frühere fallweise Bestimmung.

Neben der Ausweitung des Anwendungsbereichs bringt NIS2 auch inhaltlich wesentliche Neuerungen:

• Harmonisierung: Die Anforderungen sind EU-weit stärker vereinheitlicht. Mitgliedstaaten haben weniger Spielraum bei der Ausgestaltung der technischen und organisatorischen Maßnahmen.
• Meldepflichten: Die dreistufige Meldekaskade (24/72/30 Stunden) gilt einheitlich, nicht mehr nach nationalem Ermessen.
• Lieferkette: Erstmals enthält die Richtlinie explizite Anforderungen an das Sicherheitsmanagement in der Lieferkette (Art. 21 Abs. 2 lit. d).
• Leitungsverantwortung: Art. 20 NIS2 schreibt die Verantwortung der Unternehmensleitung verbindlich fest — ein Novum gegenüber NIS1.
• Sanktionen: Die Bußgeldrahmen wurden deutlich angehoben und sind nun vergleichbar mit der DSGVO-Systematik (prozentualer Umsatzanteil).

Das NIS2-Umsetzungsgesetz für Deutschland — NIS2UmsuCG (BSIG-E) — trat am 18. Oktober 2024 in Kraft. Es ändert das BSI-Gesetz grundlegend und überführt die Richtlinie in nationales Recht. Die zuständige Behörde in Deutschland ist das Bundesamt für Sicherheit in der Informationstechnik (BSI).

Neu ist auch die Systematik der Einrichtungstypen: NIS2 unterscheidet strikt zwischen wesentlichen Einrichtungen (Essential Entities) und wichtigen Einrichtungen (Important Entities) — mit unterschiedlichen Aufsichts- und Sanktionsregimen.

---

Betroffenheitsprüfung: Bin ich wesentliche oder wichtige Einrichtung?

Die Betroffenheitsprüfung ist der erste verpflichtende Schritt. Sie besteht aus zwei unabhängigen Teilen: Sektorzugehörigkeit und Größe.

Sektoren und Größenschwellen

Kategorie	Anhang	Sektoren (Auswahl)	Größenschwelle
Wesentliche Einrichtung	Anhang I	Energie (Strom, Gas, Fernwärme, Öl, Wasserstoff), Verkehr (Luft, Schiene, Wasser, Straße), Bankwesen, Finanzmarktinfrastruktur, Gesundheit, Trinkwasser, Abwasser, Digitale Infrastruktur (IXPs, DNS, TLD, Rechenzentren, Cloud), ICT-Dienste, Raumfahrt, öffentliche Verwaltung	≥ 250 Mitarbeiter oder ≥ 50 Mio. € Umsatz (mittleres Unternehmen)
Wesentliche Einrichtung (Klein)	Anhang I	Wie oben, wenn sektorspezifisch kritisch	Keine Größenschwelle (sektorspezifisch festgelegt)
Wichtige Einrichtung	Anhang II	Post und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel, Verarbeitendes Gewerbe (Medizinprodukte, Elektronik, Maschinenbau, Kfz, sonstige Fahrzeuge), digitale Anbieter (Marktplätze, Suchmaschinen, soziale Netzwerke), Forschung	≥ 50 Mitarbeiter oder ≥ 10 Mio. € Umsatz

Hinweis zur Sektordefinition: Die genaue Zuordnung richtet sich nach den Begriffsbestimmungen in Anhang I bzw. Anhang II der Richtlinie sowie den nationalen Konkretisierungen im NIS2UmsuCG. Im Zweifelsfall ist die Einordnung beim BSI zu klären.

Die sektorübergreifende Größenregel (Art. 2 NIS2)

Art. 2 Abs. 1 NIS2 legt fest: Einrichtungen in Anhang-I- oder Anhang-II-Sektoren unterliegen der Richtlinie, wenn sie die Größenschwelle der KMU-Definition der EU (Empfehlung 2003/361/EG) überschreiten — also mindestens 50 Mitarbeiter beschäftigen oder einen Jahresumsatz oder eine Jahresbilanzsumme von mindestens 10 Mio. € aufweisen.

