NIS2-Glossar

Besonders wichtige Einrichtungen sind die höchste NIS2-Kategorie: Unternehmen ab 250 Mitarbeitern oder 50 Mio. Euro Umsatz in Sektoren wie Energie, Verkehr, Gesundheit oder digitaler Infrastruktur. Bei Verstößen drohen Bußgelder bis 10 Mio. Euro oder 2 % des Jahresumsatzes.

Die Betroffenheitsprüfung klärt, ob ein Unternehmen unter die NIS2-Richtlinie fällt. Maßgeblich sind Sektor und Größe: In einem der 18 NIS2-Sektoren ist ein Unternehmen ab 50 Mitarbeitern oder 10 Mio. Euro Umsatz in der Regel betroffen.

Das BSI (Bundesamt für Sicherheit in der Informationstechnik) ist die zentrale Cybersicherheitsbehörde Deutschlands und die Aufsichtsbehörde für NIS2. Betroffene Unternehmen müssen sich beim BSI registrieren und erhebliche Sicherheitsvorfälle dort melden.

Die BSI-Registrierung verpflichtet alle von NIS2 betroffenen Unternehmen, sich nach § 33 BSIG beim Bundesamt für Sicherheit in der Informationstechnik zu registrieren — innerhalb von 3 Monaten nach Inkrafttreten des NIS2UmsuCG, also bis März 2026.

Eine Gap-Analyse vergleicht den aktuellen Stand der Cybersicherheit eines Unternehmens mit den Anforderungen der NIS2-Richtlinie. Sie bewertet alle 10 Pflichtbereiche nach § 30 BSIG, deckt Lücken (Gaps) auf und liefert die Grundlage für einen priorisierten Maßnahmenplan.

Geschäftsführerhaftung bei NIS2 bedeutet: Die Geschäftsleitung muss die Umsetzung der Cybersicherheitsmaßnahmen nach § 30 BSIG persönlich überwachen (§ 38 BSIG). Diese Pflicht ist nicht delegierbar — bei Verstößen haften Geschäftsführer auch mit dem Privatvermögen.

Lieferkettensicherheit ist eine NIS2-Pflicht nach § 30 Abs. 2 Nr. 4 BSIG: Betroffene Unternehmen müssen die Cybersicherheit ihrer Lieferanten und Dienstleister bewerten, Sicherheitsanforderungen vertraglich festlegen und deren Einhaltung regelmäßig überprüfen.

NIS2-Bußgelder betragen bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes für besonders wichtige Einrichtungen und bis zu 7 Mio. Euro oder 1,4 % des Jahresumsatzes für wichtige Einrichtungen. Es gilt jeweils der höhere Betrag.

Die NIS2-Meldepflicht verpflichtet betroffene Unternehmen, erhebliche Sicherheitsvorfälle in drei Stufen an das BSI zu melden: Frühwarnung innerhalb von 24 Stunden, ausführliche Meldung innerhalb von 72 Stunden und Abschlussbericht innerhalb eines Monats (§ 32 BSIG).

Die NIS2-Richtlinie ist eine EU-Richtlinie zur Stärkung der Cybersicherheit, in Kraft seit dem 16. Januar 2023. Sie ersetzt die NIS-Richtlinie von 2016 und verpflichtet Unternehmen in 18 Sektoren ab 50 Mitarbeitern oder 10 Mio. Euro Umsatz zu Risikomanagement und Meldepflichten.

Die NIS2-Schulungspflicht verpflichtet die Geschäftsleitung betroffener Unternehmen nach § 38 BSIG, regelmäßig an Cybersicherheitsschulungen teilzunehmen. Zusätzlich gehören Cyberhygiene und Schulungen der Mitarbeiter zu den 10 Pflichtbereichen des Risikomanagements nach § 30 BSIG.

Die NIS2-Sektoren sind 18 Wirtschaftsbereiche, deren Unternehmen unter die NIS2-Regulierung fallen — darunter Energie, Verkehr, Gesundheit, Chemie, Lebensmittel und digitale Infrastruktur. Betroffen sind in der Regel Unternehmen ab 50 Mitarbeitern oder 10 Mio. Euro Umsatz.

Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) überführt die EU-Richtlinie NIS2 in deutsches Recht. Es ist am 6. Dezember 2025 in Kraft getreten und verpflichtet betroffene Unternehmen zu Risikomanagement, Meldepflichten, BSI-Registrierung und persönlicher Geschäftsleiterverantwortung.

Risikomanagementmaßnahmen nach § 30 BSIG sind das Herzstück der NIS2-Compliance: 10 verpflichtende Maßnahmenbereiche — von Risikoanalyse über Incident Management bis Multi-Faktor-Authentifizierung —, die betroffene Unternehmen verhältnismäßig umsetzen und nachweisen müssen.

Wichtige Einrichtungen sind die zweite NIS2-Kategorie: Unternehmen ab 50 Mitarbeitern oder 10 Mio. Euro Umsatz in Sektoren wie Chemie, Lebensmittel, verarbeitendem Gewerbe oder Post. Sie unterliegen denselben Pflichten; Bußgelder bis 7 Mio. Euro oder 1,4 % des Jahresumsatzes.