Hinweis: Stand: Oktober 2026. Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) ist am 06.12.2025 in Kraft getreten — die Pflichten gelten bereits.
Die NIS2-Richtlinie verschärft die Cybersicherheitspflichten für tausende Unternehmen in Deutschland. Prüfen Sie, ob Sie betroffen sind, und setzen Sie die Anforderungen mit unserer 10-Punkte-Checkliste um.
Die NIS2-Richtlinie (EU 2022/2555) ist die überarbeitete europäische Richtlinie zur Netz- und Informationssicherheit. Sie ersetzt die NIS-Richtlinie von 2016 und erfasst deutlich mehr Einrichtungen: nach Schätzung der Bundesregierung rund 29.500 Unternehmen in Deutschland (Gesetzentwurf 2025).
In Deutschland ist NIS2 durch das NIS2-Umsetzungsgesetz (NIS2UmsuCG) seit dem 6. Dezember 2025 in nationales Recht überführt. Unternehmen müssen ein systematisches Cybersicherheits-Risikomanagement einführen, Vorfälle melden und die Sicherheit ihrer Lieferkette gewährleisten — andernfalls drohen Bußgelder in Millionenhöhe.
NIS2 erfasst Einrichtungen bestimmter Sektoren ab einer Mindestgröße (§ 28 BSIG):
Einrichtungen der Sektoren in Anlage 1 (Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, digitale Infrastruktur, Weltraum) mit mindestens 250 Beschäftigten oder einem Jahresumsatz über 50 Mio. Euro und einer Jahresbilanzsumme über 43 Mio. Euro; ohne Größenschwelle außerdem Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Registries und DNS-Diensteanbieter.
Einrichtungen der Sektoren in Anlage 1 und Anlage 2 (Transport und Verkehr, Abfallbewirtschaftung, Chemie, Lebensmittel, verarbeitendes Gewerbe einschließlich Medizinprodukten, Anbieter digitaler Dienste, Forschung) mit mindestens 50 Beschäftigten oder einem Jahresumsatz und einer Jahresbilanzsumme von jeweils über 10 Mio. Euro, soweit sie nicht besonders wichtig sind. Für Telekommunikationsanbieter gelten eigene Schwellen.
Wer Gesundheitsdienstleistungen erbringt, gehört zum Sektor Gesundheit. Ab mindestens 50 Beschäftigten oder einem Jahresumsatz und einer Jahresbilanzsumme von jeweils über 10 Mio. Euro ist die Einrichtung erfasst; eine Praxis unter diesen Schwellen ist nicht erfasst.
Unternehmen müssen geeignete technische, operative und organisatorische Maßnahmen ergreifen, um Risiken für ihre Netz- und Informationssysteme zu beherrschen. Dazu gehören Risikoanalysen, Sicherheitskonzepte, Incident-Response-Pläne und regelmäßige Tests.
Erhebliche Sicherheitsvorfälle müssen dem BSI in drei Stufen gemeldet werden: Erstmeldung innerhalb von 24 Stunden, bestätigende Meldung innerhalb von 72 Stunden und Abschlussbericht innerhalb eines Monats. Das erfordert vorbereitete Prozesse und geschultes Personal.
Unternehmen müssen die Cybersicherheit ihrer Zulieferer und Dienstleister bewerten und vertragliche Sicherheitsanforderungen vereinbaren. Schwachstellen bei Zulieferern und Dienstleistern können ein Einfallstor für Angriffe sein.
Die Geschäftsleitung muss die Risikomanagementmaßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Verletzt sie diese Pflichten schuldhaft, haftet sie der Einrichtung für den Schaden (§ 38 BSIG).
Diese Checkliste ist ein kuratierter Auszug und erhebt keinen Anspruch auf Vollständigkeit. Maßgeblich sind das NIS2-Umsetzungsgesetz und die Vorgaben des BSI in ihrer jeweils aktuellen Fassung.
