NIS2 Anforderungen: was Ihr Unternehmen umsetzen muss
NIS2 verlangt Sicherheitsmaßnahmen in zehn Bereichen, die Meldung erheblicher Vorfälle und die Registrierung beim BSI. Die Geschäftsleitung setzt die Maßnahmen um und überwacht sie. Wie weit jede Maßnahme geht, richtet sich nach Größe und Risiko Ihres Unternehmens.
Programme und Mitgliedschaften
Die Anforderungen auf einen Blick
NIS 2 ist eine Richtlinie der EU. In Deutschland setzt sie das BSI-Gesetz (BSIG) um. Betroffene Unternehmen heißen dort „Einrichtungen“.
Sicherheitsmaßnahmen in zehn Bereichen
Die Mindestliste steht unten, jeder Bereich mit einem Beispiel.
Art. 21 NIS 2 · § 30 BSIG
Mehr dazuErhebliche Vorfälle melden
In drei Stufen an das BSI, die erste binnen 24 Stunden.
Art. 23 NIS 2 · § 32 BSIG
Mehr dazuBeim BSI registrieren
Einmal, über das Portal des BSI. Ändert sich etwas, melden Sie es binnen zwei Wochen.
Art. 3 Abs. 4 NIS 2 · § 33 BSIG
Mehr dazuDie Geschäftsleitung
Sie setzt die Maßnahmen um, überwacht sie und nimmt regelmäßig an Schulungen teil. Die Richtlinie verlangt außerdem, dass sie die Maßnahmen billigt.
Art. 20 NIS 2 · § 38 BSIG
Mehr dazuDie zehn Maßnahmen in einfachen Worten
Art. 21 Abs. 2 NIS 2 nennt zehn Bereiche, in Deutschland § 30 Abs. 2 BSIG. Das ist die Mindestliste. Zu jedem Bereich brauchen Sie Maßnahmen, die zu Ihrem Unternehmen passen.
Risikoanalyse und Sicherheitskonzept
Sie schreiben auf, welche IT Ihr Betrieb braucht und was dabei schiefgehen kann. Daraus folgt eine Leitlinie: wie Ihr Unternehmen Informationssicherheit regelt.
Zum Beispiel: Eine Liste Ihrer Systeme mit einer Bewertung je Risiko und eine Leitlinie von wenigen Seiten.
Art. 21 Abs. 2 Buchst. a · § 30 Abs. 2 Nr. 1
Bewältigung von Sicherheitsvorfällen
Sie legen fest, wie Sie einen Vorfall erkennen, eindämmen und beheben, und wer entscheidet.
Zum Beispiel: Ein Notfallplan mit Telefonnummern und klaren Zuständigkeiten.
Art. 21 Abs. 2 Buchst. b · § 30 Abs. 2 Nr. 2
Den Betrieb aufrechterhalten
Datensicherung, Wiederherstellung nach einem Notfall und Krisenmanagement.
Zum Beispiel: Eine Datensicherung, deren Wiederherstellung Sie ausprobiert haben.
Art. 21 Abs. 2 Buchst. c · § 30 Abs. 2 Nr. 3
Sicherheit der Lieferkette
Sie berücksichtigen die Schwachstellen jedes direkten Anbieters und die Qualität seiner Produkte und Sicherheitspraxis (Art. 21 Abs. 3 NIS 2). Verträge sind das übliche Mittel.
Zum Beispiel: Im Vertrag mit Ihrem IT-Dienstleister steht, dass er Ihnen Vorfälle meldet.
Art. 21 Abs. 2 Buchst. d · § 30 Abs. 2 Nr. 4
Sicherheit bei Kauf, Entwicklung und Wartung
Sicherheit gilt schon beim Kauf von IT, bei eigener Entwicklung und bei der Wartung. Dazu gehört, Schwachstellen zu beheben und offen damit umzugehen, etwa mit einer Adresse, an die andere gefundene Schwachstellen melden können.
Zum Beispiel: Sicherheitsupdates werden automatisch eingespielt.
Art. 21 Abs. 2 Buchst. e · § 30 Abs. 2 Nr. 5
Wirksamkeit bewerten
Sie legen fest, wie Sie prüfen, ob die Maßnahmen wirken. Tests oder Audits schreibt das Gesetz nicht jeder Einrichtung vor.
Zum Beispiel: Die Geschäftsleitung geht einmal im Jahr durch, was funktioniert hat und was nicht.
Art. 21 Abs. 2 Buchst. f · § 30 Abs. 2 Nr. 6
Grundschulung und Sensibilisierung
Alle Beschäftigten lernen die Grundlagen: verdächtige E-Mails erkennen, gute Passwörter wählen, Vorfälle melden.
