NIS2: Wer ist betroffen und was ist zu tun?

NIS2 ist der Grund, warum in vielen Unternehmen seit 2024 plötzlich Fragebögen zur IT-Sicherheit von Kunden und Lieferanten eintreffen. Die Richtlinie erweitert den Kreis der regulierten Unternehmen erheblich und macht Cybersicherheit zur Aufgabe der Geschäftsleitung. Dieser Leitfaden ordnet ein, wen sie erfasst, was sie verlangt und wo die verbindlichen Angaben stehen.

Was ist NIS2?

NIS2 ist die Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union. Sie löst die erste NIS-Richtlinie von 2016 ab, weitet den Anwendungsbereich auf deutlich mehr Sektoren aus und vereinheitlicht Mindestanforderungen an Risikomanagement, Meldewesen und Aufsicht.

Entscheidend für die Praxis: Eine Richtlinie gilt nicht unmittelbar. Sie verpflichtet die Mitgliedstaaten, eigenes Recht zu erlassen. Maßgeblich für ein Unternehmen in Deutschland ist deshalb nicht der Text der Richtlinie, sondern das deutsche Umsetzungsgesetz und das dadurch geänderte BSI-Gesetz. Die Mitgliedstaaten dürfen strenger sein als die Richtlinie, weshalb sich Details zwischen Deutschland, Österreich und anderen Staaten unterscheiden können. Wer in mehreren Ländern tätig ist, prüft jede Jurisdiktion einzeln.

Wer ist von NIS2 betroffen?

Von NIS2 betroffen sind grundsätzlich Einrichtungen, die in einem der in den Anhängen I und II der Richtlinie genannten Sektoren tätig sind und mindestens die Größe eines mittleren Unternehmens erreichen. Hinzu kommen bestimmte Einrichtungstypen, die unabhängig von ihrer Größe erfasst werden.

Die Sektoren

Die Richtlinie unterscheidet zwei Anhänge. Anhang I umfasst Sektoren mit hoher Kritikalität, Anhang II weitere kritische Sektoren. Die Einordnung entscheidet mit darüber, ob eine Einrichtung als wesentlich oder als wichtig gilt.

Die Tabelle ist eine verkürzte Übersicht. Die verbindliche Abgrenzung steht in den Anhängen der Richtlinie und in den Anlagen des deutschen Umsetzungsgesetzes, jeweils mit konkreten Tätigkeitsbeschreibungen. Ein Maschinenbauer ist nicht automatisch erfasst, weil er Maschinen baut, sondern nur, wenn seine Tätigkeit unter die dort genannten Kategorien fällt.

Die Größenkriterien

Die Größenschwelle orientiert sich an der EU-Definition für kleine und mittlere Unternehmen (Empfehlung 2003/361/EG). Als grobe Orientierung gilt: Ein mittleres Unternehmen hat mindestens 50 Beschäftigte oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils mehr als 10 Millionen Euro. Ein großes Unternehmen liegt bei mindestens 250 Beschäftigten oder über 50 Millionen Euro Umsatz bei gleichzeitig mehr als 43 Millionen Euro Bilanzsumme.

Die exakte Verknüpfung der Kriterien, insbesondere ob Umsatz und Bilanzsumme kumulativ oder alternativ zählen und wie verbundene Unternehmen einzurechnen sind, ist rechtlich anspruchsvoll und im Detail dem Gesetzestext zu entnehmen. Rechne die Werte nicht aus dem Gedächtnis nach, sondern gegen die aktuelle Fassung des Umsetzungsgesetzes.

Aus Sektor und Größe ergibt sich die Kategorie. Die Richtlinie spricht von wesentlichen und wichtigen Einrichtungen, das deutsche Recht von besonders wichtigen und wichtigen Einrichtungen. Gemeint ist dasselbe Prinzip: unterschiedliche Aufsichtsintensität bei weitgehend identischen inhaltlichen Pflichten.

