NIS2-Richtlinie einfach erklärt – Was Unternehmen wissen müssen

Inhalt in Kürze

• Die NIS-2-Richtlinie ist seit Dezember 2025 geltendes Recht in Deutschland – ohne Übergangsfrist. Betroffene Unternehmen und Organisationen müssen sofort Maßnahmen ergreifen.
• Rund 20.850 Einrichtungen (BT-Drs. 20/13184) in 18 kritischen Sektoren sind direkt betroffen. Über Lieferkettenanforderungen sind es deutlich mehr.
• Geschäftsführer haften persönlich für die Umsetzung der Risikomanagementmaßnahmen zur Cybersicherheit.
• Bußgelder bis 10 Millionen Euro drohen bei Verstößen gegen bestimmte NIS2-Pflichten; erst ab einem Gesamtumsatz über 500 Mio. Euro treten 2 % davon an die Stelle dieses Betrags (§ 65 Abs. 5 und 6 BSIG).

---

Die NIS-2-Richtlinie (Network and Information Security Directive 2) ist das umfassendste Cybersicherheitsgesetz, das die EU je verabschiedet hat. Das Ziel der NIS 2: die Cybersicherheit in der gesamten EU zu stärken. Seit dem 6. Dezember 2025 ist das NIS2UmsuCG in Kraft — die Umsetzung in nationales Recht erfolgte ohne Übergangsfrist. Für Unternehmen in Deutschland und Europa stellt die Richtlinie das Thema Informationssicherheit auf eine völlig neue Grundlage. Trotzdem wissen viele Unternehmen und Organisationen nicht, ob sie betroffen sind. In diesem Artikel erklären wir die NIS-2-Richtlinie einfach und verständlich: welche Sektoren und wichtige Einrichtungen betroffen sind, welche Risikomanagementmaßnahmen Unternehmen ergreifen müssen, welche Meldepflichten bei Sicherheitsvorfällen gelten — und welche Sicherheitsmaßnahmen Sie jetzt ergreifen müssen.

Was ist die NIS-2-Richtlinie? – NIS2 einfach erklärt

Die NIS-2-Richtlinie ist eine EU-Richtlinie zur Stärkung der Cybersicherheit und Informationssicherheit in Europa. Sie ersetzt die erste NIS-Richtlinie (NIS 1) von 2016 und erweitert den Geltungsbereich auf Netz- und Informationssystemen in 18 kritischen Sektoren. Die komplexe Bedrohungslage — Ransomware auf Krankenhäuser, Supply-Chain-Attacken auf Softwareanbieter, Cyberbedrohungen gegen Unternehmen und Organisationen — erfordert neue gesetzliche Anforderungen im Bereich der Cybersicherheit. Die NIS-2-Richtlinie zielt darauf ab, die Inhalte der NIS 2 verbindlich für alle Mitgliedstaaten umzusetzen.

Die Richtlinie erweitert den Anwendungsbereich auf 18 Sektoren, verschärft die Anforderungen mit konkreten Risikomanagementmaßnahmen, nimmt die Geschäftsleitung in die Pflicht, verkürzt die Meldefristen bei Sicherheitsvorfällen auf drei Stufen nach § 32 BSIG: Erstmeldung binnen 24 Stunden, Meldung mit erster Bewertung binnen 72 Stunden, Abschlussmeldung binnen eines Monats nach der 72-Stunden-Meldung und erhöht die Bußgelder auf bis 10 Mio. € (besonders wichtige) bzw. 7 Mio. € (wichtige Einrichtungen). In Deutschland wurde die EU-Richtlinie durch das NIS2-Umsetzungsgesetz (NIS2UmsuCG) in nationales Recht umgesetzt — als Teil des Gesetzes zur Umsetzung der NIS-2-Richtlinie. Die Umsetzung in nationales Recht war ursprünglich bis Oktober 2024 vorgesehen, verzögerte sich aber aufgrund politischer Umstände. Die NIS2-Richtlinie in nationales Recht zu überführen, war für alle Mitgliedstaaten verpflichtend.

