Was ist die NIS2-Richtlinie?

NIS2, die Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union, ist der erneuerte Rahmen der Europäischen Union für Cybersicherheit. Sie löst die NIS-Richtlinie von 2016 ab und weitet die Pflichten zur Cybersicherheit auf einen deutlich größeren Kreis von Organisationen aus: mittlere und große Einrichtungen in 18 Sektoren der EU-Wirtschaft. NIS2 trat am 16. Januar 2023 in Kraft. Die Mitgliedstaaten mussten sie bis zum 17. Oktober 2024 umsetzen und die Vorschriften ab dem 18. Oktober 2024 anwenden; viele nationale Gesetze kamen später, und im Mai 2025 forderte die Europäische Kommission 19 Mitgliedstaaten auf, NIS2 vollständig umzusetzen.

Wo die ursprüngliche NIS-Richtlinie Cybersicherheit als Sache einzelner Branchen und einer kleinen Gruppe von Betreibern kritischer Infrastruktur behandelte, behandelt NIS2 sie als waagerechtes Risiko der gesamten Wirtschaft. Jede „wesentliche“ oder „wichtige“ Einrichtung im Geltungsbereich, von Energie und Verkehr über Fertigung, Lebensmittelerzeugung und Postdienste bis zur digitalen Infrastruktur, muss nun einen vereinheitlichten Grundschutz erfüllen, Vorfälle melden und die Verantwortung der Leitung tragen, mit Sanktionen, die bis in die Geschäftsführung spürbar sein sollen.

NIS2, definiert

NIS2 ist eine Richtlinie und keine Verordnung. Diese Unterscheidung zählt. Eine Richtlinie setzt verbindliche Ziele, überlässt die Umsetzung in nationales Recht aber den Mitgliedstaaten. Der Text, dem eine regulierte Einrichtung tatsächlich folgt, ist deshalb das nationale Gesetz in jedem Land, in dem sie tätig ist: in Deutschland das NIS2UmsuCG, in Tschechien das Gesetz über Cybersicherheit und so fort. Grenzüberschreitende Gruppen müssen mehrere nationale Umsetzungen mit bisweilen erheblichen Unterschieden bei Bußgeldrahmen, Sektorlisten und Registrierungsverfahren zusammenbringen, obwohl die zugrunde liegende Richtlinie dieselbe ist.

Beaufsichtigt werden die Einrichtungen von den zuständigen nationalen Behörden, die jeder Mitgliedstaat benennt; die nationalen Computer Security Incident Response Teams (CSIRTs) übernehmen die Reaktion auf Vorfälle, und auf EU-Ebene koordinieren die NIS-Kooperationsgruppe und die ENISA (die Agentur der Europäischen Union für Cybersicherheit). Große Cybersicherheitsvorfälle und Krisen werden über EU-CyCLONe abgestimmt, das europäische Netzwerk der Verbindungsorganisationen für Cyberkrisen.

Für wen NIS2 gilt

NIS2 erfasst zwei Kategorien regulierter Einrichtungen, wesentliche und wichtige, unterschieden nach Bedeutung des Sektors, Größe und möglicher Wirkung. Beide Kategorien tragen dieselben Kernpflichten; der Unterschied liegt in der Aufsichtsintensität (wesentliche Einrichtungen unterliegen der Aufsicht vorab und im Nachgang, wichtige nur der Aufsicht im Nachgang) und in der Höhe der Bußgelder.

