Häufig gestellte Fragen
Was ist die NIS-2-Richtlinie?
NIS-2 ist die zweite EU-Richtlinie zur Netz- und Informationssicherheit (Richtlinie (EU) 2022/2555) und löst die ursprüngliche NIS-Richtlinie aus dem Jahr 2016 ab. Sie verfolgt das Ziel, ein einheitlich hohes Cybersicherheitsniveau in der gesamten Europäischen Union zu schaffen, und verpflichtet betroffene Unternehmen zu Risikomanagement-, Melde- und Governance-Maßnahmen. Als Richtlinie entfaltet sie keine unmittelbare Wirkung, sondern muss von jedem Mitgliedstaat in nationales Recht überführt werden. In Deutschland geschieht dies über das NIS-2-Umsetzungsgesetz (NIS2UmsuCG), das die Anforderungen vor allem im novellierten BSI-Gesetz verankert.
Welche Unternehmen sind von NIS-2 betroffen?
NIS-2 erfasst Organisationen in 18 regulierten Sektoren, darunter Energie, Verkehr, Bankwesen, Gesundheit, Trinkwasser, digitale Infrastruktur, öffentliche Verwaltung, Abfallwirtschaft, Lebensmittel- und Chemieproduktion sowie weite Teile des verarbeitenden Gewerbes. Maßgeblich ist in der Regel die Unternehmensgröße: Betroffen sind grundsätzlich Einrichtungen ab 50 Beschäftigten oder zehn Millionen Euro Jahresumsatz, in bestimmten Sektoren auch unabhängig von der Größe. Die Richtlinie unterscheidet dabei zwischen besonders wichtigen und wichtigen Einrichtungen, die sich vor allem in Schwellenwerten und der Intensität der staatlichen Aufsicht unterscheiden. In Deutschland fallen nach Schätzungen rund 29.500 bis 30.000 Unternehmen in den Anwendungsbereich.
Welche Pflichten schreibt NIS-2 konkret vor?
Im Zentrum stehen technische und organisatorische Risikomanagementmaßnahmen, die dem aktuellen Stand der Technik entsprechen müssen und in der Richtlinie als Mindeststandard aufgeführt sind. Dazu zählen unter anderem Risikoanalyse und Sicherheitskonzepte, die Behandlung von Sicherheitsvorfällen, Business Continuity mit Backup- und Krisenmanagement, die Sicherheit der Lieferkette sowie Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentifizierung. Hinzu kommen gestufte Meldepflichten gegenüber der Aufsichtsbehörde und Schulungsanforderungen. Ausdrücklich vorgesehen ist außerdem eine aktive Rolle der Geschäftsleitung, die die Maßnahmen billigen und ihre Umsetzung überwachen muss.
Welche Strafen drohen bei einem NIS-2-Verstoß?
Für besonders wichtige Einrichtungen sind Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes vorgesehen, je nachdem welcher Betrag höher ist; für wichtige Einrichtungen liegt der Rahmen mit bis zu 7 Millionen Euro oder 1,4 Prozent des weltweiten Jahresumsatzes niedriger. Damit ist das Sanktionsniveau in der Spitze vergleichbar mit der DSGVO. Über das Bußgeld hinaus kann die Aufsichtsbehörde verbindliche Anordnungen erlassen und in schweren Fällen Tätigkeiten oder Zertifizierungen aussetzen. Hinzu kommt die persönliche Verantwortung der Geschäftsleitung, die für die Einhaltung der Risikomanagementpflichten haftbar gemacht werden kann.
Bis wann muss NIS-2 umgesetzt sein und gilt es in Deutschland schon?
Die EU-Frist zur Umsetzung der Richtlinie in nationales Recht lief bereits am 17. Oktober 2024 ab. Deutschland hat diese Frist deutlich überschritten; das NIS-2-Umsetzungsgesetz (NIS2UmsuCG) wurde erst im November 2025 verabschiedet und ist am 6. Dezember 2025 in Kraft getreten. Eine allgemeine Übergangsfrist für betroffene Unternehmen sieht das Gesetz nicht vor, sodass Registrierungs-, Melde- und Risikomanagementpflichten unmittelbar greifen. Unternehmen sollten daher zeitnah prüfen, ob sie in den Anwendungsbereich fallen, und ihre Sicherheitsmaßnahmen entsprechend dokumentieren.
Welche Meldefristen gelten bei einem Sicherheitsvorfall?
NIS-2 sieht ein dreistufiges Meldesystem für erhebliche Sicherheitsvorfälle vor. Zunächst ist innerhalb von 24 Stunden nach Kenntnisnahme eine Frühwarnung an die zuständige Behörde zu übermitteln, in Deutschland das BSI. Innerhalb von 72 Stunden folgt eine genauere Bewertung des Vorfalls und nach spätestens einem Monat ein Abschlussbericht. Als erheblich gilt ein Vorfall insbesondere dann, wenn er schwerwiegende Betriebsstörungen oder finanzielle Schäden verursacht oder andere natürliche oder juristische Personen erheblich beeinträchtigen kann.
Was bedeutet NIS-2 für den Betrieb eines ERP-Systems?
Ein ERP-System bündelt Stamm-, Finanz-, Logistik- und Personaldaten und zählt damit häufig zu den schützenswertesten Anwendungen eines Unternehmens, weshalb viele NIS-2-Anforderungen direkt seinen Betrieb berühren. Praktisch betrifft das ein durchdachtes Rollenkonzept nach dem Prinzip minimaler Berechtigung, starke Authentifizierung per Multi-Faktor-Verfahren und einen lückenlosen Audit-Trail, der Änderungen nachvollziehbar dokumentiert. Da ERP-Systeme über zahlreiche Schnittstellen mit Vor- und Drittsystemen kommunizieren, fällt auch deren Absicherung sowie ein definierter Patch- und Update-Prozess unter die geforderten Maßnahmen. Wird der Betrieb an Dienstleister oder in die Cloud ausgelagert, bleibt die Verantwortung beim betroffenen Unternehmen bestehen.