Ausnahmen von der Größenregel

Einige Einrichtungen fallen unabhängig von Beschäftigtenzahl und Umsatz in den Anwendungsbereich. Dazu zählen unter anderem Anbieter öffentlicher elektronischer Kommunikationsnetze und -dienste, Vertrauensdiensteanbieter, DNS-Diensteanbieter und TLD-Namenregister. Ergänzend können Mitgliedstaaten Einrichtungen einbeziehen, die als alleiniger Anbieter einer kritischen Dienstleistung im Land auftreten oder deren Ausfall erhebliche Auswirkungen hätte.

graph TD
    A["Ist dein Unternehmen in einem Sektor aus Anhang I oder II tätig?"] -->|nein| B["NIS2 greift nicht unmittelbar. Anforderungen über die Lieferkette sind trotzdem wahrscheinlich."]
    A -->|ja| C{"Gehörst du zu den Typen, die unabhängig von der Größe erfasst sind, etwa DNS, TLD, Vertrauensdienste, öffentliche TK-Netze?"}
    C -->|ja| D["Erfasst, ohne Größenschwelle."]
    C -->|nein| E{"Mindestens 50 Beschäftigte oder über 10 Mio. Euro Umsatz und Bilanzsumme?"}
    E -->|nein| B
    E -->|ja| F{"Großes Unternehmen und Sektor aus Anhang I?"}
    F -->|ja| G["Voraussichtlich wesentliche beziehungsweise besonders wichtige Einrichtung."]
    F -->|nein| H["Voraussichtlich wichtige Einrichtung."]

Das Diagramm bildet die Grundlogik ab, ersetzt aber keine rechtliche Prüfung. Sonderfälle, Konzernstrukturen und die genaue Tätigkeitszuordnung entscheiden im Einzelfall.

Was verlangt NIS2 konkret?

NIS2 verlangt von betroffenen Einrichtungen drei Dinge: geeignete und verhältnismäßige Risikomanagementmaßnahmen für die eigenen Netz- und Informationssysteme, ein gestuftes Meldewesen für erhebliche Sicherheitsvorfälle und die nachweisbare Verantwortung der Geschäftsleitung für beides.

Risikomanagement

Artikel 21 der Richtlinie nennt einen Katalog von Mindestmaßnahmen, den die Mitgliedstaaten umsetzen. Er ist bewusst als Themenliste formuliert, nicht als technische Spezifikation:

• Risikoanalyse und Sicherheitskonzepte für Informationssysteme, als dokumentierte Grundlage aller weiteren Maßnahmen.
• Bewältigung von Sicherheitsvorfällen, also definierte Prozesse für Erkennung, Reaktion und Nachbereitung.
• Business Continuity, einschließlich Backup-Management, Wiederherstellung und Krisenmanagement.
• Sicherheit der Lieferkette, inklusive der Beziehungen zu unmittelbaren Anbietern und Dienstleistern.
• Sicherheit bei Erwerb, Entwicklung und Wartung von Systemen, einschließlich Schwachstellenmanagement.
• Bewertung der Wirksamkeit der ergriffenen Maßnahmen, also Messung statt Annahme.
• Cyberhygiene und Schulungen für Beschäftigte.
• Kryptografie und Verschlüsselung, mit Konzepten für ihren Einsatz.
• Personalsicherheit, Zugriffskontrolle und Asset-Management.
• Multi-Faktor-Authentifizierung, gesicherte Kommunikation und Notfallkommunikation.

Die Anforderungen sind verhältnismäßig auszulegen: Risikoexposition, Größe und Stand der Technik bestimmen die Tiefe. Ein Rechenzentrumsbetreiber und ein Lebensmittelhersteller mit 60 Beschäftigten schulden nicht dasselbe Niveau.

Meldepflichten

Die Fristenkaskade für erhebliche Sicherheitsvorfälle ist der Teil von NIS2, der am unmittelbarsten in bestehende Prozesse eingreift. Artikel 23 der Richtlinie sieht drei Stufen gegenüber dem zuständigen CSIRT beziehungsweise der zuständigen Behörde vor, in Deutschland dem BSI.