Sektoren mit hoher Kritikalität (große Einrichtungen sind wesentlich, mittlere mit wenigen Ausnahmen wichtig):

• Energie (Strom, Gas, Öl, Fernwärme, Wasserstoff)
• Verkehr (Luft, Schiene, Wasser, Straße)
• Bankwesen und Finanzmarktinfrastrukturen
• Gesundheit (Gesundheitsdienstleister, EU-Referenzlabore, Hersteller kritischer Medizinprodukte, Pharmaunternehmen)
• Trinkwasser und Abwasser
• Digitale Infrastruktur (DNS, TLD-Register, Cloud, Rechenzentren, CDNs, Vertrauensdienste, öffentliche elektronische Kommunikation)
• Verwaltung von IKT-Diensten (Managed Service Provider, Managed Security Service Provider)
• Einrichtungen der öffentlichen Verwaltung
• Raumfahrt

Weitere kritische Sektoren (grundsätzlich wichtige Einrichtungen):

• Post- und Kurierdienste
• Abfallwirtschaft
• Herstellung und Vertrieb von Chemikalien
• Erzeugung, Verarbeitung und Vertrieb von Lebensmitteln
• Herstellung von Medizinprodukten, Computern und Elektronik, Maschinen, Kraftfahrzeugen und sonstigem Fahrzeugbau
• Digitale Anbieter (Online-Marktplätze, Suchmaschinen, soziale Plattformen)
• Forschungseinrichtungen

Die Größenschwellen zählen. Die Grundregel lautet, dass mittlere und große Einrichtungen (ab 50 Beschäftigten oder mit Jahresumsatz und Jahresbilanzsumme über 10 Mio. €) in den erfassten Sektoren erfasst sind. Mitgliedstaaten können den Geltungsbereich nach unten auf kleinere Einrichtungen ausweiten, die sie für kritisch halten. Heraus kommt eine weit größere Abdeckung als bei der ursprünglichen NIS-Richtlinie, die auch Unternehmen hereinzieht, die historisch nie als kritische Infrastruktur galten.

Die Kernpflichten

NIS2 legt einen umfassenden Satz von Pflichten zum Risikomanagement der Cybersicherheit auf. Art. 21 NIS2 führt zehn Mindestmaßnahmen auf, die wesentliche und wichtige Einrichtungen umsetzen und dokumentieren müssen:

1. Konzepte für Risikoanalyse und Sicherheit der Informationssysteme: förmliche, von der Leitung freigegebene Regeln zur Lage der Cyberrisiken.
2. Bewältigung von Vorfällen: dokumentierte Verfahren für Erkennung, Eindämmung, Beseitigung, Wiederherstellung und Lernen nach dem Vorfall.
3. Aufrechterhaltung des Betriebs: Verwaltung von Sicherungen, Notfallwiederherstellung, Krisenmanagement und erprobte Wiederanlaufverfahren.
4. Sicherheit der Lieferkette: Risikobewertung und vertragliche Kontrollen für Lieferanten und Dienstleister im Bereich IKT, unter Berücksichtigung technischer Schwachstellen wie auch der Reife der Anbieter in der Cybersicherheit.
5. Sicherheit bei Erwerb, Entwicklung und Wartung von Netz- und Informationssystemen: sicherer Entwicklungszyklus, Umgang mit Schwachstellen und deren Offenlegung.
6. Konzepte zur Bewertung der Wirksamkeit: regelmäßige Prüfungen und Bewertungen der Maßnahmen zum Risikomanagement.
7. Grundlegende Cyberhygiene und Schulung: Schulungen sind für die Leitungsorgane Pflicht und sollen auch die Beschäftigten erreichen.
8. Kryptografie und Verschlüsselung: Regeln für den Einsatz von Kryptografie zum Schutz von Daten und Kommunikation.
9. Personalsicherheit, Regeln der Zugriffskontrolle und Verwaltung der Bestände: einschließlich der Verwaltung der Bestände; für digitale Infrastruktur, Managed Services und digitale Anbieter regelt die Durchführungsverordnung (EU) 2024/2690 die Bestandsverzeichnisse im Einzelnen.
10. Multi-Faktor-Authentifizierung oder kontinuierliche Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gesicherte Notfallkommunikation: soweit dem Risiko angemessen.

