NIS2 legt fest, welches Mindestniveau an Cybersicherheit Unternehmen aus bestimmten Sektoren erreichen müssen und was sie im Vorfall zu melden haben. Die Richtlinie (EU) 2022/2555 gilt nicht direkt, sondern über nationales Recht — in Deutschland über das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz, das im Kern das BSI-Gesetz neu fasst.
Der Kreis der Betroffenen ist deutlich größer als bei der Vorgängerregelung. Wo früher einige hundert Betreiber kritischer Infrastrukturen adressiert waren, sind es jetzt Unternehmen aus achtzehn Sektoren, darunter Maschinenbau, Fahrzeugbau, Chemie, Lebensmittelverarbeitung, Abfallwirtschaft und Post. Viele davon haben sich nie als kritische Infrastruktur verstanden.
Zwei Eigenschaften machen NIS2 im Alltag unangenehm. Erstens gibt es keine Betroffenheitsmitteilung: Sie müssen selbst feststellen, ob Sie unter die Regelung fallen, und sich anschließend selbst bei der zuständigen Behörde registrieren. Wer die Prüfung unterlässt, ist trotzdem betroffen. Zweitens ist die Geschäftsleitung persönlich adressiert — sie muss die Maßnahmen billigen, ihre Umsetzung überwachen und dafür geradestehen.
Was NIS2 nicht tut, ist ebenso wichtig: Die Richtlinie schreibt keine Produkte, keine Hersteller und keine Architektur vor. Sie verlangt ein Risikomanagement, das zum eigenen Risikobild passt, und macht dessen Ergebnisse überprüfbar. Der Unterschied zu einer Norm ist grundsätzlich: Eine Norm setzen Sie freiwillig um, NIS2 gilt.
Wer betroffen ist und in welcher Klasse
Die Richtlinie kennt zwei Klassen. Wesentliche Einrichtungen stammen aus den Sektoren mit hoher Kritikalität und sind in der Regel groß — ab 250 Beschäftigten oder mit einem Jahresumsatz über 50 Millionen Euro und einer Bilanzsumme über 43 Millionen Euro. Wichtige Einrichtungen sind die übrigen erfassten Unternehmen ab 50 Beschäftigten oder einem Jahresumsatz und einer Bilanzsumme von mehr als 10 Millionen Euro.
Der Unterschied wirkt sich vor allem auf die Aufsicht aus. Wesentliche Einrichtungen werden vorausschauend beaufsichtigt: Die Behörde kann Prüfungen anordnen, ohne dass etwas passiert ist. Wichtige Einrichtungen werden anlassbezogen geprüft, also nach einem Vorfall oder einem Hinweis. Die inhaltlichen Pflichten sind in beiden Klassen dieselben. Auch die Bußgeldrahmen unterscheiden sich: bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes für wesentliche, bis zu sieben Millionen Euro oder 1,4 Prozent für wichtige Einrichtungen — jeweils der höhere Wert.
Von den Größenschwellen gibt es Ausnahmen nach unten. Bestimmte Anbieter — etwa aus dem Bereich der digitalen Infrastruktur, Vertrauensdiensteanbieter oder Einrichtungen, die als alleiniger Anbieter einer für die Gesellschaft wichtigen Dienstleistung gelten — fallen unabhängig von ihrer Größe unter die Pflichten. Ein Rechenzentrumsbetreiber mit dreißig Beschäftigten kann betroffen sein, ein Maschinenbauer mit vierzig ist es nicht.
Die häufigste Fehleinschätzung betrifft Zulieferer. Wer Maschinen an einen Energieversorger liefert, ist nicht automatisch selbst betroffen. Er bekommt die Anforderungen aber vertraglich zugestellt, weil Lieferkettensicherheit zu den Pflichten seines Kunden gehört. Das ist der Weg, auf dem NIS2 den Mittelstand faktisch erreicht — über Fragebögen, Vertragsklauseln und Auditforderungen der Kunden.
Die zehn Mindestmaßnahmen
Die Richtlinie benennt zehn Bereiche, die ein Risikomanagementkonzept mindestens abdecken muss. Sie sind bewusst technologieoffen formuliert; der Umfang richtet sich nach Größe, Risikoexposition und Stand der Technik.