Auf Anforderung der Behörde kommen Zwischenberichte hinzu. Erheblich ist ein Vorfall unter anderem dann, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht oder andere natürliche oder juristische Personen schädigen kann. Die genaue Schwelle konkretisieren die Umsetzungsgesetze und für einzelne Anbietertypen ein EU-Durchführungsrechtsakt.

Verantwortung der Geschäftsleitung

NIS2 verpflichtet die Leitungsorgane, die Risikomanagementmaßnahmen zu billigen und ihre Umsetzung zu überwachen. Die Richtlinie sieht vor, dass Leitungsorgane für Verstöße verantwortlich gemacht werden können und regelmäßig an Schulungen teilnehmen. Das deutsche Umsetzungsrecht greift diesen Punkt auf. Cybersicherheit ist damit keine delegierbare IT-Aufgabe mehr, sondern eine Pflicht auf Leitungsebene.

Was bedeutet das für die eigene IT und die Cloud?

Für die Infrastruktur folgt aus NIS2 kein Produktkatalog, sondern eine Nachweislast. Du musst belegen können, dass Maßnahmen existieren, wirken und überprüft werden. Das trifft die Dokumentation oft härter als die Technik.

Besondere Aufmerksamkeit verdient die Lieferkette. Wer Systeme betreibt, tut das selten vollständig selbst. Cloud-Plattformen, Managed Services, Monitoring und Backup sind Teil der zu betrachtenden Kette. Praktisch heißt das:

• Dienstleister inventarisieren: Welche externen Dienste sind an der Erbringung der eigenen kritischen Leistung beteiligt?
• Nachweise einsammeln: Testate und Zertifikate der Anbieter, etwa nach BSI C5 oder ISO/IEC 27001, dienen als Beleg. Sie ersetzen die eigene Bewertung nicht, verkürzen sie aber deutlich.
• Verträge prüfen: Melde- und Informationspflichten des Anbieters bei Sicherheitsvorfällen müssen zur eigenen 24-Stunden-Frist passen. Ein Anbieter, der erst nach Tagen informiert, macht die eigene Frist unhaltbar.
• Datenverarbeitungsorte und Gerichtsstand kennen, weil beides in Risikobewertungen und Kundenaudits regelmäßig abgefragt wird.

Der zweite Effekt trifft auch nicht betroffene Unternehmen: Betroffene Einrichtungen geben ihre Anforderungen vertraglich an Zulieferer weiter. Ein 20-Personen-Softwarehaus fällt nicht unter NIS2, bekommt die Anforderungen aber über den Kundenvertrag.

Welche Fristen gelten und was passiert bei Verstößen?

Die Umsetzungsfrist für die Mitgliedstaaten endete am 17. Oktober 2024. Mehrere Staaten, darunter Deutschland, haben sie überschritten. Das deutsche NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz hat den parlamentarischen Prozess erst deutlich später durchlaufen. Den aktuellen Stand des Inkrafttretens, die Registrierungsfristen beim BSI und etwaige Übergangsregelungen prüfst du direkt beim BSI oder beim Bundesministerium des Innern. Diese Angaben veralten schnell und sollten nicht aus Sekundärquellen übernommen werden.

Zwei Punkte sind unabhängig vom genauen Datum verlässlich. Erstens gibt es eine Registrierungspflicht: Betroffene Einrichtungen müssen sich bei der zuständigen Stelle melden, das Gesetz stellt darauf nicht ab, ob die Behörde sie von sich aus findet. Zweitens unterscheidet sich die Aufsicht nach Kategorie.

Die genannten Beträge sind die Obergrenzen aus der Richtlinie. Welche Bußgeldtatbestände das deutsche Recht im Einzelnen vorsieht und wie sie bemessen werden, steht im Umsetzungsgesetz. Neben Bußgeldern kennt die Richtlinie weitere Instrumente, etwa Anordnungen, verpflichtende Sicherheitsaudits und die Veröffentlichung von Verstößen.