Wer ist von NIS 2 betroffen? – Betroffene Unternehmen, wichtige Einrichtungen und Sektoren

Die Betroffenheit hängt von Branche und Unternehmensgröße ab. Sie gilt in 18 Sektoren ab 50 Beschäftigten — oder wenn Jahresumsatz und Bilanzsumme jeweils über 10 Mio. € liegen (§ 28 Abs. 2 Nr. 3 BSIG). Die NIS-2-Richtlinie unterscheidet zwischen wesentliche und wichtige Einrichtungen.

Besonders wichtige Einrichtungen umfassen Energie, Transport und Logistik, Bankwesen, Gesundheitswesen, Trinkwasser, digitale Infrastruktur, ICT-Dienstleistungsmanagement und öffentliche Verwaltung. Wichtige Einrichtungen sind Unternehmen in den weiteren kritischen Sektoren: Post, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe, digitale Dienste (Dienstleister, Marktplätze, Suchmaschinen) und Forschungseinrichtungen. Bestimmte Unternehmen und Organisationen fallen unabhängig von ihrer Größe unter die NIS-2-Richtlinie — etwa Betreiber kritischer Infrastrukturen.

Die Lieferkette – der unterschätzte Faktor

Die Richtlinie verpflichtet betroffene Unternehmen, die Cybersicherheit in ihrer gesamten Lieferkette sicherzustellen und die Einhaltung der Anforderungen durch Dienstleister zu überprüfen. Was das für Unternehmen bedeutet: Wenn Ihre Kunden unter NIS-2 fallen, werden diese Nachweise von Ihnen verlangen. Wer die geforderten Sicherheitsmaßnahmen nicht nachweisen kann, riskiert den Verlust der Geschäftsbeziehung. Ein Metallverarbeitungsbetrieb, der für einen Energieversorger produziert? Betroffen über die Lieferkette. Eine IT-GmbH, die Managed Services für einen Klinikkonzern erbringt? Ebenfalls betroffen. Mehr dazu in unserem Artikel NIS2 Lieferantenaudit: So bestehen KMU als Zulieferer.

Die persönliche Haftung der Geschäftsführung nach NIS-2

Die Geschäftsleitung muss die Maßnahmen nach § 30 umsetzen und ihre Umsetzung überwachen (§ 38 Abs. 1) und nach § 38 Abs. 3 selbst regelmäßig an Cybersicherheitsschulungen teilnehmen. Verletzt sie die Pflicht aus Absatz 1, haftet sie ihrer eigenen Einrichtung nach den Regeln des Gesellschaftsrechts (§ 38 Abs. 2) — nicht gegenüber Dritten. Die operative Arbeit darf sie an CISO oder IT-Leitung verteilen; die Kontrolle darüber bleibt bei ihr. Unternehmen müssen sicherstellen, dass die Geschäftsleitung ihre Pflichten kennt. Details auf unserer Seite NIS2 Geschäftsführer-Haftung.

Welche Maßnahmen müssen Unternehmen im Rahmen von NIS 2 ergreifen?

Die NIS-2-Richtlinie definiert konkrete Risikomanagementmaßnahmen. Unternehmen müssen geeignete Sicherheitsmaßnahmen ergreifen:

Risikomanagement: Systematische Risikoanalyse, technische Maßnahmen (Verschlüsselung, Zugangskontrolle, Netzwerksegmentierung), organisatorische Maßnahmen (Sicherheitsrichtlinien, Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Cybersicherheit) und Business Continuity mit Wiederherstellung nach einem Notfall.

Meldepflichten bei Sicherheitsvorfällen: Betroffene Unternehmen müssen Sicherheitsvorfälle innerhalb von 24 Stunden als Frühwarnung an das BSI melden, innerhalb von 72 Stunden eine detaillierte Meldung nachliefern und nach einem Monat einen Abschlussbericht vorlegen. Jeder Vorfall mit erheblichen Auswirkungen auf Netz- und Informationssysteme muss gemeldet werden.

Sicherheit der Lieferkette: Bewertung der Sicherheitsmaßnahmen aller Zulieferer und Dienstleister, vertragliche Vereinbarungen und regelmäßige Überprüfung. Die Richtlinie sieht vor, dass betroffene Unternehmen die Einhaltung der Cybersicherheitsstandards bei Dienstleistern kontrollieren.