Zum Beispiel: Eine kurze Schulung beim Eintritt und eine Auffrischung im Jahr.
Art. 21 Abs. 2 Buchst. g · § 30 Abs. 2 Nr. 7
Kryptografie
Sie legen fest, wo und wie Sie verschlüsseln.
Zum Beispiel: Laptops mit verschlüsselter Festplatte und E-Mail nur über verschlüsselte Verbindungen.
Art. 21 Abs. 2 Buchst. h · § 30 Abs. 2 Nr. 8
Personal, Zugänge und Verwaltung der IT
Wer darf was? Wie bekommen neue Leute ihre Zugänge, und wie verlieren Ausscheidende sie? Dazu gehört eine Übersicht Ihrer IT.
Zum Beispiel: Am letzten Arbeitstag werden alle Zugänge gesperrt.
Art. 21 Abs. 2 Buchst. i · § 30 Abs. 2 Nr. 9
Zweiter Faktor und sichere Kommunikation
Anmeldung mit einem zweiten Faktor neben dem Passwort, oder mit fortlaufender Prüfung, ob noch dieselbe Person arbeitet. Dazu gesicherte Sprache, Video und Text und, wo nötig, ein gesicherter Weg für Notfälle.
Zum Beispiel: Ein Code aus einer App bei der Anmeldung an E-Mail und Fernzugang.
Art. 21 Abs. 2 Buchst. j · § 30 Abs. 2 Nr. 10
Wie viel genügt?
Das Gesetz verlangt geeignete, verhältnismäßige und wirksame Maßnahmen (§ 30 Abs. 1 BSIG). Was verhältnismäßig ist, hängt ab von Ihrer Risikolage, Ihrer Größe, den Kosten, der Wahrscheinlichkeit und Schwere von Vorfällen und ihren Folgen für andere.
Was Sie umsetzen, halten Sie schriftlich fest (§ 30 Abs. 1 Satz 3 BSIG). Ein Zertifikat wie ISO 27001 verlangt das Gesetz nicht. Es kann den Nachweis aber stützen.
Was „verhältnismäßig“ genau heißtEin Beispiel
Eine erfundene Firma: ein Hersteller von Backwaren mit 120 Beschäftigten, der den Handel beliefert. Industrielle Lebensmittelherstellung steht in Anlage 2 des BSIG, also ist die Firma eine wichtige Einrichtung. So sieht ihre Antwort auf drei der zehn Bereiche aus:
Lieferkette: Die Firma führt eine Liste ihrer Dienstleister, etwa für die Warenwirtschaft, die Kühlüberwachung und die IT. Im Vertrag mit der IT steht, dass sie Vorfälle meldet.
Zweiter Faktor: Für E-Mail und Fernzugang brauchen alle einen Code aus einer App.
Betrieb aufrechterhalten: Die Rezepturen und Produktionspläne werden täglich gesichert. Einmal im Jahr probiert die IT die Wiederherstellung aus.
So geht das im Durchgang
Im Durchgang auf nisd2.eu wird aus jedem der zehn Bereiche mindestens ein Schritt, den Sie ausfüllen.
Neben jedem Schritt steht die Vorschrift, in einfachen Worten erklärt.
Wo ein Dokument nötig ist, entsteht es aus Ihren Antworten: Leitlinie, Notfallplan für Vorfälle, Notfallplan für den Betrieb, Kryptokonzept, Konzept für Personal, Zugänge und IT sowie Regeln für Kauf, Wartung und Schwachstellen.
Wo eine Liste reicht, führen Sie eine Liste: Ihre IT, Ihre Lieferanten, Ihre Datensicherungen, Ihre Schulungen.
Wollen Sie einen Punkt bewusst nicht umsetzen, schreiben Sie auf, warum. Die Geschäftsleitung unterschreibt diese Entscheidung mit.
Am Ende gibt die Geschäftsleitung die Dokumente in der App frei, angemeldet mit dem eigenen Zugang. Name und Datum stehen danach auf jedem Dokument.
Frühe Erstmeldung
Ob der Vorfall vermutlich auf einen Angriff oder eine rechtswidrige Handlung zurückgeht und ob er andere Länder betreffen könnte.
Meldung
Eine erste Bewertung von Schwere und Auswirkungen, wo vorhanden mit Hinweisen auf die Angreifer (Kompromittierungsindikatoren).
Abschlussmeldung
Ein Monat nach der Meldung: was passiert ist, die wahrscheinliche Ursache und was Sie dagegen getan haben.
