Was ist NIS2? Die EU-Richtlinie für Cybersicherheit einfach erklärt
NIS2 ist die Richtlinie (EU) 2022/2555. Sie verpflichtet Unternehmen in 18 Sektoren, in der Regel ab 50 Beschäftigten oder mit jeweils über 10 Millionen Euro Umsatz und Bilanzsumme, sich zu registrieren, Sicherheitsmaßnahmen in zehn Bereichen zu ergreifen und erhebliche Vorfälle zu melden. Die Leitung ist dafür verantwortlich. Jeder EU-Staat übernimmt die Richtlinie in sein eigenes Recht; in Deutschland gilt sie seit dem 6. Dezember 2025 über das BSI-Gesetz (BSIG).
Eine Richtlinie der EU
NIS2 steht für die zweite Richtlinie über die Sicherheit von Netz- und Informationssystemen. Sie ist am 27. Dezember 2022 im Amtsblatt der EU erschienen und am 16. Januar 2023 in Kraft getreten.
Ihr Ziel ist ein hohes gemeinsames Niveau der Cybersicherheit in der EU. Sie ersetzt die erste NIS-Richtlinie (EU) 2016/1148, die seit dem 18. Oktober 2024 aufgehoben ist.
Eine Richtlinie gilt nicht direkt für Unternehmen. Jeder EU-Staat übernimmt sie in sein eigenes Recht. Die Frist dafür war der 17. Oktober 2024. Pflichten für Ihr Unternehmen entstehen erst mit diesem nationalen Gesetz.
Art. 1, 41, 44 und 45 NIS 2
Wer betroffen ist
Betroffen ist ein Unternehmen, wenn es in einem der 18 Sektoren der Anhänge I und II tätig ist und mindestens mittelgroß ist: ab 50 Beschäftigten oder mit einem Jahresumsatz und einer Bilanzsumme von jeweils über 10 Millionen Euro.
Einige Anbieter sind unabhängig von ihrer Größe betroffen, etwa Anbieter von Telekommunikation, Vertrauensdiensten, Top Level Domains und DNS. Die Staaten können weitere Einrichtungen bestimmen.
Art. 2 und 3 NIS 2 · Empfehlung 2003/361/EG
Anhang I: Sektoren mit hoher Kritikalität
- 01Energie
- 02Verkehr
- 03Bankwesen
- 04Finanzmarktinfrastrukturen
- 05Gesundheitswesen
- 06Trinkwasser
- 07Abwasser
- 08Digitale Infrastruktur, etwa Cloud, Rechenzentren und Telekommunikation
- 09Verwaltung von IKT-Diensten für Unternehmen, etwa Managed Services
- 10Öffentliche Verwaltung
- 11Weltraum
Anhang II: sonstige kritische Sektoren
- 01Post- und Kurierdienste
- 02Abfallbewirtschaftung
- 03Herstellung und Handel mit chemischen Stoffen
- 04Lebensmittel: Großhandel, industrielle Herstellung und Verarbeitung
- 05Verarbeitendes Gewerbe, etwa Maschinenbau, Elektronik, Medizinprodukte und Fahrzeuge
- 06Anbieter digitaler Dienste: Online-Marktplätze, Suchmaschinen, soziale Netzwerke
- 07Forschung
Wesentliche und wichtige Einrichtungen
Die Richtlinie teilt betroffene Unternehmen in zwei Gruppen. Die Größe zählt nach der Empfehlung 2003/361/EG; verbundene Unternehmen und Partnerunternehmen können mitzählen.
| Größe | Wann | Ergebnis |
|---|---|---|
| Klein | Unter 50 Beschäftigte, und Umsatz oder Bilanzsumme höchstens 10 Mio. € | In der Regel nicht betroffen |
| Mittel | Ab 50 Beschäftigte, oder Umsatz und Bilanzsumme jeweils über 10 Mio. € | Wichtige Einrichtung |
| Groß | Ab 250 Beschäftigte, oder über 50 Mio. € Umsatz und über 43 Mio. € Bilanzsumme | Anhang I: wesentliche Einrichtung. Anhang II: wichtige Einrichtung |
Die Pflichten sind für beide Gruppen dieselben. Unterschiedlich ist die Aufsicht: Wesentliche Einrichtungen kann die Behörde auch ohne Anlass prüfen, wichtige nachträglich, wenn es Hinweise auf einen Verstoß gibt (Art. 32 und 33 NIS 2).