Unabhängig von der Größe fallen bestimmte Einrichtungen automatisch unter NIS2: Anbieter öffentlicher elektronischer Kommunikationsnetze, qualifizierte Vertrauensdiensteanbieter, TLD-Registries und DNS-Resolver. Außerdem können Mitgliedstaaten weitere Einrichtungen bestimmen — Deutschland hat dies für KRITIS-Betreiber genutzt.

---

Die zehn Maßnahmen nach Art. 21 NIS2

Art. 21 NIS2 ist das Herzstück der technischen und organisatorischen Anforderungen. Er listet zehn Maßnahmenbereiche auf, die betroffene Einrichtungen umsetzen müssen — verhältnismäßig und dem Risiko angepasst.

Nr.	Maßnahmenbereich (Art. 21 Abs. 2)	Praxisinhalt
1	Risikoanalyse und Sicherheitskonzepte (lit. a)	Dokumentiertes Informationssicherheits-Managementsystem (ISMS); Anlehnung an BSI IT-Grundschutz oder ISO 27001
2	Bewältigung von Sicherheitsvorfällen (lit. b)	Incident-Response-Plan, definierte Eskalationswege, Meldeprozesse an BSI
3	Business Continuity, Backup, Wiederherstellung, Krisenmanagement (lit. c)	BCMS nach BSI-Standard 200-4; getestete Recovery-Prozesse, Notfallpläne
4	Sicherheit der Lieferkette (lit. d)	Risikobeurteilung von Lieferanten und Dienstleistern; vertragliche Sicherheitsanforderungen
5	Sicherheit bei Erwerb, Entwicklung und Wartung (lit. e)	Secure SDLC, Patch-Management, Schwachstellenmanagement
6	Wirksamkeitsmessung von Maßnahmen (lit. f)	Metriken, Audits, Penetrationstests; keine Selbsteinschätzung als alleinige Grundlage
7	Schulung, Cyber-Hygiene (lit. g)	Regelmäßige Awareness-Trainings für alle Mitarbeiter; spezifische Schulung für Leitungsebene (Art. 20 Abs. 2)
8	Kryptographie und Verschlüsselung (lit. h)	Einheitliche Kryptographierichtlinie; Umsetzung aktueller BSI-Kryptoempfehlungen (TR-02102)
9	Personalsicherheit, Zugangssteuerung, Asset-Management (lit. i)	Rollen- und Rechtekonzept, Need-to-know-Prinzip, Hintergrundprüfungen wo zulässig
10	Multi-Faktor-Authentifizierung (MFA) und gesicherte Kommunikation (lit. j)	MFA für alle privilegierten Zugänge; Ende-zu-Ende-verschlüsselte Kommunikation für kritische Systeme

BSI IT-Grundschutz als Referenz: Das BSI empfiehlt für die Umsetzung von Art. 21 ausdrücklich die IT-Grundschutz-Methodik (BSI-Standard 200-1 bis 200-4). Einrichtungen, die bereits nach IT-Grundschutz oder ISO 27001 zertifiziert sind, haben eine deutlich bessere Ausgangslage — müssen jedoch die spezifischen NIS2-Anforderungen (insbesondere Lieferkette und MFA) separat prüfen.

Die harmonisierten europäischen Standards, die ENISA und CEN/CENELEC für Art. 21 erarbeiten, sind zum Stand 2025/2026 noch nicht final verabschiedet. Einrichtungen sollten bestehende BSI-Vorgaben bis zur Veröffentlichung als Referenzrahmen nutzen.

Verhältnismäßigkeit der Maßnahmen

Art. 21 Abs. 1 NIS2 verlangt Maßnahmen, die "dem Stand der Technik entsprechen" und "verhältnismäßig" zum Risiko sind. Das bedeutet: Eine Einrichtung mit 60 Mitarbeitern in der Abfallwirtschaft muss nicht dasselbe ISMS aufbauen wie ein Betreiber kritischer Energie-Infrastruktur. Entscheidend ist die dokumentierte Risikoanalyse — sie begründet, welche Maßnahmen gewählt und welche als nicht erforderlich bewertet wurden.

Das BSI empfiehlt als Einstieg den IT-Grundschutz-Profil für Mittelstand, der die Basisanforderungen des IT-Grundschutzkompendiums auf eine für mittlere Einrichtungen handhabbare Tiefe reduziert. Für wesentliche Einrichtungen in kritischen Sektoren gilt in der Regel der vollständige IT-Grundschutz (BSI-Standard 200-2) als Referenz.