| Mindestmaßnahme | Was dahintersteckt | Typische Lücke |
|---|---|---|
| Risikoanalyse und Sicherheitskonzepte | Systematische Bewertung der Risiken für die eigenen Dienste, daraus abgeleitete Regelwerke | Risikoanalyse einmalig zum Projektstart, danach nie fortgeschrieben |
| Bewältigung von Sicherheitsvorfällen | Erkennung, Klassifizierung, Reaktion, Nachbereitung | Kein Kriterienkatalog, wann ein Vorfall „erheblich“ ist |
| Aufrechterhaltung des Betriebs | Backup-Management, Wiederherstellung, Krisenmanagement | Backups existieren, die Wiederherstellung wurde nie erprobt |
| Sicherheit der Lieferkette | Anforderungen an Dienstleister und Zulieferer, Bewertung ihrer Sicherheitslage | Lieferantenbewertung ohne jede Sicherheitsfrage |
| Sicherheit in Beschaffung und Entwicklung | Sicherheitsanforderungen in Einkauf, Entwicklung und Wartung, Schwachstellenbehandlung | Patchmanagement ohne Fristen und ohne Ausnahmeverfahren |
| Bewertung der Wirksamkeit | Nachweis, dass die Maßnahmen tun, was sie sollen | Maßnahmen sind umgesetzt, ihre Wirkung wird nie geprüft |
| Cyberhygiene und Schulung | Grundlegende Praktiken und regelmäßige Sensibilisierung aller Beschäftigten | Einmalige Onboarding-Schulung, keine Wiederholung, Leitung nicht dabei |
| Kryptografie und Verschlüsselung | Konzept für den Einsatz von Verschlüsselung | Kein Konzept, nur Einzelentscheidungen der Administratoren |
| Personalsicherheit und Zugriffskontrolle | Zuverlässigkeitsprüfung, Berechtigungsvergabe, Verwaltung der Werte | Berechtigungen wachsen mit, Austritte werden technisch nicht nachvollzogen |
| Mehrfaktor-Authentifizierung und gesicherte Kommunikation | Starke Authentisierung, gesicherte Sprach-, Video- und Textkommunikation, Notfallkommunikation | Notfallkommunikation läuft über dieselbe Infrastruktur, die im Ernstfall ausfällt |
Zwei Punkte werden regelmäßig unterschätzt. Die Notfallkommunikation ist einer davon: Wenn Active Directory verschlüsselt ist, funktionieren Telefonanlage, Chat und Mailverteiler oft nicht mehr — der Krisenstab braucht einen Weg, der unabhängig davon trägt. Der zweite ist die Wirksamkeitsprüfung. Sie ist eine eigene Anforderung, nicht ein Nebenprodukt der Umsetzung.
Registrierung und Meldung: die eigentlichen Fristfallen
Die Pflichten mit den härtesten Fristen sind organisatorischer Natur, nicht technischer. Wer sie versäumt, ist auch dann angreifbar, wenn die Technik in Ordnung ist.
Die Registrierung ist der erste Schritt. Betroffene Einrichtungen müssen sich selbst bei der zuständigen nationalen Behörde melden und dabei unter anderem Kontaktdaten, Sektorzuordnung und IP-Bereiche angeben. Es gibt keine Aufforderung, kein Anschreiben, keinen Hinweis. Die Frist beginnt zu laufen, sobald die Voraussetzungen erfüllt sind — also auch dann, wenn ein Unternehmen durch Wachstum oder eine Übernahme erst hineinwächst. Nach einer Umstrukturierung ist die Betroffenheit deshalb neu zu prüfen.
Die Vorfallmeldung läuft in drei Stufen. Binnen 24 Stunden nach Kenntnis eines erheblichen Sicherheitsvorfalls geht eine Frühwarnung an die Behörde, binnen 72 Stunden eine Meldung mit erster Bewertung und Indikatoren, binnen eines Monats ein Abschlussbericht mit Ursache, Auswirkungen und ergriffenen Maßnahmen. Dauert die Bearbeitung länger, tritt ein Fortschrittsbericht an die Stelle des Abschlussberichts.
Der schwierige Teil ist nicht die Meldung, sondern die Einstufung. „Erheblich“ ist ein unbestimmter Begriff; die Richtlinie nennt Anhaltspunkte wie schwerwiegende Betriebsstörungen, finanzielle Verluste oder Schäden bei anderen. Diese Anhaltspunkte müssen Sie vorab in eigene, im Betrieb anwendbare Schwellen übersetzen — nicht während des Vorfalls. Wer das versäumt, verbringt die ersten Stunden mit einer Zuständigkeitsdiskussion. Wie sich die Erfassung praktisch aufsetzen lässt, beschreibt der Beitrag zur systematischen Erfassung von Sicherheitsvorfällen.
Praktisch bewährt sich, die Einstufungsentscheidung an eine benannte Rolle mit Vertretung zu binden, sie in der Rufbereitschaft zu verankern und den Meldeweg einmal jährlich zu üben. Zugänge zu Meldeportalen, die im Ernstfall zum ersten Mal benutzt werden, funktionieren erfahrungsgemäß nicht.
Was statt eines Zertifikats nachgewiesen wird
Dies ist der häufigste Irrtum bei NIS2. Es existiert kein Zertifizierungsschema, keine Akkreditierung und keine Stelle, die Konformität mit der Richtlinie verbindlich bescheinigen könnte. Wenn ein Anbieter ein „NIS2-Zertifikat“ verkauft, verkauft er die Meinung eines Beraters — nicht mehr.
Nachgewiesen wird im Aufsichtsverhältnis: durch die Registrierung, durch Meldungen, durch Unterlagen, die die Behörde anfordern kann, und durch Prüfungen, die sie anordnen kann. Für Betreiber kritischer Anlagen kommen die bereits bekannten turnusmäßigen Nachweise hinzu. Adressat ist die Behörde, nicht der Markt.
