NIS-2-Richtlinie einfach erklärt: Warum Cybersicherheit jetzt Pflicht ist
Die NIS-2-Richtlinie ist der europäische Rahmen zur Stärkung der Cybersicherheit in Wirtschaft und Verwaltung. Sie definiert verbindliche Anforderungen an Risikomanagement, Meldeprozesse und Sicherheitsmaßnahmen. NIS-2 ersetzt die bisherige NIS-Richtlinie und wird in Deutschland über das NIS-2-Umsetzungsgesetz realisiert; dieses betrifft rund 30.000 Unternehmen und Institutionen der Bundesverwaltung.
Cybersicherheit wird durch NIS-2 zur strategischen und organisatorischen Kernaufgabe. Die Anforderungen an Governance, Kontrolle und technische Schutzmaßnahmen steigen deutlich. Die Bundesdruckerei-Gruppe unterstützt dabei mit Lösungen für sichere Identitäten, Zertifikate und digitale Signaturen.
NIS-2 im Überblick: Was die Richtlinie regelt – und was nicht
Die NIS-2-Richtlinie ist die Weiterentwicklung der bisherigen NIS-Richtlinie. Es ist eine EU-Richtlinie zur Cybersicherheit, die Mindeststandards für den Schutz von Netzwerken und Informationssystemen festlegt. NIS-2 richtet sich an Unternehmen und Einrichtungen, die für Wirtschaft, Gesellschaft, Versorgung oder digitale Infrastruktur besonders relevant sind. Darunter fallen beispielsweise Betreiber kritischer Infrastrukturen, die für die Grundversorgung der Bevölkerung wichtig sind (z. B. Energieversorgung, Krankenhausbetrieb) oder Anbieter essenzieller digitaler Dienste (z. B. Internet, Finanzservices).
Die Richtlinie ist kein rein technisches IT-Regelwerk, sondern ein Governance- und Sicherheitsrahmen für Organisationen. Im Fokus stehen Cyberresilienz, Risikomanagement, Meldepflichten und klare Verantwortlichkeiten.
Ziel der NIS-2-Richtlinie ist es, das Cybersicherheitsniveau in der EU zu erhöhen und Organisationen widerstandsfähiger gegen Cyberangriffe zu machen. In Deutschland ist das NIS-2-Umsetzungsgesetz (NIS2UmsuCG) Anfang Dezember 2025 in Kraft getreten zur Umsetzung der europäischen NIS-2-Richtlinie. Die zuständige Behörde für Umsetzung, Registrierung und Meldungen ist das Bundesamt für Sicherheit in der Informationstechnik (BSI).
Mit der NIS-1-Richtlinie (EU 2016/1148) versuchte die EU erstmals einheitliche Cybersicherheitsstandards für kritische Infrastrukturen zu etablieren. Sie trat 2016 in Kraft und betraf sieben zentrale Sektoren, darunter Energie, Verkehr, Gesundheit, Bankwesen und digitale Infrastruktur.
Die Vorgaben blieben bewusst allgemein: Unternehmen mussten angemessene Sicherheitsmaßnahmen einführen und erhebliche Sicherheitsvorfälle melden. Die konkrete Umsetzung erfolgte national – in Deutschland beispielsweise über das BSI-Gesetz für KRITIS-Betreiber. Europaweit entstand so ein uneinheitliches Sicherheitsniveau, da jedes Mitgliedsland die Anforderungen anders interpretierte und umsetzte.
Warum NIS-2 wichtig ist: Cyberresilienz als strategische Aufgabe
Die Bedrohungslage durch Cyberangriffe in Europa und Deutschland nimmt weiter zu: Hackerattacken, Ransomware oder Angriffe auf Lieferketten treffen vermehrt kritische Infrastrukturen. Gleichzeitig wächst die digitale Abhängigkeit von Wirtschaft, Staat und Gesellschaft. Je mehr Geschäftsprozesse und staatliche Dienstleistungen digital ablaufen, desto größer sind die Auswirkungen dieser Angriffe. Laut Bundeslagebild Cybercrime 2025 des Bundeskriminalamts wird der Schaden durch Cyberangriffe für die gesamte deutsche Wirtschaft auf 202,4 Milliarden Euro geschätzt. Rund 334.000 Fälle von Cybercrime wurden 2025 registriert, wobei die Dunkelziffer noch weit höher liegen dürfte.
