NIS2-Konformität, richtig umgesetzt
NIS2 gilt EU-weit seit dem 18. Oktober 2024. Sie erfasst 18 Sektoren, nimmt die Geschäftsleitung persönlich in die Pflicht und sieht Bußgelder von bis zu 10 Mio. Euro oder 2 % des weltweiten Umsatzes vor. Wir bringen Sie von „wir wissen nicht, wo wir stehen“ zu einem dokumentierten, belastbaren Compliance-Programm.
Diese Seite ist eine praxisnahe Zusammenfassung der Richtlinie (EU) 2022/2555 und keine Rechtsberatung. Die nationale Umsetzung ergänzt eigene Fristen, Registrierungsverfahren und Sektordefinitionen — wir prüfen Ihre konkreten Pflichten stets anhand des geltenden Rechts, bevor wir Arbeiten planen.
Die Grundlagen
Was NIS2 wirklich ist
NIS2 ist die Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union. Sie hat die ursprüngliche NIS-Richtlinie (2016/1148) abgelöst, trat am 16. Januar 2023 in Kraft, musste bis zum 17. Oktober 2024 in nationales Recht umgesetzt werden und gilt seit dem 18. Oktober 2024.
Anders als bei NIS1 werden Sie nicht mehr von einer Behörde „benannt“. Wenn Ihr Unternehmen in einem der gelisteten Sektoren tätig und mindestens ein mittleres Unternehmen ist, fallen Sie automatisch in den Anwendungsbereich — unabhängig davon, ob Sie jemand angeschrieben hat.
Und selbst wenn Sie nicht direkt erfasst sind, erreicht NIS2 Sie über die Lieferkettensicherheit: Erfasste Einrichtungen müssen die Sicherheit ihrer Lieferanten und Dienstleister bewerten und steuern. In der Praxis bedeutet das Sicherheitsfragebögen, vertragliche Sicherheitsanhänge und Nachweisanfragen, die europaweit bei kleinen IT-Anbietern, Agenturen und SaaS-Unternehmen landen.
Was sich gegenüber NIS1 geändert hat
Von 7 auf 18 Sektoren
Hinzugekommen sind Verarbeitendes Gewerbe, Lebensmittel, Chemikalien, Abfall, Post- und Kurierdienste, Forschungseinrichtungen, öffentliche Verwaltung, Raumfahrt und Managed-Service-Provider.
Automatischer Anwendungsbereich nach Größe
Die Größenschwellenregel ersetzt die nationale Benennung. Mittlere und größere Unternehmen in einem gelisteten Sektor sind kraft Gesetzes erfasst.
Registrierungspflicht
Einrichtungen müssen ihre Identifikationsdaten an die zuständige Behörde übermitteln, damit nationale und EU-weite Register der erfassten Einrichtungen geführt werden können.
Einheitliche Meldefristen
Frühwarnung binnen 24 Stunden, Vorfallsmeldung binnen 72 Stunden, Abschlussbericht binnen eines Monats — in jedem Mitgliedstaat gleich.
Die Leitung haftet
Leitungsorgane müssen die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen, Schulungen absolvieren — und können für Verstöße haftbar gemacht werden.
Bußgelder mit echter Wirkung
Bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes für wesentliche Einrichtungen — bewusst am DSGVO-Maßstab orientiert.
Anwendungsbereich
Gilt NIS2 für Sie?
Zwei Fragen entscheiden: in welchem Sektor Sie tätig sind und wie groß Sie sind. Einige Einrichtungsarten sind unabhängig von der Größe erfasst.
Die Größenschwellen
| Kleinst- und Kleinunternehmen | Unter 50 Beschäftigte und ≤ 10 Mio. € Umsatz / Bilanzsumme | Grundsätzlich nicht erfasst |
|---|---|---|
| Mittlere Unternehmen | 50–249 Beschäftigte oder Umsatz über 10 Mio. € | Erfasst — wichtige Einrichtung |
| Große Unternehmen | 250+ Beschäftigte oder Umsatz über 50 Mio. € und Bilanzsumme über 43 Mio. € | Wesentliche Einrichtung in Anhang-I-Sektoren |
Nach Empfehlung 2003/361/EG der Kommission. Beschäftigtenzahl und Finanzkennzahlen werden für das Unternehmen als Ganzes berechnet, einschließlich verbundener und Partnerunternehmen.