Die NIS2-Anforderungen überschneiden sich stark mit der internationalen Norm ISO/IEC 27001 für Informationssicherheits-Managementsysteme (ISMS). Wer bereits ein ISMS nach ISO 27001 betreibt, erfüllt einen Großteil der NIS2-Pflichten — insbesondere beim Risikomanagement, bei den technischen Maßnahmen und der Dokumentation.
Dennoch geht NIS2 in einigen Punkten über ISO 27001 hinaus: Die Meldepflichten (24-Stunden-Frist), die persönliche Geschäftsführerhaftung und die Lieferketten-Anforderungen erfordern zusätzliche Prozesse. Eine ISO-27001-Zertifizierung ist daher eine hervorragende Basis, ersetzt aber nicht die vollständige NIS2-Compliance.
| Anforderung | ISO 27001 | NIS2 zusätzlich |
|---|---|---|
| Risikomanagement | Ja (Annex A) | Branchenspezifische Vorgaben |
| Incident Response | Ja (A.5.24-26) | 24h-Meldepflicht ans BSI |
| Business Continuity | Ja (A.5.29-30) | Spezifische Recovery-Anforderungen |
| Lieferkette | Teilweise (A.5.19-23) | Umfassende Lieferketten-Bewertung |
| Geschäftsführerhaftung | Nein | Haftung gegenüber der Einrichtung und Schulungspflicht (§ 38 BSIG) |
| Bußgelder | Nein (freiwillig) | Bis 10 Mio. bzw. 7 Mio. Euro (§ 65 BSIG) |
Mit Custodio prüfen Sie Ihren Stand in einem NIS2-Check mit 30 Fragen, leiten daraus einen Maßnahmenplan ab und erstellen Vorlagen für Risikoanalyse, Incident-Response-Plan und Lieferkettensicherheit. Meldungen an das BSI übernimmt Custodio nicht.
Kostenlos beraten lassen Kostenlos DSE erstellen📞 Oder rufen Sie an: 030 - 91 74 77 13Datenschutz-Hotline · kostenlose Erstberatung · Mo–Fr 8–15 Uhr
NIS2 (Network and Information Security Directive 2) ist die überarbeitete EU-Richtlinie zur Cybersicherheit (EU 2022/2555). Sie ersetzt die NIS-Richtlinie von 2016 und stellt höhere Anforderungen an Risikomanagement, Meldepflichten und Lieferkettensicherheit. In Deutschland ist sie mit dem NIS2-Umsetzungsgesetz umgesetzt; die Pflichten stehen seit dem 6. Dezember 2025 im BSI-Gesetz.
Einrichtungen in den Sektoren der Anlagen 1 und 2 des BSI-Gesetzes – darunter Energie, Transport, Finanzwesen, Gesundheit, Wasser, digitale Infrastruktur, Chemie, Lebensmittel und verarbeitendes Gewerbe – ab mindestens 50 Beschäftigten oder einem Jahresumsatz und einer Jahresbilanzsumme von jeweils über 10 Mio. Euro (§ 28 BSIG). Einige, etwa Betreiber kritischer Anlagen, sind unabhängig von ihrer Größe erfasst.
Betroffene Unternehmen müssen ein Risikomanagement-System einführen, Sicherheitsvorfälle innerhalb von 24 Stunden melden, die Lieferkette absichern und die Geschäftsführung in Cybersicherheit schulen. Hinzu kommen Pflichten zu Business Continuity, Kryptografie und Zugangskontrolle.
Geldbußen bis 10 Mio. Euro für besonders wichtige und bis 7 Mio. Euro für wichtige Einrichtungen; bei einem weltweiten Umsatz über 500 Mio. Euro bis 2 bzw. 1,4 Prozent davon (§ 65 BSIG). Verletzt die Geschäftsleitung ihre Pflichten schuldhaft, haftet sie der Einrichtung für den Schaden (§ 38 BSIG).