Schulungspflicht: Alle relevanten Mitarbeitenden — einschließlich der Geschäftsführung und des Management — müssen regelmäßig in Cybersicherheit geschult werden. Neben klassischen Schulungen gewinnen Workshops und Vorträge an Bedeutung, die das Thema Informationssicherheit praxisnah vermitteln. Unternehmen sind verpflichtet, Schulungsnachweise zu dokumentieren.

Registrierungspflicht: Betroffene Unternehmen müssen sich beim Bundesamt für Sicherheit in der Informationstechnik registrieren und eine Kontaktstelle für Cybersicherheitsvorfälle benennen. Die Registrierung muss innerhalb von drei Monaten nach Inkrafttreten erfolgen. Die gesetzliche Frist lief damit am 6. März 2026 ab; das BSI hat eine Nachfrist bis zum 31. Juli 2026 eingeräumt — welche Fristen aktuell gelten, haben wir im Überblick zu NIS2, AI Act und Digital Omnibus zusammengefasst.

Strafen bei Verstößen gegen die NIS2-Richtlinie

Ein Verstoß gegen die NIS-2-Richtlinie hat weitreichende Konsequenzen für betroffene Unternehmen und Organisationen. Besonders wichtige Einrichtungen riskieren Bußgelder bis 10 Mio. € (ab 500 Mio. € Gesamtumsatz stattdessen bis zu 2 % davon). Wichtige Einrichtungen bis 7 Mio. € (ab 500 Mio. € Gesamtumsatz stattdessen bis zu 1,4 % davon) Umsatzes. Das BSI kann bei einem Verstoß organisatorische und technische Maßnahmen anordnen und die Geschäftsführung vorübergehend von der Ausübung ihrer Tätigkeit untersagen. Ein Verstoß gegen die Meldepflichten bei Sicherheitsvorfällen kann eigenständige Bußgelder auslösen. Die Sanktionen sind deutlich schärfer als bei der alten NIS-Richtlinie — betroffene Unternehmen müssen die Einhaltung dokumentieren, um jeden Verstoß zu vermeiden.

NIS 2 vs. DSGVO

Aspekt	DSGVO	NIS-2
Schutzobjekt	Personenbezogene Daten	Netz- und Informationssysteme
Meldefrist	72 Stunden	24 Stunden (Frühwarnung)
Bußgelder	Bis 20 Mio. € / 4 % Umsatz	Bis 10 Mio. € / 2 % Umsatz
Aufsichtsbehörde	Landesdatenschutzbehörden	BSI (Bundesamt für Sicherheit in der Informationstechnik)
Persönliche Haftung GF	Indirekt	Direkt verankert

NIS-2 und DSGVO schließen sich nicht aus. Bei einem Cyberangriff, der auch personenbezogene Daten betrifft, müssen betroffene Unternehmen beide Meldewege bedienen — BSI und Datenschutzbehörde. Unternehmen, die bereits ein Informationssicherheits-Managementsystem (ISMS) betreiben, sind strategisch im Vorteil — geschützte Netz- und Informationssysteme und dokumentierte Prozesse helfen bei der Einhaltung beider Regelwerke.

Was Sie jetzt tun sollten – Umsetzung der NIS 2 Richtlinie

Unternehmen müssen jetzt handeln, um die Einhaltung der Anforderungen zu erfüllen. Die Umsetzung beginnen Sie mit diesen Schritten:

1. Betroffenheitscheck durchführen Prüfen Sie, ob Ihr Unternehmen direkt oder über die Lieferkette unter NIS-2 fällt. Nutzen Sie unseren NIS2-Betroffenheitscheck.
2. Gap-Analyse und Risikomanagement Wo steht Ihr Unternehmen? Welche der geforderten Maßnahmen sind umgesetzt, wo gibt es Lücken? Unternehmen müssen klare Prozesse etablieren.
3. Incident-Response-Plan Definieren Sie, wer im Ernstfall was tut. Die 24-Stunden-Frist lässt keinen Spielraum.
4. Lieferkette bewerten Identifizieren Sie kritische Zulieferer und bewerten Sie deren Cybersicherheit.
5. Geschäftsführung einbinden Die Geschäftsleitung muss ihre persönlichen Pflichten kennen und an Schulungen teilnehmen.