---

Meldekaskade: 24/72/30-Stunden-Fristen

Art. 23 NIS2 regelt die Meldepflichten bei erheblichen Sicherheitsvorfällen. Ein Vorfall gilt als erheblich, wenn er erhebliche Betriebsunterbrechungen oder finanzielle Verluste verursacht oder andere Einrichtungen erheblich beeinträchtigt hat oder beeinträchtigen kann.

Dreistufige Meldekaskade

Stufe 1 — Frühwarnung (24 Stunden) Innerhalb von 24 Stunden nach Kenntnisnahme ist eine erste Frühwarnung an das BSI zu übermitteln. Sie muss mindestens angeben: ob der Vorfall vermutlich auf illegale Handlungen zurückzuführen ist und ob er grenzüberschreitende Auswirkungen haben könnte. Inhaltliche Vollständigkeit ist zu diesem Zeitpunkt nicht gefordert — die Frist gilt.

Stufe 2 — Erste Bewertung (72 Stunden) Innerhalb von 72 Stunden nach Kenntnisnahme folgt die eigentliche Meldung mit erster Lageeinschätzung: Art des Vorfalls, vorläufige Ursacheneinschätzung, ergriffene Gegenmaßnahmen und grenzüberschreitende Auswirkungen (Art. 23 Abs. 4 lit. b NIS2).

Stufe 3 — Abschlussbericht (30 Tage / 1 Monat) Einen Monat nach der Erstmeldung ist ein Abschlussbericht zu erstatten. Er enthält: detaillierte Beschreibung des Vorfalls, Art der Bedrohung, Ursachenanalyse, umgesetzte und geplante Abhilfemaßnahmen sowie grenzüberschreitende Auswirkungen. Bei anhaltenden Vorfällen kann ein Fortschrittsbericht an die Stelle des Abschlussberichts treten.

Für wichtige Einrichtungen gilt nur eine vereinfachte Meldepflicht. Das BSI kann im Einzelfall Zwischenberichte anfordern.

Die Meldung erfolgt ausschließlich über das BSI-Portal MEROS (Melde- und Registrierungsportal für Sicherheitsvorfälle).

Wann beginnt die 24-Stunden-Frist?

Die Frist beginnt mit dem Zeitpunkt der Kenntnisnahme — nicht mit der Entdeckung durch externe Stellen oder dem Zeitpunkt des eigentlichen Vorfalls. Das ist ein wichtiger Unterschied: Wenn ein Ransomware-Angriff am Montag beginnt, die eigene Sicherheitsstelle aber erst am Dienstag Kenntnis erlangt, beginnt die 24-Stunden-Frist am Dienstag.

Praktische Konsequenz: Viele Einrichtungen etablieren eine interne Eskalationsregel, die festlegt, wer Meldungen entgegennimmt, bewertet und die Fristenkette auslöst. Ohne klare Verantwortlichkeiten entsteht Grauzone darüber, ab wann offiziell "Kenntnis" besteht.

Erheblichkeit eines Vorfalls — Abgrenzung

Art. 23 Abs. 3 NIS2 definiert Erheblichkeit anhand von Schwellenwerten, die die Europäische Kommission durch Durchführungsrechtsakte präzisieren kann. Bis zur vollständigen Harmonisierung gelten die nationalen Konkretisierungen des BSI. Einrichtungen sollten einen internen Bewertungsprozess (Triage-Matrix) vorhalten, der bei jedem Sicherheitsereignis innerhalb der ersten Stunden eine Einschätzung zur Meldepflicht liefert.

---

Registrierungspflicht beim BSI

Art. 3 Abs. 3 NIS2 sowie das NIS2UmsuCG verpflichten alle betroffenen Einrichtungen zur Registrierung beim BSI. Die Registrierung erfolgt über das Portal MEROS (meros.bsi.bund.de).

