Wer sich in den letzten Monaten mit Cybersicherheit in Europa beschäftigt hat, ist unweigerlich auf drei Buchstaben gestoßen: NIS2. Die überarbeitete Richtlinie zur Netz- und Informationssicherheit ist kein bürokratisches Randthema — sie ist der bislang ambitionierteste Versuch der EU, das Sicherheitsniveau digitaler Infrastrukturen europaweit auf ein gemeinsames, verbindliches Fundament zu heben. Für viele Unternehmen bedeutet das: Handlungsbedarf, und zwar jetzt.
Was steckt hinter der NIS2-Richtlinie?
Die NIS2-Richtlinie (Network and Information Security Directive 2) ist die Nachfolgerin der ursprünglichen NIS-Richtlinie aus dem Jahr 2016. Die erste Version war ein Anfang — aber kein ausreichender. Die Anforderungen galten nur für eine überschaubare Zahl von Betreibern kritischer Infrastrukturen, die Umsetzung in den Mitgliedstaaten war uneinheitlich, und Sanktionen blieben oft zahnlos. Das hat sich grundlegend geändert.
NIS2 wurde im Dezember 2022 im Amtsblatt der EU veröffentlicht und musste bis Oktober 2024 in nationales Recht umgesetzt werden. Der Anwendungsbereich wurde massiv ausgeweitet: Statt einiger Hundert Unternehmen pro Land fallen nun schätzungsweise zehntausende Unternehmen allein in Deutschland unter die neuen Regelungen. Die Richtlinie unterscheidet dabei zwischen „wesentlichen Einrichtungen" (Essential Entities) und „wichtigen Einrichtungen" (Important Entities) — mit jeweils unterschiedlich strengen Aufsichtsregimen.
Zur ersten Gruppe zählen unter anderem Energieversorger, Gesundheitseinrichtungen, Trinkwasserversorger, digitale Infrastruktur und Teile des Finanzsektors. Als „wichtige Einrichtungen" gelten beispielsweise Post- und Kurierdienste, Abfallwirtschaft, Lebensmittelproduktion und viele Bereiche des verarbeitenden Gewerbes. Die Faustregel: Mittlere und große Unternehmen in diesen Sektoren sind nahezu automatisch betroffen — unabhängig davon, ob sie sich bisher als „systemrelevant" verstanden haben oder nicht.
Welche IT-Sicherheitspflichten gelten konkret?
Das Herzstück der NIS2-Richtlinie ist ein umfangreicher Katalog technischer und organisatorischer Maßnahmen, den betroffene Unternehmen umsetzen müssen. Anders als bei früheren Regelwerken, die oft sehr allgemein formuliert waren, ist NIS2 deutlich konkreter. Artikel 21 der Richtlinie listet zehn Mindestanforderungen auf, die für alle erfassten Einrichtungen gelten.
- Risikoanalyse und Sicherheitskonzepte: Regelmäßige Bewertung der eigenen IT-Risiken und dokumentierte Sicherheitsrichtlinien.
- Incident Response: Klare Prozesse zur Erkennung, Meldung und Bewältigung von Sicherheitsvorfällen.
- Business Continuity Management: Backup-Strategien, Notfallpläne und Krisenmanagement müssen nachweislich existieren.
- Supply-Chain-Sicherheit: Auch die Sicherheit von Lieferanten und Dienstleistern muss bewertet und vertraglich abgesichert werden.
- Netzwerksicherheit: Technische Maßnahmen wie Netzwerksegmentierung, Schwachstellenmanagement und Patch-Management.
- Kryptografie und Verschlüsselung: Einsatz geeigneter kryptografischer Verfahren zum Schutz von Daten in Ruhe und in Übertragung.
- Zugangskontrolle und Identitätsmanagement: Mehrstufige Authentifizierung (MFA) und das Prinzip der minimalen Rechtevergabe.
- Schulungen und Awareness: Regelmäßige Sicherheitsschulungen für Mitarbeitende und das Management.
- Sicherheitsprüfungen: Penetrationstests und Audits zur Überprüfung der getroffenen Maßnahmen.
