Zurück zum Wiki
Richtlinie (EU) 2022/2555

NIS2 – Netz- und Informationssicherheitsrichtlinie

NIS2 ist die zweite EU-Richtlinie zur Netz- und Informationssicherheit (Richtlinie (EU) 2022/2555). Sie ist am 16. Januar 2023 in Kraft getreten und musste bis zum 17. Oktober 2024 in nationales Recht umgesetzt werden. In Deutschland erfolgt die Umsetzung über das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), das das BSI-Gesetz umfassend novelliert.

Im Vergleich zur ersten NIS-Richtlinie wird der Anwendungsbereich massiv ausgeweitet: Statt weniger kritischer Infrastrukturen sind nun 18 Sektoren erfasst – von Energie und Transport über digitale Dienste bis zu produzierendem Gewerbe und Lebensmitteln. Nach BSI-Schätzungen fallen in Deutschland rund 30.000 Unternehmen unter die neuen Pflichten.

Rechtsakt
Richtlinie (EU) 2022/2555
Umsetzungsfrist
17. Oktober 2024
Betroffen (DE)
ca. 30.000 Unternehmen

Wer ist betroffen?

NIS2 unterscheidet zwischen „wesentlichen Einrichtungen“ (Anhang I, z. B. Energie, Verkehr, Banken, Gesundheit, digitale Infrastruktur) und „wichtigen Einrichtungen“ (Anhang II, z. B. Post, Abfall, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Dienste). Als Grundregel gilt die Size-Cap-Regel: erfasst sind Unternehmen ab 50 Mitarbeitenden oder mehr als 10 Mio. € Jahresumsatz – unabhängig davon in Sonderfällen (z. B. DNS-Dienste, Vertrauensdienste) auch kleinere Anbieter.

Die Kernpflichten (Art. 20, 21, 23)

  • Risikomanagement (Art. 21): mindestens 10 Maßnahmenbereiche, u. a. Risikoanalyse, Incident-Handling, Business Continuity, Lieferkettensicherheit, Kryptografie, Zugriffskontrolle und Schwachstellenmanagement.
  • Meldepflichten (Art. 23): Frühwarnung an die Behörde binnen 24 Stunden, vollständige Meldung binnen 72 Stunden, Abschlussbericht nach spätestens einem Monat.
  • Governance (Art. 20): Die Geschäftsleitung muss die Maßnahmen billigen, ihre Umsetzung überwachen und an Schulungen teilnehmen – bei Verstößen haftet sie persönlich.
  • Registrierungspflicht bei der zuständigen Behörde (in Deutschland: BSI).

So setzen Sie es um

  1. 1

    Betroffenheit prüfen

    Mit der BSI-Betroffenheitsprüfung klären, ob Ihr Unternehmen als wesentliche oder wichtige Einrichtung gilt.

  2. 2

    Gap-Analyse durchführen

    Ist-Stand der Sicherheitsmaßnahmen gegen die 10 Maßnahmenbereiche aus Art. 21 Abs. 2 abgleichen.

  3. 3

    Risikomanagement aufbauen

    Risikoanalyse, Richtlinien, Incident-Response-Plan und Business-Continuity-Konzept dokumentieren.

  4. 4

    Technische Maßnahmen umsetzen

    MFA, Verschlüsselung, Netzsegmentierung, Backup-Konzept und Schwachstellenmanagement etablieren.

  5. 5

    Wirksamkeit nachweisen

    Regelmäßige Penetrationstests und Audits belegen die Wirksamkeit der Maßnahmen (Art. 21 Abs. 2 lit. f).

  6. 6

    Meldeprozesse einrichten

    24h/72h-Meldeketten definieren, Verantwortliche benennen, Meldewege zum BSI testen.

Was droht bei Verstößen?

Bußgelder bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes (wesentliche Einrichtungen) bzw. bis 7 Mio. € oder 1,4 % (wichtige Einrichtungen). Zusätzlich: persönliche Haftung der Geschäftsleitung und mögliche vorübergehende Untersagung von Leitungsfunktionen.

Die Rolle des Penetrationstests

Art. 21 Abs. 2 lit. f NIS2 verlangt „Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen“ – regelmäßige Penetrationstests sind der anerkannte Weg, diesen Nachweis zu erbringen.

NIS2-Compliance mit Sodu Secure

Offizielle Quellen & Belege

Alle Angaben dieses Artikels stützen sich auf die folgenden Primärquellen (Stand: 2026-07-17).

NIS2 – Netz- und Informationssicherheitsrichtlinie – Wiki | Sodu Secure