Cyberresilienz wird zu einer zentralen Voraussetzung für die digitale Sicherheit und Handlungsfähigkeit. Die NIS-2-Richtlinie setzt genau hier an und schafft einen erweiterten regulatorischen Rahmen, um die Widerstandsfähigkeit gegenüber Cyberbedrohungen zu stärken.
Sicherheitsvorfälle wie Ransomware, Datenlecks oder Ausfälle von Versorgungsdiensten bedrohen nicht nur den Geschäftsbetrieb, sondern auch die öffentliche Sicherheit und das Vertrauen der Bürger und Bürgerinnen. Für Unternehmen ist Cyberresilienz zudem ein merklicher Standort- und Wettbewerbsfaktor, da Ausfälle finanzielle Schäden und Reputationsverluste verursachen können. Staatliche Einrichtungen benötigen stabile digitale Infrastrukturen, um Verwaltung, Versorgung und Krisenmanagement zuverlässig aufrechtzuerhalten.
Insgesamt sichert Cyberresilienz die Funktionsfähigkeit vernetzter Systeme, schützt kritische Daten und gewährleistet, dass Wirtschaft, Verwaltung und Gesellschaft auch unter Bedrohungslagen handlungsfähig bleiben. Cybersicherheit ist damit nicht mehr nur Aufgabe der IT-Abteilung, sondern Teil der Organisations- und Unternehmensführung.
NIS-2-Dokumentation: Meilensteine bei der Einführung der NIS-2-Richtlinie
Mit Inkrafttreten des NIS-2-Umsetzungsgesetztes gelten in Deutschland neue gesetzliche Pflichten für die IT-Sicherheit. So müssen sich alle Unternehmen und Institutionen, die unter die Regulierung dieses Gesetzes fallen, als sogenannte NIS-2-Einrichtungen beim BSI registrieren und Sicherheitsvorfälle melden.
Seit dem 6. Januar 2026 steht das BSI-Portal zur digitalen Registrierung zur Verfügung. Da bis Ende Mai längst nicht alle Betroffenen registriert waren, hatte das BSI die bis Ende März 2026 geltende Frist bis Ende Juli 2026 verlängert. Unternehmen und Institutionen, die auch diese Frist versäumt haben, müssen mit Bußgeldern und aufsichtsrechtlichen Maßnahmen rechnen.
Wie NIS-2 funktioniert: Sektoren, Kriterien und Meldepflichten
Die NIS-2-Richtlinie unterscheidet zwischen Sektoren mit hoher Kritikalität und sonstigen kritischen Sektoren. Insgesamt umfasst sie 18 Sektoren und damit deutlich mehr als in der ersten NIS-Richtlinie (vormals 7 Sektoren).
Ob eine Organisation konkret von NIS-2 betroffen ist, hängt nicht allein von ihrer Branche oder Unternehmensgröße ab. Entscheidend ist zunächst, ob ihr Tätigkeitsbereich einer der gesetzlich klassifizierten Einrichtungsarten zugeordnet werden kann. Das Gesetz unterscheidet die folgenden drei Klassifizierungen:
- „Betreiber kritischer Anlagen“
- „besonders wichtige Einrichtungen“ (kurz bwE)
- „Wichtige Einrichtungen“ (kurz wE)
Je nach Eingruppierung der Organisation gelten anschließend unterschiedliche Kriterien für Beschäftigtenzahl, Umsatz und Bilanzsumme. Für bestimmte Einrichtungen – etwa Betreiber kritischer Anlagen oder bestimmte Vertrauens- und Infrastrukturdienste – gilt die Einordnung unabhängig von der Unternehmensgröße. Das BSI stellt einen kostenlosen Entscheidungsbaum zur Betroffenheitsprüfung zur Verfügung und gibt Organisationen eine erste Orientierung und Hilfestellung zur Einordnung.
