Am 6. Dezember 2025 trat das Gesetz zur Umsetzung der NIS-2-Richtlinie in Kraft.
Die NIS2-Richtlinie (Network and Information Security Directive) ist eine EU-weite Gesetzgebung, die darauf abzielt, ein hohes gemeinsames Sicherheitsniveau für Netz- und Informationssysteme in der gesamten Union sicherzustellen. Sie löst die 2016 eingeführte NIS1-Richtlinie ab und verschärft Sicherheitsanforderungen für kritische und wichtige Einrichtungen deutlich. Damit wuchs die Anzahl der Unternehmen, die unter die Regelungen fallen, deutlich von ca. 2.000 auf etwa 29.500 KRITIS-Betreiber an.
Warum wurde NIS2 eingeführt?
NIS2 wurde eingeführt, um ein hohes, einheitliches und modernes Cybersicherheitsniveau in der gesamten EU zu schaffen – angesichts wachsender Bedrohungen, digitaler Abhängigkeiten und bisheriger Schwächen der alten Regelung.
Bin ich von der NIS2 Richtlinie betroffen?
Unternehmen müssen selbständig prüfen, ob sie damit künftig zu den durch das Bundesamt für Sicherheit in der Informationstechnik (BSI) beaufsichtigten Einrichtungen gehören.
Wahrscheinlich betroffen sind Sie, wenn Ihr Unternehmen mindestens eines folgenden Kriterien erfüllt:
- Betreiben einer kritischen Anlage wie z.B. einer Gesundheitseinrichtung. Dazu gehören Krankenhäuser und andere vollstationäre Leistungserbringer, aber auch große Praxen und MVZs
- Anbieter öffentlich zugänglicher Telekommunikationsdienste, dazu gehören öffentlich zugängliche Einrichtungen, in denen sich jeder anonym einwählen kann
- Alle Unternehmen mit mehr als 250 Beschäftigten oder 50 Mio. Euro Umsatz
Die Betroffenheitsprüfung können Sie online unter folgendem Link (https://betroffenheitspruefung-nis‑2.bsi.de/) durchführen.
Was muss ich tun, um die NIS2 Richtlinie umzusetzen?
- Registrierungspflicht erfüllen: alle betroffenen Einrichtungen müssen sich beim BSI registrieren
- Risikomanagement für Cybersicherheit einführen: Es muss sichergestellt sein, dass jedes betroffene Unternehmen ein dokumentiertes Sicherheitskonzept hat. Dazu gehören:
- Risikoanalyse und Risikobehandlung
- Sicherheitsrichtlinien
- Zugriffskontrollen
- Backup- und Wiederherstellungsprozesse
- Lieferketten-Risikoanalyse
- Notfallmanagement und Business Continuity
- Patch- und Schwachstellenmanagement
- Incident-Response-System: Schaffen Sie ein Incident-Response-System, um Sicherheitsvorfälle effektiv zu erkennen und zu bewältigen. Sicherheitsvorfälle müssen fristgerecht gemeldet werden. Dazu gehören eine Erstmeldung innerhalb von 24 Stunden, ein Detailbericht innerhalb von 72 Stunden sowie ein Abschlussbericht innerhalb eines Monats
- Schulungen und Awareness: NIS2 verlangt verpflichtende Schulungen für alle Mitarbeitenden – und speziell für die Geschäftsführung. Cybersicherheit ist laut Gesetzgeber Chefsache und nicht delegierbar.
- Lieferketten absichern: jedes Unternehmen muss sicherstellen, , dass auch Dienstleister und Lieferanten ausreichende Sicherheitsstandards erfüllen.
- Interne Verantwortlichkeiten festlegen: dazu gehören die Benennung eines Informationssicherheitsbeauftragten ebenso wie der Aufbau eines Informationssicherheits-Managementsystems (ISMS). Klare Rollen und Prozesse sind dabei von großer Wichtigkeit.
- Technik auf den neusten Stand bringen: die IT technisch so ausrüsten, dass sie die hohen Sicherheitsstandards erfüllt.
- Regelmäßige Überprüfung und Auditfähigkeit: jedes betroffene Unternehmen muss jederzeit auditierbar sein. Das BSI erhält deutlich mehr Aufsichtsbefugnisse.
- Haftungsrisiken kennen: mit der NIS2 Richtlinie wird geregelt, dass Cybersicherheit nicht delegierbar ist. Bei Pflichtverletzungen drohen daher persönliche Haftung, Bußgelder und Regressforderungen.
Was sind Sicherheitsvorfälle nach NIS2?
Ein Sicherheitsvorfall („Incident“) ist laut NIS2 jedes Ereignis, das:
- die Cybersicherheit beeinträchtigt,
- zu einer Störung der Dienste führt, oder
- die Erbringung deiner wesentlichen/wichtigen Dienstleistungen gefährdet.
Dazu gehören insbesondere Cyberangriffe, Technische Störungen wie der Ausfall kritischer Systeme oder fehlerhafte Updates, menschliche Fehler wie falsch gesetzte Berechtigungen, unbeabsichtigtes Löschen wichtiger Daten oder Fehlkonfigurationen und Lieferkettenvorfälle wie Sicherheitsprobleme bei Dienstleistern oder kompromittierte Software-Updates.