Unabhängig von der Größe erfasst
- DNS-Diensteanbieter und Register für Top-Level-Domain-Namen (TLD)
- Qualifizierte Vertrauensdiensteanbieter
- Anbieter öffentlicher elektronischer Kommunikationsnetze oder öffentlich zugänglicher elektronischer Kommunikationsdienste
- Von dem Mitgliedstaat benannte Einrichtungen der öffentlichen Verwaltung
- Alleinige Anbieter eines Dienstes, der für gesellschaftliche oder wirtschaftliche Tätigkeiten in einem Mitgliedstaat kritisch ist
- Nach der CER-Richtlinie (EU) 2022/2557 als kritisch eingestufte Einrichtungen
Anhang I — Sektoren mit hoher Kritikalität
Große Unternehmen sind hier wesentliche, mittlere wichtige Einrichtungen.
Anhang II — sonstige kritische Sektoren
Mittlere und große Unternehmen sind hier wichtige Einrichtungen.
Wesentliche vs. wichtige Einrichtungen
Beide Kategorien haben exakt dieselben Sicherheitspflichten. Unterschiedlich sind Aufsicht und Bußgeldhöhe.
| Wesentliche Einrichtungen | Wichtige Einrichtungen | |
|---|---|---|
| Wer | Große Unternehmen in Anhang-I-Sektoren sowie bestimmte Einrichtungsarten unabhängig von der Größe | Mittlere Unternehmen in Anhang-I-Sektoren sowie alle mittleren und großen Unternehmen in Anhang-II-Sektoren |
| Sicherheitspflichten | Der vollständige Maßnahmenkatalog nach Artikel 21 | Identisch — der vollständige Maßnahmenkatalog nach Artikel 21 |
| Aufsicht | Proaktiv: Vor-Ort-Prüfungen, regelmäßige und gezielte Audits, Sicherheitsscans, Auskunftsersuchen | Reaktiv: nur bei Nachweisen oder Anhaltspunkten für Verstöße |
| Höchstbußgeld | 10.000.000 € oder 2 % des weltweiten Jahresumsatzes — je nachdem, welcher Betrag höher ist | 7.000.000 € oder 1,4 % des weltweiten Jahresumsatzes — je nachdem, welcher Betrag höher ist |
| Managementverbot | Ein vorübergehendes Verbot für den Geschäftsführer oder gesetzlichen Vertreter, Leitungsfunktionen auszuüben, ist möglich | Nicht anwendbar |
Schnelle Anwendungsbereichsprüfung
Beantworten Sie drei Fragen für ein indikatives Ergebnis. Es folgt Artikel 3 der Richtlinie, ersetzt aber keine echte rechtliche Bewertung.
Nur indikativ. Konzernstruktur, Gemeinschaftsunternehmen und sektorspezifische Regeln (etwa DORA für Finanzunternehmen) können das Ergebnis ändern.
Artikel 21
Die zehn Mindestmaßnahmen
Jede erfasste Einrichtung muss geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen auf Basis eines Allgefahrenansatzes ergreifen. Die Richtlinie nennt zehn davon als Mindestmaß.
Risikoanalyse und Sicherheitsleitlinien
Eine dokumentierte Methodik, ein gepflegtes Risikoregister und auf Leitungsebene genehmigte Sicherheitsleitlinien für Informationssysteme.
Bewältigung von Sicherheitsvorfällen
Erkennung, Klassifizierung, Reaktion und Nachbereitung — mit benannten Rollen und einem Eskalationsweg, der auch um 3 Uhr nachts funktioniert.
Betriebskontinuität
Backup-Management, Notfallwiederherstellung und Krisenmanagement — einschließlich Wiederherstellungstests, nicht nur grüner Backup-Jobs.
Sicherheit der Lieferkette
Sicherheitsbewertung direkter Lieferanten und Dienstleister, vertragliche Sicherheitsanforderungen und ein Lieferantenregister.
Sichere Beschaffung, Entwicklung und Wartung
In den Lebenszyklus von Netz- und Informationssystemen eingebettete Sicherheit, einschließlich Schwachstellenbehandlung und -offenlegung.
Wirksamkeitsmessung
Leitlinien und Verfahren zur Bewertung, ob die Risikomanagementmaßnahmen tatsächlich wirken — Kennzahlen, Reviews und Innenrevision.
Cyberhygiene und Schulung
Grundlegende Cyberhygiene für alle und Cybersicherheitsschulungen, die tatsächlich stattfinden und dokumentiert werden.
Kryptografie und Verschlüsselung
Leitlinien zum Einsatz von Kryptografie, einschließlich verpflichtender Verschlüsselung und Schlüsselverwaltung.