Betroffene Unternehmen und Einrichtungen müssen umfassende Risikomanagementmaßnahmen implementieren, um Sicherheitsvorfälle zu verhindern, Risiken zu bewerten und Prozesse kontinuierlich zu verbessern.
Zusätzlich bestehen klare Meldepflichten: Sicherheitsvorfälle müssen innerhalb definierter Fristen gemeldet und dokumentiert werden.
In Deutschland verpflichtet NIS-2 schätzungsweise rund 30.000 Unternehmen und Einrichtungen, die die genannten Kriterien erfüllen, zu strengen IT-Sicherheitsmaßnahmen und Meldepflichten.
Übersicht: 18 Branchen und Sektoren nach NIS-2
NIS-2 in der Praxis: Von der Betroffenheitsprüfung zur Umsetzung
Die NIS-2-Umsetzung beginnt mit einer Betroffenheitsanalyse. Das ist über das BSI möglich (Online-Prüfverfahren). Organisationen müssen prüfen,
- ... ob sie unter die Regelung fallen,
- ... welche Pflichten für sie gelten und
- ... welche Sicherheitsmaßnahmen bereits vorhanden sind.
Unternehmen, die sich über das BSI-Portal registrieren, verpflichten sich im Zuge der Registrierung auch, ihre Angaben aktuell zu halten.
Darauf aufbauend sollten betroffene Organisationen Verantwortlichkeiten, Meldewege, Risikomanagement, Dokumentation und Schulungskonzepte strukturiert aufbauen. Unternehmen in kritischen und wichtigen bzw. besonders wichtigen Sektoren müssen ihre Cyberrisiken analysieren und geeignete technische sowie organisatorische Maßnahmen nachweisen. Zudem sind sie verpflichtet, Sicherheitsvorfälle innerhalb enger Fristen zu melden.
Governance und NIS-2: Warum Cybersicherheit Chefsache ist
Unter NIS2 liegt die Verantwortung für Cybersicherheit bei der Geschäftsleitung. Diese muss nicht nur selbst an Schulungen teilnehmen, sondern auch Mitarbeitende regelmäßig schulen und für Sicherheitsbewusstsein sensibilisieren. Verstöße können persönliche Verantwortung oder Haftungsfolgen nach sich ziehen, daher sind klare Rollen, Zuständigkeiten und Berichtslinien notwendig. Die Konsequenzen bei Missachtung der Pflichten sind nicht zu unterschätzen: Es drohen Bußgelder in Millionenhöhe bzw. in Höhe von bis zu zwei Prozent des Jahresumsatzes.
Auch Lieferketten und Dienstleister müssen einbezogen werden, weil Sicherheitsrisiken häufig nicht nur in der eigenen Organisation entstehen. Meldepflichten erfordern zudem belastbare Prozesse: Wer erkennt Vorfälle, wer bewertet sie, wer meldet sie, wer dokumentiert die Maßnahmen? Dafür kann beispielsweise ein Informationssicherheitsbeauftragter ernannt werden.
NIS-2: Zentrale Pflichten für betroffene Unternehmen
- Risikomanagement: Betroffene Organisationen müssen ein dokumentiertes Sicherheitsmanagement für IT-Systeme, Netzwerke und Geschäftsprozesse aufbauen. Dazu gehören u. a. Risikoanalysen, Notfall- und Krisenmanagement, Schwachstellenmanagement, Zugriffsschutz und Verschlüsselung.