Die vier Pflichten
Registrieren
Sie melden Ihr Unternehmen bei der zuständigen Behörde an: Name, Anschrift, Kontaktdaten, IP-Adressbereiche, Sektor und die Länder, in denen Sie tätig sind. Änderungen melden Sie binnen zwei Wochen.
Art. 3 Abs. 4 NIS 2
Sicherheitsmaßnahmen ergreifen
Maßnahmen in zehn Bereichen, vom Umgang mit Vorfällen über Datensicherung und Lieferkette bis zum zweiten Faktor bei der Anmeldung. Wie gründlich, richtet sich nach Risiko, Größe und Kosten.
Art. 21 NIS 2
Erhebliche Vorfälle melden
Eine Frühwarnung binnen 24 Stunden, eine Meldung binnen 72 Stunden und einen Abschlussbericht einen Monat nach der Meldung.
Art. 23 NIS 2
Die Leitung
Die Leitung billigt die Maßnahmen, also gibt sie frei, überwacht ihre Umsetzung und nimmt an Schulungen teil. Sie kann für Verstöße verantwortlich gemacht werden.
Art. 20 NIS 2
Was bei Verstößen gilt
Die Richtlinie verlangt, dass jeder Staat Bußgelder mit einer Obergrenze von mindestens 10 Millionen Euro oder 2 Prozent des weltweiten Umsatzes vorsieht (wesentliche Einrichtungen), bei wichtigen Einrichtungen 7 Millionen Euro oder 1,4 Prozent, je nachdem, welcher Betrag höher ist.
Das deutsche Gesetz setzt die Obergrenzen bei 10 und 7 Millionen Euro. Ein Prozentsatz vom Umsatz kommt dort nur bei mehr als 500 Millionen Euro Umsatz in Frage (§ 65 BSIG).
Bei wesentlichen Einrichtungen kann einer Person in der Leitung als letztes Mittel die Leitungsaufgabe vorübergehend untersagt werden. Für wichtige Einrichtungen sieht die Richtlinie das nicht vor.
Bis zu unserer letzten Prüfung im August 2026 hatte das BSI kein Bußgeld nach dem neuen BSIG veröffentlicht.
Art. 32 Abs. 5 und Art. 34 NIS 2 · § 65 BSIG
Die Bußgelder in Deutschland im EinzelnenWas sich gegenüber NIS 1 geändert hat
Unter der ersten NIS-Richtlinie bestimmten die Staaten weitgehend selbst, welche Betreiber betroffen sind. Unter NIS2 entscheiden Sektor und Größe, und Unternehmen prüfen selbst, ob sie dazugehören.
Neu sind unter anderem weitere Sektoren, feste Meldefristen in drei Stufen, die Pflichten der Leitung und eine Mindestliste von zehn Bereichen, zu der auch die Lieferkette gehört.
Art. 2, 20, 21, 23 und 44 NIS 2
In Deutschland und den anderen EU-Staaten
In Deutschland gilt NIS2 über das NIS2UmsuCG, das das BSI-Gesetz neu gefasst hat. Es ist am 6. Dezember 2025 in Kraft getreten. Zuständig ist das BSI. Die wesentliche Einrichtung heißt dort „besonders wichtige Einrichtung“.
In den anderen EU-Staaten gilt das jeweilige nationale Gesetz, in den Niederlanden zum Beispiel die Cyberbeveiligingswet. Zuständig ist der Staat, in dem Ihr Unternehmen niedergelassen ist.
Art. 26 NIS 2 · BGBl. 2025 I Nr. 301
Was das für ein Unternehmen mit 50 bis 150 Beschäftigten heißt
In einem der 18 Sektoren ist ein solches Unternehmen in der Regel eine wichtige Einrichtung. Wesentlich ist es in dieser Größe nur in Ausnahmen: in einem Sektor des Anhangs I mit über 50 Millionen Euro Umsatz und über 43 Millionen Euro Bilanzsumme, als Anbieter von Telekommunikation oder wenn der Staat es so bestimmt.
Es hat dieselben vier Pflichten wie ein großes Unternehmen. Die Maßnahmen müssen aber nur so gründlich sein, wie es Risiko, Größe und Kosten verlangen.
Die Behörde prüft eine wichtige Einrichtung nur, wenn es Hinweise auf einen Verstoß gibt.
Art. 3, 21 Abs. 1 und 33 NIS 2
Ein Beispiel
Eine erfundene Firma: ein Hersteller von Verpackungsmaschinen mit 110 Beschäftigten in Deutschland.