Wenn ein Vorfall „erheblich“ wird, ist er meldepflichtig. Dies ist laut NIS2-Umsetzungsverordnung u.a. dann der Fall, wenn
- Gefahr für Leben oder Gesundheit besteht, z.B. durch den Ausfall von KIS-Systemen im Krankenhaus
- Ein finanzieller Schaden über 100.000€ entsteht
- Kritische Systeme oder Daten kompromittiert sind
Dies Erstmeldung muss innerhalb von 24 Stunden erfolgen.
Welche Befugnisse hat das BSI bei der Überwachung der NIS2 Richtlinie in den betroffenen Unternehmen?
Die NIS2Richtlinie verpflichtet die EUStaaten, eine starke nationale Aufsicht einzurichten. In Deutschland übernimmt diese Rolle das BSI. Die wichtigsten Befugnisse sind:
- Registrierung und Meldepflicht überwachen
- Nachweise und Dokumente: das BSI darf jederzeit die ISMS-Dokumentation, Risikoanalysen, Sicherheitskonzepte, Nachweise über technische und organisatorische Maßnahmen und Lieferketten-Risikoanalysen verlangen. Die Unternehmen sollten diese Unterlagen daher stets verfügbar haben.
- Audits und Prüfungen: Das BSI kann Vor-Ort-Kontrollen durchführen, technische Prüfungen anordnen, Penetrationstests durch zertifizierte Stellen verlangen und Sicherheitsüberprüfungen von Systemen und Netzwerken durchführen. Dabei schreibt die NIS2-Richtlinie ausdrücklich eine „strenge Aufsicht“ vor.
- Anordnungen: Sollten bei einer Prüfung Mängel festgestellt werden, kann das BSI Maßnahmen anordnen. Diese sind verpflichtend umzusetzen und können von der Verbesserung des ISMS, über die Einrichtung von Sicherheitsmaßnahmen, den Austausch unsicherer Systeme über verpflichtende Schulungen für Führungskräfte bis hin zu Sofortmaßnahmen bei akuten Bedrohungen reichen.
- Sanktionen und Bußgelder: Wenn betroffene Unternehmen sich nicht registrieren, Sicherheitsvorfälle nicht melden, Sicherheitsmaßnahmen nicht umsetzen oder Anordnungen nicht befolgen, kann das BSI Bußgelder erhängen. Diese sind EU-weit harmonisiert und können sehr hoch ausfallen. Für besonders wichtige Einrichtungen können Bußgelder in Höhe von bis zu 10 Mio. Euro oder bis zu 2% des weltweiten Jahresumsatzes verhängt werden, für wichtige Einrichtungen bis zu 7 Mio. Euro oder 1,4% des weltweiten Jahresumsatzes. Es gilt jeweils der höherer Betrag.
- Überwachung der Lieferkettensicherheit: das BSI darf prüfen, ob Unternehmen ihre Dienstleister ausreichend bewerten, Risiken in der Lieferkette dokumentieren und Verträge mit Sicherheitsanforderungen versehen.
- Kooperation mit EU-Behörden: das BSI arbeitet mit Behörden in der EU zusammen, um grenzüberschreitende Vorfälle zu überwachen und ui koordinieren.
Das BSI erhält durch die NIS2-Richtlinie deutlich mehr Befugnisse und somit mehr „Macht“ als bisher. Es kann nun aktiv agieren.
Welche Pflichten habe ich persönlich?
Als Geschäftsführer oder Vorstand sind Sie verpflichtet, die Regelungen der NIS2 Richtlinie umzusetzen. Wie bereits erwähnt sind diese Pflichten nicht delegierbar. Daher sollten Sie die folgenden Punkte im Blick behalten:
- Registrierung: prüfen (lassen), ob Ihr Unternehmen unter die NIS2-Richtlinie fällt, die Kategorie bestimmen und Ihr Unternehmen registrieren (lassen)
- Verantwortlichkeiten: Cybersicherheit zur Chefsache machen und Rollen und Verantwortlichkeiten benennen und dokumentieren, die Umsetzung der NIS2-Regelungen anweisen.
- Schulungen und Awareness: jährliche Cybersicherheitsschulungen für alle Mitarbeitenden durchführen lassen, spezielle Schulungen für Führungskräfte anbieten und Sicherheitsrichtlinien kommunizieren, Darüber hinaus sollten Phishing-Simulationen durchgeführt werden.
- Incident-Response-System: Vorgaben für den Ablauf bei Vorfällen machen und Pläne für die Prozesse erarbeiten (lassen), ebenso für den Meldeprozess. Auch die Rollen und Zuständigkeiten sollten festgelegt und dokumentiert sein. Darüber hinaus empfiehlt es sich, Notfallübungen zu diesem Thema durchzuführen.
- Audits und Nachweisfähigkeit: Sie sollten eine Dokumentation vorliegen haben, die dem BSI jederzeit übergeben werden kann und die alle Regelungen umfasst. Die Maßnahmen sowie die Dokumentation sollten regelmäßig auf Aktualität und Vollständigkeit geprüft und ggfs. verbessert werden. Die lässt sich erfahrungsgemäß gut durch dokumentierte interne Audits nachweisen. Diese sollte im Vorfeld gut geplant werden.
- Haftung: hier empfiehlt es sich die getroffenen Entscheidungen nachweisbar zu machen, in dem sie sorgfältig dokumentiert werden. Zudem sollten regelmäßig Management-Reviews durchgeführt und die Umsetzung der Maßnahmen persönlich überwacht werden. Insbesondere gilt dies für Anordnungen des BSI. Des Weiteren ist es sinnvoll, die (personellen) Ressourcen und ein Budget für Cybersicherheit festzulegen.
