Was ist NIS2?
Die NIS2-Richtlinie (Network and Information Security Directive 2) ist eine EU-Richtlinie zur Stärkung der Cybersicherheit. Sie ersetzt die ursprüngliche NIS-Richtlinie aus dem Jahr 2016 und verfolgt das Ziel, ein einheitlich hohes Sicherheitsniveau für Netz- und Informationssysteme innerhalb der Europäischen Union zu schaffen.
In Deutschland wird die NIS2-Richtlinie durch das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) umgesetzt. Das Gesetz ist am 6. Dezember 2025 in Kraft getreten und hat insbesondere das BSI-Gesetz (BSIG) umfassend geändert. Für viele Unternehmen gelten damit erstmals verbindliche gesetzliche Anforderungen an das Cyberrisikomanagement sowie, abhängig von ihrer Einordnung, Registrierungs- und Meldepflichten.
Wer ist von NIS2 betroffen?
Im Vergleich zur bisherigen NIS-Richtlinie erweitert NIS2 den Kreis der betroffenen Unternehmen und Organisationen deutlich.
Unternehmen und Organisationen können, abhängig von Tätigkeit, Größe und weiteren gesetzlichen Kriterien, insbesondere als besonders wichtige Einrichtungen oder wichtige Einrichtungen eingestuft werden.
Dazu zählen unter anderem:
- Energieversorgung
- Gesundheitswesen
- Transport und Logistik
- Digitale Infrastruktur
- Finanzwesen
- Öffentliche Verwaltung
- Lebensmittelproduktion
- Abfall- und Wasserwirtschaft
- Hersteller bestimmter Produkte
- IT- und Managed-Service-Anbieter
Für bestimmte Unternehmen des Finanzsektors gelten mit dem Digital Operational Resilience Act (DORA) sektorspezifische Regelungen, die gegenüber entsprechenden NIS2-Vorgaben Vorrang haben können.
Neben der jeweiligen Branche beziehungsweise Tätigkeit können auch Unternehmensgröße sowie besondere gesetzliche Regelungen für die Einordnung entscheidend sein. Deshalb sollte die konkrete Betroffenheit stets individuell geprüft werden.
Ist mein Unternehmen von NIS2 betroffen?
Eine NIS-2-Betroffenheitsprüfung schafft Klarheit darüber, ob Ihr Unternehmen als besonders wichtige oder wichtige Einrichtung einzustufen ist und welche Verpflichtungen daraus entstehen. Berücksichtigt werden dabei unter anderem Geschäftstätigkeit, Unternehmensgröße und mögliche gesetzliche Sonderregelungen.
Welche Anforderungen stellt die NIS2-Richtlinie?
NIS2 verfolgt einen risikobasierten Ansatz. Zu den zentralen Anforderungen gehören:
- Risikomanagement für Informationssicherheit
- Maßnahmen zur Prävention und Reaktion auf Sicherheitsvorfälle
- Geschäftskontinuität und Notfallmanagement
- Absicherung der Lieferkette
- Zugriffs- und Berechtigungskonzepte
- Multi-Faktor-Authentifizierung und sichere Kommunikation
- Bewertung der Wirksamkeit von Sicherheitsmaßnahmen
- Dokumentation der umgesetzten Maßnahmen
Neben den technischen Maßnahmen spielt auch der Faktor Mensch eine wichtige Rolle. Unternehmen sollten sicherstellen, dass Mitarbeitende für Cyberrisiken sensibilisiert und entsprechend ihrer Aufgaben geschult werden. Verantwortlichkeiten und Rollen im Bereich der Informationssicherheit sollten klar definiert sein.
Eine besondere Rolle kommt der Geschäftsleitung zu: Sie muss die Umsetzung der erforderlichen Sicherheitsmaßnahmen unterstützen und überwachen und unterliegt entsprechenden Schulungs- und Verantwortlichkeitspflichten.
Welche Registrierungs- und Meldepflichten gelten?
Betroffene Einrichtungen unterliegen gesetzlichen Registrierungs- und Meldepflichten. Die Registrierung erfolgt über das dafür vorgesehene BSI-Portal.
Erhebliche Sicherheitsvorfälle müssen entsprechend den gesetzlichen Vorgaben an das BSI gemeldet werden. Unternehmen sollten dafür klare Prozesse zur Erkennung, Bewertung, Eskalation und fristgerechten Meldung etablieren.
Wie können Unternehmen NIS2 umsetzen?