Mehrere dieser Pflichten, die Sicherheit der Lieferkette, die sichere Entwicklung, die Verwaltung der Bestände und die Zugriffskontrolle, sind ausdrücklich Fragen der Governance und des Verzeichnisses. Sie lassen sich nicht durch den Kauf einer Software für Endgeräteschutz erfüllen. Sie verlangen von einer Organisation zu wissen, welche Systeme und Daten sie hat, wer sie verwaltet und wie sie mit Lieferanten und Kunden verbunden sind.

Fristen für die Meldung von Vorfällen

NIS2 legt einen anspruchsvollen Meldetakt auf. Für jeden erheblichen Sicherheitsvorfall, also einen, der schwerwiegende Betriebsstörungen oder finanzielle Verluste für die Einrichtung verursacht hat oder verursachen kann oder andere durch erhebliche materielle oder immaterielle Schäden beeinträchtigt, müssen Einrichtungen ein vierstufiges Verfahren nach Art. 23 NIS2 einhalten (dazu ein Fortschrittsbericht, falls der Vorfall noch andauert):

1. Frühwarnung: binnen 24 Stunden nach Kenntnis des Vorfalls, mit der Angabe, ob der Verdacht besteht, dass der Vorfall auf rechtswidrige oder böswillige Handlungen zurückgeht, und ob er grenzüberschreitende Auswirkungen haben könnte.
2. Meldung des Vorfalls: binnen 72 Stunden, welche die Frühwarnung um Angaben zu Schwere, Wirkung und Kompromittierungsindikatoren ergänzt.
3. Zwischenbericht: auf Verlangen des CSIRT oder der zuständigen Behörde, mit den einschlägigen Aktualisierungen.
4. Abschlussbericht: binnen eines Monats nach der Meldung, mit ausführlicher Beschreibung des Vorfalls, seiner Schwere, der wahrscheinlichen Ursache, der angewandten oder laufenden Gegenmaßnahmen und jeder grenzüberschreitenden Wirkung. Dauert der Vorfall zu diesem Zeitpunkt noch an, ist stattdessen ein Fortschrittsbericht fällig und der Abschlussbericht binnen eines Monats nach Abschluss der Bearbeitung des Vorfalls.

Diese Fristen zu halten verlangt betrieblich viel. Binnen 24 Stunden nach Entdeckung muss die Einrichtung bereits verstehen, was betroffen ist und ob die Wirkung auf andere übergreift, eine Fähigkeit, die ganz daran hängt, ein genaues Bild von Systemen, Datenflüssen und Abhängigkeiten vor dem Vorfall zu haben und es nicht unter Feuer zu bauen.

Bußgelder und Haftung der Leitung

NIS2 hebt den finanziellen und den persönlichen Einsatz bei fehlender Compliance erheblich an:

• Wesentliche Einrichtungen: Art. 34 NIS2 verlangt Höchstbußgelder von mindestens 10 Mio. € oder 2 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, was höher ist (Mitgliedstaaten dürfen höhere festlegen).
• Wichtige Einrichtungen: Höchstbußgelder von mindestens 7 Mio. € oder 1,4 % des gesamten weltweiten Jahresumsatzes, je nachdem, was höher ist.
• Persönliche Haftung der Leitung: Behebt eine wesentliche Einrichtung Mängel nach früheren Durchsetzungsmaßnahmen nicht, können Behörden Zertifizierungen oder Genehmigungen aussetzen und ein vorübergehendes Verbot beantragen, dass der Geschäftsführer oder gesetzliche Vertreter Leitungsaufgaben wahrnimmt; zudem müssen die Mitgliedstaaten Leitungspersonen persönlich haftbar machen können.

Die Regeln zur persönlichen Haftung sind ein bemerkenswerter Bruch mit früheren EU-Regimen zur Cybersicherheit. Art. 20 NIS2 macht Leitungsorgane dafür verantwortlich, die Maßnahmen zum Risikomanagement freizugeben, ihre Umsetzung zu überwachen und selbst geschult zu werden. Diese Pflichten zu verfehlen ist kein delegierbares Versagen der IT, sondern ein Versagen der Governance auf Leitungsebene, mit Folgen für die Personen in der Leitung.

