NIS-2 einfach erklärt: Wer betroffen ist, was Unternehmen jetzt umsetzen müssen

Was bedeutet NIS-2

NIS-2 ist die überarbeitete EU-Richtlinie zur Netzwerk- und Informationssicherheit. Sie löst die bisherige NIS-Richtlinie ab und verschärft die Anforderungen an Cybersicherheit, Risikomanagement und Meldepflichten deutlich. Ziel ist es, die digitale Resilienz von Unternehmen und öffentlichen Einrichtungen in der EU zu stärken. Das gilt insbesondere dort, wo IT-Ausfälle erhebliche Auswirkungen auf Wirtschaft, Staat oder Gesellschaft hätten.

Rechtlich umgesetzt wird die Richtlinie in Deutschland durch das NIS-2-Umsetzungsgesetz, das die Vorgaben in nationales Recht überführt und mit bestehenden Regelwerken wie dem KRITIS-Dachgesetz verzahnt wird. NIS-2 erweitert dabei den Fokus: Nicht mehr nur klassische KRITIS-Anlagen stehen im Mittelpunkt, sondern ein deutlich größerer Kreis sogenannter Einrichtungen in NIS-2.

Im Kern verpflichtet NIS-2 betroffene Organisationen dazu, Cyberrisiken systematisch zu managen, Sicherheitsvorfälle schneller zu melden und Verantwortung auf Management-Ebene zu verankern. Die Richtlinie ist damit weniger ein reines IT-Thema als vielmehr Teil der europäischen KRITIS-Gesetzgebung zur Sicherung zentraler Infrastrukturen.

Wer muss NIS-2 umsetzen?

Grundsätzlich gilt: Unternehmen mit mindestens 50 Mitarbeitenden oder mehr als 10 Millionen Euro Jahresumsatz können unter NIS-2 fallen, wenn sie in einem der definierten kritischen Sektoren tätig sind.

Der Anwendungsbereich von NIS-2 ist deutlich größer als bei der Vorgängerrichtlinie. Betroffen sind sogenannte wesentliche und wichtige Einrichtungen in kritischen und wichtigen Sektoren. 

Von NIS-2 betroffene Sektoren

• Energie
• Wasser
• Gesundheit
• Transport
• digitale Infrastruktur
• öffentliche Verwaltung
• Abfallwirtschaft
• Chemie
• Lebensmittelversorgung
• IT-Dienstleister
• Teile der verarbeitenden Industrie

Entscheidend ist nicht mehr nur die Einstufung als klassische KRITIS-Anlage, sondern auch Unternehmensgröße und gesellschaftliche Relevanz.

Betroffenheit nach Unternehmensgröße

Was müssen Unternehmen im Rahmen von NIS-2 leisten?

NIS-2 formuliert konkrete organisatorische, technische und prozessuale Anforderungen. Im Mittelpunkt steht ein risikobasierter Ansatz: Unternehmen müssen ihre individuellen Cyberrisiken kennen, bewerten und geeignete Maßnahmen ergreifen.

Das müssen Unternehmen im Rahmen von NIS-2 leisten

• ein systematisches Risikomanagement
• Maßnahmen zur Absicherung von Netz- und Informationssystemen
• Regelungen zur Zugriffskontrolle
• Notfall- und Krisenpläne
• der sichere Umgang mit Lieferketten und Dienstleistern
• Schulungen und Sensibilisierung von Mitarbeitenden

Ein zentraler Punkt ist die Meldepflicht bei Sicherheitsvorfällen. Erhebliche IT-Störungen müssen innerhalb enger Fristen an das Bundesamt für Sicherheit in der Informationstechnik (BSI) gemeldet werden. Die Anforderungen an Transparenz und Nachvollziehbarkeit steigen deutlich.

Neu ist außerdem die klare Verantwortung des Managements. Geschäftsleitungen müssen die Umsetzung der NIS-2-Vorgaben aktiv überwachen und können bei Verstößen haftbar gemacht werden. NIS-2 verankert Cybersicherheit damit als Führungsaufgabe, vergleichbar mit Compliance, Datenschutz oder Arbeitssicherheit.

NIS-2 im Zusammenspiel mit KRITIS-Regulierung

NIS-2 steht nicht isoliert, sondern ergänzt bestehende und kommende Regelwerke wie das KRITIS-Dachgesetz, sektorale KRITIS-Verordnungen und weitere europäische Vorgaben. Gemeinsam bilden sie den regulatorischen Rahmen für den Schutz kritischer Infrastrukturen in Deutschland und Europa.

Für Unternehmen bedeutet das: Cybersicherheit, physische Resilienz und organisatorische Vorsorge wachsen regulatorisch zusammen. Wer heute NIS-2 umsetzt, schafft damit auch eine wichtige Grundlage für weitere Anforderungen der KRITIS-Gesetzgebung.

Zuordnung der Sektoren im Vergleich „KRITIS & NIS2“

NIS-2 ist Chefsache

NIS-2 betrifft Geschäftsmodelle, Lieferketten, Führungsstrukturen und die strategische Resilienz von Unternehmen. Durch den stark erweiterten Geltungsbereich geraten viele Organisationen erstmals in den Fokus der Regulierung.

Unternehmen sollten daher frühzeitig prüfen, ob sie zu den Einrichtungen in NIS-2 gehören, und ihre bestehende Sicherheits- und Governance-Struktur bewerten. Wer NIS-2 nur als Pflichtübung versteht, verschenkt Potenzial. Richtig umgesetzt, stärkt die Richtlinie nicht nur Compliance, sondern auch Stabilität, Vertrauen und Zukunftsfähigkeit.