Entscheidend für die Umsetzung von NIS2 ist, die Anforderungen systematisch zu prüfen, geeignete Maßnahmen umzusetzen und deren Wirksamkeit regelmäßig zu kontrollieren und zu dokumentieren.
Ein sinnvoller Einstieg umfasst folgende Schritte:
- Prüfen, ob das Unternehmen unter die NIS2-Regulierung fällt und wie es regulatorisch einzuordnen ist.
- Bestehende Sicherheitsmaßnahmen und Prozesse analysieren.
- Cyberrisiken identifizieren und bewerten.
- Fehlende technische, operative und organisatorische Maßnahmen umsetzen.
- Verantwortlichkeiten innerhalb des Unternehmens festlegen.
- Mitarbeitende und Geschäftsleitung entsprechend ihrer Aufgaben schulen.
- Prozesse für Registrierung und die Meldung von Sicherheitsvorfällen etablieren.
- Maßnahmen dokumentieren und ihre Wirksamkeit regelmäßig prüfen.
Standards und Frameworks wie ISO/IEC 27001 oder der BSI IT-Grundschutz können dabei helfen, Informationssicherheit strukturiert zu organisieren und NIS2-Anforderungen systematisch abzudecken.
Häufig gestellte Fragen zu NIS2
NIS2 ist die überarbeitete EU-Richtlinie zur Cybersicherheit. Sie erweitert den Kreis der regulierten Unternehmen deutlich und verpflichtet betroffene Einrichtungen unter anderem dazu, Cyberrisiken systematisch zu managen, geeignete Sicherheitsmaßnahmen umzusetzen und erhebliche Sicherheitsvorfälle zu melden.
Betroffen sein können Unternehmen und Organisationen aus zahlreichen besonders wichtigen und wichtigen Sektoren. Ob ein Unternehmen tatsächlich unter die Regulierung fällt, hängt insbesondere von seiner Tätigkeit, seiner Größe und möglichen Sonderregelungen ab.
Viele mittelständische Unternehmen fallen erstmals unter die NIS2-Regulierung. Eine pauschale Aussage ist jedoch nicht möglich. Entscheidend sind insbesondere die Geschäftstätigkeit, die Zahl der Beschäftigten, Umsatz beziehungsweise Bilanzsumme sowie mögliche Sonderregelungen.
Eine NIS-2-Betroffenheitsprüfung berücksichtigt unter anderem die Geschäftstätigkeit beziehungsweise den relevanten Sektor, die Unternehmensgröße und mögliche gesetzliche Sonderregelungen. Auf dieser Grundlage kann ermittelt werden, ob ein Unternehmen als besonders wichtige oder wichtige Einrichtung einzustufen ist.
Das deutsche NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz ist am 6.Dezember 2025 in Kraft getreten. Betroffene Unternehmen müssen die für sie geltenden Anforderungen an Cyberrisikomanagement sowie Registrierungs- und Meldepflichten daher bereits berücksichtigen.
Die Registrierung nach NIS2 erfolgt über das dafür vorgesehene BSI-Portal. Welche konkreten Registrierungs- und Meldepflichten gelten, hängt von der Einordnung des Unternehmens ab.
Eine bestehende ISO/IEC-27001-Zertifizierung kann eine wichtige Grundlage für die Umsetzung von NIS2 sein, da bereits zahlreiche Strukturen und Prozesse für ein systematisches Informationssicherheitsmanagement vorhanden sind. Sie bedeutet jedoch nicht automatisch, dass sämtliche NIS2-Anforderungen erfüllt sind. Unternehmen sollten daher eine ergänzende Gap-Analyse durchführen.
Bei Verstößen gegen die gesetzlichen Anforderungen können Unternehmen mit aufsichtsrechtlichen Maßnahmen und Bußgeldern rechnen. Darüber hinaus können Sicherheitsvorfälle und Compliance-Verstöße erhebliche wirtschaftliche und reputative Folgen haben. Auch die Geschäftsleitung trägt im Rahmen der NIS2-Regulierung ausdrücklich Verantwortung für die Umsetzung und Überwachung der erforderlichen Cybersicherheitsmaßnahmen.
Fragen zu Pre-Employment Screening im Rahmen von NIS2?
Sie möchten erfahren, wie Pre-Employment Screening die Risikominimierung in Ihrem Unternehmen unterstützen kann? Wir beraten Sie gerne zu risikobasierten Employment Screening-Prozessen und deren Umsetzung.