NIS2 und Data Governance

Es liegt nahe, NIS2 als reine Regulierung der Cybersicherheit zu lesen: Endgeräteschutz, Multi-Faktor-Authentifizierung, Verschlüsselung, Reaktion auf Vorfälle. Diese Lesart übersieht, wie strukturell NIS2 von der Governance der Daten und Bestände abhängt. Die Maßnahmen nach Art. 21 NIS2 sind nur dann umsetzbar, wenn die Einrichtung grundlegende Fragen zur eigenen digitalen Landschaft beantworten kann:

• Welche Netz- und Informationsbestände haben wir? Art. 21 Abs. 2 lit. i NIS2 verlangt ausdrücklich die Verwaltung der Bestände, und Art. 21 Abs. 2 lit. d und e NIS2 verlangen Kontrollen für Lieferkette und Erwerb, die ein Verzeichnis voraussetzen. Ein Datenkatalog über Systeme, Datenbestände und Verbindungen ist die betriebliche Antwort.
• Welche Daten fließen wohin, und über wen? Pflichten zur Sicherheit der Lieferkette verlangen Sicht darauf, wie Daten zu Dritten und von ihnen zurück wandern. Eine Data Lineage über Systeme und Lieferanten hinweg macht daraus statt eines Dokumentationsprojekts eine abfragbare Sicht.
• Wer verantwortet welchen Bestand? Eine Reaktion innerhalb von 24 Stunden verlangt für jedes betroffene System sofort ansprechbare Verantwortliche. Dokumentierte Datenverantwortung macht aus „Wer weiß darüber Bescheid?“ eine Abfrage statt einer Besprechung.
• Was ist sensibel oder kritisch? Risikobasierte Kontrollen und die Einstufung von Vorfällen verlangen Metadaten aus der Klassifizierung, die Systeme für wesentliche Dienste von unterstützenden Lasten und personenbezogene Daten von nicht personenbezogenen unterscheiden.
• Welche Lieferanten verarbeiten welche Daten? NIS2 verlangt kein Lieferantenregister, aber ein Register wie das von DORA (Art. 28 Abs. 3 DORA) ist der praktische Weg, Art. 21 Abs. 2 lit. d NIS2 nachzuweisen. Ein gepflegtes Lieferantenregister, verknüpft mit den Daten und Systemen, die jeder Lieferant berührt, trägt beides.
• Wie belegen wir, was wir wann wussten? Audit-Trails über Änderungen an Katalog und Klassifizierung sind der Nachweis, nach dem die Aufsicht bei einer Prüfung fragen wird.

Organisationen, die Data Governance für Auswertung, KI-Reife oder die Compliance mit der DSGVO aufgebaut haben, stellen fest, dass dieselbe Infrastruktur die Pflichten von NIS2 zu Verzeichnis und Lieferanten weitgehend erfüllt. Wer sie nicht hat, baut sie jetzt unter Fristdruck, oft doppelt in den Teams für Cybersicherheit und für Daten.

NIS2, DORA und DSGVO

NIS2 steht in einem dichten Feld überlappender EU-Regulierung. Die Beziehungen zu verstehen vermeidet Lücken wie Doppelarbeit:

• NIS2 und DORA: DORA ist lex specialis für Finanzunternehmen (Art. 4 NIS2). Wo DORA und NIS2 auf dieselbe Einrichtung anwendbar wären, gehen die spezielleren Anforderungen von DORA vor, und die Einrichtung gilt als von DORA reguliert. Finanzunternehmen im Geltungsbereich von DORA sind deshalb für dieselben Pflichten nicht zusätzlich von NIS2 reguliert, können für die sektorübergreifende Abstimmung in NIS2 aber weiterhin bedeutsam sein.
• NIS2 und DSGVO: Die DSGVO regelt den Schutz personenbezogener Daten, NIS2 die Cybersicherheit und die Widerstandsfähigkeit des Betriebs. Sie überschneiden sich, wenn ein Vorfall personenbezogene Daten betrifft; dann gelten die Meldepflichten beider Regime nebeneinander. Die Meldung nach der DSGVO und die Meldung nach NIS2 haben beide eine Frist von 72 Stunden ab Kenntnis, werden aber durch verschiedene Ereignisse ausgelöst, gehen an verschiedene Behörden und verlangen anderen Inhalt. Reife Verfahren zur Reaktion auf Vorfälle müssen beide bedienen.
• NIS2 und der CRA (Cyber Resilience Act): Der CRA stellt Anforderungen an die Cybersicherheit von Produkten mit digitalen Elementen, die in der EU in Verkehr gebracht werden. NIS2 regelt die Einrichtungen, die digitale Systeme betreiben. Eine von NIS2 regulierte Einrichtung, die vom CRA erfasste Produkte kauft, ist der typische Fall.

Die praktische Folgerung ist dieselbe wie bei DORA: die Infrastruktur für Data Governance und die Verwaltung der Bestände einmal bauen, mit mehreren Regimen im Blick, und jeder Aufsicht die richtige Sicht auf dieselbe zugrunde liegende Wahrheit geben.

Fazit

NIS2 ist die folgenreichste EU-Regulierung zur Cybersicherheit seit einem Jahrzehnt, sowohl wegen des Kreises, für den sie gilt, als auch wegen der Art, wie sie die Verantwortung der Leitung behandelt. Am schwersten tun sich Organisationen, die NIS2 allein aus dem Sicherheitsteam heraus erfüllen wollen: Werkzeuge kaufen, Regeln schreiben und Cyberrisiko als Technikproblem behandeln. Wer gut damit umgeht, behandelt NIS2 als Aufgabe der Governance, die durch Sicherheit, Daten, Lieferantenmanagement und die Leitung selbst läuft. Die Infrastruktur der Data Governance, also Katalog, Lineage, Klassifizierung, Verantwortung und Audit-Trail, ist in beiden Fällen dieselbe. Der Unterschied ist, ob sie schon da ist, wenn NIS2 fragt, oder parallel zur nächsten Reaktion auf einen Vorfall gebaut wird.

Quellen

• Publications Office of the EU (EUR-Lex), Directive (EU) 2022/2555 (NIS2) (DORA als lex specialis in Art. 4, Verantwortung der Leitung in Art. 20, die zehn Maßnahmen in Art. 21, Meldefristen und Definition des erheblichen Sicherheitsvorfalls in Art. 23, Aufsicht sowie Bußgelder in Art. 34).
• European Commission, NIS2 transposition - state of play (Stand der nationalen Umsetzung).
• European Commission, Commission calls on 19 Member States to fully transpose the NIS2 Directive (Pressemitteilung vom 7. Mai 2025; Umsetzungsfrist und verspätete nationale Gesetze).
• Publications Office of the EU (EUR-Lex), Regulation (EU) 2022/2554, Digital Operational Resilience Act (DORA) (Informationsregister in Art. 28 Abs. 3).
• Publications Office of the EU (EUR-Lex), Regulation (EU) 2016/679, General Data Protection Regulation (72-Stunden-Meldung bei Verletzungen des Schutzes personenbezogener Daten).
• Publications Office of the EU (EUR-Lex), Commission Recommendation 2003/361/EC (Definition mittlerer und großer Unternehmen hinter der Größenschwelle von NIS2).
• Publications Office of the EU (EUR-Lex), Commission Implementing Regulation (EU) 2024/2690 (Sicherheitsanforderungen für digitale Anbieter, einschließlich Bestandsverzeichnissen).
• Publications Office of the EU (EUR-Lex), Regulation (EU) 2024/2847, Cyber Resilience Act (Anforderungen an Produkte mit digitalen Elementen).