Folgende Angaben sind bei der Registrierung zu machen:

• Name der Einrichtung und Rechtsform
• Kontaktdaten (einschließlich dedizierter Kontaktstelle für Sicherheitsvorfälle)
• Zugehöriger Sektor und Teilsektor gemäß Anhang I/II
• Größenklasse (mittel, groß)
• Relevante IP-Adressbereiche und Domänen (soweit zutreffend)

Die Registrierungspflicht besteht seit dem 18. Oktober 2024. Das BSI hat eine Übergangsfrist kommuniziert, innerhalb derer keine Bußgelder für verspätete Registrierung erhoben wurden — diese Frist sollte als abgelaufen betrachtet werden. Einrichtungen, die sich noch nicht registriert haben, sollten dies unverzüglich nachholen.

Änderungen der Registrierungsdaten (z. B. bei Unternehmensumstrukturierungen, Änderungen der Kontaktstelle) sind dem BSI ohne schuldhaftes Zögern mitzuteilen.

---

Geschäftsleiterhaftung nach Art. 20 NIS2

Art. 20 NIS2 ist ein Paradigmenwechsel. Er stellt Cybersicherheit explizit auf die Agenda der Unternehmensleitung und schafft eine persönliche Verantwortlichkeit.

Art. 20 Abs. 1 NIS2 verlangt, dass Leitungsorgane die von der Einrichtung ergriffenen Risikomanagementmaßnahmen (Art. 21) billigen und deren Umsetzung überwachen. Das ist keine Formalie — bei Verstößen können Leitungsorgane persönlich haftbar gemacht werden.

Art. 20 Abs. 2 NIS2 verpflichtet Mitglieder des Leitungsorgans, regelmäßig an Schulungen zu Informationssicherheitsrisiken teilzunehmen. Diese Schulungen müssen ausreichend sein, um Risiken beurteilen und die Auswirkungen auf die erbrachten Dienste erkennen zu können. Gleiches gilt für Mitarbeiter.

Das NIS2UmsuCG überträgt diese Anforderungen ins deutsche Recht. Für Geschäftsführer einer GmbH bedeutet das: Cybersicherheit ist eine Leitungsaufgabe — vergleichbar mit Compliance und Datenschutz. Beschlüsse zur Ressourcenallokation für Sicherheitsmaßnahmen sollten dokumentiert werden.

Haftungssicherung in der Praxis

Um der Haftung nach Art. 20 standzuhalten, empfiehlt sich eine strukturierte Dokumentation auf Leitungsebene:

1. Jährliche Sicherheitsberichte an Geschäftsführung/Vorstand mit Risikobewertung
2. Protokollierte Beschlüsse zu Sicherheitsinvestitionen und Ressourcenzuteilung
3. Schulungsnachweise für alle Mitglieder des Leitungsorgans (Art. 20 Abs. 2)
4. Formale Billigung der ISMS-Leitlinie und des Risikobehandlungsplans

Unternehmen, die bereits eine ISO-27001-Zertifizierung betreiben, haben für Punkt 1 bis 4 oft eine gute Basis — die Management Review Meetings nach ISO 27001 Kl. 9.3 decken viele der geforderten Nachweise ab, müssen aber explizit auf NIS2-Anforderungen ausgerichtet werden.

---

Bußgeldrahmen

Die Sanktionsregelungen unterscheiden sich je nach Einrichtungstyp erheblich.

Wesentliche Einrichtungen (Anhang I): Der Bußgeldrahmen beträgt bis zu 10 Millionen Euro oder 2 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres — je nachdem, welcher Betrag höher ist.

Wichtige Einrichtungen (Anhang II): Der Bußgeldrahmen beträgt bis zu 7 Millionen Euro oder 1,4 % des gesamten weltweiten Jahresumsatzes — wiederum der jeweils höhere Wert.

Das BSI kann daneben auch folgende Maßnahmen ergreifen:

• Anordnung von Sicherheitsprüfungen
• Aussprechen von Anweisungen zur Beseitigung von Mängeln
• Bei wesentlichen Einrichtungen: vorübergehendes Berufsverbot für Leitungsorgane bei schwerwiegenden Verstößen

Die Bußgeldtatbestände umfassen insbesondere: Verstöße gegen die Maßnahmenpflicht (Art. 21), Verletzung der Meldepflicht (Art. 23) und Nichterfüllung der Registrierungspflicht.

