NIS2 (Richtlinie (EU) 2022/2555)
NIS2 (Richtlinie (EU) 2022/2555) ist die EU-Richtlinie zur Cybersicherheit wesentlicher und wichtiger Einrichtungen. Sie verpflichtet Unternehmen in 18 Sektoren zu Risikomanagement, Meldeprozessen und Management-Verantwortung — anders als der CRA regelt sie Organisationen, nicht Produkte. NIS2 ersetzt die erste NIS-Richtlinie von 2016 und ist seit Januar 2023 in Kraft; die Frist zur Umsetzung in nationales Recht lief am 17. Oktober 2024 ab.
Wer fällt unter NIS2?
NIS2 unterscheidet zwei Kategorien mit unterschiedlich strenger Aufsicht:
| Kategorie | Beispiele für Sektoren | Aufsicht |
|---|---|---|
| Wesentliche Einrichtungen | Energie, Transport, Gesundheit, Wasser, digitale Infrastruktur, Banken | Proaktive Aufsicht, strengere Sanktionen |
| Wichtige Einrichtungen | Verarbeitendes Gewerbe (u. a. Maschinenbau, Elektronik, Fahrzeugbau), Chemie, Lebensmittel, digitale Dienste, Post | Reaktive Aufsicht |
Als Faustregel greift die Richtlinie ab mittlerer Unternehmensgröße — ab 50 Beschäftigten oder 10 Mio. Euro Jahresumsatz — sofern das Unternehmen in einem der erfassten Sektoren tätig ist. Für einzelne Einrichtungstypen, etwa Anbieter kritischer digitaler Infrastruktur, gilt sie größenunabhängig. Gegenüber der ersten NIS-Richtlinie erweitert NIS2 den Kreis der Betroffenen erheblich: Insbesondere große Teile des verarbeitenden Gewerbes sind erstmals erfasst.
Was fordert NIS2?
Der Kern sind Risikomanagementmaßnahmen (Artikel 21): Betroffene Einrichtungen müssen unter anderem Risikoanalysen und Sicherheitskonzepte, Incident-Handling, Business Continuity, Sicherheit der Lieferkette, Schwachstellenmanagement, Kryptografie und Multi-Faktor-Authentisierung nachweisbar umsetzen. Dazu kommen Meldepflichten für erhebliche Sicherheitsvorfälle: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht binnen eines Monats.
Eine Besonderheit ist die Management-Verantwortung: Die Leitungsorgane müssen die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen und sich selbst schulen lassen — und können für Verstöße verantwortlich gemacht werden. Cybersicherheit ist unter NIS2 keine delegierbare IT-Aufgabe mehr, sondern Chefsache.
Bei Verstößen drohen wesentlichen Einrichtungen Bußgelder von bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes, wichtigen Einrichtungen bis zu 7 Mio. Euro oder 1,4 % — maßgeblich ist jeweils der höhere Betrag.
NIS2 und der Cyber Resilience Act
NIS2 und CRA sind komplementär: NIS2 verlangt von Betreibern sichere Organisationen und Prozesse, der CRA verlangt von Herstellern sichere Produkte. Die Verbindung ist konkret: NIS2-pflichtige Einrichtungen müssen die Sicherheit ihrer Lieferkette bewerten — CRA-konforme Produkte mit CE-Kennzeichnung erleichtern genau diesen Nachweis. Und die unter NIS2 benannten nationalen CSIRTs sind zugleich die Stellen, an die Hersteller ab September 2026 ihre CRA-Meldungen nach Artikel 14 richten.
NIS2 in der Praxis: Betroffenheit klären, Strukturen doppelt nutzen
Da NIS2 eine Richtlinie ist, gilt sie nicht unmittelbar, sondern über nationale Umsetzungsgesetze — in Deutschland hat sich diese Umsetzung deutlich über die Frist hinaus verzögert, betroffene Unternehmen müssen sich nach dem deutschen Umsetzungsgesetz beim BSI registrieren. Der erste Schritt ist deshalb die Betroffenheitsprüfung: Sektor, Größe, Rolle in der Lieferkette. Wer zugleich Produkte mit digitalen Elementen herstellt, sollte NIS2- und CRA-Vorbereitung zusammen denken: Incident-Response-Prozesse, Schwachstellenmanagement und Meldewege lassen sich einmal aufbauen und für beide Regularien nutzen.