Was ist die NIS2-Richtlinie?

Wer betroffen ist, entscheidet sich an Sektor und Größe

Die Richtlinie zählt Sektoren auf, darunter Energie, Verkehr, Gesundheit, Trinkwasser und Abwasser, digitale Infrastruktur, öffentliche Verwaltung, Post- und Kurierdienste, Abfallwirtschaft, Lebensmittel, Chemie sowie Teile des verarbeitenden Gewerbes. Innerhalb dieser Sektoren greift eine Größenschwelle, die sich an der EU-Definition mittlerer Unternehmen orientiert, also grob ab 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz. Einzelne Anbieter wie Betreiber von Namensdiensten fallen unabhängig von ihrer Größe darunter.

Unterschieden wird zwischen wesentlichen und wichtigen Einrichtungen. Der Unterschied liegt weniger in den geforderten Maßnahmen als in der Aufsicht: Bei wesentlichen Einrichtungen darf die Behörde von sich aus prüfen, bei wichtigen üblicherweise erst, wenn es einen Anlass gibt.

Wichtig für die Praxis: Eine Richtlinie gilt nicht unmittelbar für Unternehmen, verbindlich wird sie über das jeweilige nationale Umsetzungsgesetz. In Deutschland gilt dafür seit Dezember 2025 das NIS2-Umsetzungsgesetz. Seine Regeln stehen im neu gefassten BSI-Gesetz, und es verlangt unter anderem, dass sich betroffene Einrichtungen beim BSI registrieren. Für Schwellen, Fristen und Bußgelder ist deshalb dieser Gesetzestext maßgeblich und nicht die Richtlinie selbst.

Die geforderten Maßnahmen sind ein Mindestkatalog

Artikel 21 nennt Themen, die abgedeckt sein müssen: Risikoanalyse und Sicherheitsleitlinien, Bewältigung von Vorfällen, Aufrechterhaltung des Betriebs samt Sicherungen und Krisenmanagement, Sicherheit in der Lieferkette, Sicherheit bei Beschaffung und Entwicklung, Verfahren zur Bewertung der Wirksamkeit, grundlegende Sicherheitsschulung, Kryptografie, Personalsicherheit und Zugriffskontrolle sowie mehrstufige Anmeldung und gesicherte Kommunikation.

Der Punkt Lieferkette wird regelmäßig unterschätzt. Auch wer selbst nicht unter die Richtlinie fällt, bekommt die Anforderungen über Verträge von betroffenen Kunden weitergereicht. Für viele Zulieferer ist das der eigentliche Anlass, sich mit dem Thema zu befassen.

Meldungen laufen in Stufen

Für erhebliche Sicherheitsvorfälle sieht Artikel 23 ein gestuftes Verfahren vor: eine Frühwarnung innerhalb von 24 Stunden nach Kenntnis, eine Meldung mit erster Bewertung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb eines Monats. Dauert der Vorfall an, kommt ein Zwischenbericht dazu.

Diese 24 Stunden sind knapp, wenn erst geklärt werden muss, wer melden darf und über welchen Kanal. Deshalb gehören Meldewege, Vorlagen und Vertretungsregelungen in den Notfallplan, und zwar geübt, nicht nur beschrieben.

Die Geschäftsleitung steht persönlich in der Pflicht

Die Richtlinie verlangt, dass die Leitungsorgane die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und für Verstöße verantwortlich gemacht werden können. Zusätzlich sind sie verpflichtet, selbst regelmäßig an Sicherheitsschulungen teilzunehmen, und sollen Vergleichbares für die Beschäftigten anbieten.

Damit ist IT-Sicherheit an dieser Stelle keine Angelegenheit mehr, die sich vollständig delegieren lässt. Für die IT bedeutet das vor allem, Risiken so aufzubereiten, dass die Geschäftsführung sie ohne Fachjargon bewerten und dokumentiert entscheiden kann.