NIS-2 einfach erklärt: Wer betroffen ist, was Unternehmen jetzt umsetzen müssen

Mit der NIS-2-Richtlinie verschärft die EU die Anforderungen an Cybersicherheit deutlich. Der Anwendungsbereich wächst stark, die Pflichten werden konkreter, und die Verantwortung rückt bis in die Geschäftsführung. In Deutschland betrifft NIS-2 zehntausende Unternehmen aus kritischen und wichtigen Sektoren, weit über klassische KRITIS-Anlagen hinaus. Dieser Beitrag erklärt, was NIS-2 bedeutet, wer unter die Regelung fällt und welche Anforderungen Unternehmen jetzt erfüllen müssen.

NIS-2 ist die überarbeitete EU-Richtlinie zur Netzwerk- und Informationssicherheit. Sie löst die bisherige NIS-Richtlinie ab und verschärft die Anforderungen an Cybersicherheit, Risikomanagement und Meldepflichten deutlich. Ziel ist es, die digitale Resilienz von Unternehmen und öffentlichen Einrichtungen in der EU zu stärken. Das gilt insbesondere dort, wo IT-Ausfälle erhebliche Auswirkungen auf Wirtschaft, Staat oder Gesellschaft hätten.

Rechtlich umgesetzt wird die Richtlinie in Deutschland durch das NIS-2-Umsetzungsgesetz, das die Vorgaben in nationales Recht überführt und mit bestehenden Regelwerken wie dem KRITIS-Dachgesetz verzahnt wird. NIS-2 erweitert dabei den Fokus: Nicht mehr nur klassische KRITIS-Anlagen stehen im Mittelpunkt, sondern ein deutlich größerer Kreis sogenannter Einrichtungen in NIS-2.

Im Kern verpflichtet NIS-2 betroffene Organisationen dazu, Cyberrisiken systematisch zu managen, Sicherheitsvorfälle schneller zu melden und Verantwortung auf Management-Ebene zu verankern. Die Richtlinie ist damit weniger ein reines IT-Thema als vielmehr Teil der europäischen KRITIS-Gesetzgebung zur Sicherung zentraler Infrastrukturen.

Grundsätzlich gilt: Unternehmen mit mindestens 50 Mitarbeitenden oder mehr als 10 Millionen Euro Jahresumsatz können unter NIS-2 fallen, wenn sie in einem der definierten kritischen Sektoren tätig sind.

Der Anwendungsbereich von NIS-2 ist deutlich größer als bei der Vorgängerrichtlinie. Betroffen sind sogenannte wesentliche und wichtige Einrichtungen in kritischen und wichtigen Sektoren. 

Von NIS-2 betroffene Sektoren

• Energie
• Wasser
• Gesundheit
• Transport
• digitale Infrastruktur
• öffentliche Verwaltung
• Abfallwirtschaft
• Chemie
• Lebensmittelversorgung
• IT-Dienstleister
• Teile der verarbeitenden Industrie

Entscheidend ist nicht mehr nur die Einstufung als klassische KRITIS-Anlage, sondern auch Unternehmensgröße und gesellschaftliche Relevanz.

Schätzungen gehen davon aus, dass in Deutschland künftig rund 30.000 Unternehmen und Organisationen unter die NIS-2-Regelungen fallen – ein Vielfaches im Vergleich zur bisherigen NIS-Richtlinie. Viele davon waren bislang nicht im Fokus der KRITIS-Behörden und müssen sich erstmals strukturiert mit regulatorischen Cybersecurity-Pflichten auseinandersetzen.

NIS-2 formuliert konkrete organisatorische, technische und prozessuale Anforderungen. Im Mittelpunkt steht ein risikobasierter Ansatz: Unternehmen müssen ihre individuellen Cyberrisiken kennen, bewerten und geeignete Maßnahmen ergreifen.

Das müssen Unternehmen im Rahmen von NIS-2 leisten

• ein systematisches Risikomanagement
• Maßnahmen zur Absicherung von Netz- und Informationssystemen
• Regelungen zur Zugriffskontrolle
• Notfall- und Krisenpläne
• der sichere Umgang mit Lieferketten und Dienstleistern
• Schulungen und Sensibilisierung von Mitarbeitenden

Ein zentraler Punkt ist die Meldepflicht bei Sicherheitsvorfällen. Erhebliche IT-Störungen müssen innerhalb enger Fristen an das Bundesamt für Sicherheit in der Informationstechnik (BSI) gemeldet werden. Die Anforderungen an Transparenz und Nachvollziehbarkeit steigen deutlich.

Neu ist außerdem die klare Verantwortung des Managements. Geschäftsleitungen müssen die Umsetzung der NIS-2-Vorgaben aktiv überwachen und können bei Verstößen haftbar gemacht werden. NIS-2 verankert Cybersicherheit damit als Führungsaufgabe, vergleichbar mit Compliance, Datenschutz oder Arbeitssicherheit.

NIS-2 steht nicht isoliert, sondern ergänzt bestehende und kommende Regelwerke wie das KRITIS-Dachgesetz, sektorale KRITIS-Verordnungen und weitere europäische Vorgaben. Gemeinsam bilden sie den regulatorischen Rahmen für den Schutz kritischer Infrastrukturen in Deutschland und Europa.

Für Unternehmen bedeutet das: Cybersicherheit, physische Resilienz und organisatorische Vorsorge wachsen regulatorisch zusammen. Wer heute NIS-2 umsetzt, schafft damit auch eine wichtige Grundlage für weitere Anforderungen der KRITIS-Gesetzgebung.

NIS-2 betrifft Geschäftsmodelle, Lieferketten, Führungsstrukturen und die strategische Resilienz von Unternehmen. Durch den stark erweiterten Geltungsbereich geraten viele Organisationen erstmals in den Fokus der Regulierung.

Unternehmen sollten daher frühzeitig prüfen, ob sie zu den Einrichtungen in NIS-2 gehören, und ihre bestehende Sicherheits- und Governance-Struktur bewerten. Wer NIS-2 nur als Pflichtübung versteht, verschenkt Potenzial. Richtig umgesetzt, stärkt die Richtlinie nicht nur Compliance, sondern auch Stabilität, Vertrauen und Zukunftsfähigkeit.