Wer prüft, und wann?
Sie weisen ihre Maßnahmen dem BSI nach, durch Audits, Prüfungen oder Zertifizierungen. Erstmals zu einem Zeitpunkt, den das BSI festlegt, frühestens drei Jahre nachdem sie als Betreiber gelten, danach alle drei Jahre (§ 39 BSIG). Außerdem müssen sie Systeme zur Angriffserkennung einsetzen (§ 31 Abs. 2 BSIG).
Kein fester Prüfzyklus. Sie halten fest, was Sie umsetzen (§ 30 Abs. 1 BSIG). Das BSI kann prüfen und Audits durch unabhängige Stellen anordnen (§ 61 Abs. 1 und 5 BSIG). Nachweise kann es frühestens ab dem 6. Dezember 2028 anfordern (§ 61 Abs. 3 und 4 BSIG).
Sie halten fest, was Sie umsetzen. Das BSI prüft nur, wenn Tatsachen annehmen lassen, dass Sie § 30, § 32 oder § 38 Abs. 3 BSIG nicht einhalten (§ 62 BSIG).
- Interne oder externe Auditberichte
- Zertifizierungen, etwa ISO 27001 oder BSI IT-Grundschutz
- Ihre Dokumentation: Risikobewertung, umgesetzte Maßnahmen und die Prüfung ihrer Wirksamkeit
Ein Zertifikat nach ISO 27001 oder IT-Grundschutz hilft, deckt das BSIG aber nicht automatisch ab. Das Gesetz kann über den Umfang einer Zertifizierung hinausgehen.
- Sie berücksichtigen die Schwachstellen jedes direkten Anbieters und die Qualität seiner Produkte und Sicherheitspraxis, auch seiner Entwicklung (Art. 21 Abs. 3 NIS 2).
- Sie vereinbaren Sicherheitsanforderungen mit Lieferanten, wo es passt, meist im Vertrag. Die Gesetzesbegründung nennt Verträge als Beispiel.
- Nur für die digitalen Anbieter, die die Durchführungsverordnung (EU) 2024/2690 erfasst: Sie überwachen Änderungen der Sicherheitspraxis ihrer Lieferanten in geplanten Abständen (Nummer 5.1.6 des Anhangs).
Quellen
- Richtlinie (EU) 2022/2555 (NIS 2), Art. 3, 20, 21 und 23 (eur-lex.europa.eu)
- BSI-Gesetz (BSIG), §§ 30, 31, 32, 33, 38, 39, 61 und 62 (gesetze-im-internet.de/bsig_2025)
- BSIG, Anlage 2, Nr. 4 Produktion, Verarbeitung und Vertrieb von Lebensmitteln
- Durchführungsverordnung (EU) 2024/2690, Art. 3 und Anhang Nummer 5.1.6
- Gesetzentwurf der Bundesregierung zum NIS2UmsuCG, BT-Drucksache 21/1501, Begründung zu § 30
In der Praxis
Wo das im Durchgang vorkommt
Im Durchgang werden daraus Schritte, die Sie ausfüllen, mit dem Gesetz jeweils daneben erklärt. Öffnen Sie einen Schritt, um ihn ausgefüllt am Beispiel einer erfundenen Firma zu sehen.
Risikomanagement
Aufschreiben, was Ihr Unternehmen hat
Eine Liste der Abläufe, Programme und Geräte, mit denen Sie arbeiten.
Vorfallbehandlung
Planen, was bei einem Vorfall passiert
Wer entscheidet, wen Sie anrufen, wie Sie sich erreichen.
Wirksamkeitsbewertung
Die Managementbewertung festhalten
Die Geschäftsführung prüft, ob die Maßnahmen wirken, und gibt Ihre Dokumente frei.
Was der Durchgang kostet
4.800 € netto im Jahr, zzgl. USt.
30 Tage Geld zurückAuf Rechnung, 30 Tage Zahlungsziel. Kündigung in den ersten 30 Tagen: Rechnung storniert oder Geld zurück.
Geführte NIS 2 Umsetzung, Schritt für Schritt
Verlauf der Änderungen und Freigaben, vorzeigbar beim BSI
Fristen und Erinnerungen je Anforderung
Sicherheitsfragebogen an Ihre Lieferanten
Export als PDF oder CSV, jederzeit
Sie sollen sich um NIS2 kümmern?
Am Ende haben Sie alles in einem Dokument: was getan ist, was noch offen ist, und die Freigabe Ihrer Geschäftsführung mit Namen und Datum. Die Texte schreibt die App.