- Sicherheit der Lieferkette: Die Risiken, die von Dienstleistern, Zulieferern und deren Produkten ausgehen, müssen in die eigene Risikobewertung einfließen. Verträge und Auswahlprozesse müssen daher passende Anforderungen an die Informationssicherheit enthalten.
- Meldepflichten: Gravierende Sicherheitsvorfälle müssen dem BSI innerhalb von 24 Stunden als Frühwarnung gemeldet werden. Innerhalb von 72 Stunden folgt eine weiterführende Meldung, spätestens nach 30 Tagen ein Abschlussbericht zum Vorfall.
- Nachweispflichten: Sicherheitsmaßnahmen, Risikoanalysen und Zuständigkeiten müssen nachvollziehbar dokumentiert werden. Das BSI kann diese Nachweise im Rahmen seiner Aufsicht jederzeit anfordern.
- Verantwortung der Geschäftsleitung: Die Geschäftsführung muss die Risikomanagementmaßnahmen nicht nur genehmigen, sondern deren Umsetzung auch kontinuierlich überwachen. Tut sie das nicht, haftet sie persönlich – es gibt hierfür keinen Haftungsausschluss.
- Schulungspflichten: Die Geschäftsleitung ist persönlich verpflichtet, regelmäßig an Cybersicherheitsschulungen teilzunehmen. Auch Mitarbeitende müssen regelmäßig geschult und sensibilisiert werden, damit sie im Arbeitsalltag Risiken erkennen und vorschriftsgemäß handeln.
- Klare Zuständigkeiten: Die Benennung von Informationssicherheitsbeauftragten ist zwar nicht verpflichtend. Das Gesetz schreibt aber dokumentierte Verantwortlichkeiten und kontrollierende Maßnahmen vor. In der Praxis ist die Benennung einer solchen Rolle daher empfehlenswert.
- Anerkannte Standards als Umsetzungsbasis: Das BSI empfiehlt, bestehende Rahmenwerke wie ISO 27001 oder den IT-Grundschutz als Fundament heranzuziehen. Eine Zertifizierung bedeutet jedoch nicht automatisch NIS-2-Konformität – möglicherweise müssen Meldepflichten und Geschäftsleitungsverantwortung ergänzt werden.
NIS-2 schreibt zwar keine Versicherungspflicht vor, dennoch kann für Unternehmen der Abschluss einer Cyberversicherung sinnvoll sein, um finanzielle Folgen von Sicherheitsvorfällen abzufedern. Viele Versicherer setzen dabei ein nachweisbares Sicherheitsniveau voraus; die Umsetzung der NIS-2-Vorgaben bietet sich hier als Bewertungsgrundlage an.
Akteure rund um NIS-2 im Überblick
Die Rolle der Unternehmen
Organisationen und Einrichtungen müssen prüfen, ob sie unter die Anforderungen der NIS-2-Richtlinie fallen (Kriterien wie beschrieben). Ist eine Organisation betroffen, muss sie geeignete Sicherheitsmaßnahmen, Meldeprozesse, Verantwortlichkeiten und Nachweise für die NIS-2-Umsetzung etablieren.
Die Rolle der staatlichen Behörden
Der Staat schafft den rechtlichen und organisatorischen Rahmen für die Umsetzung von NIS-2 in Deutschland. Dazu gehören das seit Dezember 2025 geltende NIS-2-Umsetzungsgesetz, nationale Aufsichtsstrukturen unter Leitung des BSI, verbindliche Meldewege für Sicherheitsvorfälle sowie konkrete Vorgaben für Risikomanagement, Nachweisführung und Reaktionsfähigkeit im Ernstfall.