Personalsicherheit, Zugriffskontrolle und Asset-Management
Sauber geregelte Ein-, Um- und Austritte, Zugriff nach dem Least-Privilege-Prinzip und ein aktuell gehaltenes Asset-Inventar.
Multi-Faktor-Authentifizierung und sichere Kommunikation
MFA oder kontinuierliche Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gesicherte Notfallkommunikationssysteme.
Artikel 23
Die Meldefristen
Ein erheblicher Sicherheitsvorfall ist einer, der schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht hat oder verursachen kann, oder der andere Personen durch erhebliche materielle oder immaterielle Schäden beeinträchtigt hat oder beeinträchtigen kann. Sobald Sie ihn feststellen, läuft die Uhr.
Benachrichtigen Sie das CSIRT oder die zuständige Behörde und geben Sie an, ob der Vorfall mutmaßlich auf rechtswidrige oder böswillige Handlungen zurückgeht oder grenzüberschreitende Auswirkungen haben könnte.
Ergänzen Sie die Frühwarnung um eine erste Bewertung: Schwere, Auswirkungen und, sofern verfügbar, Kompromittierungsindikatoren.
Das CSIRT oder die zuständige Behörde kann jederzeit einen Zwischenstand zur Bearbeitung des Vorfalls anfordern.
Eine ausführliche Beschreibung, Bedrohungsart und Grundursache, die ergriffenen Abhilfemaßnahmen und etwaige grenzüberschreitende Auswirkungen. Dauert der Vorfall noch an, reichen Sie stattdessen einen Fortschrittsbericht ein und den Abschlussbericht binnen eines Monats nach Abschluss der Bearbeitung.
Darüber hinaus müssen Sie gegebenenfalls die Empfänger Ihrer Dienste über erhebliche Vorfälle und erhebliche Cyberbedrohungen informieren, einschließlich der Maßnahmen, die sie selbst ergreifen können. 24 Stunden reichen nicht, um zu klären, wer was tut — deshalb muss das Verfahren vor dem Vorfall stehen.
Artikel 20, 32 und 34
Warum die Geschäftsleitung das nicht delegieren kann
Genehmigen
Leitungsorgane müssen die Cybersicherheits-Risikomanagementmaßnahmen selbst genehmigen — eine Entscheidung der IT-Abteilung genügt nicht.
Überwachen
Sie müssen die Umsetzung überwachen und können für Verstöße der Einrichtung gegen die Richtlinie haftbar gemacht werden.
Schulen
Mitglieder der Leitungsorgane müssen Schulungen absolvieren und Mitarbeitenden regelmäßig vergleichbare Schulungen anbieten.
Persönlich einstehen
Bei wesentlichen Einrichtungen können Behörden dem Geschäftsführer oder gesetzlichen Vertreter vorübergehend die Ausübung von Leitungsfunktionen untersagen.
Bußgelder sind nicht das einzige Mittel. Zuständige Behörden können Verwarnungen und verbindliche Anweisungen erteilen, die Benachrichtigung betroffener Kunden anordnen, Aspekte des Verstoßes veröffentlichen und eine Zertifizierung oder Genehmigung aussetzen.
Unser Angebot
Von der Scoping-Analyse bis zu prüffesten Nachweisen
Wir sind ein Engineering-Team, keine Papierfabrik. Richtlinien zählen — aber ebenso die tatsächlich aktivierte MFA, das tatsächlich wiederhergestellte Backup und die Vorfallsmeldung, die sich wirklich in 24 Stunden einreichen lässt. Jedes Paket unten endet mit etwas, das funktioniert, nicht nur mit einem Ordner.
