NIS2-Richtlinie in Deutschland: Umsetzungsleitfaden für Unternehmen

NIS2-Richtlinie in Deutschland: Umsetzungsleitfaden für IT-Sicherheitsverantwortliche

Die NIS2-Richtlinie hat die Cybersicherheitslandschaft in Europa grundlegend verändert. Für IT-Sicherheitsmanager in deutschen Unternehmen bedeutet sie konkrete Pflichten, neue Haftungsrisiken und vor allem: Handlungsbedarf. Dieser Leitfaden erklärt strukturiert, wen NIS2 betrifft, welche Maßnahmen gesetzlich vorgeschrieben sind und wie eine praxistaugliche Umsetzung gelingt.

---

Was ist NIS2 – und warum wurde sie eingeführt?

Die Network and Information Security Directive 2 (EU 2022/2555), kurz NIS2, ist die überarbeitete Fassung der ursprünglichen NIS1-Richtlinie aus dem Jahr 2016. Die erste Richtlinie legte zwar einen Grundstein für europaweite Mindeststandards in der Cybersicherheit, zeigte in der Praxis jedoch erhebliche Schwächen: uneinheitliche Umsetzung in den Mitgliedstaaten, zu geringe Reichweite und schwache Durchsetzungsmechanismen.

Die EU-Kommission reagierte auf die deutlich gestiegene Bedrohungslage — insbesondere durch staatlich gesponserte Angriffe, Ransomware-Wellen und Angriffe auf Lieferketten — mit einer grundlegenden Überarbeitung. NIS2 trat am 16. Januar 2023 in Kraft und musste bis zum 17. Oktober 2024 in nationales Recht umgesetzt werden.

Gegenüber NIS1 bringt NIS2 drei wesentliche Neuerungen: einen erheblich ausgeweiteten Anwendungsbereich auf 18 Sektoren, deutlich schärfere Anforderungen an technische und organisatorische Maßnahmen sowie empfindlichere Sanktionen inklusive persönlicher Geschäftsleiterhaftung.

---

Anwendungsbereich: Wer ist von NIS2 betroffen?

NIS2 unterscheidet zwischen zwei Kategorien von Einrichtungen, die unterschiedlichen Aufsichtsniveaus unterliegen.

Wesentliche Einrichtungen (Anhang I)

Diese unterliegen proaktiver Aufsicht durch das BSI. Dazu zählen Betreiber in Sektoren wie Energie, Transport, Bankwesen, Finanzmarktinfrastrukturen, Gesundheit, Trinkwasser, Abwasser, digitale Infrastruktur und öffentliche Verwaltung. Für wesentliche Einrichtungen gelten die höchsten Bußgeldrahmen.

Wichtige Einrichtungen (Anhang II)

Hier erfolgt die Aufsicht reaktiv, also anlassbezogen. Zu dieser Kategorie gehören unter anderem Post- und Kurierdienste, Abfallwirtschaft, Chemie, Lebensmittelproduktion und -verteilung, Herstellung bestimmter Produkte sowie Anbieter digitaler Dienste.

Größenschwellen

Die entscheidenden Schwellenwerte: Ein Unternehmen fällt in den Anwendungsbereich, wenn es mindestens 50 Mitarbeiter beschäftigt oder einen Jahresumsatz von mindestens 10 Millionen Euro erzielt und einem der definierten Sektoren zuzuordnen ist. Bestimmte Einrichtungen — etwa qualifizierte Vertrauensdiensteanbieter, TLD-Registrare und KRITIS-Betreiber — unterliegen NIS2 unabhängig von ihrer Größe.

---

Die 18 betroffenen Sektoren

NIS2 erfasst deutlich mehr Branchen als ihr Vorgänger. Neben den klassischen Sektoren wie Energie, Verkehr, Bankwesen, Gesundheit und digitale Infrastruktur wurden mit NIS2 folgende Bereiche neu aufgenommen:

• Abfallwirtschaft — Entsorgungsunternehmen und Recyclingbetriebe
• Lebensmittel — Hersteller, Verarbeiter und Händler ab entsprechender Größe
• Post- und Kurierdienste — Zustelldienstleister mit systemrelevanter Funktion
• Chemische Industrie — Hersteller und Händler gefährlicher Stoffe
• Verarbeitendes Gewerbe — u. a. Medizinprodukte, Elektronik, Maschinenbau
• Anbieter digitaler Dienste — Online-Marktplätze, Suchmaschinen, soziale Netzwerke
• Forschung — insbesondere Forschungseinrichtungen mit kritischer Relevanz

Diese Ausweitung bedeutet: Viele Unternehmen, die sich bislang nicht als Teil kritischer Infrastruktur betrachteten, fallen nun unter die Richtlinie.

---

Pflichten im Überblick: Was müssen betroffene Unternehmen tun?