Die Rolle der Bundesdruckerei-Gruppe
Die Bundesdruckerei-Gruppe unterstützt als Technologie- und Vertrauenspartner des Bundes. Die Lösungen der Konzerngesellschaften rund um sichere Identitäten und geschützte Kommunikation helfen Organisationen dabei, Vertrauen, Nachvollziehbarkeit und Sicherheit in digitale Abläufe zu integrieren. Schließlich ist Informationssicherheit als Summe aller Maßnahmen zum Schutz von Daten und Systemen eine unentbehrliche Voraussetzung für operative Cybersicherheit. So bietet die genua GmbH als Teil der Bundesdruckerei-Gruppe zertifizierte Sicherheitslösungen nach NIS-2-Standards zum Schutz kritischer Infrastrukturen an und berät bei der Umsetzung. In ihrem Whitepaper informiert genua über die Pflichten und Unterstützung bei NIS-2 für mehr Cybersicherheit in Unternehmen. Die Konzerngesellschaft D-Trust GmbH schafft mit digitalen Signaturen, Siegeln und Zertifikaten die kryptografische Basis für Cyberhygiene und sichere Kommunikation. Damit unterstützt die Bundesdruckerei die Ziele von NIS-2: vernetzte Prozesse abzusichern und digitale Systeme resilienter zu machen.
Fazit: NIS-2 und Cyberresilienz: Ein dauerhafter Handlungsauftrag
Die NIS-2-Richtlinie verankert Cybersicherheit dauerhaft im Fundament von Organisationen. Unternehmen und öffentliche Einrichtungen sind künftig gefordert, die gestiegenen Anforderungen an Sicherheitsarchitekturen, Plattformbetrieb, digitale Dienste und Lieferketten umzusetzen und einzuhalten.
Für Organisationen bedeutet das einen dauerhaften Handlungsauftrag: Cybersicherheit muss kontinuierlich verbessert, überprüft und an neue Bedrohungen angepasst werden. In der Pflicht steht hier immer die Geschäftsführung. So wird Cyberresilienz zum zentralen Qualitätsmerkmal digitaler Dienste, Plattformen und moderner Verwaltungsprozesse.
FAQ: Häufige Fragen zur NIS-2-Richtlinie
Falls Unternehmen ihre NIS-2-Pflichten nicht erfüllen, müssen sie mit empfindlichen Konsequenzen rechnen. Für besonders wichtige Einrichtungen werden Bußgelder von bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes fällig – je nachdem, welcher Betrag höher ist.
Bei wichtigen Einrichtungen liegt die Obergrenze bei sieben Millionen Euro oder 1,4 Prozent des Jahresumsatzes. Zudem kann das BSI Anordnungen erlassen, Nachweise einfordern oder bei besonders wichtigen Einrichtungen anlasslos Prüfungen durchführen. Unabhängig davon haftet die Geschäftsleitung bei Verletzung der Pflichten persönlich – ein Verzicht auf diese Haftungsansprüche ist ausgeschlossen.
Die NIS-2-Richtlinie nimmt die gesamte Lieferkette in die Pflicht, sodass auch eigentlich nicht betroffene Zulieferer über Verträge indirekt zur Einhaltung der Sicherheitsstandards gezwungen werden. Dienstleister müssen ihre IT-Sicherheit künftig aktiv über Zertifikate oder Fragebögen nachweisen und sich auf strengere Vertragsklauseln zu Verschlüsselung oder Audit-Rechten einstellen. Sie sind verpflichtet, Sicherheitsvorfälle in ihrem eigenen Haus sofort an ihre Kunden zu melden, damit diese ihre gesetzlichen Fristen einhalten können.
Eine ISO 27001-Zertifizierung reicht allein rechtlich nicht aus, bildet aber das perfekte Fundament und deckt bereits rund 80 Prozent der Anforderungen ab. Die verbleibenden Lücken müssen Unternehmen gezielt schließen, da das Zertifikat die strikten gesetzlichen NIS-2-Meldepflichten innerhalb von 24 Stunden an das BSI sowie die formelle Registrierungspflicht nicht abbildet. Außerdem fordert NIS-2 im Gegensatz zur ISO 27001 verpflichtende Cybersicherheitsschulungen für die Führungsebene und nimmt die Geschäftsführung bei Verstößen persönlich in die Haftung.
