Die NIS2-Richtlinie (Network and Information Security Directive 2) ist eine EU-weite Gesetzgebung zur Stärkung der Cybersicherheit. Sie ist am 16. Januar 2023 in Kraft getreten, ersetzt die ursprüngliche NIS-Richtlinie von 2016 und erweitert deren Geltungsbereich erheblich. Als EU-Richtlinie gilt sie nicht direkt für Unternehmen, sondern wird von jedem Mitgliedstaat in nationales Recht überführt — in Deutschland durch das NIS2-Umsetzungsgesetz (NIS2UmsuCG), das am 6. Dezember 2025 in Kraft getreten ist.
Was regelt die NIS2-Richtlinie?
Die Richtlinie verpflichtet betroffene Unternehmen zu vier Kernpflichten:
- Risikomanagement: verhältnismäßige technische und organisatorische Maßnahmen in 10 Bereichen, u. a. Risikoanalyse, Incident Management, Business Continuity, Lieferkettensicherheit, Kryptografie, Schulungen und Multi-Faktor-Authentifizierung
- Meldepflichten: erhebliche Sicherheitsvorfälle müssen gemeldet werden — Frühwarnung in 24 Stunden, ausführliche Meldung in 72 Stunden, Abschlussbericht nach 1 Monat
- Registrierung bei der nationalen Aufsichtsbehörde — in Deutschland das BSI
- Geschäftsleiterpflichten: Die Geschäftsleitung muss die Umsetzung überwachen, an Schulungen teilnehmen und haftet persönlich
Für wen gilt die NIS2-Richtlinie?
Betroffen sind Unternehmen aus 18 Sektoren — von Energie über Gesundheit bis zum verarbeitenden Gewerbe. Es gibt zwei Kategorien:
| Kategorie | Schwellenwert | Maximales Bußgeld |
|---|---|---|
| Besonders wichtige Einrichtungen | ab 250 Mitarbeiter oder 50 Mio. Euro Umsatz | 10 Mio. Euro oder 2 % des Jahresumsatzes |
| Wichtige Einrichtungen | ab 50 Mitarbeiter oder 10 Mio. Euro Umsatz | 7 Mio. Euro oder 1,4 % des Jahresumsatzes |
Einige Bereiche sind unabhängig von der Größe betroffen, z. B. DNS-Dienste, TLD-Registrierungen und qualifizierte Vertrauensdiensteanbieter.
Wichtige Daten im Überblick
| Meilenstein | Datum |
|---|---|
| NIS2-Richtlinie in Kraft | 16. Januar 2023 |
| Umsetzungsfrist für EU-Mitgliedstaaten | 17. Oktober 2024 |
| NIS2UmsuCG in Deutschland in Kraft | 6. Dezember 2025 |
| Frist für die BSI-Registrierung | März 2026 |
Was sollten Sie jetzt tun?
Klären Sie zuerst, ob Ihr Unternehmen betroffen ist und in welche Kategorie es fällt. Der kostenlose Betroffenheitscheck liefert in wenigen Minuten eine erste Einschätzung. Einen ausführlichen Einstieg bietet der Leitfaden NIS2-Richtlinie: Was Unternehmen umsetzen müssen