Artikel 21 NIS2 definiert einen verbindlichen Katalog technischer und organisatorischer Maßnahmen. IT-Sicherheitsmanager sollten diese als Mindeststandard verstehen, nicht als Ziellinie.

Risikomanagement und Sicherheitskonzepte

Betroffene Einrichtungen müssen ein dokumentiertes Risikomanagementsystem etablieren, das regelmäßig bewertet und aktualisiert wird. Dazu gehört eine vollständige Risikoanalyse der eigenen IT-Infrastruktur, Geschäftsprozesse und Abhängigkeiten.

Incident Response

Prozesse zur Erkennung, Klassifizierung und Behandlung von Sicherheitsvorfällen müssen definiert und geübt sein. Das umfasst klare Eskalationswege, definierte Verantwortlichkeiten und technische Detektionsfähigkeiten (SIEM, EDR).

Business Continuity und Krisenmanagement

Notfallpläne, Backup-Strategien und Wiederherstellungsverfahren (Business Continuity Management) sind verpflichtend. Die Pläne müssen regelmäßig getestet werden.

Sicherheit der Lieferkette (Supply-Chain-Sicherheit)

Eines der praxisrelevantesten Themen: Unternehmen müssen die Cybersicherheitsrisiken ihrer Lieferanten und Dienstleister systematisch bewerten und vertraglich absichern. Das schließt Software-Lieferanten, Cloud-Anbieter und Managed Service Provider ein.

Kryptographie und Verschlüsselung

Der Einsatz aktueller kryptographischer Verfahren für Daten im Transit und im Ruhezustand ist explizit vorgeschrieben. Veraltete Protokolle (TLS 1.0/1.1, MD5, SHA-1) müssen abgelöst werden.

Multi-Faktor-Authentifizierung (MFA)

MFA ist für privilegierte Zugänge, Remote-Zugänge und sicherheitskritische Systeme gesetzlich vorgeschrieben. Einzel-Faktor-Zugänge zu administrativen Systemen erfüllen die NIS2-Anforderungen nicht mehr.

Schulung und Cyber-Hygiene

Führungskräfte und relevante Mitarbeiter müssen regelmäßig in Informationssicherheit geschult werden. Art. 20 NIS2 stellt klar: Leitungsorgane tragen persönliche Verantwortung und haften im Schadensfall.

---

Meldepflichten: Fristen und Verfahren

Bei erheblichen Sicherheitsvorfällen gilt eine dreistufige Meldekaskade gegenüber dem BSI:

Stufe	Frist	Inhalt
Frühwarnung	24 Stunden	Erste Meldung: Vorfall bestätigt, Art und erste Einschätzung
Bewertungsmeldung	72 Stunden	Detaillierte Informationen zu Ursache, Auswirkung, ergriffene Maßnahmen
Abschlussbericht	30 Tage	Vollständige Analyse, Lessons Learned, dauerhafte Abhilfemaßnahmen

Ein Sicherheitsvorfall gilt als erheblich, wenn er den Betrieb signifikant stört, finanzielle Verluste verursacht oder andere Einrichtungen beeinträchtigen kann. IT-Sicherheitsmanager sollten die Klassifizierungskriterien vorab definieren und in Incident-Response-Plänen verankern, um im Ernstfall keine wertvolle Zeit zu verlieren.

---

Umsetzung in deutsches Recht: Das NIS2UmsuCG

Deutschland hat NIS2 durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) in nationales Recht überführt, das am 18. Oktober 2024 in Kraft getreten ist. Das Gesetz ändert und ergänzt insbesondere das BSI-Gesetz (BSIG), das Energiewirtschaftsgesetz sowie weitere sektorspezifische Regelwerke.

Zentrale Regelungen des NIS2UmsuCG:

• Registrierungspflicht aller betroffenen Einrichtungen über das BSI-Portal MEROS (Melde- und Registrierungsportal)
• Proaktive Aufsicht für wesentliche Einrichtungen durch das BSI mit erweiterten Prüfbefugnissen
• Geschäftsleiterhaftung gemäß Art. 20 NIS2: persönliche Haftung von Geschäftsführern und Vorstandsmitgliedern bei Pflichtverstößen
• Erweiterte Befugnisse des BSI zur Anordnung von Maßnahmen, Durchführung von Audits und Verhängung von Sanktionen

Die BSI-Registrierung über MEROS ist keine Formalität: Das Portal dient als zentrales Meldeportal für Sicherheitsvorfälle und als Kommunikationskanal mit der Aufsichtsbehörde.

---

Bußgelder: Was droht bei Nichteinhaltung?

Der Bußgeldrahmen der NIS2 ist erheblich schärfer als unter NIS1 und orientiert sich an der DSGVO:

Wesentliche Einrichtungen riskieren Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes — je nachdem, welcher Betrag höher ist.