- Meldepflichten: Erhebliche Sicherheitsvorfälle müssen innerhalb von 24 Stunden gemeldet werden — zunächst als Erstmeldung, dann mit vollständigem Bericht innerhalb von 72 Stunden.
Besonders die Meldepflicht ist ein Novum für viele Unternehmen. Wer bislang einen Sicherheitsvorfall intern „gelöst" hat, ohne nach außen zu kommunizieren, muss seine Prozesse grundlegend überdenken. Die zuständige nationale Behörde — in Deutschland das BSI — muss aktiv informiert werden, sobald ein Vorfall erhebliche Auswirkungen auf den Betrieb oder Dritte haben könnte.
Wer ist betroffen — und wer glaubt fälschlicherweise, es nicht zu sein?
Hier liegt eine der größten praktischen Herausforderungen: Viele Unternehmen unterschätzen ihre eigene Betroffenheit. NIS2 gilt grundsätzlich für mittlere Unternehmen (mehr als 50 Mitarbeitende oder mehr als 10 Millionen Euro Jahresumsatz) in den definierten Sektoren. Doch auch kleinere Unternehmen können erfasst sein, wenn sie als kritisch für die Versorgungskette oder die gesellschaftliche Infrastruktur eingestuft werden.
„Wir dachten, wir sind zu klein für so etwas" — dieser Satz fällt in Beratungsgesprächen erstaunlich häufig. Dabei zeigt ein Blick in die Sektorenliste schnell, dass Größe allein kein Freifahrtschein ist. Ein mittelständischer IT-Dienstleister, der kritische Infrastrukturen als Kunden hat, sitzt genauso im Boot wie der Energieversorger selbst."
Besonders unterschätzt wird die sogenannte Lieferkettenwirkung: Auch wenn ein Unternehmen selbst nicht direkt unter NIS2 fällt, werden Vertragspartner, die unter NIS2 fallen, entsprechende Sicherheitsanforderungen über ihre Einkaufsbedingungen weitergeben. De facto entsteht so ein indirekter Druck auf die gesamte Zulieferkette. Wer also als Dienstleister oder Lieferant für NIS2-pflichtige Unternehmen tätig ist, sollte die eigene Sicherheitslage ebenfalls kritisch prüfen.
Die EU-Kommission schätzt, dass europaweit rund 160.000 Unternehmen und Organisationen unter NIS2 fallen — gegenüber etwa 13.000 unter der alten NIS-Richtlinie. Das verdeutlicht den Sprung in der Regulierungstiefe. Das Thema digitale Souveränität und europäische Cloud-Infrastruktur hängt dabei eng zusammen: Wer sichere, souveräne Infrastrukturen aufbauen will, braucht verbindliche Mindeststandards — genau das liefert NIS2.
Sanktionen: Was droht bei Verstößen?
Bußgelder sind in der NIS2-Richtlinie deutlich schärfer als in der Vorgängerversion. Für wesentliche Einrichtungen können Verstöße mit bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden — je nachdem, welcher Betrag höher ist. Für wichtige Einrichtungen gilt ein Rahmen von bis zu 7 Millionen Euro oder 1,4 % des Jahresumsatzes. Damit bewegen sich die Sanktionen in einer Liga mit der DSGVO, was die politische Ernsthaftigkeit hinter der Richtlinie unterstreicht.
Neu und bemerkenswert ist die persönliche Haftung des Managements. Geschäftsführerinnen und Geschäftsführer können bei schwerwiegenden Verstößen persönlich zur Verantwortung gezogen werden — ein Mechanismus, der in vielen Ländern bislang kaum im IT-Sicherheitsrecht verankert war. Das schafft starke Anreize, Cybersicherheit nicht länger an die IT-Abteilung zu delegieren, sondern als Führungsaufgabe zu verstehen.
Hinzu kommt die Möglichkeit, Unternehmen vorübergehend vom Markt auszuschließen oder Zertifizierungen zu entziehen, wenn wiederholte schwerwiegende Verstöße festgestellt werden. Diese Eskalationsstufe ist zwar ein letztes Mittel, signalisiert aber klar: Die Aufsichtsbehörden erhalten deutlich mehr Durchsetzungskraft als bisher.