NIS2-Gap-Analyse
Starten Sie hier, wenn Sie Ihren Stand noch nicht kennen
- Formale Einstufung: wesentlich, wichtig oder nicht erfasst — mit schriftlicher Begründung
- Inventar von Systemen, Daten, Dritten und den davon abhängigen Diensten
- Bewertung anhand aller zehn Maßnahmen des Artikels 21, bewertet und belegt
- Prüfung der externen Angriffsfläche sowie des aktuellen Backup- und MFA-Stands
- Priorisierte Maßnahmen-Roadmap mit Aufwand, Kosten und Verantwortlichem je Punkt
- Management-Briefing, damit die Leitung den Plan informiert genehmigen kann
NIS2-Umsetzung
Das Gesamtprogramm — Dokumente, Technik und Übungen
- Vollständiges Richtlinienpaket: Informationssicherheit, Risikomethodik und -register, Zugriffskontrolle, Kryptografie, Asset-Management, Personalsicherheit, Lieferantensicherheit, Nutzungsrichtlinie
- Incident-Response-Plan sowie versandfertige Meldevorlagen für 24/72 Stunden
- Business-Continuity- und Disaster-Recovery-Plan mit echtem, zeitlich gemessenem Wiederherstellungstest
- Technische Härtung: MFA-Rollout, Endpunktschutz, Patch- und Schwachstellenmanagement, Netzsegmentierung, zentrales Logging, E-Mail-Authentifizierung mit SPF, DKIM und DMARC
- Lieferantenprogramm: Lieferantenregister, Sicherheitsfragebogen, vertraglicher Sicherheitsanhang
- Schulungen: Session für das Leitungsorgan sowie Cyberhygiene und Phishing-Simulation für Mitarbeitende
- Unterstützung bei der Registrierung und ein Nachweisregister, strukturiert wie es die Aufsicht abfragen wird
NIS2 Managed Compliance
Compliance ist ein Zustand, den man hält — kein Projekt, das endet
- Vierteljährliche Risikoprüfung und Richtlinienaktualisierung mit laufend gepflegtem Audit-Trail
- Kontinuierliches Monitoring, 24/7-Alarmierung und Managed Endpoint Protection
- Wiederkehrende Schwachstellenscans und ein jährlicher Penetrationstest
- Incident-Bereitschaft: Wir helfen beim Eindämmen und erstellen mit Ihnen die 24-, 72-Stunden- und Abschlussberichte
- Jährliche Tabletop-Übung für das Leitungsorgan
- Laufende Neubewertung von Lieferanten, wenn sich Ihre Lieferantenliste ändert
- Wir stehen Ihnen bei einer aufsichtlichen Prüfung oder einem Audit zur Seite
Die Kompetenzen hinter den Paketen
Security Engineering
Offizielle Kaspersky- und Bitdefender-Partner. Endpunktschutz, Härtung, Segmentierung und Monitoring — von uns eingerichtet und betreut.
Backup und Wiederherstellung, die Sie wirklich getestet haben
Managed Hosting mit täglichen Backups, dokumentierten RPO- und RTO-Zielen und einer Wiederherstellungsübung, die einer Prüfung standhält.
Identität und Zugriff
MFA-Rollout für E-Mail, VPN, Admin-Panels und Cloud-Konsolen, Least-Privilege-Reviews und ein gelebter Joiner-Mover-Leaver-Prozess.
Sichere Softwareentwicklung
Wenn wir Ihre Systeme bauen oder betreuen, ist Artikel 21 Absatz 2 Buchstabe e durch unsere Arbeitsweise abgedeckt: Code-Review, Dependency-Scanning, Secrets-Management und ein Meldeweg für Schwachstellen.
Dokumentation, die einem Audit standhält
Richtlinien, die für Ihre Organisation geschrieben sind — keine Vorlagen mit ausgetauschtem Namen: geprüft, versioniert, genehmigt und datiert.
Incident Response auf Abruf
Eine Nummer zum Anrufen, ein bereits geschriebenes Playbook und jemand, der schon einmal eine 24-Stunden-Frühwarnung verfasst hat.
So arbeiten wir
Fünf Schritte von ungewiss zu belastbar
Kostenloses 30-Minuten-Gespräch
Wir klären, ob NIS2 Sie überhaupt betrifft und wie groß der Aufwand realistisch ist. Trifft es nicht zu, sagen wir das.
Scoping und Gap-Analyse
Zwei bis drei Wochen Interviews, Systemprüfung und Tests, abgeschlossen mit einem bewerteten Bericht zu den zehn Maßnahmen.
Roadmap und Freigabe durch die Leitung
Prioritäten, Budget und Verantwortliche. Das Leitungsorgan genehmigt die Maßnahmen förmlich — selbst eine Pflicht nach Artikel 20.
Umsetzung
Dokumente und Technik parallel, in Prioritätsreihenfolge, die risikoreichsten Lücken zuerst. Sie sehen alle zwei Wochen Fortschritt.
Aufrechterhalten und nachweisen
Vierteljährliche Reviews, Übungen, Scans und ein lebendes Nachweisregister — damit die Antwort schon existiert, wenn Aufsicht oder Kunde fragt.
Häufig gestellte Fragen
Beginnen Sie mit der Frage, auf die es ankommt: Wo stehen Sie?
Nennen Sie uns Ihren Sektor und ungefähr Ihre Größe. Wir melden uns binnen eines Arbeitstags mit einer ehrlichen Einschätzung, ob NIS2 für Sie gilt und was die Arbeit umfassen würde. Unverbindlich — und falls es nicht gilt, sagen wir auch das.