Die Registrierung im BSI-MUK-Portal mithilfe eines ELSTER-Organisationszertifikats ist bei einem Fristversäumnis unverzüglich nachzuholen, um den fortdauernden Rechtsverstoß zu beenden. Eine verspätete Meldung kann zwar ein Bußgeld von bis zu 500.000 Euro nach sich ziehen, eine freiwillige und schnelle Nachregistrierung wirkt bei der Behörde jedoch stark strafmindernd. Eine saubere interne Dokumentation der sachlichen Gründe für die Verzögerung stellt zudem sicher, dass betroffene Betriebe bei eventuellen Rückfragen der Behörde argumentationsfähig sind.
Geschäftsführer sind gesetzlich nach dem BSI-Gesetz verpflichtet, die Teilnahme an spezifischen Cybersicherheitsschulungen lückenlos zu dokumentieren. Zudem muss die Unternehmensebene die Umsetzung aller Risikomanagement-Maßnahmen formal billigen und deren Einhaltung regelmäßig nachweisbar überwachen. Nur durch eine solche lückenlose, schriftliche Dokumentation der eigenen Sorgfaltspflichten lässt sich im Ernstfall die persönliche, unbeschränkte Haftung der Geschäftsführung abwenden.
Unternehmen müssen Zulieferer und IT-Dienstleister risikobasiert priorisieren und bestehende Verträge schrittweise um spezifische NIS-2-Klauseln erweitern. Dazu gehört das Einfordern anerkannter Sicherheitsnachweise wie ISO 27001-Zertifikate, die Vereinbarung vertraglicher Audit-Rechte sowie die Verpflichtung der Dienstleister, Sicherheitsvorfälle in deren Infrastruktur unverzüglich zu melden. Dieses Vorgehen sichert die eigene Lieferkette ab, ohne den täglichen Betrieb durch bürokratischen Überaufwand zu lähmen.
Anstatt getrennte Systeme aufzubauen, empfiehlt sich die Bündelung aller Anforderungen in einem einzigen, zentralen Informationssicherheits-Managementsystem (ISMS). Während NIS-2 die Cybersicherheit regelt, verschärft DORA dies für den Finanzsektor und das KRITIS-Dachgesetz fordert den physischen Schutz von Gebäuden und Anlagen. Da sich die Kernanforderungen bei Risikoanalyse, Notfallmanagement und Meldewegen massiv überschneiden, müssen die Prozesse nur einmal sauber aufgesetzt und gematcht werden, was Zeit spart und die Compliance-Kosten drastisch senkt.
Das BSI wartet bei der Überprüfung von Sicherheitsmaßnahmen nicht mehr auf das Auftreten eines Vorfalls, sondern fordert Nachweise und Dokumentationen proaktiv an. Zum Prüf-Repertoire der Behörde gehören regelmäßige Sicherheitsaudits vor Ort, Remote-Prüfungen der IT-Infrastruktur sowie die Aufforderung, anerkannte Zertifikate oder detaillierte Cybersicherheitsnachweise einzureichen. Bei wiederholter Verweigerung oder schweren Mängeln besitzt das BSI die rechtliche Handhabe, vorübergehende Managementverbote gegen Geschäftsführer zu verhängen.
Unternehmen mit Standorten in mehreren EU-Mitgliedstaaten müssen länderspezifische Nuancen und differenzierte Aufsichtsstrukturen beachten. Da die EU-Richtlinie in den einzelnen Mitgliedstaaten zu unterschiedlichen Zeitpunkten und teils mit abweichenden Schwellenwerten oder Meldeportalen umgesetzt wurde, reicht ein pauschaler Compliance-Ansatz oft nicht aus. Multinationale Organisationen müssen für jedes Land eine eigene Betroffenheits- und Registrierungsprüfung durchführen und die lokalen Kommunikationskanäle der jeweiligen nationalen Cybersicherheitsbehörden im Incident-Response-Plan verankern.