Aufsichtsregime im Vergleich

Der Unterschied zwischen wesentlichen und wichtigen Einrichtungen ist nicht nur eine Frage der Bußgeldhöhe — das gesamte Aufsichtsregime ist verschieden:

• Wesentliche Einrichtungen unterliegen einer Ex-ante-Aufsicht: Das BSI kann regelmäßige Prüfungen anordnen, ohne dass ein konkreter Anlass besteht. Einrichtungen müssen nachweisen, dass sie compliant sind — die Beweislast liegt bei ihnen.
• Wichtige Einrichtungen unterliegen einer Ex-post-Aufsicht: Das BSI wird erst tätig, wenn es Hinweise auf Verstöße gibt (Vorfallmeldung, Beschwerde, Hinweis Dritter). Die Einrichtung muss nicht proaktiv nachweisen.

Für mittlere Unternehmen, die gerade erst die Größenschwelle überschreiten und in Anhang-II-Sektoren tätig sind, ist diese Unterscheidung praktisch relevant: Der unmittelbare Prüfdruck durch das BSI ist geringer, die materiellen Anforderungen (Art. 21) gelten aber in gleicher Weise.

---

Häufige Fehler und was das BSI tatsächlich prüft

Typische Fehler bei der Umsetzung

Fehleinschätzung der eigenen Betroffenheit: Viele Unternehmen prüfen nur den Sektor, nicht die Größenschwellen — oder umgekehrt. Beide Kriterien müssen erfüllt sein. Gleichzeitig übersehen manche Unternehmen, dass sie als Dienstleister für wesentliche Einrichtungen mittelbar betroffen sind (Art. 21 Abs. 2 lit. d: Lieferkettensicherheit).

Lückenhaftes Lieferkettenmanagement: Art. 21 Abs. 2 lit. d ist in der Praxis am schwierigsten umzusetzen. Eine reine Auflistung von Lieferanten genügt nicht — es braucht eine Risikobeurteilung der Abhängigkeiten und vertragliche Sicherheitsanforderungen. Das BSI prüft dies gezielt.

Meldeprozesse ohne Probe: Viele Einrichtungen haben Meldeprozesse auf dem Papier, aber kein durchgeführtes Incident-Response-Drill. Das BSI kann bei Vorfällen die tatsächliche Reaktionsfähigkeit feststellen.

MFA nur für privilegierte Konten: Art. 21 Abs. 2 lit. j verlangt MFA nicht nur für Administratoren, sondern für alle sicherheitsrelevanten Zugänge. Fernzugänge ohne MFA sind ein häufiger Befund bei BSI-Prüfungen.

Fehlende Dokumentation der Leitungsebene: Art. 20 erfordert belegbare Billigung und Überwachung durch die Geschäftsleitung. Protokolle zu Sicherheitsthemen in Geschäftsführungssitzungen sind kein optionales Nice-to-have.

Was das BSI bei wesentlichen Einrichtungen prüft

Das BSI führt bei wesentlichen Einrichtungen proaktive Sicherheitsprüfungen durch. Diese können umfassen:

• Dokumentenprüfung (ISMS-Dokumentation, Risikobeurteilungen, Protokolle)
• Technische Überprüfungen (Vulnerability Scans, Penetrationstests)
• Befragung von Verantwortlichen

Bei wichtigen Einrichtungen prüft das BSI reaktiv — also anlassbezogen, beispielsweise nach einem gemeldeten Vorfall oder einer Beschwerde.

---

Weiterführende Ressourcen

Für eine vertiefte Auseinandersetzung mit einzelnen Aspekten der NIS2-Umsetzung:

• NIS2-Hub — Übersicht aller NIS2-Artikel und Ressourcen
• NIS2-Anforderungen im Detail — Technische Umsetzung der Art.-21-Maßnahmen
• NIS2-Checkliste — Praktische Betroffenheitsprüfung und Umsetzungsschritte

Offizielle Quellen:

• BSI: bsi.bund.de/NIS2
• MEROS-Portal: meros.bsi.bund.de
• Richtlinientext: EUR-Lex, Richtlinie (EU) 2022/2555
• BSI-Standard 200-1 bis 200-4 (IT-Grundschutz)
• BSI TR-02102 (Kryptographische Verfahren)