Wichtige Einrichtungen können mit Bußgeldern von bis zu 7 Millionen Euro oder 1,4 Prozent des weltweiten Jahresumsatzes belegt werden.

Zusätzlich zur institutionellen Haftung können Geschäftsführer und Vorstandsmitglieder persönlich in Regress genommen werden, wenn nachgewiesen wird, dass sie ihrer Aufsichtspflicht nicht nachgekommen sind. Für IT-Sicherheitsmanager bedeutet das: Sicherheitsthemen müssen auf Vorstandsebene dokumentiert, diskutiert und entschieden werden.

---

Praktische Umsetzungsschritte: Von der Pflicht zur Praxis

Schritt 1: Bestandsaufnahme

Klären Sie zunächst, ob Ihr Unternehmen überhaupt in den Anwendungsbereich fällt. Prüfen Sie: Sektorzugehörigkeit, Mitarbeiterzahl, Jahresumsatz, eventuelle Sonderregelungen (KRITIS, Vertrauensdienste). Viele Unternehmen unterschätzen ihre Betroffenheit — besonders im verarbeitenden Gewerbe und in der Lebensmittelbranche.

Schritt 2: GAP-Analyse

Vergleichen Sie den aktuellen Stand Ihrer Informationssicherheit mit den Anforderungen aus Art. 21 NIS2. Strukturieren Sie die Analyse entlang der zehn Maßnahmenbereiche: Risikomanagement, Incident Response, Business Continuity, Lieferkette, Beschaffung, Wirksamkeitsmessung, Schulung, Kryptographie, Personalsicherheit und MFA.

Schritt 3: Maßnahmenplan und Priorisierung

Leiten Sie aus der GAP-Analyse einen priorisierten Maßnahmenplan ab. Hochprioritäre Bereiche sind typischerweise: MFA-Einführung für privilegierte Zugänge, Dokumentation des Risikomanagements, Lieferantenbewertung und Aufbau eines Incident-Response-Prozesses mit definierten Meldeabläufen.

Schritt 4: Registrierung beim BSI

Registrieren Sie Ihre Einrichtung über das MEROS-Portal des BSI. Halten Sie Kontaktdaten, Sektorzuordnung und Ansprechpartner für Sicherheitsvorfälle bereit.

Schritt 5: Kontinuierliche Überwachung und Verbesserung

NIS2-Compliance ist kein einmaliges Projekt. Etablieren Sie einen kontinuierlichen Verbesserungsprozess mit regelmäßigen Risikoüberprüfungen, Penetrationstests und Schulungszyklen.

---

Zusammenhang mit dem KRITIS-Dachgesetz und ISO 27001

NIS2 existiert nicht isoliert. Für Betreiber kritischer Infrastrukturen in Deutschland gilt zusätzlich das KRITIS-Dachgesetz, das spezifischere Anforderungen an physische Sicherheit und Resilienz stellt und den Kreis der betroffenen Sektoren nochmals präzisiert. Die Anforderungen überschneiden sich erheblich, weshalb eine integrierte Umsetzung sinnvoll ist.

ISO 27001 ist zwar kein gesetzlich vorgeschriebener Standard, wird vom BSI jedoch als geeignetes Rahmenwerk anerkannt, um die NIS2-Anforderungen strukturiert zu erfüllen. Unternehmen, die bereits nach ISO 27001 zertifiziert sind, haben einen erheblichen Vorsprung: Risikomanagementsystem, Dokumentation und Auditierbarkeit sind bereits etabliert. Fehlende Elemente — insbesondere zu Lieferkettensicherheit und MFA — lassen sich als Erweiterungen des bestehenden ISMS implementieren.

Wer sich auch mit TISAX-Konformität befasst, findet in unserem TISAX-Leitfaden weiterführende Informationen zur automotive-spezifischen Informationssicherheit.

---

Fazit: NIS2 als Chance begreifen

Für IT-Sicherheitsmanager ist NIS2 vor allem eines: ein Argument. Die Richtlinie schafft rechtliche Verbindlichkeit für Maßnahmen, die fachlich längst überfällig waren. Geschäftsleiterhaftung, konkrete Bußgeldrahmen und Registrierungspflichten erzeugen den Druck, den es in vielen Organisationen brauchte, um Sicherheitsbudgets und -ressourcen zu rechtfertigen.

Wer NIS2-Compliance strukturiert angeht — mit Bestandsaufnahme, GAP-Analyse und priorisiertem Maßnahmenplan — stärkt gleichzeitig die gesamte Sicherheitsarchitektur des Unternehmens. Die Investition zahlt sich doppelt aus: als regulatorische Absicherung und als tatsächliche Reduktion des Cyberrisikos.