Für welche Unternehmen gilt die NIS-2-Richtlinie?

Das BSIG unterscheidet zwischen „besonders wichtigen Einrichtungen“ und „wichtigen Einrichtungen“. Die Einstufung hängt unter anderem von Sektor, Unternehmensgröße, Umsatz und Art der angebotenen Dienstleistungen ab.

Zu den relevanten Sektoren gehören unter anderem Energie, Transport und Verkehr, Finanzwesen, Gesundheit, Wasser, digitale Infrastruktur, Lebensmittel, Chemie, Abfallbewirtschaftung, verarbeitendes Gewerbe, Anbieter digitaler Dienste, Forschung und Weltraum.

Für Unternehmen ist es daher entscheidend, zunächst die eigene Betroffenheit und Einstufung zu prüfen und daraus die jeweils geltenden Anforderungen abzuleiten.

Was bedeutet NIS-2 für Unternehmen?

NIS-2 konkretisiert die Anforderungen an die organisatorische und technische Ausgestaltung der Cybersicherheit und überführt diese in verbindliche unternehmerische Pflichten. Im Mittelpunkt stehen die systematische Steuerung von Risiken, der Schutz von Netz- und Informationssystemen sowie die Resilienz geschäftskritischer Prozesse.

Zu den zentralen Handlungsfeldern gehören:

• Informationssicherheits-Risikoanalyse und -überwachung
• Business Continuity und Krisenmanagement
• Lieferketten- und Drittparteirisikomanagement
• Sichere Beschaffung, Entwicklung und Wartung von IT-Systemen
• Behandlung und Meldung von Sicherheitsvorfällen
• Security Awareness und Schulungen
• Kryptografie und Schlüsselmanagement
• Identitäts- und Zugriffsmanagement
• Sichere Kommunikation und Multi-Faktor-Authentifizierung

Meldepflichten und Verantwortung der Geschäftsleitung

NIS-2 erweitert nicht nur die Sicherheitsanforderungen, sondern auch die Melde- und Informationspflichten. Erhebliche Sicherheitsvorfälle sind gestuft zu melden: Innerhalb von 24 Stunden nach Kenntniserlangung ist eine Erstmeldung vorgesehen, innerhalb von 72 Stunden folgt eine detaillierte Bewertung.

Gleichzeitig liegt die Verantwortung für die Umsetzung der NIS-2-Anforderungen gemäß § 38 BSIG ausdrücklich bei der Geschäftsleitung. Sie muss geeignete Risikomanagement- und Sicherheitsmaßnahmen implementieren und deren Wirksamkeit kontinuierlich überwachen.

Fünf typische Herausforderungen bei der Umsetzung von NIS-2

In der Praxis zeigt sich, dass Unternehmen bei der Umsetzung immer wieder vor ähnlichen strukturellen und operativen Herausforderungen stehen. Das Whitepaper identifiziert fünf zentrale Problemfelder.

1. Fehlende Regulierungserfahrung

   Unternehmen ohne bestehende regulatorische Strukturen stehen häufig vor der Frage, welche Anforderungen konkret relevant sind und wie diese umgesetzt werden können. Ein strukturierter Einstieg, beispielsweise durch eine Gap-Analyse, hilft dabei, bestehende Strukturen zu bewerten, Handlungsbedarf zu identifizieren und Maßnahmen zu priorisieren.
    

2. NIS-2 als einmaliges Projekt betrachten

   NIS-2 sollte nicht als kurzfristiges Compliance-Projekt verstanden werden. Anforderungen müssen dauerhaft in Governance-, Risiko- und Kontrollstrukturen integriert, Verantwortlichkeiten klar definiert und Maßnahmen kontinuierlich überprüft und weiterentwickelt werden.
    

3. Lieferketten- und Drittparteirisiken unterschätzen

   Externe Dienstleister und digitale Lieferketten spielen eine wesentliche Rolle für die Cyberresilienz. Unternehmen benötigen Transparenz über relevante Drittparteien, eine risikobasierte Bewertung, geeignete vertragliche Regelungen sowie kontinuierliche Prüf- und Bewertungsprozesse.
    

4. Zu starker Fokus auf technische Maßnahmen

   Technische Sicherheitslösungen allein reichen für eine nachhaltige Umsetzung nicht aus. Sie müssen mit organisatorischen Maßnahmen, eindeutigen Verantwortlichkeiten, Governance-Strukturen und übergreifenden Steuerungsmechanismen verbunden werden.
    

5. Fachkräftemangel als Umsetzungsblocker

   Fehlende IT- und Cybersecurity-Fachkräfte können die Umsetzung von NIS-2 erschweren. Ein klares Operating Model, gezielte externe Unterstützung, systematische Weiterbildung sowie Automatisierung können dazu beitragen, vorhandene Ressourcen gezielter einzusetzen.

Welche Sanktionen drohen bei NIS-2-Verstößen?

Unternehmen, die die Anforderungen nicht erfüllen, müssen mit erheblichen Sanktionen rechnen. Für wichtige Einrichtungen sieht das BSIG Bußgelder von bis zu 7 Millionen Euro, für besonders wichtige Einrichtungen von bis zu 10 Millionen Euro vor. Bei Unternehmen mit einem Gesamtumsatz von mehr als 500 Millionen Euro können darüber hinaus umsatzbasierte Bußgelder greifen.

Die erweiterten Aufsichtsbefugnisse umfassen unter anderem Vor-Ort-Inspektionen, Sicherheitsaudits, anlassbezogene Überprüfungen und Sicherheitsscans.

Wie ist der aktuelle Umsetzungsstand von NIS-2 in Deutschland?

Nach Schätzungen des BSI fallen rund 29.500 Organisationen unter NIS-2. Bis zum 30. Juni 2026 waren rund 18.000 Organisationen registriert. Damit besteht weiterhin eine erhebliche Umsetzungslücke.

Für Unternehmen kommt es deshalb darauf an, bestehende Compliance-Lücken zu identifizieren, Handlungsfelder zu priorisieren und belastbare Sicherheits- und Governance-Strukturen aufzubauen.

NIS-2 nachhaltig umsetzen

NIS-2 ist nicht als einmaliges Compliance-Projekt zu verstehen, sondern als kontinuierlicher Managementprozess. Entscheidend sind klare Verantwortlichkeiten, eine risikobasierte Priorisierung und die dauerhafte Integration der Anforderungen in Organisation, Prozesse und Technologie.

Unternehmen, die frühzeitig Transparenz über ihre Betroffenheit und ihren konkreten Handlungsbedarf schaffen, können Maßnahmen gezielter steuern, regulatorische Risiken reduzieren und gleichzeitig ihre Cyberresilienz stärken.

NIS-2 in der Praxis: Herausforderungen, Fallstricke und Lösungswege

Erfahren Sie im vollständigen Whitepaper, welche Herausforderungen bei der Umsetzung besonders relevant sind und welche Lösungsansätze Unternehmen dabei unterstützen können, NIS-2 nachhaltig in ihrer Organisation zu verankern.