So bereiten sich Unternehmen konkret vor
Die gute Nachricht: Wer bereits etablierte Sicherheitsstandards wie ISO 27001 oder BSI IT-Grundschutz implementiert hat, ist gut aufgestellt. Viele der NIS2-Anforderungen decken sich mit diesen Rahmenwerken. Dennoch gibt es Lücken, die gezielt adressiert werden müssen — vor allem bei der Meldekette, dem Supply-Chain-Management und der Governance-Dokumentation.
Ein strukturierter Ansatz hilft, den Überblick zu behalten. Folgende Schritte haben sich in der Praxis bewährt:
- Betroffenheitsanalyse: Klären, ob und in welcher Kategorie das Unternehmen unter NIS2 fällt. Hierfür bieten BSI und ENISA (European Union Agency for Cybersecurity) erste Orientierungshilfen.
- Gap-Analyse: Bestehende Sicherheitsmaßnahmen systematisch mit den NIS2-Anforderungen abgleichen und Handlungsfelder identifizieren.
- Roadmap entwickeln: Priorisierte Maßnahmen mit klaren Verantwortlichkeiten und Zeitplänen festlegen — realistisch und mit Ressourcenplanung hinterlegt.
- Management einbinden: Cybersicherheit auf die Vorstandsagenda setzen. NIS2 verlangt explizit, dass das Management Sicherheitsmaßnahmen genehmigt und deren Umsetzung überwacht.
- Lieferkette prüfen: Verträge mit Dienstleistern und Zulieferern auf Sicherheitsanforderungen hin überarbeiten und entsprechende Klauseln ergänzen.
- Meldeprozesse aufsetzen: Interne Eskalationswege und Kommunikationsprotokolle für Sicherheitsvorfälle definieren, damit im Ernstfall die 24-Stunden-Frist eingehalten werden kann.
- Schulungen durchführen: Technische Teams und Führungskräfte regelmäßig sensibilisieren — Awareness ist kein einmaliges Projekt, sondern ein kontinuierlicher Prozess.
Förderprogramme können die finanzielle Last der Umsetzung abfedern. Wer größere Digitalprojekte plant, sollte sich auch mit europäischen Förderinstrumenten auseinandersetzen — etwa mit dem Programm Horizon Europe, das Investitionen in digitale Sicherheitsinfrastrukturen unterstützt. Einen guten Überblick bietet unser Beitrag Horizon Europe: Förderung für Digitalprojekte verständlich erklärt.
NIS2 als Chance — nicht nur als Pflicht
Es wäre zu kurz gedacht, NIS2 rein als Compliance-Last zu betrachten. Unternehmen, die ihre Cybersicherheit ernsthaft angehen, stärken gleichzeitig ihre Resilienz gegenüber echten Bedrohungen. Ransomware-Angriffe, Datenlecks und Systemausfälle kosten die europäische Wirtschaft jährlich hunderte Milliarden Euro — weit mehr, als eine ordentliche Sicherheitsinfrastruktur kosten würde.
Darüber hinaus kann ein nachweislich hohes Sicherheitsniveau zum Wettbewerbsvorteil werden. Kunden, Investoren und Geschäftspartner achten zunehmend auf die Cyber-Resilienz ihrer Vertragspartner. Wer NIS2-Konformität glaubwürdig nachweisen kann — etwa durch Zertifizierungen oder transparente Sicherheitsberichte — signalisiert Verlässlichkeit in einer Zeit, in der digitale Risiken allgegenwärtig sind.
Langfristig trägt NIS2 auch zum größeren Ziel der europäischen digitalen Souveränität bei. Sichere, vertrauenswürdige Infrastrukturen sind die Voraussetzung dafür, dass Europa im globalen Wettbewerb um Daten, Plattformen und digitale Wertschöpfung bestehen kann. Die Richtlinie ist damit kein bürokratisches Hindernis, sondern ein Baustein in einem größeren strategischen Bild — einem Europa, das seine digitale Zukunft selbst gestaltet.