Wie wir Ihnen helfen können

Als spezialisierte Berater für Datenschutz und Informationssicherheit unterstützen wir Unternehmen in Hamburg und deutschlandweit bei der NIS-2 Umsetzung mit maßgeschneiderten Lösungen:

• NIS2-Beratung: Von der Betroffenheitsprüfung bis zur vollständigen Umsetzung
• NIS2-Betroffenheitscheck: Schnelle Klärung der Betroffenheit
• Hugo Shield: NIS2-Lieferketten-Compliance — vom Self-Assessment bis zum Dashboard
• Vorträge und Workshops: Regelmäßige Vorträge zum Thema NIS-2 und Informationssicherheit in Hamburg

Häufige Fragen zur NIS-2-Richtlinie

Ist NIS-2 schon in Kraft?

Ja. Das NIS2UmsuCG gilt seit Dezember 2025 ohne Übergangsfrist. Die NIS-2-Richtlinie wurde nationales Recht umgesetzt — betroffene Unternehmen müssen die neuen Anforderungen der Richtlinie sofort erfüllen und die Umsetzung beginnen. Die Umsetzung der NIS-Richtlinie erfolgte verspätet, da Deutschland die Frist bis Oktober 2024 verfehlt hatte. Für Unternehmen in Deutschland bedeutet das: sofortiger Handlungsbedarf ohne Schonfrist.

Wer ist betroffen und was müssen Unternehmen wissen?

Direkt betroffen sind Unternehmen in 18 Sektoren ab 50 Mitarbeitende oder jeweils über 10 Mio. Euro Umsatz und Bilanzsumme. Wesentliche und wichtige Einrichtungen müssen Risikomanagementmaßnahmen umsetzen. Über die Lieferkette können auch kleinere Unternehmen betroffen sein — die NIS-2-Richtlinie betroffen sind auch Dienstleister, deren Kunden in kritischen Sektoren tätig sind. Das BSI überwacht die Einhaltung. Bei Verstößen drohen Bußgelder und persönliche Haftung der Geschäftsführung.

Was passiert bei einem Verstoß gegen die NIS-2 Meldepflichten?

Ein Verstoß gegen die Meldepflichten löst eigenständige Bußgelder aus. Betroffene Unternehmen melden Sicherheitsvorfälle in drei Stufen nach § 32 BSIG: Erstmeldung binnen 24 Stunden, Meldung mit erster Bewertung binnen 72 Stunden, Abschlussmeldung binnen eines Monats nach der 72-Stunden-Meldung — an die gemeinsame Meldestelle von BSI und BBK. Die Bußgelder reichen bis 10 Mio. € (besonders wichtige) bzw. 7 Mio. € (wichtige Einrichtungen). Unternehmen müssen Incident-Response-Prozesse etablieren, die eine fristgerechte Meldung sicherstellen.

Welche Sicherheitsmaßnahmen verlangt die NIS-2-Richtlinie?

Betroffene Unternehmen müssen ergreifen: systematisches Risikomanagement für Netz- und Informationssysteme, Verschlüsselung, Zugangskontrolle, Netzwerksegmentierung, Sicherheit der Lieferkette, Business-Continuity-Management mit Wiederherstellung nach einem Notfall und Schulungen zur Cybersicherheit. Die Sicherheitsmaßnahmen müssen an die spezifischen Cyberbedrohungen im jeweiligen Sektor angepasst sein. Die Richtlinie legt die Mindestanforderungen fest — die Umsetzung der NIS2-Richtlinie in nationales Recht konkretisiert die Pflichten für Unternehmen in Deutschland.

Wie können Dienstleister die Einhaltung nachweisen?

Dienstleister, die über die Lieferkette betroffen sind, können die Einhaltung durch dokumentierte Sicherheitsmaßnahmen für ihre Netz- und Informationssysteme, regelmäßige Risikobewertungen und Incident-Response-Prozesse nachweisen. Unser Hugo Shield unterstützt Dienstleister und betroffene Unternehmen bei der systematischen Dokumentation — als Bestandteil der NIS2-Richtlinie ist die Lieferkettensicherheit ein zentraler Nachweis gegenüber Kunden in kritischen Sektoren.