Hinweis: Stand: Mai 2026. Die nationale Umsetzung kann sich aendern.
Die NIS2-Richtlinie verschärft die Cybersicherheitspflichten für tausende Unternehmen in Deutschland. Prüfen Sie, ob Sie betroffen sind, und setzen Sie die Anforderungen mit unserer 10-Punkte-Checkliste um.
Die NIS2-Richtlinie (EU 2022/2555) ist die überarbeitete europäische Richtlinie zur Netz- und Informationssicherheit. Sie ersetzt die ursprüngliche NIS-Richtlinie von 2016 und weitet den Anwendungsbereich massiv aus: Statt weniger hundert Betreiber kritischer Infrastrukturen sind nun schätzungsweise 30.000 Unternehmen allein in Deutschland betroffen.
In Deutschland wird NIS2 durch das NIS2-Umsetzungsgesetz (NIS2UmsuCG) in nationales Recht überführt. Unternehmen müssen ein systematisches Cybersicherheits-Risikomanagement einführen, Vorfälle melden und die Sicherheit ihrer Lieferkette gewährleisten — andernfalls drohen Bußgelder in Millionenhöhe.
NIS2 unterscheidet zwei Kategorien betroffener Organisationen:
Großunternehmen (ab 250 Mitarbeiter oder 50 Mio. Euro Umsatz) in den Sektoren:
Mittlere Unternehmen (ab 50 Mitarbeiter oder 10 Mio. Euro Umsatz) in den Sektoren:
Unternehmen müssen geeignete technische, operative und organisatorische Maßnahmen ergreifen, um Risiken für ihre Netz- und Informationssysteme zu beherrschen. Dazu gehören Risikoanalysen, Sicherheitskonzepte, Incident-Response-Pläne und regelmäßige Tests.
Erhebliche Sicherheitsvorfälle müssen dem BSI in drei Stufen gemeldet werden: Erstmeldung innerhalb von 24 Stunden, bestätigende Meldung innerhalb von 72 Stunden und Abschlussbericht innerhalb eines Monats. Das erfordert vorbereitete Prozesse und geschultes Personal.
Unternehmen müssen die Cybersicherheit ihrer Zulieferer und Dienstleister bewerten und vertragliche Sicherheitsanforderungen vereinbaren. Schwachstellen in der Lieferkette sind einer der häufigsten Angriffsvektoren.
Die Geschäftsleitung muss die Cybersicherheitsmaßnahmen genehmigen und deren Umsetzung überwachen. Sie haftet persönlich für Verstöße. Zudem sind regelmäßige Cybersicherheits-Schulungen für die Geschäftsführung verpflichtend.
Die NIS2-Anforderungen überschneiden sich stark mit der internationalen Norm ISO/IEC 27001 für Informationssicherheits-Managementsysteme (ISMS). Wer bereits ein ISMS nach ISO 27001 betreibt, erfüllt einen Großteil der NIS2-Pflichten — insbesondere beim Risikomanagement, bei den technischen Maßnahmen und der Dokumentation.
Dennoch geht NIS2 in einigen Punkten über ISO 27001 hinaus: Die Meldepflichten (24-Stunden-Frist), die persönliche Geschäftsführerhaftung und die Lieferketten-Anforderungen erfordern zusätzliche Prozesse. Eine ISO-27001-Zertifizierung ist daher eine hervorragende Basis, ersetzt aber nicht die vollständige NIS2-Compliance.
| Anforderung | ISO 27001 | NIS2 zusätzlich |
|---|---|---|
| Risikomanagement | Ja (Annex A) | Branchenspezifische Vorgaben |
| Incident Response | Ja (A.5.24-26) | 24h-Meldepflicht ans BSI |
| Business Continuity | Ja (A.5.29-30) | Spezifische Recovery-Anforderungen |
| Lieferkette | Teilweise (A.5.19-23) | Umfassende Lieferketten-Bewertung |
| Geschäftsführerhaftung | Nein | Persönliche Haftung und Schulungspflicht |
| Bußgelder | Nein (freiwillig) | Bis 10 Mio. Euro / 2 % Umsatz |
Mit Custodio steuern Sie Ihre NIS2-Umsetzung zentral — Risikoanalysen, Maßnahmen-Tracking, Audit-Dokumentation und Meldeprozesse in einer Plattform.
Kostenlos beraten lassen Kostenlos DSE erstellenNIS2 (Network and Information Security Directive 2) ist die überarbeitete EU-Richtlinie zur Cybersicherheit. Sie ersetzt die NIS-Richtlinie von 2016 und stellt deutlich höhere Anforderungen an Risikomanagement, Meldepflichten und Lieferkettensicherheit. In Deutschland wird sie durch das NIS2-Umsetzungsgesetz in nationales Recht überführt.
Unternehmen in 18 Sektoren mit mindestens 50 Mitarbeitern oder 10 Mio. Euro Jahresumsatz. Dazu zählen Energie, Gesundheit, Transport, Digitale Infrastruktur, Öffentliche Verwaltung, Abfallwirtschaft und IT-Dienstleister. In Deutschland sind rund 30.000 Unternehmen betroffen.
Betroffene Unternehmen müssen ein Risikomanagement-System einführen, Sicherheitsvorfälle innerhalb von 24 Stunden melden, die Lieferkette absichern und die Geschäftsführung in Cybersicherheit schulen. Hinzu kommen Pflichten zu Business Continuity, Kryptografie und Zugangskontrolle.
Für wesentliche Einrichtungen bis 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes. Für wichtige Einrichtungen bis 7 Mio. Euro oder 1,4 % des Umsatzes. Zusätzlich haften Geschäftsführer persönlich für die Nichtumsetzung der Cybersicherheitsmaßnahmen.