NIS2 ist die zweite EU-Richtlinie zur Netz- und Informationssicherheit (Richtlinie (EU) 2022/2555). Sie ist am 16. Januar 2023 in Kraft getreten und musste bis zum 17. Oktober 2024 in nationales Recht umgesetzt werden. In Deutschland erfolgt die Umsetzung über das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), das das BSI-Gesetz umfassend novelliert.
Im Vergleich zur ersten NIS-Richtlinie wird der Anwendungsbereich massiv ausgeweitet: Statt weniger kritischer Infrastrukturen sind nun 18 Sektoren erfasst – von Energie und Transport über digitale Dienste bis zu produzierendem Gewerbe und Lebensmitteln. Nach BSI-Schätzungen fallen in Deutschland rund 30.000 Unternehmen unter die neuen Pflichten.
NIS2 unterscheidet zwischen „wesentlichen Einrichtungen“ (Anhang I, z. B. Energie, Verkehr, Banken, Gesundheit, digitale Infrastruktur) und „wichtigen Einrichtungen“ (Anhang II, z. B. Post, Abfall, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Dienste). Als Grundregel gilt die Size-Cap-Regel: erfasst sind Unternehmen ab 50 Mitarbeitenden oder mehr als 10 Mio. € Jahresumsatz – unabhängig davon in Sonderfällen (z. B. DNS-Dienste, Vertrauensdienste) auch kleinere Anbieter.
Mit der BSI-Betroffenheitsprüfung klären, ob Ihr Unternehmen als wesentliche oder wichtige Einrichtung gilt.
Ist-Stand der Sicherheitsmaßnahmen gegen die 10 Maßnahmenbereiche aus Art. 21 Abs. 2 abgleichen.
Risikoanalyse, Richtlinien, Incident-Response-Plan und Business-Continuity-Konzept dokumentieren.
MFA, Verschlüsselung, Netzsegmentierung, Backup-Konzept und Schwachstellenmanagement etablieren.
Regelmäßige Penetrationstests und Audits belegen die Wirksamkeit der Maßnahmen (Art. 21 Abs. 2 lit. f).
24h/72h-Meldeketten definieren, Verantwortliche benennen, Meldewege zum BSI testen.
Bußgelder bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes (wesentliche Einrichtungen) bzw. bis 7 Mio. € oder 1,4 % (wichtige Einrichtungen). Zusätzlich: persönliche Haftung der Geschäftsleitung und mögliche vorübergehende Untersagung von Leitungsfunktionen.
Art. 21 Abs. 2 lit. f NIS2 verlangt „Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen“ – regelmäßige Penetrationstests sind der anerkannte Weg, diesen Nachweis zu erbringen.
NIS2-Compliance mit Sodu SecureAlle Angaben dieses Artikels stützen sich auf die folgenden Primärquellen (Stand: 2026-07-17).