Wie verhält sich NIS2 zu ISO 27001, C5 und DORA?

NIS2 ist Recht, ISO/IEC 27001 und BSI C5 sind Nachweisinstrumente, DORA ist Spezialrecht für den Finanzsektor. Eine ISO-Zertifizierung erfüllt NIS2 nicht automatisch, deckt aber einen erheblichen Teil der geforderten Themen bereits ab.

• ISO/IEC 27001:2022 zertifiziert ein Informationssicherheits-Managementsystem. Wer es betreibt, hat Risikoanalyse, Zugriffskontrolle, Lieferantensteuerung und Wirksamkeitsmessung strukturell vorhanden. Die NIS2-spezifischen Melde- und Registrierungspflichten deckt es nicht ab.
• BSI IT-Grundschutz ist der deutsche Alternativweg zu einem vergleichbaren Managementsystem und in der öffentlichen Verwaltung verbreitet.
• BSI C5 ist ein Prüfschema für Cloud-Dienste. Für die Lieferkettenbewertung eines Cloud-Anbieters ist ein C5-Testat der direkteste Beleg, weil es Sicherheitsmaßnahmen und Transparenzangaben eines konkreten Dienstes prüft.
• DORA, die Verordnung (EU) 2022/2554, gilt seit dem 17. Januar 2025 für den Finanzsektor und geht dort als speziellere Regelung vor. Finanzunternehmen prüfen deshalb zuerst DORA.
• Cyber Resilience Act, die Verordnung (EU) 2024/2847, betrifft Produkte mit digitalen Elementen und ihre Hersteller, nicht den Betrieb von Netzen. Die Anwendungszeitpunkte sind gestuft und in der Verordnung selbst nachzulesen.
• Physische Resilienz kritischer Einrichtungen regelt nicht NIS2, sondern die CER-Richtlinie (EU) 2022/2557 und ihre nationale Umsetzung. Beide Regelwerke greifen ineinander, adressieren aber unterschiedliche Risiken.

centron betreibt die ccloud³ und die Managed Cloud auf Basis eines nach ISO/IEC 27001 zertifizierten Managementsystems und hält für diese Dienste ein uneingeschränktes BSI-C5:2020-Testat vom Typ 1. Ergänzend bestehen Zertifizierungen nach ISO 9001 und ISO 14001. Diese Nachweise sind Bausteine für deine Lieferkettenbewertung, keine Aussage über deine eigene NIS2-Betroffenheit.

Wo stehen die verbindlichen Angaben?

Verbindlich ist für Unternehmen in Deutschland das BSI-Gesetz in der durch das NIS2-Umsetzungsgesetz geänderten Fassung, nicht der Richtlinientext. Die Richtlinie (EU) 2022/2555 selbst ist im Amtsblatt der EU und über EUR-Lex abrufbar und bleibt die Referenz für Auslegungsfragen und für Tätigkeiten in anderen Mitgliedstaaten.

Für den aktuellen Stand der Umsetzung, Registrierungsverfahren und Meldewege ist das BSI die primäre Quelle. Die ENISA veröffentlicht ergänzend technische Leitlinien zur Umsetzung der Risikomanagementmaßnahmen. Ob dein Unternehmen betroffen ist, entscheidet die Anwendung der gesetzlichen Kriterien auf deine konkrete Tätigkeit, Struktur und Größe. Diese Einordnung ist eine Rechtsfrage, und bei Grenzfällen, Konzernstrukturen oder mehreren Standorten in der EU gehört sie fachkundig geprüft.

Welche Nachweise centron für die Bewertung als Dienstleister bereitstellt, findest du in den Trust-Center-Unterlagen.

Weitere Compliance-Themen

• BSI C5: Testat, Typ 1 und Typ 2 verstehen
• CLOUD Act: Auswirkungen auf deutsche Unternehmen
• DORA: Was die Verordnung für IT-Dienstleister bedeutet
• ISO 27001: Anforderungen, Ablauf und Aufwand