Zertifikate sind trotzdem sinnvoll — als Bausteine und als Marktnachweis gegenüber Kunden, die NIS2-Anforderungen in ihre Lieferkette weitergeben. Ein ISO-27001-Zertifikat belegt ein funktionierendes Informationssicherheits-Managementsystem und deckt große Teile der zehn Mindestmaßnahmen ab; die Maßnahmenkataloge aus ISO 27002 liefern die Umsetzungstiefe. Ein Zertifikat nach ISO 22301 belegt Kontinuitätsplanung samt Übungen und deckt damit die Anforderung an die Aufrechterhaltung des Betriebs sauberer ab, als ein ISMS es allein tut. Bei Cloud-Dienstleistern verkürzt ein Testat nach dem BSI-Kriterienkatalog C5 die eigene Sorgfaltsprüfung. Der Ablauf einer solchen Zertifizierung ist der übliche und wird hier nicht wiederholt.
Ein Detail entscheidet über den Wert dieser Zertifikate: der Geltungsbereich. Ein ISMS-Zertifikat, das nur die IT-Abteilung am Hauptsitz umfasst, sagt nichts über die Produktionsnetze aus, in denen das eigentliche Risiko liegt. Aufsicht und Kunden lesen genau diese Zeile.
Woran die Umsetzung scheitert
Die Betroffenheit wird nie geprüft. Das Unternehmen sieht sich nicht als kritische Infrastruktur, weil es das früher nicht war. Der Sektorzuschnitt hat sich geändert, die Selbsteinschätzung nicht.
Der Geltungsbereich passt nicht zum Risiko. Ein vorhandenes ISMS deckt Verwaltung und Rechenzentrum ab, nicht aber die Fertigung. Genau dort stehen die Steuerungen, deren Ausfall den Dienst unterbricht.
Meldeschwellen fehlen. Ohne vorab festgelegte Kriterien für „erheblich“ entscheidet der Krisenstab unter Zeitdruck — und meldet im Zweifel zu spät.
Lieferkettensicherheit bleibt eine Klausel. Der Einkauf ergänzt die Verträge um einen Absatz, führt aber keine Bewertung durch. Gefordert ist eine Einschätzung der Sicherheitslage des Dienstleisters, nicht seine Unterschrift. Wie sich das ohne Bürokratie aufsetzen lässt, zeigt die Lieferantenbewertung mit Augenmaß.
Die Leitung delegiert, was nicht delegierbar ist. Der IT-Leiter setzt um, die Geschäftsführung nimmt zur Kenntnis. Gefordert ist eine dokumentierte Billigung und eine laufende Überwachung durch die oberste Leitung selbst — samt eigener Schulungsnachweise.
Wiederherstellung wurde nie getestet. Backups laufen, das Rückspielen einer vollständigen Umgebung wurde nie versucht. Im Ernstfall stellt sich heraus, dass die Wiederherstellungszeit um eine Größenordnung über der Erwartung liegt.
Die Registrierung wird vergessen. Sie ist die formale Pflicht mit dem geringsten Aufwand und der klarsten Nachweisbarkeit — und deshalb die, die einer Behörde als Erstes auffällt.
Abgrenzung zu benachbarten Regelwerken
| Regelwerk | Rechtsnatur | Für wen | Verhältnis zu NIS2 |
|---|---|---|---|
| DORA | EU-Verordnung, gilt unmittelbar | Finanzsektor und dessen IKT-Dienstleister | Geht als spezielleres Recht vor; NIS2 tritt für diese Unternehmen zurück |
| KRITIS-Regelungen und B3S | Nationales Recht mit Branchenstandards | Betreiber kritischer Anlagen | Bleiben bestehen und werden von NIS2 überlagert; Nachweispflichten kommen hinzu |
| ISO 27001 | Zertifizierbare Norm, freiwillig | Alle Organisationen | Liefert das Managementsystem, deckt Registrierung und Meldefristen nicht ab |
| ISO 22301 | Zertifizierbare Norm, freiwillig | Alle Organisationen | Deckt Betriebsfortführung und Übungen ab, kennt keine behördliche Meldepflicht |
| BSI C5 | Prüfungsstandard mit Testat | Cloud-Dienstleister | Hilfsmittel für die Lieferkettenprüfung, kein Konformitätsnachweis |
| DSGVO | EU-Verordnung, gilt unmittelbar | Alle Verantwortlichen | Eigene Meldepflicht bei Datenschutzverletzungen; ein Vorfall kann beide auslösen |
Die praktische Konsequenz für die meisten betroffenen Unternehmen: Ein Informationssicherheits-Managementsystem ist der effizienteste Weg zur Erfüllung, weil es die inhaltlichen Anforderungen bündelt. Es ersetzt aber weder die Registrierung noch den Meldeprozess noch die Schulung der Leitung. Und ein Vorfall, der personenbezogene Daten betrifft, löst zwei Meldeketten gleichzeitig aus — mit unterschiedlichen Fristen und unterschiedlichen Adressaten. Wer beide Prozesse getrennt aufsetzt, meldet doppelt oder gar nicht.