Maschinenbau gehört zum verarbeitenden Gewerbe in Anhang II. Mit 110 Beschäftigten ist die Firma eine wichtige Einrichtung.
Sie registriert sich beim BSI, der zuständigen Behörde in Deutschland.
Sie schreibt auf, womit sie arbeitet, legt Maßnahmen in den zehn Bereichen fest und hält in einem Notfallplan fest, wer einen Vorfall meldet.
Der Geschäftsführer besucht eine Schulung, liest die Dokumente und gibt sie frei.
So geht das im Durchgang
Der Durchgang auf nisd2.eu führt Schritt für Schritt durch die Pflichten.
20 Schritte. Betreiber kritischer Anlagen haben einen Schritt mehr.
Neben jedem Schritt steht die Vorschrift, in einfachen Worten erklärt.
Registrierung, Maßnahmen, Meldung und Schulung der Geschäftsleitung sind eigene Schritte.
Der Schritt zur Registrierung zeigt für Ihr Land die zuständige Behörde und ihr Portal.
Am Ende gibt die Geschäftsleitung die Dokumente in der App frei, angemeldet mit dem eigenen Zugang. Name und Datum stehen danach auf jedem Dokument.
Häufige Fragen
Was ist NIS2 in einfachen Worten?
Eine EU-Richtlinie für Cybersicherheit. Sie verlangt von Unternehmen in wichtigen Sektoren, sich zu registrieren, ihre IT angemessen zu schützen und erhebliche Vorfälle schnell zu melden. Die Leitung ist dafür verantwortlich.
Ist NIS2 ein Gesetz?
NIS2 ist eine Richtlinie. Sie richtet sich an die EU-Staaten, die sie in eigenes Recht übernehmen. In Deutschland ist das das BSI-Gesetz (BSIG) in der Fassung des NIS2UmsuCG.
Für wen gilt NIS2?
Für Unternehmen in den 18 Sektoren der Anhänge I und II, die mindestens mittelgroß sind: ab 50 Beschäftigten oder mit jeweils über 10 Millionen Euro Umsatz und Bilanzsumme. Einige Anbieter, etwa von DNS oder Vertrauensdiensten, sind unabhängig von ihrer Größe betroffen.
Seit wann gilt NIS2?
Die Richtlinie ist seit dem 16. Januar 2023 in Kraft. Für Unternehmen gilt sie über das Gesetz ihres Landes, in Deutschland seit dem 6. Dezember 2025.
Was bedeutet NIS?
Netz- und Informationssysteme. NIS2 ist die zweite Richtlinie zu deren Sicherheit.
Quellen
- Richtlinie (EU) 2022/2555 (NIS 2), Art. 1 bis 3, 20, 21, 23, 26, 32 bis 34, 41, 44, 45 und Anhänge I und II, EUR-Lex
- Empfehlung 2003/361/EG der Kommission, EUR-Lex
- BSI-Gesetz (BSIG) § 65, gesetze-im-internet.de/bsig_2025
- NIS2UmsuCG, BGBl. 2025 I Nr. 301
In der Praxis
Wo das im Durchgang vorkommt
Im Durchgang werden daraus Schritte, die Sie ausfüllen, mit dem Gesetz jeweils daneben erklärt. Öffnen Sie einen Schritt, um ihn ausgefüllt am Beispiel einer erfundenen Firma zu sehen.
Registrierung & Meldung
Beim BSI registrieren
Ihr Unternehmen meldet sich einmal beim BSI an.
Vorfallbehandlung
Wissen, wie Sie einen Vorfall melden
Drei Meldungen an das BSI, mit festen Fristen.
Governance & Haftung
Die Geschäftsführung schulen lassen
Jedes Mitglied der Geschäftsführung, regelmäßig.
Was der Durchgang kostet
4.800 € netto im Jahr, zzgl. USt.
30 Tage Geld zurückAuf Rechnung, 30 Tage Zahlungsziel. Kündigung in den ersten 30 Tagen: Rechnung storniert oder Geld zurück.
Geführte NIS 2 Umsetzung, Schritt für Schritt
Verlauf der Änderungen und Freigaben, vorzeigbar beim BSI
Fristen und Erinnerungen je Anforderung
Sicherheitsfragebogen an Ihre Lieferanten
Export als PDF oder CSV, jederzeit
Sie sollen sich um NIS2 kümmern?
Am Ende haben Sie alles in einem Dokument: was getan ist, was noch offen ist, und die Freigabe Ihrer Geschäftsführung mit Namen und Datum. Die Texte schreibt die App.
